Cosa deve contenere l’informativa privacy del tuo sito o e-commerce secondo il GDPR e il Garante, dove pubblicarla, gli errori più comuni e un esempio gratuito da copiare e completare.
Ultimo controllo il 16 ottobre 2026
In breve
Spiega chi sei, perché usi i dati, su quale base giuridica e per quanto tempo li conservi.
Indica chi riceve i dati e se escono dall’Europa, con quale garanzia.
Elenca i diritti dell’interessato, compresa la revoca del consenso e il reclamo al Garante.
Collegala da ogni pagina e da ogni modulo che raccoglie dati personali.
Cos’è una privacy policy?
La privacy policy, che il GDPR e il Garante chiamano informativa privacy, è il testo in cui spieghi alle persone cosa fai con i loro dati personali. Su un sito web di solito è una pagina a sé, collegata nel footer.
L’obbligo deriva dal GDPR. L’articolo 12 chiede che le informazioni siano fornite in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Gli articoli 13 e 14 elencano cosa devi dire: il 13 quando raccogli i dati direttamente dalla persona, per esempio con un modulo, il 14 quando li ottieni da altri.
In Italia il GDPR si applica insieme al Codice in materia di protezione dei dati personali (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018), che aggiunge alcune regole nazionali, per esempio sui minori e sul marketing via email.
Cosa deve contenere
Quando raccogli dati personali da una persona, l’articolo 13 richiede queste informazioni:
Chi sei: il nome e i dati di contatto del titolare del trattamento, e del rappresentante se hai sede fuori dall’UE ma offri beni o servizi nell’UE.
Il responsabile della protezione dei dati (DPO), se lo hai nominato, con i suoi dati di contatto.
Le finalità e la base giuridica. Per ogni finalità, su quale base ti fondi: consenso, contratto, obbligo di legge o legittimo interesse. Le linee guida europee sulla trasparenza insistono sul fatto che finalità e base giuridica devono essere chiare.
Il legittimo interesse, se è la tua base giuridica: indica quale interesse concreto persegui.
I destinatari: chi riceve i dati, compresi i responsabili del trattamento come il fornitore di hosting o di email. Secondo le linee guida, indicare i destinatari per nome è in genere la soluzione più utile; se indichi solo le categorie, rendile il più specifiche possibile.
I trasferimenti fuori dall’UE o dallo SEE: che il trasferimento avviene, se esiste una decisione di adeguatezza e, se no, quale garanzia usi e come ottenerne una copia. Secondo le linee guida, i Paesi andrebbero di regola indicati.
Per quanto tempo conservi i dati, oppure i criteri per stabilirlo. "Per il tempo necessario" non basta, secondo le linee guida.
I diritti dell’interessato: accesso, rettifica, cancellazione, limitazione, opposizione e portabilità.
Il diritto di revocare il consenso in qualsiasi momento, se il trattamento si basa sul consenso.
Il diritto di proporre reclamo a un’autorità di controllo: in Italia il Garante per la protezione dei dati personali.
Se fornire i dati è obbligatorio, per esempio perché servono per il contratto, e cosa succede se la persona non li fornisce. Le linee guida aggiungono che nei moduli online deve essere chiaro quali campi sono obbligatori.
Le decisioni automatizzate, compresa la profilazione, se producono effetti giuridici o effetti analoghi significativi, con informazioni sulla logica utilizzata e sulle conseguenze.
Il diritto di opposizione merita un’attenzione particolare: l’articolo 21 chiede che sia portato all’attenzione dell’interessato in modo esplicito, chiaro e separato da altre informazioni, al più tardi al momento della prima comunicazione.
Regole italiane da conoscere
Minori. Per i servizi della società dell’informazione offerti direttamente ai minori, l’art. 2-quinquies del Codice privacy fissa a 14 anni l’età per dare il consenso da soli; sotto i 14 anni serve il consenso di chi esercita la responsabilità genitoriale. Per questi servizi l’informativa va scritta con un linguaggio particolarmente chiaro e semplice, comprensibile per il minore.
Email ai clienti. L’art. 130, comma 4, del Codice privacy permette di usare l’email fornita da un cliente nel contesto di una vendita per promuovere prodotti o servizi analoghi senza chiedere il consenso, se il cliente è informato e non si oppone. La possibilità di opporsi, in modo semplice e gratuito, va indicata al momento della raccolta e in ogni messaggio.
Conservazione delle fatture. L’art. 2220 del codice civile prevede che scritture contabili e fatture siano conservate per dieci anni. Indicalo nell’informativa come periodo di conservazione basato su un obbligo di legge.
Reclamo al Garante. In Italia l’autorità di controllo è il Garante per la protezione dei dati personali. Il Garante mette a disposizione un modello di reclamo, da inviare via PEC, raccomandata o consegna a mano.
Dove pubblicarla
L’articolo 13 chiede che le informazioni siano date nel momento in cui raccogli i dati. Le linee guida europee sulla trasparenza, fatte proprie dall’EDPB, spiegano cosa significa per un sito web:
Un link in ogni pagina. Ogni sito dovrebbe pubblicare un’informativa, con un link diretto e ben visibile in ogni pagina, con un nome comune come "Privacy" o "Informativa privacy". Un link poco visibile per posizione o colore non è facilmente accessibile.
Dove raccogli i dati. È buona prassi mettere un link all’informativa accanto a ogni modulo che raccoglie dati personali, o dare le informazioni nella stessa pagina.
Non nascosta nei termini e condizioni. Le persone non devono doverla cercare tra altre informazioni.
Su più livelli se è lunga. Un’informativa stratificata permette di andare subito alla parte che interessa. Le informazioni complete devono comunque essere disponibili in un unico punto.
Nella lingua del visitatore, se ti rivolgi a persone che parlano altre lingue, con una traduzione accurata.
Il GDPR permette anche di accompagnare l’informativa con icone standardizzate (art. 12, par. 7). Nel 2021 il Garante ha lanciato il concorso "Informative chiare" per icone che rendano le informative più semplici da capire; i lavori premiati sono pubblicati sul suo sito con licenza CC BY 4.0. Le icone aiutano, ma non sostituiscono il testo.
Privacy policy, cookie policy e banner cookie
I tre strumenti hanno compiti diversi:
Il banner cookie chiede il consenso prima di installare cookie non tecnici e rimanda ai dettagli.
La cookie policy spiega quali cookie e strumenti simili usi, chi li installa e quanto durano.
La privacy policy riguarda tutti i dati personali che tratti, anche al di là dei cookie: moduli, ordini, newsletter, assistenza clienti.
Devono rimandare l’una all’altra. La privacy policy cita gli strumenti di analisi e marketing, la base giuridica (di solito il consenso) e gli eventuali trasferimenti fuori dall’Europa, e rimanda alla cookie policy per i dettagli sui cookie. Il banner collega entrambe. Revocare il consenso deve essere facile quanto darlo, quindi spiega in tutti e due i testi dove si può cambiare la scelta sui cookie. Le regole italiane sul banner sono nella guida sulla normativa cookie in Italia; se usi Google Analytics, leggi anche Google Analytics e GDPR in Italia.
Cookie Confirm mostra un banner che registra il consenso di ogni visitatore e collega la tua cookie policy e la tua privacy policy.
In più per gli e-commerce
Un negozio online tratta più dati di un normale sito, quindi la sua informativa deve dire di più:
Ordini: i dati necessari per la consegna, sulla base del contratto. Spiega che senza questi dati non puoi consegnare.
Fatture: la legge impone di conservarle per dieci anni (art. 2220 c.c.). La base giuridica è l’obbligo di legge.
Pagamenti: indica il fornitore dei pagamenti e se ricevi tu i dati della carta o del conto.
Spedizioni: indica i corrieri che ricevono l’indirizzo di consegna.
Newsletter: di norma per le email promozionali serve il consenso. L’eccezione è quella dell’art. 130, comma 4, del Codice privacy per i prodotti o servizi analoghi venduti ai tuoi clienti. Indica nell’informativa su quale delle due basi ti fondi.
Recensioni: se un servizio di recensioni invita i clienti dopo l’acquisto, indicalo e spiega quali dati gli comunichi.
Account clienti: indica per quanto tempo conservi un account e cosa succede in caso di inattività.
Errori frequenti
Copiare un testo generico. Un’informativa presa da un altro sito o da un generatore descrive altri strumenti e altri dati. Se non corrisponde a ciò che fa il tuo sito, non è trasparente.
Finalità vaghe. Le linee guida europee citano come esempi di frasi poco chiare l’uso dei dati "per sviluppare nuovi servizi", "per finalità di ricerca" o "per offrire servizi personalizzati", senza spiegare cosa significano.
Nessuna base giuridica per finalità. Una frase generica come "trattiamo i dati ai sensi del GDPR" non dice nulla.
Una casella "Accetto la privacy policy". L’informativa si legge, non si accetta. Se ti serve il consenso per una finalità, chiedilo per quella finalità.
Strumenti statunitensi senza informazioni sul trasferimento. Analytics, email marketing e hosting sono spesso americani. Indica il fornitore, il Paese e la garanzia, come l’EU-US Data Privacy Framework o le clausole contrattuali tipo.
"Per il tempo necessario." Indica un periodo o i criteri.
Nessun riferimento al Garante. Le persone devono sapere che possono proporre reclamo a un’autorità di controllo.
Un testo non aggiornato. Ogni nuovo plugin, strumento o fornitore può cambiare ciò che devi scrivere.
Testo di esempio
Qui sotto trovi un esempio da copiare. Completa tutto ciò che è tra [parentesi quadre], togli le sezioni che non ti servono e aggiungi i trattamenti che mancano, così che il testo descriva ciò che il tuo sito fa davvero. Un esempio non è una consulenza legale: se hai dubbi che sia adatto alla tua situazione, fallo controllare da un legale.
Informativa privacy di [Nome azienda]
Ultimo aggiornamento: [data]
Titolare del trattamento
Il titolare del trattamento è [Nome azienda] ("noi"), che gestisce il sito [indirizzo del sito] [e il negozio online [indirizzo]].
[Nome azienda], [via e numero civico], [CAP e città]
Partita IVA: [numero]
Email: [indirizzo email per la privacy]
[Se nominato: Il responsabile della protezione dei dati (DPO) è contattabile all'indirizzo [email DPO].]
[Se hai sede fuori dall'UE ma offri beni o servizi a persone nell'UE: Il nostro rappresentante nell'Unione europea è [nome, indirizzo, email].]
A cosa si riferisce questa informativa
Questa informativa spiega quali dati personali raccogliamo quando visiti il nostro sito, ci contatti, ti iscrivi alla newsletter o effettui un ordine, perché lo facciamo e quali sono i tuoi diritti. I cookie e gli strumenti simili sono descritti nella nostra cookie policy: [link alla cookie policy].
Quando ci contatti
Se usi il modulo di contatto o ci scrivi un'email, usiamo il tuo nome, il tuo indirizzo email, [il tuo numero di telefono] e il tuo messaggio per risponderti.
Base giuridica: il nostro legittimo interesse a rispondere a chi ci contatta[, oppure l'esecuzione di misure precontrattuali adottate su tua richiesta].
Conserviamo questi messaggi per [periodo, per esempio 12 mesi] dopo aver risposto, a meno che non portino a un ordine.
Quando effettui un ordine
Per gestire e consegnare il tuo ordine usiamo nome, indirizzo, indirizzo email, numero di telefono, i prodotti ordinati e lo stato del pagamento.
Base giuridica: l'esecuzione del contratto con te. Senza questi dati non possiamo consegnare l'ordine.
Conserviamo i dati dell'ordine per [periodo]. Fatture e scritture contabili sono conservate per dieci anni, come previsto dall'art. 2220 del codice civile [o per il periodo più lungo richiesto dalla normativa fiscale].
Base giuridica per la conservazione delle fatture: l'adempimento di un obbligo di legge.
[Se i clienti possono creare un account: Se crei un account, conserviamo i dati dell'account finché non lo elimini, oppure per [periodo] di inattività.]
Pagamenti
I pagamenti sono gestiti da [fornitore dei pagamenti]. Riceviamo la conferma dell'avvenuto pagamento, ma non i dati completi della tua carta o del tuo conto. [Fornitore dei pagamenti] tratta i dati di pagamento [come nostro responsabile del trattamento / come titolare autonomo, secondo la propria informativa: link].
Spedizione
Comunichiamo nome, indirizzo [e indirizzo email o numero di telefono] a [corriere], che consegna l'ordine e ti avvisa dell'arrivo.
Newsletter
[Scegli:]
[Se ti iscrivi, usiamo il tuo indirizzo email [e il tuo nome] per inviarti la newsletter. Base giuridica: il tuo consenso. Puoi disiscriverti in qualsiasi momento con il link presente in ogni newsletter o scrivendoci. La revoca non pregiudica la liceità del trattamento effettuato prima.]
[Se sei nostro cliente, possiamo usare l'indirizzo email che ci hai fornito con l'acquisto per inviarti comunicazioni su nostri prodotti o servizi analoghi, come consentito dall'art. 130, comma 4, del Codice privacy. Puoi opporti in qualsiasi momento, gratuitamente, con il link presente in ogni email o già al momento dell'ordine.]
Per l'invio usiamo [fornitore del servizio email]. Conserviamo il tuo indirizzo email finché non ti disiscrivi.
Recensioni
[Se applicabile: Dopo l'ordine possiamo chiederti di recensire l'acquisto tramite [servizio di recensioni]. A questo scopo comunichiamo a [servizio di recensioni] nome, indirizzo email e numero d'ordine. Base giuridica: [il nostro legittimo interesse a raccogliere le recensioni dei clienti / il tuo consenso]. Se pubblichi una recensione, compare con [il tuo nome / il nome che scegli].]
Statistiche e marketing
Usiamo [strumento di analisi] per capire come i visitatori usano il sito, e [strumenti di marketing, per esempio Google Ads, Meta Pixel] per misurare e mostrare i nostri annunci. Questi strumenti usano cookie o tecnologie simili e li attiviamo solo se dai il consenso nel banner cookie. Puoi modificare la tua scelta in qualsiasi momento tramite [il link "Rivedi le tue scelte sui cookie" in fondo a ogni pagina]. Quali cookie usiamo, chi li installa e quanto durano è indicato nella cookie policy: [link].
Chi riceve i tuoi dati
Non vendiamo i tuoi dati personali. Li comunichiamo solo nei casi indicati in questa informativa o quando la legge lo richiede. Le seguenti società trattano i dati per nostro conto, come responsabili del trattamento con un contratto ai sensi dell'art. 28 GDPR:
- [Fornitore di hosting] – hosting del sito [e del negozio online]
- [Fornitore del servizio email] – invio di email e newsletter
- [Piattaforma e-commerce] – negozio online
- [Software di contabilità / commercialista] – contabilità
[Aggiungi o togli destinatari in modo che l'elenco corrisponda alla tua situazione.]
Trasferimenti fuori dall'Europa
Alcune di queste società hanno sede fuori dallo Spazio economico europeo, o possono accedere ai dati da lì:
- [Fornitore] in [Paese]. Garanzia: [la decisione di adeguatezza della Commissione europea sull'EU-US Data Privacy Framework / le clausole contrattuali tipo].
Puoi chiedere una copia di queste garanzie scrivendo a [indirizzo email per la privacy]. [Se non ci sono trasferimenti: Non trasferiamo dati personali fuori dallo Spazio economico europeo.]
Per quanto tempo conserviamo i dati
Non conserviamo i dati più a lungo del necessario per le finalità indicate. I periodi di conservazione sono indicati in ciascuna sezione. Trascorsi questi periodi, cancelliamo o anonimizziamo i dati.
Decisioni automatizzate
Non adottiamo decisioni basate unicamente su un trattamento automatizzato, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sulla tua persona. [Se lo fai, per esempio con controlli automatici antifrode, descrivi il trattamento, la logica utilizzata e le conseguenze per il cliente.]
I tuoi diritti
Hai il diritto di:
- accedere ai dati personali che ti riguardano;
- ottenere la rettifica dei dati inesatti;
- ottenere la cancellazione dei dati;
- ottenere la limitazione del trattamento;
- ricevere i dati che ci hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico, o farli trasmettere a un altro titolare, quando il trattamento si basa sul consenso o su un contratto (portabilità);
- revocare in qualsiasi momento il consenso, quando il trattamento si basa sul consenso, senza pregiudicare la liceità del trattamento effettuato prima della revoca.
Il tuo diritto di opposizione
Quando il trattamento si basa sul nostro legittimo interesse, puoi opporti per motivi connessi alla tua situazione particolare. Puoi sempre opporti al trattamento per finalità di marketing diretto: in quel caso smettiamo di usare i tuoi dati per questo scopo.
Per esercitare i tuoi diritti scrivi a [indirizzo email per la privacy]. Ti rispondiamo entro un mese. Se la richiesta è complessa, possiamo prorogare il termine di altri due mesi, informandoti entro il primo mese. Possiamo chiederti di confermare la tua identità.
Reclami
Se non sei soddisfatto di come trattiamo i tuoi dati, scrivici prima a [indirizzo email per la privacy]. Hai comunque il diritto di proporre reclamo a un'autorità di controllo, in particolare nello Stato in cui risiedi, lavori o in cui si è verificata la presunta violazione. In Italia l'autorità è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it (modello di reclamo e istruzioni: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/4535524).
Modifiche a questa informativa
Possiamo aggiornare questa informativa quando cambiano i nostri servizi o la normativa. La data in alto indica l'ultimo aggiornamento. In caso di modifiche importanti ti avvisiamo [via email / con un avviso sul sito].
Preferisci non compilarla tu?Cookie Confirm scrive la dichiarazione dei cookie in base a ciò che lo scanner trova sul tuo sito, e la aggiorna quando i cookie cambiano.
Domande frequenti
La privacy policy è obbligatoria per un sito web?+
Se il tuo sito raccoglie dati personali, per esempio con un modulo di contatto, una newsletter, gli ordini o gli strumenti di analisi, il GDPR ti obbliga a fornire le informazioni previste dagli articoli 13 e 14. La legge non impone una pagina chiamata "privacy policy", ma un’informativa privacy collegata da ogni pagina è il modo più comune per farlo.
Posso usare un generatore di privacy policy gratis?+
Un generatore o un esempio come quello di questa pagina sono un buon punto di partenza, a patto di controllare ogni frase rispetto a ciò che il tuo sito fa davvero: quali dati, quali strumenti, quali destinatari e per quanto tempo li conservi. Un testo generico che non corrisponde alla realtà non è un’informativa trasparente, anche se è gratis.
Privacy policy e informativa privacy sono la stessa cosa?+
Sì. Il GDPR e il Garante parlano di "informativa"; "privacy policy" è il termine inglese che molti siti usano per la stessa pagina. Conta il contenuto, non il nome.
Posso unire privacy policy e cookie policy?+
Sì. Alcuni siti mettono tutto in un unico documento, altri tengono due pagine collegate tra loro. L’importante è che le informazioni siano complete e facili da trovare e che il banner cookie vi rimandi.
Serve il consenso per pubblicare la privacy policy?+
No. L’informativa serve a informare, non a raccogliere un consenso. Non chiedere di "accettare la privacy policy" con una casella: il consenso serve solo per i trattamenti che si basano sul consenso, come la newsletter o i cookie di marketing, e va chiesto a parte.
Ogni quanto devo aggiornare la privacy policy?+
Ogni volta che cambia il trattamento: un nuovo strumento, un nuovo fornitore, una nuova finalità o un trasferimento fuori dall’Europa. Indica in alto la data dell’ultimo aggiornamento e informa attivamente i visitatori dei cambiamenti importanti.
Questa guida è un’informazione generale e non una consulenza legale. La verifichiamo regolarmente, ma leggi e linee guida cambiano. Hai dubbi sulla tua situazione? Chiedi a un legale.
