Privacy siti web: cosa deve avere il tuo sito per essere in regola con il GDPR

La creazione del proprio sito web è sempre un momento pieno di entusiasmo. Si scelgono i colori, si definiscono le immagini, si scrivono i testi e si curano con attenzione tutti i dettagli per renderlo davvero rappresentativo. Ma c’è una parte che, spesso, si tende a lasciare sullo sfondo: la privacy.

Certo, è una parte decisamente più noiosa e meno “ispirante”, ma non dobbiamo dimenticare che, quando il nostro sito va online, automaticamente diventa non solo uno spazio che racconta chi siamo e cosa facciamo, ma anche un luogo in cui transitano dati personali che devono essere gestiti nel rispetto della normativa vigente.

Anche se il nostro sito non è un e-commerce e, per esempio, presenta al suo interno un singolo form di contatti, dobbiamo comunque adempiere ad alcuni obblighi legali.

In questo articolo vedremo quali sono gli elementi minimi che il tuo sito deve avere per essere in regola con il GDPR, dai documenti legali al cookie banner, fino a quelle piccole diciture spesso sottovalutate che rendono un sito pienamente a norma.

Il GDPR (Regolamento UE 2016/679) non è applicabile solo agli e-commerce o ai grandi portali, ma a qualsiasi sito che tratti anche un singolo dato personale.
Ma cosa si intende per dato personale?

L’art. 4 del GDPR identifica come dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile.
Non si tratta quindi solo di informazioni “sensibili” o particolarmente riservate, ma anche di dati apparentemente innocui come, per esempio:

nome e cognome;
indirizzo email;
numero di telefono;
indirizzo IP;
posizione geografica;
comportamento di navigazione.

Nel momento in cui il nostro sito raccoglie anche solo una di queste informazioni, si configura un trattamento di dati personali.
Accade molto più spesso di quanto possiamo immaginare. Anche quando, per esempio:

viene compilato un form di contatto;
ci si iscrive ad una newsletter;
si utilizza un sistema di prenotazione online;
si visualizza un video incorporato da piattaforme esterne;
si naviga su siti che utilizzano servizi di statistiche o profilanti.

In ognuno di questi esempi, il sito raccoglie ed elabora informazioni che permettono di identificare (o rendere identificabile) chi lo naviga. Ed è qui che entrano in gioco gli obblighi previsti dal GDPR: informare le persone in modo trasparente sul trattamento dei dati, raccogliere il consenso quando necessario e garantire che queste informazioni vengano trattate in modo corretto e sicuro.

Privacy siti web: i documenti obbligatori

La messa a norma del proprio sito dal punto di vista del GDPR passa, prima di tutto, dalla presenza di documenti che informano su ciò che accade ai dati raccolti. La presenza di questi documenti permette alle persone che decidono di visitare il tuo sito web di farlo con consapevolezza.

Vediamo quali sono i documenti che devono essere presenti e facilmente reperibili durante la navigazione.

Privacy policy

La privacy policy è un documento che informa in modo chiaro e trasparente su quali sono e come vengono trattati i dati personali raccolti attraverso il sito. È obbligatoria ogni volta che viene effettuato un trattamento di dati personali (il che accade nella maggior parte dei siti web, come abbiamo visto prima).

Secondo quanto indicato dagli articoli n. 12, 13 e 14 del GDPR, la privacy policy deve indicare almeno:

chi è il titolare del trattamento;
quali dati vengono raccolti e per quale finalità;
su quale base giuridica si fonda il trattamento;
per quanto tempo vengono conservati i dati e se vengono condivisi con terze parti;
quali diritti può esercitare l’utente (es. accesso, rettifica, cancellazione ecc.).

La privacy policy deve essere raggiungibile da ogni pagina del sito, infatti di solito viene inserita nel footer attraverso un collegamento.

Cookie policy

La cookie policy è obbligatoria quando il sito utilizza cookie non strettamente tecnici, come per esempio cookie analitici, di profilazione, di marketing, oppure ancora cookie legati a servizi esterni (es. video, mappe ecc.).
I cookie sono piccoli file di testo che vengono salvati nel browser di chi visita il sito e che permettono di raccogliere alcune informazioni sulla navigazione.

In particolare, la cookie policy serve a spiegare:

quali cookie sono installati e a cosa servono;
da chi vengono gestiti;
quanto rimangono installati;
come si può gestire o revocare il consenso alla loro installazione.

La cookie policy deve essere sempre collegata alla privacy policy e, come quest’ultima, deve essere raggiungibile da ogni pagina del sito, oltre che dal cookie banner.

Termini e condizioni (quando necessari)

I termini e condizioni sono obbligatori quando il sito regola un rapporto contrattuale.
Vanno inseriti, ad esempio, in caso di:

e-commerce;
vendita di servizi online;
corsi digitali;
sistemi di prenotazione.

Questo documento serve a definire le regole di utilizzo del servizio offerto, come le modalità di acquisto e di accesso ai contenuti, oppure i diritti e le responsabilità delle parti.

Come per i precedenti documenti, anche i termini e condizioni vanno resi facilmente accessibili. Di solito, infatti, vengono inseriti nel footer assieme alla privacy policy e alla cookie policy.

Il cookie banner è quella finestrella che compare sempre nel momento in cui si approda per la prima volta in un sito web e che informa sull’utilizzo dei cookie, permettendo di accettarli, di rifiutarli o di personalizzare le preferenze di navigazione.
No, non basta installare un plugin dedicato e lasciare che faccia tutto da solo, per avere un cookie banner a norma e correttamente funzionante.

Il cookie banner, infatti, deve rispettare alcune caratteristiche ben precise.
In particolare deve:

bloccare preventivamente l’installazione dei cookie di profilazione fino a quando non viene dato il consenso da parte dell’utente;
permettere il rifiuto all’installazione dei cookie con la stessa facilità con cui si possono accettare;
non avere caselle preselezionate o, in generale, una struttura che spinge al consenso;
consentire di modificare le preferenze in un secondo momento;
registrare e conservare la prova del consenso espresso.

Attenzione: ci sono molti plugin gratuiti per WordPress che offrono un banner visivamente simile a quello richiesto dalla normativa, ma non bloccano automaticamente gli script prima dell’accettazione oppure non gestiscono correttamente la registrazione del consenso. Per questo motivo è fondamentale scegliere con consapevolezza lo strumento giusto per questo scopo e configurarlo in modo corretto.

Privacy siti web: i dettagli spesso dimenticati

Oltre alle informative e al cookie banner, esistono alcuni piccoli dettagli che vengono spesso trascurati ma che, in realtà, vanno a loro volta curati nel rispetto del GDPR. Mi riferisco ad alcuni accorgimenti legati soprattutto ai form di contatto e ai moduli di iscrizione alla newsletter, come per esempio:

inserire una checkbox per il consenso al trattamento dei dati nei form contenente una dicitura completa e il link alla privacy policy;
prevedere il consenso esplicito per l’iscrizione alla newsletter;
raccogliere solo le informazioni necessarie alle finalità del trattamento (es. non raccogliere il numero di telefono se non è indispensabile).

Si tratta di dettagli piccoli ma importanti, che fanno la differenza tra un sito in regola e un sito che, pur avendo le policy pubblicate, non rispetta pienamente i requisiti previsti dalla normativa.

Accessibilità: è obbligatoria?

Quando si parla di sito web a norma, ultimamente viene citata spesso anche l’accessibilità digitale. È bene chiarire, però, che si tratta di un ambito completamente diverso.
Mentre il GDPR si occupa della protezione dei dati personali, l’accessibilità digitale riguarda la possibilità che tutte le persone, comprese le persone con disabilità, siano in grado di accedere e navigare il sito web.

L’obbligo dell’accessibilità digitale, ad oggi, riguarda soprattutto:

pubbliche amministrazioni;
enti pubblici;
aziende che offrono servizi digitali con più di 10 dipendenti o con un fatturato che supera i 2 milioni di euro.

Se sei una libera professionista o un’artigiana con una piccola attività, quindi, per il momento non hai l’obbligo di regolarizzare il tuo sito web su questa tematica. Tuttavia è bene sottolineare che rendere un sito accessibile significa permettere a più persone di fruire dei suoi contenuti, migliorarne la navigazione e costruire uno spazio digitale realmente inclusivo.

Mettere il proprio sito a norma è sinonimo di cura

Mettere il sito in regola potrebbe sembrare un processo ostico, tuttavia adeguarsi al GDPR non significa soltanto evitare possibili sanzioni, ma anche:

essere trasparenti su come vengono trattati i dati;
rispettare le scelte di chi naviga il sito;
costruire fiducia attraverso una comunicazione chiara;
dimostrare professionalità e responsabilità.

In poche parole, significa prendersi cura delle persone che entrano in contatto con il nostro lavoro anche attraverso il sito web. La privacy, tuttavia, è solo una parte delle informazioni che devono essere obbligatoriamente presenti all’interno di un sito web.
Se vuoi avere una panoramica completa degli elementi che non dovrebbero mai mancare, ti invito ad approfondire anche il mio articolo dedicato ai dati obbligatori per il sito web.

12 Marzo 2026
Siti web in Wordpress