Privacy policy e cookie banner: cosa deve avere il tuo sito

Quasi ogni sito di una piccola attività raccoglie qualche dato: un modulo di contatto, una mappa incorporata, le statistiche delle visite. Per questo servono un’informativa privacy e, in molti casi, un banner dei cookie fatto come chiede il Garante. Qui trovi cosa prevedono le regole, spiegato in parole semplici. Una premessa: noi costruiamo siti e non siamo avvocati, quindi questa guida non è una consulenza legale.

Le regole di riferimento

Le fonti principali sono due. La prima è il GDPR, il regolamento europeo sulla protezione dei dati personali, che stabilisce cosa devi dire a chi ti lascia i suoi dati. La seconda sono le Linee guida cookie e altri strumenti di tracciamento del Garante per la protezione dei dati personali, del 10 giugno 2021, pubblicate in Gazzetta Ufficiale il 9 luglio 2021. I siti avevano sei mesi di tempo per adeguarsi, quindi oggi valgono per tutti.

L’informativa privacy

È la pagina che spiega chi raccoglie i dati, perché e cosa ne fa. Il GDPR (articolo 13) elenca le informazioni da dare quando raccogli dati direttamente dalla persona, per esempio con un modulo di contatto:

• chi è il titolare del trattamento, cioè chi decide come usare i dati (tu, o la tua attività), e come contattarlo
• quali dati raccogli e per quali finalità, per esempio rispondere a una richiesta di preventivo
• la base giuridica, cioè il motivo previsto dalla legge che ti permette di usarli
• a chi li passi, per esempio il fornitore dell’hosting o della posta
• se i dati vanno fuori dall’Unione europea, e con quali garanzie
• per quanto tempo li conservi
• i diritti della persona: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità, e la possibilità di revocare il consenso quando lo hai chiesto
• il diritto di presentare reclamo al Garante

Il GDPR chiede anche che queste informazioni siano date in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Un testo copiato da un altro sito non va bene, perché deve descrivere quello che fai tu: quali dati raccogli, con quali strumenti, a chi li affidi.

Il link all’informativa va messo in fondo a ogni pagina e accanto a ogni modulo.

Cosa sono i cookie, e quali contano

I cookie sono piccoli file di testo che il sito salva sul dispositivo di chi lo visita, per riconoscerlo alle visite successive. Il Garante li divide in grandi famiglie:

• cookie tecnici: servono a far funzionare il sito o a darti un servizio che hai chiesto, per esempio ricordare la lingua scelta o il carrello
• cookie analitici: misurano le visite. In certe condizioni sono equiparati ai tecnici
• cookie di profilazione: seguono il comportamento della persona, per esempio per mostrarle pubblicità mirata

Attenzione ai cookie di terze parti, cioè installati da altri servizi attraverso il tuo sito. Un pixel pubblicitario dei social, i pulsanti di condivisione, ma anche video e mappe incorporati possono installarne.

Quando serve il banner dei cookie

Se il sito usa solo cookie tecnici, il banner non serve: basta spiegarlo nell’informativa. Lo dice il Garante nelle sue risposte alle domande frequenti.

I cookie analitici si possono trattare come tecnici solo se, tra le altre condizioni, l’indirizzo IP del visitatore viene in parte mascherato (almeno l’ultimo dei quattro numeri che lo compongono), i dati servono solo a statistiche aggregate su quel sito, e il fornitore esterno non li combina con altri dati né li passa ad altri.

Se invece usi cookie di profilazione o di terze parti che non rientrano in questi casi, serve il consenso preventivo. Quindi serve il banner, e prima che la persona scelga non deve partire nulla.

Come deve essere fatto il banner

Secondo le linee guida del Garante, il banner:

• compare alla prima visita, ben visibile e con una dimensione adatta ai vari dispositivi, telefono compreso
• ha un comando per chiuderlo, di solito una X in alto a destra. Chiudere il banner equivale a rifiutare: restano attivi solo i cookie tecnici
• ha un pulsante per accettare tutti i cookie
• ha un link per scegliere cookie per cookie, o per categorie, con le opzioni che partono tutte spente
• contiene una breve spiegazione e il link all’informativa completa

Scorrere la pagina, da solo, non vale come consenso. Il cosiddetto cookie wall, cioè bloccare il sito a chi non accetta, è considerato illecito, salvo casi particolari da valutare uno per uno. E il banner non va riproposto a ogni visita: va mostrato di nuovo solo se cambiano in modo importante le condizioni, se il sito non può sapere se la persona ha già scelto, oppure dopo almeno sei mesi.

Un consiglio nostro, oltre la norma: accanto ad “Accetta” metti anche un pulsante “Rifiuta”, con la stessa evidenza. La X già vale come rifiuto, ma un pulsante esplicito è più chiaro per tutti.

Registrare i consensi e cambiare idea

Il consenso deve nascere da un’azione chiara della persona e deve essere documentabile: se un giorno qualcuno chiede, devi poter dimostrare cosa ha scelto e quando. Le scelte vanno memorizzate, per esempio con un cookie tecnico, e i servizi seri per la gestione dei cookie tengono un registro dei consensi.

La persona deve poter cambiare idea in qualsiasi momento. Per questo in fondo a ogni pagina serve un link sempre visibile, per esempio “Preferenze cookie”, che riapre le scelte.

Errori che si vedono spesso

• Un banner con il solo pulsante “OK”, senza modo di rifiutare
• Statistiche o pixel pubblicitari che partono prima che la persona abbia scelto
• Un’informativa copiata da un altro sito, con nomi e servizi che non c’entrano

Da dove partire

• Fai l’elenco di tutto quello che il sito carica: statistiche, mappe, video, pixel, chat
• Controlla che l’informativa descriva quei servizi e i dati del tuo modulo di contatto
• Apri il sito in una finestra in incognito e verifica che il banner compaia e che la X chiuda senza accettare
• Controlla che ci sia il link per cambiare le preferenze in fondo alla pagina
• Verifica che lo strumento che usi registri i consensi
• Se tratti dati delicati, per esempio sulla salute, fatti seguire da un consulente

Se sei un professionista che raccoglie dati dei clienti già dal primo contatto, può esserti utile anche la guida sul sito web per professionisti.

Nei siti che costruiamo le pagine di privacy e cookie sono fatte seguendo queste regole, e il sito carica solo quello che serve davvero, così il banner resta semplice o, in certi casi, non serve proprio. Se vuoi che diamo un’occhiata al tuo, o vedere una bozza gratuita di un sito nuovo prima di pagare qualsiasi cosa, scrivici: ti rispondiamo su WhatsApp entro 24 ore lavorative.