La privacy policy è fondamentale per qualunque sito web o servizio online che raccolga, anche soltanto in forma minima, dati personali degli utenti. Basta che l’utente compili un modulo di contatto, si iscriva a una newsletter, o crei un account affinché si abbia un trattamento di dati personali in base alla normativa vigente.
Nel sistema delineato dalRegolamento (UE) 2016/679, la privacy policy descrive l’atto (o l’insieme di atti) con cui il titolare del trattamento rende conoscibili agli interessati le modalità con cui i dati vengono raccolti e utilizzati. La funzione è quindi duplice: da un lato, consente all’utente di comprendere come vengono gestite le informazioni che lo riguardano; dall’altro, permette al titolare di dimostrare l’adozione di un assetto documentale coerente con i principi di liceità, correttezza, trasparenza e responsabilizzazione previsti dal GDPR.
Con il presente contributo intendiamo illustrare la struttura comune di unaprivacy policy per un sito web. Verranno esaminati gli elementi che, di regola, sono essenziali e la struttura delle clausole più ricorrenti.
Privacy policy e GDPR
La privacy policy trova il proprio fondamento nel sistema europeo di protezione dei dati personali delineato dal Regolamento (UE) 2016/679, comunemente noto come GDPR. Il documento che viene pubblicato su un sito web o su una piattaforma digitale costituisce, in particolare, lo strumento attraverso il quale il titolare del trattamento adempie agli obblighi informativi previsti dagli articoli 13 e 14 del Regolamento, a seconda che i dati siano raccolti direttamente presso l’interessato oppure acquisiti da fonti diverse.
Tali disposizioni impongono di comunicare agli utenti, in forma accessibile e comprensibile, le informazioni essenziali relative al trattamento dei dati personali.
La privacy policy deve essere letta in stretta connessione con l’articolo 12 del GDPR, che richiede al titolare di fornire le informazioni in modo conciso, trasparente, intelligibile e facilmente accessibile, utilizzando un linguaggio chiaro e semplice.
Nel diritto interno, il quadro europeo si coordina con il d.lgs. 30 giugno 2003, n. 196, ossia il Codice in materia di protezione dei dati personali, come modificato dal d.lgs. 10 agosto 2018, n. 101. Il Codice Privacy integra la disciplina del GDPR, regolando profili specifici dell’ordinamento nazionale e confermando il ruolo del Garante per la protezione dei dati personali quale autorità di controllo.
Il titolare del trattamento nei siti web
La privacy policy individua il titolare del trattamento, ossia del soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Ai sensi dell’articolo 4, n. 7, del GDPR, il titolare può essere una persona fisica, una società, un ente, un’associazione o qualunque altro organismo che decida perché e come i dati degli utenti debbano essere raccolti e utilizzati.
Nel contesto di un sito web, tale ruolo coincide normalmente con il soggetto che gestisce il sito, offre il servizio digitale e stabilisce le modalità operative del trattamento.
La privacy policy deve pertanto indicare in modo chiaro la denominazione del titolare, i suoi dati identificativi e i recapiti attraverso i quali l’interessato può instaurare un contatto diretto. Questa indicazione consente all’utente di sapere a chi rivolgersi per ottenere chiarimenti, esercitare i propri diritti o formulare eventuali richieste relative al trattamento dei dati personali.
Nei casi in cui sia stato nominato un responsabile della protezione dei dati, la privacy policy dovrà riportare anche i dati di contatto del DPO, conformemente a quanto previsto dagli articoli 13 e 14 del GDPR.
Particolare attenzione deve essere riservata ai siti web e alle piattaforme che operano attraverso modelli organizzativi complessi. Si pensi, ad esempio, a marketplace, portali SaaS, piattaforme di prenotazione, servizi online erogati per conto di clienti terzi o sistemi digitali integrati con fornitori esterni. In tali ipotesi, la privacy policy deve chiarire se il gestore del sito agisca come titolare autonomo, come contitolare del trattamento ai sensi dell’articolo 26 del GDPR, oppure come responsabile del trattamento per conto di un altro soggetto, secondo lo schema dell’articolo 28 del Regolamento. Si rinvia al riguardo a un nostroprecedente articolo.
Quali dati personali devono essere descritti nella privacy policy
Il documento deve consentire poi all’utente di comprendere, con sufficiente precisione, quali categorie didati personalivengono raccolte e trattate attraverso il sito web. L’interessato deve poter sapere se il sito raccoglie semplici dati di contatto, informazioni relative alla navigazione, dati di registrazione, dati di pagamento, preferenze espresse durante l’utilizzo del servizio o ulteriori informazioni connesse alle funzionalità offerte.
Nel contesto dei siti web più comuni, la privacy policy dovrà normalmente menzionare i dati identificativi e di contatto conferiti dall’utente mediante moduli online, quali nome, cognome, indirizzo e-mail, numero di telefono o contenuto del messaggio inviato.
A tali informazioni possono aggiungersi i dati di navigazione, come indirizzi IP, identificativi tecnici, log di accesso, dati relativi al browser utilizzato, al dispositivo impiegato e alle pagine consultate. Qualora il sito consenta la creazione di un account personale, sarà necessario descrivere anche i dati collegati alla registrazione, alle credenziali di accesso, alle impostazioni del profilo e alle attività compiute all’interno dell’area riservata.
La privacy policy assume un contenuto ancora più articolato nei casi in cui il sito web integri funzionalità di e-commerce, servizi SaaS, strumenti di pagamento, sistemi di newsletter, aree clienti o piattaforme di caricamento di contenuti. In tali ipotesi, potranno essere trattati dati di fatturazione, indirizzi di spedizione, informazioni contrattuali, dati relativi agli ordini, preferenze commerciali, documenti caricati dall’utente o informazioni riferibili a soggetti terzi.
È essenziale che la privacy policy non utilizzi formule eccessivamente ampie o indeterminate. Dichiarare genericamente che il sito tratta “dati personali dell’utente” non è sufficiente, poiché non consente di comprendere la reale estensione del trattamento. Il documento deve invece descrivere le categorie di dati in modo coerente con le concrete funzionalità del sito, evitando sia omissioni rilevanti sia indicazioni sovrabbondanti non corrispondenti all’attività effettivamente svolta.
Privacy policy e finalità del trattamento: perché il sito web raccoglie dati personali
Nella privacy policy si suole indicare con precisione le finalità per le quali il sito web raccoglie e utilizza i dati personali degli utenti. Questo profilo assume particolare rilievo nel sistema del GDPR, poiché il trattamento dei dati personali è lecito soltanto quando risponde a scopi determinati, espliciti e legittimi.
Il principio di limitazione delle finalità, sancito dall’articolo 5, paragrafo 1, lettera b), del Regolamento, impone al titolare di chiarire sin dall’inizio le ragioni per cui i dati vengono acquisiti e di non utilizzarli successivamente per scopi incompatibili con quelli originariamente comunicati.
In una privacy policy destinata a un sito web, le finalità del trattamento possono variare sensibilmente in base alla natura del servizio offerto. Un sito vetrina potrà trattare dati personali per rispondere alle richieste inviate mediante il modulo di contatto, gestire comunicazioni informative o consentire l’iscrizione a una newsletter.
Un sito di e-commerce dovrà descrivere le finalità connesse alla gestione degli ordini, all’esecuzione dei pagamenti, alla fatturazione, alla spedizione dei prodotti e all’assistenza post-vendita. Una piattaforma digitale più complessa potrà trattare dati per la registrazione degli account, la gestione dell’area riservata, l’erogazione di servizi online, la sicurezza informatica, la prevenzione di abusi e la produzione di statistiche sull’utilizzo del servizio.
La privacy policy deve inoltre distinguere le finalità necessarie al funzionamento del sito da quelle ulteriori, eventuali o facoltative. Le comunicazioni promozionali, la profilazione degli utenti, l’invio di newsletter commerciali o l’utilizzo di strumenti di marketing comportamentale non possono essere confusi con i trattamenti indispensabili all’esecuzione del servizio richiesto. Tali attività richiedono un’autonoma valutazione giuridica e, in molti casi, un consenso libero, specifico e documentabile.
Basi giuridiche nella privacy policy: quando il trattamento dei dati è lecito
Nella privacy policy non può mancare un riferimento alla base giuridica di ciascuna attività di trattamento. Ricordiamo che, nel sistema del GDPR, il trattamento dei dati personali è lecito soltanto se ricorre almeno una delle condizioni previste dall’articolo 6 del Regolamento.
Per un sito web, le basi giuridiche più frequenti sono l’esecuzione di un contratto o di misure precontrattuali, l’adempimento di obblighi di legge, il consenso dell’interessato e il legittimo interesse del titolare. I dati raccolti attraverso un modulo di richiesta informazioni possono essere trattati per rispondere alla domanda dell’utente e, dunque, sulla base di una misura precontrattuale.
I dati relativi a ordini, fatture e pagamenti possono essere conservati per adempiere obblighi fiscali e contabili. L’invio di comunicazioni promozionali, invece, richiede spesso il consenso dell’interessato, salvo specifiche ipotesi in cui possa operare un diverso fondamento giuridico.
La privacy policy deve poi prestare particolare attenzione ai trattamenti fondati sul legittimo interesse. Tale base giuridica può assumere rilievo, ad esempio, per esigenze di sicurezza informatica, prevenzione di abusi, difesa in giudizio o gestione tecnica del sito. Tuttavia, il legittimo interesse non può essere invocato in modo generico, ma richiede una valutazione concreta di bilanciamento tra l’interesse perseguito dal titolare e i diritti e le libertà fondamentali degli interessati.
Modalità del trattamento e tempi di conservazione dei dati
L’informativa privacy spiega anche attraverso quali modalità i dati personali vengono trattati e per quanto tempo vengono conservati. In altre parole, la privacy policy deve rendere immediatamente comprensibile all’utente il modo in cui le informazioni che lo riguardano vengono concretamente amministrate dal titolare.
Nel contesto di un sito web, il trattamento avviene normalmente mediante strumenti elettronici e telematici, attraverso sistemi informatici, database, piattaforme cloud, software gestionali, strumenti di comunicazione digitale e infrastrutture tecniche messe a disposizione da fornitori specializzati.
In alcuni casi, soprattutto quando il sito è collegato a rapporti contrattuali, consulenziali o commerciali, il trattamento può essere integrato anche da attività manuali, come l’archiviazione di documenti, la gestione di pratiche amministrative o la conservazione di corrispondenza con l’utente.
Una privacy policy conforme dovrebbe inoltre chiarire che il titolare adotta misure tecniche e organizzative adeguate al rischio, ai sensi dell’articolo 32 del GDPR. Senza entrare necessariamente in dettagli tecnici che potrebbero compromettere la sicurezza del sistema, il documento può richiamare, ove pertinenti, l’utilizzo di protocolli sicuri, credenziali di accesso, sistemi di autenticazione, procedure di backup, limitazioni degli accessi interni e misure volte a prevenire perdita, alterazione, divulgazione non autorizzata o accesso illecito ai dati personali.
Particolare attenzione deve essere dedicata ai tempi di conservazione. La privacy policy dovrebbe indicare, ove possibile, il periodo per il quale i dati saranno conservati oppure i criteri utilizzati per determinarlo. Ad esempio: i dati raccolti per rispondere a una richiesta di contatto potranno essere conservati per il tempo necessario alla gestione della comunicazione; i dati contrattuali e fiscali potranno essere mantenuti per i termini previsti dalla normativa civilistica e tributaria; idati trattati per finalità di marketingdovranno essere conservati per un periodo coerente con il consenso prestato e con le indicazioni dell’autorità di controllo.
Fornitori, responsabili del trattamento e trasferimenti extra UE
Nella privacy policy figura poi un riferimento chiaro alla comunicazione a soggetti terzi dei dati trattati. Nella prassi digitale, infatti, raramente un sito opera in modo del tutto isolato: ci sono gli hosting provider, le piattaforme di pagamento, i servizi di newsletter, gli strumenti di analytics, etc.
La privacy policy dovrebbe quindi precisare almeno le categorie di destinatari dei dati personali, distinguendo tra soggetti che agiscono per conto del titolare e soggetti che trattano i dati in autonomia.
I primi devono essere normalmente qualificati come responsabili del trattamento ai sensi dell’articolo 28 del GDPR, poiché effettuano attività di trattamento sulla base delle istruzioni ricevute dal titolare. È il caso, ad esempio, del fornitore che ospita il sito su propri server, del gestore tecnico che cura la manutenzione della piattaforma o del servizio di invio newsletter utilizzato per comunicazioni richieste dall’utente.
Diversa è la posizione dei soggetti che determinano autonomamente finalità e mezzi del trattamento, come talune piattaforme di pagamento, marketplace esterni o servizi digitali che operano secondo proprie condizioni privacy.
Particolare rilievo assume il tema dei trasferimenti di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo. Se il sito web utilizza fornitori o infrastrutture che comportano un trasferimento extra UE, la privacy policy deve darne conto e indicare le garanzie adottate ai sensi del Capo V del GDPR, quali decisioni di adeguatezza della Commissione europea, clausole contrattuali standard o altri strumenti previsti dal Regolamento.
Dove pubblicare la privacy policy e come renderla accessibile sul sito web?
Laprivacy policydovrebbe essere consultabile in ogni momento, mediante un collegamento stabile inserito nel footer di tutte le pagine. Tale accorgimento consente all’utente di accedere agevolmente al documento anche dopo la prima navigazione, senza dover ricercare informazioni disperse in sezioni non immediatamente riconoscibili.
Tuttavia, la sola presenza del link nel footer potrebbe non essere sufficiente quando il sito raccoglie dati personali mediante specifiche funzionalità interattive.
La privacy policy dovrebbe infatti essere richiamata nei punti in cui l’utente conferisce concretamente i propri dati: moduli di contatto, form di richiesta preventivo, iscrizione alla newsletter, creazione di account, procedure di checkout, aree riservate e sistemi di prenotazione online.
In tali contesti, il rinvio al documento deve essere collocato prima dell’invio dei dati, affinché l’interessato possa prendere conoscenza delle informazioni rilevanti prima che il trattamento abbia inizio.
Particolare attenzione deve essere riservata ai trattamenti che richiedono il consenso, come l’invio di comunicazioni promozionali o l’utilizzo di strumenti di profilazione. In questi casi, la privacy policy deve essere coordinata con meccanismi di consenso chiari, separati e documentabili, evitando caselle preselezionate o formule cumulative che non consentano all’utente di esprimere una scelta libera e specifica. Allo stesso modo, quando il sito utilizza cookie o tecnologie analoghe, la privacy policy dovrà dialogare coerentemente con la cookie policy e con il sistema di gestione delle preferenze.
Assistenza legale nell’elaborazione della documentazione privacy
Il nostro Studio assiste imprese, start-up e gestori di piattaforme digitali nella predisposizione della documentazione privacy e nella costruzione di assetti conformi al GDPR. L’attività di consulenza in materia di data protection & privacy comprende la redazione di privacy policy, informative, cookie policy, accordi con fornitori, nomine a responsabile del trattamento e documenti interni necessari per assicurare la conformità al GDPR.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.