Il sito di un’attività deve spiegare in modo chiaro quali dati raccoglie e perché, con l’informativa privacy prevista dal GDPR, e chiedere il consenso prima di usare cookie diversi da quelli tecnici. Secondo le linee guida del Garante privacy del 10 giugno 2021, il banner si deve poter chiudere con una X senza accettare, lo scorrimento della pagina non vale come consenso e le scelte si devono poter cambiare in ogni momento.
Le regole di riferimento.
Per i dati personali vale il Regolamento UE 2016/679, il GDPR. Per i cookie, in Italia, il riferimento pratico sono le Linee guida cookie e altri strumenti di tracciamento del Garante per la protezione dei dati personali, del 10 giugno 2021. In entrambi i casi il titolare del trattamento sei tu: sei tu a decidere quali dati raccogliere e perché.
Oltre a privacy e cookie, il sito deve mostrare anche partita IVA, dati dell’impresa e contatti: la lista completa è nella guida «Cosa deve avere un sito per essere in regola».
L’informativa privacy.
Quando raccogli dati da una persona, devi dirle nello stesso momento, con un linguaggio semplice e chiaro:
- chi sei e come contattarti;
- perché raccogli i dati e su quale base giuridica;
- a chi possono essere comunicati;
- per quanto tempo li conservi;
- quali diritti ha: accesso, rettifica, cancellazione, opposizione e gli altri previsti dal GDPR;
- che può fare reclamo all’autorità di controllo, in Italia il Garante.
L’informativa deve essere facile da trovare: di solito si mette un link nel piè di pagina di ogni pagina del sito.
Moduli di contatto: pochi dati, molta chiarezza.
- Chiedi solo i dati che ti servono per rispondere: il GDPR chiede dati limitati a quanto necessario.
- Metti il link all’informativa vicino al pulsante di invio.
- Per usi in più, come la newsletter o le offerte, chiedi un consenso a parte, con una casella che la persona spunta da sé: le caselle già spuntate non valgono come consenso.
- Revocare deve essere facile quanto dare il consenso.
Cookie tecnici e cookie con consenso.
I cookie tecnici servono a far funzionare il sito: per questi basta l’informativa. Se il sito usa solo cookie tecnici, per il Garante non serve il banner. I cookie di profilazione e gli altri strumenti di tracciamento, per esempio quelli usati per la pubblicità, si possono attivare solo dopo il consenso: al primo accesso non deve partire nulla oltre ai tecnici. I cookie per le statistiche di visita sono equiparati ai tecnici solo a certe condizioni, per esempio se riducono la possibilità di identificare chi visita il sito e producono solo statistiche aggregate.
Attenzione ai servizi esterni inseriti nelle pagine, come mappe, video, pulsanti dei social o strumenti di statistica: possono usare cookie di terze parti e vanno controllati uno per uno.
Come deve essere il banner.
Il modello indicato dal Garante prevede:
- una X in alto a destra che chiude il banner senza accettare, con la stessa evidenza degli altri comandi, e una frase che lo spiega;
- un comando per accettare tutti i cookie;
- un link per scegliere una per una le categorie di cookie, tutte disattivate all’inizio;
- il link all’informativa estesa.
Comandi e caratteri devono avere uguali dimensioni, enfasi e colori: se aggiungi un pulsante «Rifiuta», deve essere evidente quanto «Accetta». Non sono validi lo scorrimento della pagina come consenso né il cookie wall, cioè il sito che si apre solo accettando, salvo casi particolari da valutare. Se la persona rifiuta, il banner non va riproposto per almeno sei mesi, a meno che non cambi qualcosa di importante. E nel piè di pagina serve un link, come «Rivedi le tue scelte sui cookie», per cambiare idea in ogni momento.
Se sul sito usi un chatbot o immagini generate con l’intelligenza artificiale, valgono anche le regole di trasparenza spiegate nella guida AI Act e la tua attività.
Chi se ne occupa con Aleryc.
Nei siti web di Aleryc, l’informativa privacy c’è sempre quando il sito raccoglie dati, mentre cookie policy e banner dei consensi ci sono quando il sito usa cookie non tecnici: per prepararli ci appoggiamo a un servizio specializzato, che li mantiene aggiornati alle norme e che attiviamo nel nostro account, come il dominio: sono una voce a parte, con un prezzo a fasce in base al tipo, indicata nel preventivo. Il modulo di contatto mostra l’informativa e, se servono usi in più come la newsletter, una casella di consenso separata. La responsabilità legale dei dati raccolti resta tua, come titolare dell’attività.
Fonti.
- EUR-Lex: Regolamento (UE) 2016/679 sulla protezione dei dati personali (GDPR)
- Garante per la protezione dei dati personali: Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021
Fonti consultate il 27 ottobre 2026. Questa guida è informativa e non sostituisce un parere legale: per i testi della tua informativa e del tuo banner, rivolgiti a un professionista o a un servizio specializzato.