GDPR per siti web: privacy e cookie,
quello che serve sapere

Il GDPR — Regolamento (UE) 2016/679 — è il testo che regola il trattamento dei dati personali in Europa. È lungo 99 articoli e 173 considerando: qui riassumiamo solo le parti che riguardano davvero chi ha un sito web, cioè informativa, basi giuridiche, consenso, cookie, diritti degli utenti e sicurezza.

È un riassunto, non un parere legale: alla fine trovi il link al testo ufficiale completo.

A chi si applica

Il regolamento si applica al trattamento di dati personali di persone che si trovano nell'Unione europea, anche quando chi tratta i dati ha sede fuori dall'UE, se offre beni o servizi a persone nell'Unione o ne monitora il comportamento (art. 3).

Un dato personale è qualsiasi informazione riferita a una persona fisica identificata o identificabile (art. 4). Rientrano quindi non solo nome ed email, ma anche l'indirizzo IP, gli identificativi dei cookie e i dati di navigazione. Chi decide finalità e mezzi del trattamento è il titolare; chi tratta i dati per suo conto — per esempio l'hosting o il servizio di newsletter — è il responsabile.

I principi da rispettare

L'art. 5 elenca i principi che valgono per ogni trattamento:

• Liceità, correttezza e trasparenza verso l'interessato.
• Limitazione della finalità: i dati si raccolgono per scopi determinati, espliciti e legittimi.
• Minimizzazione dei dati: solo quelli adeguati, pertinenti e limitati a quanto necessario.
• Esattezza: dati aggiornati, con correzione tempestiva di quelli inesatti.
• Limitazione della conservazione: si tengono solo per il tempo necessario.
• Integrità e riservatezza: sicurezza adeguata con misure tecniche e organizzative.

A questi si aggiunge la responsabilizzazione: il titolare non deve solo rispettare i principi, deve essere in grado di dimostrare di averlo fatto. In pratica: servono documenti, non buone intenzioni.

Le basi giuridiche

Ogni trattamento deve poggiare su almeno una delle sei basi previste dall'art. 6:

• il consenso dell'interessato per una o più finalità specifiche;
• l'esecuzione di un contratto di cui l'interessato è parte;
• un obbligo legale al quale è soggetto il titolare;
• la salvaguardia di interessi vitali;
• un compito di interesse pubblico;
• il legittimo interesse del titolare o di terzi, se non prevalgono i diritti dell'interessato.

È un errore frequente chiedere il consenso per tutto. Se qualcuno compila il modulo contatti per ricevere un preventivo, la base è l'esecuzione di misure precontrattuali, non il consenso: chiederlo sarebbe fuorviante, perché lascerebbe intendere che si possa revocare senza conseguenze.

Quando il consenso è valido

L'art. 7 stabilisce che il titolare deve poter dimostrare che il consenso è stato prestato, che la richiesta deve essere distinguibile dalle altre questioni, in forma comprensibile e accessibile, e che revocarlo deve essere facile quanto darlo.

Il considerando 32 è ancora più esplicito su cosa non vale come consenso:

«Non dovrebbe pertanto configurare consenso il silenzio, l'inattività o la preselezione di caselle.»

Quindi: niente caselle già spuntate, niente consenso “implicito” perché l'utente ha continuato a navigare, e consenso separato per ogni finalità distinta.

I cookie: le regole operative

Qui serve una precisazione che quasi nessuno fa: i cookie non sono regolati direttamente dal GDPR. La norma di riferimento è la direttiva ePrivacy 2002/58/CE, come modificata dalla 2009/136/CE, recepita in Italia nel Codice privacy. Il GDPR interviene sui requisiti del consenso e sul trattamento dei dati che ne derivano.

In Italia le regole pratiche le ha fissate il Garante con le linee guida del 10 giugno 2021 (provvedimento n. 231). Ecco cosa dicono, in sintesi:

• Cookie tecnici: non richiedono consenso, basta l'informativa. Sono quelli strettamente necessari a erogare il servizio richiesto dall'utente.
• Cookie di profilazione: richiedono consenso preventivo e informato, prestato prima dell'installazione.
• Lo scroll da solo non è consenso. Il Garante scrive che «il semplice “scroll down” del cursore di pagina è inadatto in sé alla raccolta di un idoneo consenso».
• Il cookie wall è illecito: non si può negare l'accesso al sito a chi rifiuta, salvo che il titolare offra un contenuto o un servizio equivalenti senza consenso.
• Serve una X per chiudere il banner senza acconsentire, con «una evidenza grafica pari a quella degli ulteriori comandi o pulsanti» di consenso. Rifiutare deve essere facile quanto accettare.
• Chi ha già rifiutato non va tempestato: il banner non si ripropone, salvo che cambino le condizioni del trattamento, che non sia possibile verificare la scelta precedente, o che siano trascorsi almeno sei mesi.
• Analytics di terze parti: si possono equiparare ai tecnici solo se i dati sono davvero minimizzati, mascherando almeno la quarta componente dell'indirizzo IP, e se il fornitore non li combina con altre elaborazioni né li trasmette a terzi.

Tradotto per chi ha un sito: un banner con solo “Accetta”, o con i cookie di profilazione già attivi al primo caricamento, non è a norma.

Cosa scrivere nell'informativa

Quando i dati sono raccolti direttamente dall'interessato, l'art. 13 impone di indicare: identità e contatti del titolare (e del responsabile della protezione dei dati, se nominato), finalità e base giuridica del trattamento, eventuali destinatari, trasferimenti fuori dall'UE, periodo di conservazione, i diritti dell'interessato, il diritto di reclamo al Garante, e se il conferimento sia obbligatorio o facoltativo. Se i dati non provengono dall'interessato valgono gli obblighi dell'art. 14.

I diritti degli utenti

Gli artt. 15-22 riconoscono all'interessato il diritto di:

• accesso ai propri dati (art. 15);
• rettifica dei dati inesatti (art. 16);
• cancellazione, il cosiddetto diritto all'oblio (art. 17);
• limitazione del trattamento (art. 18);
• portabilità dei dati (art. 20);
• opposizione al trattamento (art. 21);
• non essere sottoposto a decisioni automatizzate che producano effetti giuridici significativi (art. 22).

Sul piano pratico significa avere un indirizzo a cui queste richieste arrivano davvero, e un modo per evaderle nei tempi previsti.

Sicurezza e violazioni

L'art. 32 richiede misure tecniche e organizzative adeguate al rischio, citando fra le altre la cifratura e la pseudonimizzazione, la capacità di garantire riservatezza, integrità e disponibilità dei sistemi, e una procedura per testare e valutare regolarmente l'efficacia delle misure.

In caso di violazione dei dati, l'art. 33 impone la notifica all'autorità di controllo entro 72 ore dal momento in cui se ne è venuti a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, l'art. 34 obbliga a informare anche gli interessati.

Il registro dei trattamenti (art. 30) è obbligatorio, con un'esenzione per le organizzazioni con meno di 250 dipendenti — esenzione che però decade se il trattamento non è occasionale, può presentare un rischio per i diritti degli interessati, o riguarda categorie particolari di dati. Per un sito con newsletter e modulo contatti attivi tutto l'anno, il trattamento non è occasionale: il registro serve.

Le sanzioni

L'art. 83 prevede due scaglioni di sanzioni amministrative:

• fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell'esercizio precedente, se superiore;
• fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo, se superiore, per le violazioni più gravi — fra cui quelle sui principi, sulle basi giuridiche, sul consenso e sui diritti degli interessati.

Sono massimali, non importi automatici: l'autorità valuta gravità, durata, natura dei dati e condotta del titolare. Ma l'ordine di grandezza chiarisce che non si tratta di formalità.

In sintesi, per un sito web

Il minimo per essere in regola:

• informativa privacy completa e raggiungibile da ogni pagina;
• banner cookie che permetta di rifiutare con la stessa facilità con cui si accetta;
• nessun cookie di profilazione prima del consenso;
• base giuridica corretta per ogni modulo, con consenso solo dove serve davvero;
• tempi di conservazione definiti e dichiarati;
• registro dei trattamenti e nomina dei responsabili esterni (hosting, newsletter, analytics);
• una procedura per rispondere alle richieste degli utenti e per notificare eventuali violazioni.

Il GDPR è molto più ampio di così: qui abbiamo trattato solo la parte che tocca chi gestisce un sito. Il testo integrale, con tutti i 99 articoli, è disponibile su EUR-Lex, il portale ufficiale del diritto dell'Unione europea: Regolamento (UE) 2016/679 — testo completo in italiano.

Mettiamo a norma il tuo sito

Fonti

• Regolamento (UE) 2016/679 (GDPR), testo ufficiale in italiano — eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32016R0679
• Garante per la protezione dei dati personali, Linee guida cookie e altri strumenti di tracciamento, provvedimento n. 231 del 10 giugno 2021 — www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/967787…
• Direttiva 2002/58/CE (ePrivacy), consolidata con le modifiche della direttiva 2009/136/CE — eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:02002L0058-200…