Privacy policy, cookie policy e note legali: cosa serve davvero sul tuo sito web
Quali documenti sono obbligatori, cosa devono contenere, quando servono e quando no. Senza allarmismi, senza generatori automatici, senza fuffa.
La confusione
Ogni volta che qualcuno apre un sito web in Italia, parte il panico: mi serve la privacy policy? La cookie policy è obbligatoria? Devo mettere le note legali? Il banner dei cookie? E se non lo faccio, mi multano?
La risposta onesta è: dipende. Dipende da cosa fa il tuo sito, da chi sei, da quali dati raccogli e da quali servizi usi. Non esiste un set unico di documenti obbligatorio per tutti. E la maggior parte dei generatori automatici mette gli stessi documenti su tutti i siti, indipendentemente dal contesto — il che è spesso sbagliato, oltre che inutile.
Questa guida ti dice esattamente cosa serve, cosa no, e perché. Senza paternalismi e senza venderti niente.
Il quadro in sintesi
| Documento | Obbligatorio? | Quando | Norma |
|---|---|---|---|
| Privacy Policy | Sì | Sempre, se raccogli qualsiasi dato personale (anche solo un form di contatto) | GDPR, art. 13 |
| Cookie Policy | Sì | Sempre, anche se usi solo cookie tecnici | D.Lgs. 196/2003, art. 122; Linee guida Garante 2021 |
| Banner cookie | Dipende | Solo se usi cookie di profilazione o di terze parti non tecnici | Linee guida Garante 10/06/2021 |
| Partita IVA | Sì | In homepage, se il sito è collegato a un’attività con P.IVA | DPR 633/72, art. 35 |
| Dati identificativi | Sì | Se il sito è collegato a un’attività economica | D.Lgs. 70/2003, art. 7 |
| Note legali (pagina) | No | Non esiste un obbligo specifico. I dati possono stare nel footer o in altra pagina. | — |
| Termini e condizioni | Dipende | Obbligatorio per e-commerce e SaaS. Consigliato per servizi. | D.Lgs. 70/2003; Codice del Consumo |
1. Privacy Policy
Quando è obbligatoria
Sempre, se il tuo sito raccoglie qualsiasi dato personale. E per “dato personale” il GDPR intende qualsiasi informazione che possa identificare una persona, direttamente o indirettamente. Questo include: nome, email, indirizzo IP, cookie di sessione, dati di navigazione raccolti da analytics.
Nella pratica, qualsiasi sito che abbia almeno un form di contatto, un sistema di commenti, analytics, o anche solo un hosting che registra log di accesso, raccoglie dati personali e necessita di una privacy policy.
Cosa deve contenere
L’art. 13 del GDPR elenca le informazioni obbligatorie. Non sono negoziabili:
- Identità del titolare del trattamento — chi sei, come contattarti
- DPO — se ne hai uno (obbligatorio per PA, non per siti personali)
- Categorie di dati raccolti — cosa raccogli esattamente
- Finalità del trattamento — perché raccogli quei dati
- Base giuridica — su quale fondamento legale (consenso, contratto, interesse legittimo, obbligo di legge)
- Destinatari — a chi comunichi i dati (hosting, analytics, servizi terzi)
- Trasferimento extra-UE — se i dati vanno fuori dall’Europa, con quali garanzie
- Periodo di conservazione — per quanto tempo tieni i dati
- Diritti dell’interessato — accesso, rettifica, cancellazione, portabilità, opposizione, reclamo al Garante
Usare una privacy policy generata automaticamente senza personalizzarla. Il risultato è un documento che elenca servizi che non usi (es. “Facebook Pixel”) e ne omette altri che usi (es. il tuo provider di hosting). Una privacy policy inaccurata è peggio di una assente — perché dimostra negligenza, non ignoranza.
Dove metterla
Link nel footer, accessibile da tutte le pagine del sito. Deve essere raggiungibile in massimo un click.
2. Cookie Policy
Quando è obbligatoria
Sempre. Anche se il tuo sito usa solo cookie tecnici. Le linee guida del Garante del 10 giugno 2021 prevedono che l’informativa sui cookie sia sempre presente, indipendentemente dal tipo di cookie utilizzati.
La cookie policy può essere una pagina separata o una sezione della privacy policy. Non c’è obbligo di separarla — l’importante è che sia presente e raggiungibile.
Cosa deve contenere
- Elenco dei cookie utilizzati (nome, finalità, durata, prima/terza parte)
- Distinzione tra cookie tecnici e cookie di profilazione
- Descrizione di cosa fa ciascun cookie
- Indicazione di come l’utente può gestire o rifiutare i cookie
- Link alle informative privacy dei servizi terzi che installano cookie
Banner cookie: quando serve
Il banner è obbligatorio solo se il sito usa cookie di profilazione o cookie di terze parti non tecnici (es. Google Analytics, Facebook Pixel, strumenti di advertising). In tal caso il banner deve:
- Comparire al primo accesso
- Avere pulsanti “Accetta” e “Rifiuta” con la stessa evidenza visiva
- Offrire la possibilità di scelte granulari (categoria per categoria)
- Bloccare i cookie non tecnici fino al consenso esplicito
- Permettere la revoca del consenso in qualsiasi momento (link nel footer)
Se il tuo sito usa solo cookie tecnici (sessione, autenticazione, preferenze), non hai bisogno del banner con “Accetta/Rifiuta”. Puoi semplicemente informare l’utente con un avviso discreto che il sito usa cookie tecnici, con link alla cookie policy. Nessun consenso richiesto.
La trappola di Google Analytics
Google Analytics installa cookie di profilazione. Anche nella versione GA4, anche con anonimizzazione IP. Se lo usi, ti servono: banner con consenso esplicito, blocco preventivo dello script fino al consenso, cookie policy che lo documenta, e possibilmente Google Consent Mode v2.
L’alternativa: non usare analytics di terze parti. Esistono soluzioni server-side, interne, che non richiedono cookie e non trasferiscono dati a terzi. E non richiedono banner.
3. Note legali e dati identificativi
La partita IVA in homepage
L’unico obbligo veramente inderogabile: se il sito è collegato a un’attività con partita IVA (anche solo un blog professionale), il numero di P.IVA deve comparire nella homepage. La norma di riferimento è l’art. 35, comma 1, del DPR 633/1972. La sanzione per la violazione è da 258 a 2.065 euro.
La soluzione più pratica: mettila nel footer, così compare in tutte le pagine.
Dati identificativi (art. 7, D.Lgs. 70/2003)
Se il sito è collegato a un’attività economica (“servizio della società dell’informazione”), il D.Lgs. 70/2003 richiede che siano facilmente accessibili:
| Tipo di soggetto | Dati obbligatori |
|---|---|
| Ditta individuale | Nome, domicilio, email, P.IVA, REA (se iscritto) |
| Professionista iscritto a un albo | Come sopra + ordine professionale, numero iscrizione, titolo professionale |
| SRL / SPA | Ragione sociale, forma giuridica, sede legale, P.IVA, C.F., REA, registro imprese, capitale sociale (e versato), eventuale stato di liquidazione, socio unico |
| E-commerce | Tutto quanto sopra + prezzi chiari (con/senza IVA), condizioni di vendita, fasi del contratto, diritto di recesso |
Serve una pagina “Note legali”?
No. Non esiste un obbligo normativo di avere una pagina separata chiamata “Note legali”. L’obbligo è che le informazioni siano facilmente accessibili. Puoi metterle nel footer, nella pagina contatti, nella privacy policy, o in una pagina dedicata a tua scelta. L’importante è che ci siano e che si trovino facilmente.
4. Termini e condizioni di servizio
Quando servono
I termini e condizioni sono obbligatori per:
- E-commerce — il Codice del Consumo (D.Lgs. 206/2005) e il D.Lgs. 70/2003 impongono condizioni generali di vendita accessibili prima dell’acquisto
- SaaS e servizi a pagamento — qualsiasi piattaforma che offra un servizio (gratuito o a pagamento) dovrebbe avere termini che regolino il rapporto con l’utente
Per un sito vetrina, un blog o un portfolio, i termini e condizioni non sono obbligatori. Sono una buona pratica, ma non un obbligo di legge.
Cosa devono contenere (per e-commerce/SaaS)
- Identità del venditore/fornitore
- Descrizione del servizio/prodotto
- Prezzi (con o senza IVA, specificare)
- Modalità di pagamento
- Tempi e modalità di consegna (per beni fisici)
- Diritto di recesso (14 giorni per consumatori)
- Garanzia legale
- Limitazione di responsabilità
- Legge applicabile e foro competente
- Procedura di reclamo e risoluzione alternativa delle controversie (ODR)
5. Cosa serve a te: gli scenari
Blog personale senza P.IVA
Privacy policy (se hai un form, commenti, o analytics). Cookie policy (anche solo come sezione della privacy policy). Nessun obbligo di dati identificativi oltre a un contatto email.
Sito vetrina / portfolio con P.IVA
Privacy policy. Cookie policy. P.IVA nel footer. Dati identificativi accessibili (nome, domicilio, email, REA se iscritto). Nessun obbligo di termini e condizioni.
Professionista iscritto a un albo
Come lo scenario B, più: ordine professionale, numero iscrizione, titolo professionale, stato membro in cui è stato rilasciato.
SRL / SPA
Come lo scenario B, più: ragione sociale, forma giuridica, sede legale, C.F., registro imprese, REA, capitale sociale, stato di liquidazione, socio unico se applicabile.
E-commerce
Tutto dello scenario D (o B/C a seconda della forma giuridica), più: termini e condizioni di vendita obbligatori, informativa su diritto di recesso, garanzia legale, modalità di pagamento, consegna, reclami. Link ODR obbligatorio.
SaaS / piattaforma
Come lo scenario B/D a seconda della forma giuridica, più: termini e condizioni di servizio (durata, recesso, SLA, responsabilità), eventuale contratto di trattamento dati (art. 28 GDPR) se tratti dati per conto dei clienti.
6. Gli errori più comuni
Usare un generatore automatico senza leggere il risultato
I generatori producono documenti generici che elencano servizi che non usi e omettono quelli che usi. Una privacy policy che menziona “Facebook Pixel” quando non l’hai mai installato è un documento falso.
Mettere il banner cookie quando non serve
Se usi solo cookie tecnici, il banner con “Accetta/Rifiuta” non è obbligatorio. Metterlo crea una falsa impressione di profilazione e infastidisce l’utente senza motivo.
Dimenticare la P.IVA in homepage
Sanzione da 258 a 2.065 euro. È l’obbligo più semplice da rispettare e il più sanzionato.
Copiare la privacy policy di un altro sito
Ogni sito raccoglie dati diversi, usa servizi diversi, ha basi giuridiche diverse. Una privacy policy copiata è per definizione inaccurata. E dimostra all’autorità che non hai fatto nessuna analisi dei tuoi trattamenti.
Usare Google Analytics senza consenso
GA4 installa cookie di profilazione. Senza banner, senza blocco preventivo, senza Consent Mode, stai violando sia il GDPR che le linee guida del Garante. L’alternativa: analytics server-side senza cookie.
Non aggiornare mai i documenti
Una privacy policy del 2018 che parla ancora di “G Suite” o di “Privacy Shield” è un documento obsoleto. I documenti legali vanno rivisti almeno una volta all’anno.
7. Come scrivere documenti che funzionano
Non serve un avvocato per scrivere una privacy policy per un blog. Serve capire cosa fai con i dati e scriverlo in modo chiaro. Ecco il metodo:
- Fai l’inventario. Elenca tutti i punti in cui il tuo sito raccoglie o trasmette dati: form, commenti, analytics, hosting, CDN, font esterni, embed di terze parti (YouTube, Google Maps, social button). Se non sai cosa fa il tuo sito, non puoi scrivere un’informativa accurata.
- Per ogni dato, rispondi a 4 domande. Cosa raccogli? Perché? Per quanto tempo? A chi lo comunichi?
- Scrivi in italiano chiaro. Il GDPR richiede esplicitamente che l’informativa sia comprensibile. “Il trattamento dei dati si basa sull’articolo 6, paragrafo 1, lettera f) del Regolamento” è corretto ma inutile per l’utente. Scrivi anche: “Raccogliamo questi dati perché abbiamo un interesse legittimo a far funzionare il sito.”
- Non mentire. Non scrivere “non condividiamo dati con terzi” se usi Google Fonts, Cloudflare, o qualsiasi servizio esterno. La verità è il requisito minimo.
- Aggiorna. Ogni volta che aggiungi un servizio, cambi hosting, o modifichi un form, aggiorna i documenti. Metti la data dell’ultimo aggiornamento in alto.
8. Checklist finale
Verifiche per qualsiasi sito
Riferimenti normativi
| Norma | Ambito |
|---|---|
| GDPR — Reg. UE 2016/679 | Regolamento generale sulla protezione dei dati personali |
| Art. 13 GDPR | Obbligo di informativa al momento della raccolta |
| D.Lgs. 196/2003, art. 122 | Disciplina dei cookie e degli strumenti di tracciamento |
| Linee guida Garante 10/06/2021 | Cookie e altri strumenti di tracciamento — banner, consenso, informativa |
| DPR 633/72, art. 35 | Obbligo di indicazione P.IVA in homepage |
| D.Lgs. 70/2003, art. 7 | Informazioni obbligatorie per i servizi della società dell’informazione |
| D.Lgs. 206/2005 | Codice del Consumo — obblighi per e-commerce |
Questo articolo non costituisce parere legale. Ha l’obiettivo di fornire un quadro informativo chiaro a chi gestisce un sito web in Italia. Per situazioni specifiche (e-commerce con dati sanitari, trattamento di dati di minori, attività regolamentate), rivolgersi a un professionista.