Privacy policy e cookie banner sul sito: cosa serve a una piccola impresa in Italia
GDPR e sito web: la risposta breve è che servono tre cose. Un'informativa privacy (quella che spesso si chiama privacy policy), un banner per i cookie solo se il sito usa cookie diversi da quelli tecnici, e una riga di spiegazione accanto a ogni modulo. Se i cookie sono soltanto tecnici il banner non serve, l'informativa sì. Il fac simile scaricato da internet non basta: racconta un sito generico, mentre il tuo ha strumenti, moduli e destinatari precisi. Qui sotto trovi la differenza tra i tipi di cookie, cosa deve dire l'informativa e come controllare il tuo sito in mezz'ora. Non è una consulenza legale: dove serve un parere, ti diciamo di chiederlo a un consulente.
Le tre cose, una per una
| Cosa | Quando serve | Che compito ha |
|---|---|---|
| Informativa privacy | Quando il sito raccoglie dati: un modulo, un numero di telefono, un contatore di visite | Dice chi sei, perché raccogli i dati e a chi arrivano |
| Banner cookie | Solo se ci sono cookie o strumenti di tracciamento non tecnici | Fa scegliere prima che parta qualcosa |
| Nota accanto al modulo | Su ogni modulo | Spiega in una riga a cosa serve il contatto e rimanda all'informativa |
Sul modulo del nostro sito, sotto il pulsante, c'è una riga sola: «Usiamo il tuo contatto solo per rispondere alla tua richiesta. Maggiori informazioni nell'informativa sulla privacy.» Basta questo. Il dettaglio sta nell'informativa, non sotto il pulsante.
Il punto fermo è l'articolo 13 del GDPR: le informazioni vanno date nel momento in cui i dati vengono raccolti e comprendono, tra l'altro, l'identità e i dati di contatto del titolare, le finalità del trattamento con la sua base giuridica e gli eventuali destinatari dei dati. Tutta l'informativa si costruisce attorno a queste risposte. Molti siti mettono informativa privacy e cookie policy nella stessa pagina, una «privacy e cookie policy»: conta che le risposte ci siano tutte, non quante pagine sono.
Tecnici, analytics, profilazione: dove cambia la regola
Nelle linee guida del 10 giugno 2021 il Garante divide i cookie in due famiglie: i tecnici e quelli di profilazione. Gli strumenti per le statistiche stanno in mezzo, ed è lì che bisogna guardare con più attenzione.
| Tipo | Cosa fa | Serve il consenso? |
|---|---|---|
| Tecnici | Fanno funzionare il sito o un servizio che l'utente ha chiesto | No, ma vanno descritti nell'informativa |
| Analytics | Contano visite e pagine viste | Dipende: sono equiparati ai tecnici solo a certe condizioni |
| Profilazione | Ricostruiscono le abitudini di chi naviga, tra l'altro per mostrare pubblicità mirata | Sì, prima che vengano installati |
Per i cookie analytics di un servizio esterno il Garante chiede, se vuoi trattarli come tecnici, che producano solo statistiche aggregate riferite a un singolo sito e che non permettano di individuare la persona; di regola ci si arriva mascherando una parte dell'indirizzo IP. Se lo strumento che hai installato non lo fa, non è equiparato ai tecnici. Come è configurato il tuo, chiedilo a chi lo ha messo.
Il cookie banner GDPR ha un compito preciso: decidere cosa parte e cosa no. Sempre secondo le linee guida, al primo accesso sul dispositivo non deve finire nulla di diverso dai cookie tecnici, lo scorrimento della pagina da solo non vale come consenso e chi chiude il banner con la X continua a navigare senza tracciamento. In pratica: se uno script di statistiche o di pubblicità parte appena la pagina si carica e il banner compare sopra, il banner non controlla niente. È il caso più semplice da verificare, ed è il primo punto della lista più sotto.
Perché il fac simile non basta
Scrivere «privacy policy sito web fac simile» nel motore di ricerca è comprensibile: nessuno vuole inventare un documento da zero. Il guaio è che l'informativa non è un modulo da compilare con il nome dell'azienda. È l'elenco delle risposte all'articolo 13 per il tuo sito. Un fac simile le lascia in bianco o, peggio, le riempie con quelle di un altro.
Sul tuo sito le risposte sono concrete. Chi è il titolare: ragione sociale o nome, indirizzo, un contatto che qualcuno legge davvero. A cosa servono i dati del modulo: richiamare chi ha chiesto un preventivo, per esempio. Chi li riceve: il fornitore della posta, WhatsApp se la richiesta arriva lì, il CRM, chi gestisce il sito. Quali cookie ci sono, uno per uno, e chi li imposta. Il testo della privacy policy nasce da questo elenco.
Prendi il nostro lavoro Kruh: il sito di un laboratorio di anelli a Praga, in inglese. Il visitatore sceglie metallo, profilo e pietra su un anello 3D, scrive un'incisione e prenota la prova. Il modulo di prenotazione chiede nome, telefono, e-mail e un commento. Per quei quattro campi l'informativa deve dire chi li riceve, perché e per quanto tempo restano. Un fac simile pensato per un negozio online non sa niente di prenotazioni, e uno copiato da un altro sito si porta dietro il nome dell'azienda sbagliata.
Cosa fare oggi
Per capire cosa fare con il GDPR sul sito web bastano cinque controlli, tutti gratuiti.
- Apri il sito in una finestra anonima. Prima di cliccare qualsiasi cosa, apri gli strumenti per sviluppatori di Chrome (scheda Application, voce Cookies) e annota quali cookie ci sono e a quale dominio appartengono.
- Fai l'elenco di ciò che hai incollato nel sito: statistiche, pixel pubblicitari, mappe, video, chat. Per ognuno scrivi a cosa serve e chi lo gestisce.
- Fai l'elenco dei moduli: quali campi chiedono, dove arriva il messaggio (casella e-mail, WhatsApp, foglio di calcolo, CRM) e chi può leggerlo.
- Confronta tutto con l'informativa che hai oggi: titolare con indirizzo e contatto, finalità, destinatari, cookie descritti uno a uno. Controlla che il link all'informativa sia nel footer di ogni pagina e vicino a ogni modulo.
- Le domande a cui non sai rispondere (base giuridica, tempi di conservazione, dati che escono dall'UE) scrivile e portale a un consulente. Una risposta tirata a indovinare finisce in un documento pubblico con il tuo nome.
L'adeguamento GDPR di un sito è, in fondo, questo: far coincidere quello che il sito fa con quello che l'informativa dice.
Se vuoi, ci pensiamo noi
Se il sito non c'è ancora o va rifatto, lo costruiamo noi: una landing page da €380 in 3–7 giorni, un sito aziendale da €580 in 2–3 settimane, prezzi IVA esclusa. Il prezzo è basso perché specialisti esperti lavorano più in fretta con gli strumenti di IA.
Nel prezzo ci sono il design sul tuo brand, una chiamata prima dell'avvio, i testi (li prepariamo noi e te li mandiamo da controllare), il modulo di richiesta con la conferma per chi visita, la richiesta che ti arriva su WhatsApp, via e-mail, in un foglio di calcolo o nel tuo CRM, il contatore delle visite e i pixel degli account pubblicitari collegati, la base SEO e la pubblicazione sul tuo dominio. Codice, dominio, hosting e accessi sono intestati a te, e le modifiche sono gratuite fino all'accettazione.
Informativa e testo del banner hanno valore legale. Se vuoi che entrino nel lavoro, dillo alla prima chiamata: cosa è incluso, i tempi e il prezzo li scriviamo prima dell'avvio, e il parere legale resta a un consulente. Trovi i dettagli nella pagina su landing page e siti aziendali con IA. Scrivici su WhatsApp o lascia un contatto: rispondiamo entro un'ora in orario di lavoro.
Fonti
- Garante per la protezione dei dati personali, Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021, verificato il 30 ottobre 2026.
- Regolamento (UE) 2016/679 (GDPR), testo italiano, articolo 13, verificato il 30 ottobre 2026.