Privacy policy del sito web e cookie banner: cosa serve davvero

Sul sito della tua attività ci sono due cose che spesso si confondono: l'informativa privacy, la cosiddetta privacy policy, e il banner dei cookie, il riquadro che compare alla prima visita. Hanno scopi diversi e servono in casi diversi. Qui trovi i principi generali, utili per capire cosa chiedere a chi segue il tuo sito; per il testo adatto alla tua attività e per i casi particolari, la persona giusta è un consulente privacy.

Due strumenti, due scopi

Prima di tutto, l'inventario

Nessun documento è giusto se non descrive il tuo sito com'è davvero. Prima di scrivere o generare qualcosa, fai con chi gestisce il sito l'elenco di ciò che raccoglie dati o installa cookie:

• il modulo di contatto e gli eventuali moduli di prenotazione o di iscrizione;
• gli strumenti di statistica sulle visite, come Google Analytics;
• i contenuti incorporati da altri servizi: una mappa di Google, un video, i post di un social;
• i codici pubblicitari o di tracciamento dei social, se fai campagne;
• i servizi esterni collegati, come un sistema di prenotazione o un servizio antispam.

Questo elenco è la base sia per l'informativa sia per capire se serve il banner.

L'informativa privacy: chi, perché, per quanto

Il GDPR, il regolamento europeo sulla protezione dei dati (UE 2016/679), chiede di informare le persone che ti lasciano i loro dati, per esempio compilando un modulo o scrivendoti un'email. La privacy policy del sito web serve a questo e deve rispondere, tra l'altro, a tre domande:

1. Chi tratta i dati: la tua attività, con nome e contatti.
2. Perché: per rispondere a una richiesta, gestire una prenotazione, emettere una fattura. Ogni scopo va indicato.
3. Per quanto tempo: quanto conservi quei dati, o con quale criterio decidi quando cancellarli.

Deve descrivere quello che fai davvero: se c'è scritto che non usi statistiche e poi sul sito ci sono, il documento non corrisponde alla realtà, ed è questo che conta. Scrivila in un italiano che un cliente possa capire, e collegala dal piè di pagina e da ogni modulo.

Cookie tecnici e cookie che chiedono il consenso

I cookie sono piccoli file che il sito salva nel browser di chi lo visita. Non sono tutti uguali:

• Cookie tecnici: servono a far funzionare il sito, per esempio a ricordare la lingua scelta o i prodotti nel carrello. Non richiedono il consenso.
• Cookie di profilazione: servono a seguire il comportamento delle persone, spesso per mostrare pubblicità mirata. Richiedono il consenso.
• Cookie di analisi: servono alle statistiche sulle visite. A seconda di come sono configurati possono richiedere il consenso oppure no: è uno dei punti da far verificare. Sulle statistiche c'è anche la guida a Google Analytics 4.

Attenzione ai contenuti incorporati: una mappa o un video presi da altri servizi possono installare cookie di terze parti, come spiega anche la guida sulla mappa di Google sul sito. Se il sito usa solo cookie tecnici, di solito il banner per il consenso non serve: ma bisogna esserne sicuri, non supporlo.

Il banner fatto bene

Quando serve, il banner deve lasciare una scelta vera. Le linee guida del Garante per la protezione dei dati personali del 2021 chiedono che rifiutare sia facile. In pratica:

• chi chiude il banner con la X rifiuta i cookie che richiedono il consenso, e il sito deve rispettare questa scelta;
• continuare a scorrere la pagina non vale come consenso;
• i cookie che richiedono il consenso partono solo dopo che la persona ha accettato.

Un banner con il solo pulsante "Accetta", o che nasconde il rifiuto dietro tre clic, va nella direzione opposta.

Generatori automatici: comodi, ma da leggere

Esistono servizi che generano informativa e banner in pochi minuti, a volte analizzando il sito da soli. Possono essere un punto di partenza, ma vanno letti riga per riga e adattati: controlla che i dati del titolare siano giusti, che gli scopi indicati siano quelli reali, che i servizi elencati siano quelli che usi e che il banner blocchi davvero i cookie finché la persona non sceglie.

Chi ne risponde, e quando chiedere aiuto

Della privacy del sito risponde il titolare, cioè la tua attività, anche se il sito l'ha fatto un'agenzia e i testi li ha generati un servizio online. Chi gestisce il sito può occuparsi della parte tecnica, come installare il banner o bloccare i cookie prima del consenso; il contenuto dei documenti resta una tua responsabilità.

Il sito, poi, è solo un pezzo del quadro. L'adeguamento al GDPR, sito web compreso, riguarda tutti i dati personali che la tua attività tratta, anche fuori da internet: clienti, fornitori, collaboratori, archivi su carta. È un lavoro da impostare con un consulente, non solo con chi gestisce il sito.

Per un sito vetrina semplice, questi principi aiutano a fare le domande giuste. Nei casi particolari, per esempio se tratti dati sulla salute dei clienti, se usi strumenti pubblicitari, se vendi online o se raccogli iscrizioni a una newsletter, fatti seguire da un consulente privacy o da un avvocato esperto della materia.