Modello Privacy Policy Sito Web GDPR Gratis: Guida e Fac Simile Editabile
Guida completa al modello di privacy policy per sito web conforme al GDPR. Scarica gratis il fac simile editabile in PDF e Word. Definizione, obblighi, contenuti, differenze con cookie policy e termini di servizio, errori comuni, esempi pratici e FAQ.
La privacy policy, chiamata anche informativa sul trattamento dei dati, è il documento con cui il titolare del trattamento spiega agli utenti come vengono adoperati i loro dati personali. Avere un modello privacy policy sito web gdpr gratis permette a freelance, negozi online e piccole imprese di rispettare l’obbligo informativo senza scrivere tutto da zero. Basta poi adattare il fac simile alla realtà del proprio portale. Il Regolamento Generale sulla Protezione dei Dati (GDPR) impone che ogni trattamento di dati sia accompagnato da un’informativa chiara, accessibile e costantemente aggiornata. Le violazioni possono costare fino a 20 milioni di euro o al 4% del fatturato annuo mondiale (art. 83). In questa guida trovi le istruzioni per compilare un modello gratuito, evitare gli errori più frequenti e pubblicare un documento davvero a norma.
Cos’è l’informativa sulla privacy
Una definizione semplice
L’informativa privacy è il testo che rende trasparente, in anticipo, ogni passaggio compiuto sui dati personali: quali informazioni si raccolgono, per quali scopi, su quali basi giuridiche e chi può accedervi. Non è un semplice avviso legale: è il ponte che consente a chi naviga di decidere con cognizione di causa se e come condividere i propri dati.
Perché la trasparenza è il pilastro del GDPR
Il principio di trasparenza (art. 5 GDPR) richiede che l’interessato possa capire, senza sforzi, che cosa succede ai propri dati. L’assenza di un’informativa adeguata mina la fiducia e fa scattare responsabilità concrete. Il Garante per la protezione dei dati personali ha più volte ribadito che una policy copiata da altri siti o scritta in linguaggio troppo tecnico non soddisfa l’obbligo. Serve un documento modellato sulle reali attività del portale.
Quando è obbligatoria la privacy policy per un sito web
Quando scatta l’obbligo di informare
L’obbligo sorge ogni volta che un dominio web tratta dati personali. Non contano le dimensioni del progetto: anche un sito vetrina con un semplice form contatti deve presentare l’informativa (art. 13 GDPR). La raccolta include non solo nome ed email, ma anche indirizzi IP, identificativi del browser e dati di localizzazione. L’informativa va data prima di raccogliere i dati – per esempio prima dell’invio di un modulo – o, se i dati provengono da fonte diversa dall’interessato, entro un mese al massimo.
Cosa rientra nella definizione di dato personale
Per il GDPR ogni informazione relativa a una persona fisica identificata o identificabile è un dato personale. Oltre ai classici anagrafici, rientrano cookie che profilano, cronologia di navigazione, immagini di videosorveglianza, identificativi di dispositivo. Dunque quasi ogni interazione digitale attiva il dovere di informare. L’informativa costituisce un adempimento autonomo e non può essere sostituita dalla cookie policy né dai termini di servizio.
Cosa deve contenere una privacy policy conforme al GDPR
I contenuti minimi previsti dal Regolamento
Gli articoli 13 e 14 del GDPR fissano una lista di punti che non possono mancare. La tabella seguente li riepiloga, aiutandoti a verificare se il tuo documento è completo.
| Elemento obbligatorio | Cosa indicare concretamente |
|---|---|
| Identità e contatti del titolare | Nome/denominazione, indirizzo, email o PEC; se nominato, il riferimento al Responsabile della Protezione dei Dati (DPO) |
| Finalità e base giuridica | Per ogni operazione: perché si usano i dati e su quale presupposto (consenso, contratto, obbligo di legge, legittimo interesse) |
| Categorie di dati | Se i dati non vengono forniti dall’interessato, elencare le tipologie (anagrafiche, contatto, navigazione, ecc.) |
| Destinatari o categorie di destinatari | Soggetti a cui si comunicano i dati (hosting provider, corrieri, piattaforme di pagamento, autorità) |
| Trasferimenti extra UE | Se i dati escono dallo Spazio Economico Europeo, la base giuridica del trasferimento e le garanzie (decisione di adeguatezza, clausole contrattuali tipo) |
| Periodi di conservazione | Quanto tempo si tengono i dati, oppure i criteri usati per stabilire la durata |
| Diritti dell’interessato | Accesso, rettifica, cancellazione (oblio), limitazione, opposizione e portabilità, con le modalità per esercitarli |
| Diritto di reclamo | La possibilità di rivolgersi al Garante per la protezione dei dati personali |
| Obbligo o facoltà di conferire i dati | Se il conferimento è obbligatorio o facoltativo e le conseguenze del rifiuto |
| Processo decisionale automatizzato | Se si usano profilazioni o decisioni automatiche, la logica e gli effetti per l’utente |
Elementi facoltativi ma consigliati
I modelli ben fatti spesso includono anche: riferimenti a codici di condotta o certificazioni, una sezione separata per i plugin social, le modalità di gestione delle violazioni dei dati (data breach) e, nei siti complessi, un’informativa stratificata con un riepilogo iniziale e link di approfondimento. Il Garante suggerisce proprio questo approccio a strati per i portali che trattano dati tramite più canali.
Differenza tra privacy policy, cookie policy e termini di servizio
Questi tre documenti vengono spesso confusi, ma hanno scopi diversi. La tabella mette a fuoco le distinzioni pratiche.
| Documento | Funzione | Base normativa | Quando serve |
|---|---|---|---|
| Privacy policy | Informare su tutti i trattamenti di dati personali (raccolta, uso, conservazione, diritti) | GDPR, artt. 13‑14 | Sempre, se si raccolgono dati personali |
| Cookie policy | Dettagliare l’uso di cookie e tecnologie simili, illustrando come prestare e revocare il consenso | Direttiva e‑privacy, provvedimenti del Garante | Obbligatoria se il sito installa cookie non tecnici; fortemente raccomandata anche per i soli cookie tecnici |
| Termini di servizio (T&C) | Contratto che regola l’uso del sito, diritti e doveri reciproci tra gestore e utente | Diritto contrattuale (codice civile, codice del consumo) | Non obbligatoria per legge, ma usuale per e‑commerce, piattaforme con registrazione o contenuti generati dagli utenti |
La privacy policy risponde a un obbligo di trasparenza. La cookie policy è un’integrazione specifica che, per i cookie non tecnici, richiede un banner con scelte granulari. I termini di servizio invece fissano le regole contrattuali. Tenere i tre documenti separati aiuta l’utente a orientarsi.
Come compilare il modello di privacy policy: guida passo passo
Il punto di partenza è un fac simile editabile in formato Word o PDF. Per ottenere un’informativa realmente aderente al tuo portale, segui questi passaggi senza saltarne nessuno.
I sette passaggi fondamentali
- Inserisci i dati del titolare e i contatti: denominazione completa, sede, email o PEC e, se nominato, il DPO.
- Descrivi le finalità e le basi giuridiche: per ogni trattamento (esecuzione del contratto, consenso, legittimo interesse, obbligo di legge) indica perché i dati servono.
- Elenca le tipologie di dati: distingui tra dati forniti volontariamente (form, registrazione), dati di navigazione e dati raccolti tramite cookie o pixel.
- Indica i destinatari: cita servizi di hosting, provider di newsletter, gateway di pagamento, corrieri, specificando se agiscono come responsabili del trattamento.
- Affronta i trasferimenti extra‑UE: se utilizzi Google Analytics, plugin social o server fuori dall’Unione, menziona le garanzie adottate (es. clausole contrattuali tipo).
- Completa la sezione diritti dell’interessato: elenca accesso, rettifica, cancellazione, limitazione, opposizione, portabilità e spiega come esercitarli (email, modulo online).
- Aggiorna la data di ultima modifica e, se previsto, indica la periodicità di revisione.
Per aiutarti a capire cosa è davvero indispensabile, ecco una tabella che distingue i campi obbligatori da quelli opzionali nel template.
| Campi obbligatori | Campi opzionali |
|---|---|
| Identità e contatti del titolare | Riferimenti DPO (se non obbligatorio per legge) |
| Finalità e basi giuridiche per ogni trattamento | Dettaglio dei trasferimenti extra‑UE (solo se effettivi) |
| Periodo di conservazione o criteri per determinarlo | Processo decisionale automatizzato e profilazione (solo se presente) |
| Diritti e modalità di esercizio | Certificazioni o codici di condotta |
| Facoltà di reclamo al Garante | Elenco completo dei plugin social |
Un errore da evitare è riportare nel modello trattamenti che non svolgi affatto: un e‑commerce indicherà fornitori di pagamento e spedizioni; un blog personale si limiterà a dati di navigazione e commenti.
Errori comuni nella redazione della privacy policy
Molti siti commettono sbagli che rendono l’informativa inutilizzabile o facilmente sanzionabile. Ecco gli scivoloni più frequenti, con le correzioni da applicare subito.
Copiare un modello senza adattarlo
Prendere il testo di un altro dominio e pubblicarlo tale e quale è la scorciatoia più pericolosa. Il GDPR esige che l’informativa corrisponda ai trattamenti effettivi. Una policy generica non supera un controllo e fa perdere credibilità. Decisione pratica: compila il fac simile elencando solo ciò che il tuo portale fa davvero.
Omettere informazioni essenziali
Capita di dimenticare le basi giuridiche, i periodi di conservazione o i destinatari. Un’informativa lacunosa viola il principio di trasparenza e lascia l’utente senza elementi di valutazione. Regola: crea una checklist basata sugli elementi obbligatori della tabella precedente e verifica voce per voce.
Usare un linguaggio troppo tecnico o troppo vago
Frasi astratte (“adottiamo misure adeguate”) o espressioni legali calcate sugli articoli di legge non soddisfano il requisito di chiarezza. Il Garante chiede un linguaggio semplice, adatto al pubblico a cui il sito si rivolge. Expert nuance: nei portali rivolti a consumatori, meglio spiegare le cose con esempi concreti piuttosto che con formulazioni giuridiche.
Non aggiornare la policy dopo modifiche
Aggiungi un nuovo servizio di chat o cambi fornitore di hosting? L’informativa deve riflettere subito la novità. Il principio di accountability impone di tenere traccia delle versioni e di conservare quelle precedenti per dimostrare la costante aderenza normativa. Buona prassi: fissa un controllo almeno ogni sei mesi, anche se non ci sono cambiamenti apparenti.
Dimenticare i diritti dell’interessato
L’elenco completo dei diritti (accesso, rettifica, cancellazione, limitazione, opposizione, portabilità) e l’indicazione di come farli valere devono essere sempre presenti, insieme al diritto di reclamo al Garante. Senza queste informazioni l’informativa non è completa.
Esempio pratico: privacy policy per un sito e‑commerce
Immagina un piccolo negozio online di oggettistica, gestito da una ditta individuale con partita IVA. Il portale usa WooCommerce, Google Analytics e una newsletter via Mailchimp. All’acquisto vengono raccolti nome, indirizzo, email, dati di pagamento e destinazione della spedizione.
L’informativa andrà compilata indicando:
- Finalità e basi giuridiche: esecuzione del contratto per l’ordine; consenso per la newsletter; legittimo interesse per le statistiche aggregate anonime (con analisi privacy‑safe).
- Destinatari: il corriere per la consegna, la piattaforma di pagamento (es. Stripe), Mailchimp, ciascuno qualificato come responsabile del trattamento.
- Trasferimenti extra‑UE: per Mailchimp e Google Analytics occorre segnalare il trasferimento negli Stati Uniti e le clausole contrattuali tipo adottate.
- Diritti: inclusa la cancellazione dell’account cliente e il recesso dalla newsletter con un clic.
- Conservazione: le fatture per 10 anni (obbligo fiscale), i dati del cliente fino alla richiesta di cancellazione, i contatti della newsletter fino a revoca del consenso.
Nella compilazione del modello, ogni servizio va indicato con il nome reale, evitando diciture generiche come “provider esterni”. Questo dà trasparenza e aiuta l’utente a capire chi gestisce i suoi dati.
Privacy policy e trasferimenti internazionali di dati
Quando serve una sezione dedicata
Ogni volta che il tuo dominio si appoggia a server o piattaforme con sede fuori dall’Unione europea, scatta l’obbligo di informare l’utente sul trasferimento. Strumenti comuni? Hosting su cloud americano, Google Analytics, plugin social, CRM esteri. Il GDPR vieta di trasferire dati verso paesi terzi in assenza di una base giuridica solida.
Come verificare la base giuridica del trasferimento
La via più sicura è la decisione di adeguatezza della Commissione europea (es. per Giappone, Regno Unito). In mancanza, si ricorre a clausole contrattuali tipo o norme vincolanti d’impresa. Il vecchio Privacy Shield non è più valido. È quindi indispensabile chiedere al fornitore quali garanzie offre e documentarle. L’informativa deve citare, per ogni trasferimento, la base utilizzata e le modalità per ottenere copia delle tutele. In assenza di garanzie adeguate, il trasferimento è ammesso solo in casi eccezionali, come il consenso esplicito dell’interessato, dopo averlo informato dei rischi.
Aggiornamento e manutenzione della privacy policy
Quando scatta l’obbligo di aggiornare
Ogni volta che introduci un nuovo trattamento – che sia un form per il download di un catalogo, un pixel pubblicitario o un diverso fornitore di pagamento – l’informativa va rivista senza indugio. Anche le novità normative o i provvedimenti del Garante possono imporre riscritture. L’accountability richiede di conservare le versioni precedenti per almeno il periodo prescrizionale e di poter dimostrare quando e perché hai modificato il documento.
Buone pratiche per tenere traccia delle versioni
- Data di ultimo aggiornamento in calce: rende subito visibile la versione corrente.
- Revisione cadenzata: fissa un controllo almeno ogni 6 mesi, anche se il sito non ha subito cambiamenti, per intercettare linee guida aggiornate.
- Log delle modifiche: un semplice foglio elettronico con data, sezione modificata e motivo aiuta a ricostruire la storia del documento.
Un check facile prima di pubblicare: verifica che tutti i servizi esterni elencati nella policy siano effettivamente attivi. Elimina riferimenti a fornitori che non usi più.
FAQ – Domande frequenti sulla privacy policy
Cos’è una privacy policy?
È il documento con cui il titolare del trattamento informa gli interessati su come vengono raccolti e gestiti i loro dati personali, in conformità al GDPR.
La privacy policy è obbligatoria per un sito web?
Sì, è obbligatoria per qualsiasi portale che tratti dati personali, anche solo tramite cookie tecnici o indirizzi IP. L’obbligo è previsto dagli articoli 13 e 14 del GDPR.
Cosa deve contenere una privacy policy conforme al GDPR?
Deve riportare identità e contatti del titolare, finalità e basi giuridiche dei trattamenti, categorie di dati, destinatari, periodi di conservazione, diritti dell’interessato e diritto di reclamo al Garante. Se i dati escono dall’UE, vanno indicate le garanzie per il trasferimento.
Che differenza c’è tra privacy policy e cookie policy?
La privacy policy copre ogni trattamento di dati personali. La cookie policy si concentra esclusivamente sui cookie e sulle tecnologie similari, spiegando come prestare o revocare il consenso. Entrambe sono obbligatorie quando si usano cookie non tecnici.
Esiste un modello di privacy policy gratuito?
Sì, si trovano fac simile editabili in PDF e Word, da personalizzare con i propri dati. In questa pagina è disponibile un modello privacy policy sito web gdpr gratis con campi guidati.
Come si compila una privacy policy?
Si parte da un template, si inseriscono le informazioni del titolare, si descrivono i trattamenti effettivi (dati raccolti, servizi terzi) e si completano le sezioni su diritti e conservazione. È essenziale che il risultato corrisponda fedelmente alla realtà del sito.
Ogni quanto va aggiornata la privacy policy?
Non esiste una scadenza fissa, ma va aggiornata appena il portale introduce un nuovo trattamento o quando intervengono modifiche legislative. Una revisione programmata due volte all’anno riduce il rischio di omissioni.
Come ottenere il modello privacy policy sito web GDPR gratuito
In questa pagina mettiamo a disposizione un fac simile editabile di privacy policy, in formato Word e PDF, progettato per adattarsi a diverse tipologie di portale: vetrine professionali, e‑commerce, blog e landing page. Il modello privacy policy sito web gdpr gratis è strutturato con campi guidati: basta inserire i dati del titolare, barrare le finalità attive e indicare i servizi utilizzati. Il documento generato può essere scaricato e pubblicato immediatamente.
La compilazione assistita riduce i rischi di dimenticanze, perché i campi obbligatori sono evidenziati. Una volta completato, il documento va ricontrollato con la checklist qui sotto.
Checklist rapida prima della pubblicazione
- Dati del titolare e contatti aggiornati
- Finalità e basi giuridiche corrette per ogni trattamento
- Destinatari e sub‑responsabili nominati
- Periodi di conservazione indicati
- Diritti dell’interessato e modalità di esercizio completi
- Sezione trasferimenti extra‑UE compilata solo con servizi realmente usati
- Data ultimo aggiornamento inserita
Il modello è offerto gratuitamente e non richiede l’inserimento di dati di pagamento. Puoi scaricarlo, verificarlo con il tuo DPO o consulente e pubblicarlo direttamente sul tuo dominio.
Questa guida è un'informazione generale, non una consulenza legale. Le leggi variano da luogo a luogo e cambiano nel tempo — per la tua situazione, rivolgiti a un professionista abilitato.
