Privacy

La privacy del sito web: le norme da conoscere, domanda per domanda

Testo scritto con l'intelligenza artificiale e controllato in automatico sulle fonti citate · Responsabile della pubblicazione: Chiostro, ciao@chiostro.legal

Pubblicato il 25 ottobre 2026·Aggiornato il 25 ottobre 2026·Lettura: 18 minuti

Quali norme valgono per il sito web

Le fonti principali sono due. La prima è il regolamento (UE) 2016/679, il GDPR, che si applica ai trattamenti di dati personali fatti attraverso il sito, salve le esclusioni dell'art. 2 (per esempio i trattamenti «effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico») e nei limiti dell'ambito territoriale fissato dall'art. 3. La seconda è il d.lgs. 30 giugno 2003, n. 196, il Codice privacy. Per un sito contano in particolare due articoli del Codice: l'art. 122, sulle informazioni archiviate nel dispositivo dell'utente (i cookie e gli strumenti simili), e l'art. 130, sulle «Comunicazioni indesiderate».

L'art. 95 del GDPR regola il rapporto fra il regolamento e la direttiva 2002/58/CE: il regolamento «non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell'Unione», per le materie in cui sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva. EUR-Lex indica il d.lgs. n. 196/2003 come misura nazionale di attuazione della direttiva, e il preambolo del Codice la richiama. L'eccezione dell'art. 122, comma 1, riprende quasi alla lettera quella dell'art. 5, paragrafo 3, della direttiva, e l'art. 130 porta la stessa rubrica dell'art. 13 della direttiva, «Comunicazioni indesiderate». L'art. 95 riguarda il trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico; se il singolo sito vi rientri è un punto da verificare. Per i cookie, secondo le Linee guida del Garante, dove la direttiva rende più specifiche le prescrizioni del Regolamento, essa, «in quanto lex specialis, dovrà essere applicata e prevarrà sulle (più generali) disposizioni del Regolamento». Le stesse Linee guida precisano che «è nella direttiva ePrivacy che, nei casi previsti, si rinviene l'obbligo di acquisizione del consenso all'impiego di cookie e altri strumenti di tracciamento; ma è nel Regolamento che andranno ricercate le specifiche caratteristiche di quel consenso ai fini della sua validità e conformità alla disciplina generale».

Una nota sul testo. Su EUR-Lex, il 25 ottobre 2026, la versione consolidata corrente del GDPR è quella del 4 maggio 2016, che incorpora le rettifiche pubblicate dopo il testo originale; la scheda dell'atto lo segnala come modificato, ma le sole modifiche elencate sono tre rettifiche; non risultano atti di modifica adottati, ma solo proposte. Le citazioni del GDPR in questa pagina vengono da quella versione consolidata. Il Codice privacy è citato nel testo vigente su Normattiva. È lo stesso principio con cui lavora la piattaforma: Chiostro risponde da fonti ufficiali e dice quali, e la pagina della copertura indica quali famiglie di fonti ci sono e quali no.

Che cosa deve dire l'informativa

Quando i dati sono raccolti presso l'utente, per esempio con un modulo, l'art. 13 del GDPR chiede al titolare di fornire le informazioni «nel momento in cui i dati personali sono ottenuti». Il paragrafo 1 elenca sei voci, qui in sintesi:

• l'identità e i dati di contatto del titolare e, ove applicabile, del suo rappresentante (lettera a);
• i dati di contatto del responsabile della protezione dei dati, ove applicabile (lettera b);
• «le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento» (lettera c);
• i legittimi interessi perseguiti, se il trattamento si basa sull'art. 6, paragrafo 1, lettera f) (lettera d);
• gli eventuali destinatari o le eventuali categorie di destinatari (lettera e) e l'eventuale intenzione di trasferire i dati a un paese terzo (lettera f).

Il paragrafo 2 aggiunge, fra l'altro, il periodo di conservazione oppure, se non è possibile, i criteri utilizzati per determinarlo, i diritti dell'interessato, il diritto di revocare il consenso quando il trattamento si basa sul consenso e il diritto di proporre reclamo a un'autorità di controllo. Se i dati non sono raccolti presso l'interessato vale l'art. 14, con un termine diverso: le informazioni vanno date «entro un termine ragionevole dall'ottenimento dei dati personali, ma al più tardi entro un mese» (paragrafo 3, lettera a); le lettere b) e c) indicano anche, per i casi che descrivono, la prima comunicazione all'interessato («al più tardi») e la prima comunicazione dei dati ad altro destinatario («non oltre»).

Sulla forma, l'art. 12, paragrafo 1, chiede che le informazioni siano rese «in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro». Il regolamento non prescrive un modello né il punto del sito in cui pubblicare l'informativa. Come Chiostro informa i propri utenti si legge nell'informativa privacy pubblicata da Chiostro. L'informativa avrà una guida propria in questa serie della domenica.

Su quale base giuridica e quando serve il consenso

Secondo l'art. 6, paragrafo 1, del GDPR il trattamento «è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni». Le condizioni sono sei. Per un sito ricorrono più spesso il consenso (lettera a), l'esecuzione di un contratto o di «misure precontrattuali adottate su richiesta» dell'interessato (lettera b), l'obbligo legale (lettera c) e il legittimo interesse del titolare o di terzi, «a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato» (lettera f), base che non si applica al trattamento effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti. Gli articoli del regolamento non indicano quale base valga per un modulo di contatto o per una newsletter; quanto al marketing diretto, il considerando 47 si limita a dire che il trattamento per tale finalità può essere considerato legittimo interesse. L'art. 13, paragrafo 1, lettera c), chiede di indicare le finalità «nonché la base giuridica del trattamento», e sceglierla è un punto da verificare finalità per finalità. Per due trattamenti tipici di un sito, però, la base la indica il Codice privacy. Archiviare informazioni nel dispositivo dell'utente o accedervi è consentito «unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso» (art. 122, comma 1), salvo gli usi tecnici descritti più avanti. Secondo le Linee guida del Garante non è possibile invocare «la scriminante del legittimo interesse del titolare per giustificare il ricorso a cookie o altri strumenti di tracciamento». Le comunicazioni per posta elettronica con le finalità dell'art. 130, comma 1, richiedono il consenso (commi 1 e 2), salvo l'eccezione del comma 4 descritta più avanti.

Il consenso è definito dall'art. 4, punto 11: «qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento». L'art. 7 aggiunge che il titolare «deve essere in grado di dimostrare» che il consenso è stato prestato (paragrafo 1) e che l'interessato può revocarlo in qualsiasi momento: «Il consenso è revocato con la stessa facilità con cui è accordato» (paragrafo 3).

Cookie e strumenti di tracciamento: che cosa dice l'art. 122

L'art. 122, comma 1, del Codice privacy non usa la parola «cookie». Parla dell'archiviazione di informazioni nell'apparecchio terminale dell'utente e dell'accesso a informazioni già archiviate, e li consente «unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso dopo essere stato informato». Lo stesso comma prevede un'eccezione: «Ciò non vieta l'eventuale archiviazione tecnica o l'accesso alle informazioni già archiviate se finalizzati unicamente ad effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell'informazione esplicitamente richiesto dal contraente o dall'utente a erogare tale servizio.»

Il comma 2 consente di esprimere il consenso con configurazioni di programmi o dispositivi «di facile e chiara utilizzabilità». Il comma 2-bis vieta, «Salvo quanto previsto dal comma 1», l'uso di una rete di comunicazione elettronica per accedere a informazioni archiviate nel dispositivo, per archiviarne o «per monitorare le operazioni dell'utente». L'art. 122 non definisce il consenso. Secondo le Linee guida del Garante sui cookie, il quadro di riferimento comprende il GDPR «per ciò che concerne specificamente la nozione di consenso di cui agli artt. 4, punto 11) e 7 e al considerando 32», e il consenso va chiesto «ai sensi degli artt. 122 del Codice e 4, punto 11) e 7 del Regolamento». Quali strumenti usa il sito di Chiostro è scritto nella pagina sui cookie del sito di Chiostro.

Che cosa aggiungono le Linee guida del Garante sui cookie

Il Garante ha adottato le Linee guida cookie e altri strumenti di tracciamento del 10 giugno 2021 (registro dei provvedimenti n. 231, doc. web n. 9677876, pubblicate nella Gazzetta Ufficiale n. 163 del 9 luglio 2021). Non sono una legge: il Garante le ha adottate «ai sensi dell'art. 154-bis, comma 1, lett. a), del Codice», che gli consente di adottare «linee guida di indirizzo» sulle misure organizzative e tecniche di attuazione dei principi del Regolamento. Fra i punti principali:

• Nessun tracciamento al primo accesso. Secondo le Linee guida, al primo accesso «nessun cookie o altro strumento diverso da quelli tecnici» va posizionato nel dispositivo dell'utente.
• La X per chiudere il banner. Chi non vuole prestare il consenso dovrebbe poter chiudere il banner con il comando contraddistinto da una X, «senza essere costretto ad accedere ad altre aree o pagine a ciò appositamente dedicate».
• Lo scrolling non basta. Secondo il Garante il semplice «scroll down» è «inadatto in sé» alla raccolta del consenso; le Linee guida non escludono che sia una componente di un processo più articolato.
• Il cookie wall. Secondo le Linee guida, il meccanismo «take it or leave it», che obbliga ad accettare per accedere al sito, «è da ritenersi illecito, salva l'ipotesi da verificare caso per caso nella quale il titolare del sito offra all'interessato la possibilità di accedere ad un contenuto o a un servizio equivalenti senza prestare il proprio consenso».
• Il banner non va riproposto a ogni visita. Secondo le Linee guida, la scelta dell'utente va registrata e il consenso non va chiesto di nuovo salvo tre casi, fra cui «quando siano trascorsi almeno 6 mesi dalla precedente presentazione del banner».
• Gli analytics. Secondo le Linee guida, quando gli analytics sono usati da terze parti servono misure di minimizzazione: per equipararli ai tecnici è «indispensabile precludere la possibilità che si pervenga, mediante il loro utilizzo, alla diretta individuazione dell'interessato (cd. single out)»; il loro uso va limitato «unicamente alla produzione di statistiche aggregate» e, di regola, a «un singolo sito o una sola applicazione mobile». Fra le misure per beneficiare dell'esenzione le Linee guida indicano, per gli indirizzi IPv4, il «mascheramento almeno della quarta componente dell'indirizzo»; per gli indirizzi IPv6 indicano che dovrebbero essere adottate procedure analoghe; i terzi che forniscono il servizio non devono combinare i dati con altre elaborazioni né trasmetterli ad altri terzi, salvo che le statistiche, fatte con i dati minimizzati, riguardino «più domini, siti web o app riconducibili al medesimo publisher o gruppo imprenditoriale». Le Linee guida ritengono «possibile reputare lecito», anche senza minimizzazione, il ricorso ad analisi statistiche su più domini, siti web o app del medesimo titolare, «purché questi proceda in proprio all'elaborazione statistica» e senza che diventino un'elaborazione volta a decisioni di natura commerciale.

Cookie, banner e strumenti di analisi avranno guide proprie in questa serie.

Moduli di contatto e newsletter

Un modulo di contatto raccoglie dati presso l'interessato: vale quindi l'informativa dell'art. 13, resa al momento della raccolta, con la finalità e la base giuridica, salvo che, e nella misura in cui, l'interessato disponga già delle informazioni (art. 13, paragrafo 4).

Per le comunicazioni commerciali vale l'art. 130 del Codice privacy. Il comma 1 consente «con il consenso del contraente o utente» l'uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario, di vendita diretta, per ricerche di mercato o di comunicazione commerciale; il comma 2 estende la regola alle comunicazioni «mediante posta elettronica, telefax, messaggi del tipo Mms (Multimedia Messaging Service) o Sms (Short Message Service) o di altro tipo». Il comma 4 prevede un'eccezione: chi usa, «a fini di vendita diretta di propri prodotti o servizi», le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio «può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso». In questo caso l'interessato va informato, al momento della raccolta e a ogni invio effettuato per queste finalità, della possibilità di opporsi «in ogni momento al trattamento, in maniera agevole e gratuitamente».

Il comma 5 vieta in ogni caso, fra l'altro, gli invii per le finalità del comma 1 «o, comunque, a scopo promozionale» che camuffano o celano l'identità del mittente o che non forniscono «un idoneo recapito» per esercitare i diritti degli artt. 15-22 del GDPR. Se una newsletter rientri fra le finalità dell'art. 130 dipende dal suo contenuto, ed è un punto da verificare. Per il marketing diretto vale anche l'art. 21 del GDPR: l'interessato può opporsi «in qualsiasi momento» (paragrafo 2) e, se lo fa, i dati «non sono più oggetto di trattamento per tali finalità» (paragrafo 3). Newsletter e soft spam avranno una guida propria.

I fornitori del sito: quando sono responsabili del trattamento

Hosting, piattaforme di invio email, servizi di analisi e di modulistica possono trattare dati per conto del titolare. Per questi casi l'art. 28, paragrafo 1, del GDPR dispone che il titolare ricorra «unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate». Il paragrafo 3 chiede che il rapporto sia disciplinato «da un contratto o da altro atto giuridico», con il contenuto minimo che lo stesso paragrafo elenca: fra l'altro, il trattamento dei dati «soltanto su istruzione documentata del titolare del trattamento». Il paragrafo 2 vieta al responsabile di ricorrere a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare; con l'autorizzazione generale il responsabile informa il titolare delle modifiche previste, dandogli l'opportunità di opporsi.

Se un fornitore tratti i dati «per conto» del titolare, li tratti per finalità proprie o ne determini finalità e mezzi insieme al titolare (contitolarità, art. 26), il regolamento non lo dice per categorie di servizi: è un punto da verificare fornitore per fornitore, sul contratto e sul servizio reso.

Trasferimenti fuori dall'Unione e verso gli Stati Uniti

Quando uno strumento usato dal sito comporta un trasferimento di dati personali verso un paese terzo, si applica il capo V del GDPR, sui «Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali». L'art. 44 del GDPR ammette il trasferimento verso un paese terzo «soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo». La prima condizione è una decisione di adeguatezza della Commissione (art. 45): «In tal caso il trasferimento non necessita di autorizzazioni specifiche.» In mancanza, secondo l'art. 46, paragrafo 1, il titolare o il responsabile del trattamento può trasferire i dati verso un paese terzo «solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi»; fra le garanzie, il paragrafo 2, lettera c), indica le clausole tipo di protezione dei dati adottate dalla Commissione.

Per gli Stati Uniti c'è la decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023, sul quadro UE-USA per la protezione dei dati personali. Il 25 ottobre 2026 EUR-Lex la indica in vigore, senza data di fine validità. L'adeguatezza non copre ogni destinatario statunitense: l'art. 1 la riferisce ai dati trasferiti «alle organizzazioni presenti negli Stati Uniti che figurano nell'elenco degli aderenti al quadro per la protezione dei dati personali, tenuto e pubblicato dal Dipartimento del Commercio degli Stati Uniti». Se un fornitore sia nell'elenco va controllato sull'elenco stesso. L'art. 13, paragrafo 1, lettera f), chiede di indicare nell'informativa, ove applicabile, l'intenzione di trasferire i dati e l'esistenza o l'assenza di una decisione di adeguatezza o, per i trasferimenti degli artt. 46, 47 o 49, paragrafo 1, secondo comma, il riferimento alle garanzie e i mezzi per ottenerne una copia o il luogo dove sono state rese disponibili.

I diritti degli utenti: entro quando rispondere

Gli artt. 15-22 del GDPR prevedono il diritto di accesso (art. 15), di rettifica (art. 16), alla cancellazione (art. 17), di limitazione (art. 18), alla portabilità (art. 20), di opposizione (art. 21) e le regole sul processo decisionale automatizzato (art. 22). L'art. 19 riguarda la notifica di rettifiche, cancellazioni e limitazioni.

Il termine è nell'art. 12, paragrafo 3: il titolare risponde «senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa». Il regolamento parla di un mese, non di un numero di giorni. «Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste»; della proroga, e dei motivi, l'interessato va informato entro un mese dal ricevimento della richiesta. Se il titolare non dà seguito alla richiesta, deve dire senza ritardo, e al più tardi entro un mese, perché, e ricordare la possibilità di proporre reclamo e ricorso giurisdizionale (paragrafo 4). Le risposte sono gratuite, salvo che per le ulteriori copie dei dati chieste con il diritto di accesso, per le quali il titolare può addebitare un contributo spese ragionevole basato sui costi amministrativi (art. 15, paragrafo 3); se le richieste sono «manifestamente infondate o eccessive», in particolare per il loro carattere ripetitivo, il titolare può addebitare un contributo spese ragionevole o rifiutare di soddisfarle, e spetta a lui dimostrarne il carattere manifestamente infondato o eccessivo (paragrafo 5). Diritti e termini avranno una guida propria in questa serie.

La sicurezza del sito: l'art. 32

L'art. 32, paragrafo 1, chiede a titolare e responsabile misure tecniche e organizzative «per garantire un livello di sicurezza adeguato al rischio», tenendo conto dello stato dell'arte, dei costi di attuazione e della natura, dell'oggetto, del contesto e delle finalità del trattamento, «come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche». Fra le misure indicate «se del caso» ci sono «la pseudonimizzazione e la cifratura dei dati personali» e una procedura per testare regolarmente l'efficacia delle misure. La norma non elenca misure obbligatorie per ogni sito: quali siano adeguate dipende dal rischio, ed è un punto da verificare sul singolo trattamento. Dove Chiostro archivia i file degli studi, e quali certificazioni ha l'infrastruttura su cui gira, è scritto nella sezione Sicurezza della home page di Chiostro.

Sanzioni e chi controlla

L'autorità di controllo italiana è il Garante per la protezione dei dati personali: lo dice l'art. 2-bis del Codice privacy. L'art. 77 del GDPR riconosce all'interessato il diritto di proporre reclamo a un'autorità di controllo.

Le sanzioni amministrative pecuniarie sono nell'art. 83 del GDPR, in due fasce:

• fino a 10 000 000 EUR o, per le imprese, fino al 2 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore (paragrafo 4): vi rientrano, fra l'altro, gli obblighi degli artt. da 25 a 39, quindi anche gli artt. 28 e 32;
• fino a 20 000 000 EUR o, per le imprese, fino al 4 % (paragrafo 5): vi rientrano, fra l'altro, i principi di base e le condizioni del consenso (artt. 5, 6, 7 e 9), i diritti degli interessati (artt. da 12 a 22) e i trasferimenti verso paesi terzi (artt. da 44 a 49).

Per i cookie e le comunicazioni commerciali la regola sulle sanzioni amministrative è nell'art. 166 del Codice privacy: il comma 2 assoggetta alla sanzione dell'art. 83, paragrafo 5, del GDPR anche le violazioni dell'art. 122 e dell'art. 130, «commi da 1 a 5». Il comma 3 indica il Garante come organo competente a irrogare le sanzioni e ad adottare i provvedimenti correttivi.

Che cosa questo articolo non dice

• Non tratta le deroghe dell'art. 49 del GDPR per i trasferimenti, né le norme vincolanti d'impresa.
• Non esamina i procedimenti giudiziari collegati alla decisione (UE) 2023/1795 che EUR-Lex elenca nella scheda dell'atto, né altra giurisprudenza.
• Non tratta il registro delle attività di trattamento (art. 30), la notifica e la comunicazione delle violazioni dei dati personali (artt. 33 e 34), la valutazione d'impatto e la consultazione preventiva (artt. 35 e 36) e il responsabile della protezione dei dati (artt. 37-39 del GDPR).
• Non tratta le sanzioni penali degli artt. 167 e seguenti del Codice privacy, fra cui quelle per chi, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all'interessato, opera in violazione dell'art. 130 o trasferisce dati verso paesi terzi al di fuori dei casi consentiti dagli artt. 45, 46 o 49 del GDPR, e arreca nocumento all'interessato.
• Non tratta i doveri di segreto professionale e le regole deontologiche dell'avvocato.
• Non tratta il consenso dei minori in relazione ai servizi della società dell'informazione (art. 8 del GDPR e art. 2-quinquies del Codice privacy).

Le guide successive della serie, sull'informativa, sui cookie e sul banner, sugli strumenti di analisi del traffico, sulla newsletter e sui diritti degli utenti, usciranno nell'indice degli articoli pubblicati sul blog. Che cosa c'è nella banca dati di Chiostro, e che cosa manca, è nella pagina della copertura delle fonti. Con la prova gratuita da 1 milione di token si può chiedere a Chiostro il testo vigente di una norma e aprirla sulla fonte ufficiale; gli abbonamenti sono nella sezione prezzi degli abbonamenti per gli studi.

Avviso. Contenuto informativo, non è un parere legale; verifica sempre sulle fonti ufficiali. Il testo è aggiornato alla data indicata in alto: norme e giurisprudenza possono essere cambiate dopo.