Il mancato adempimento degli obblighi informativi può comportare:

• Sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo (art. 83 GDPR)
• Diffide o segnalazioni al Garante
• Danni reputazionali in caso di contestazioni da utenti o clienti
• Invalidazione del consenso se non correttamente raccolto

La trasparenza è la prima forma di compliance: non può essere trascurata.

Sì. L’informativa è sempre obbligatoria quando il sito raccoglie qualsiasi dato personale, anche indirettamente. Per esempio: indirizzi IP, cookie tecnici e di tracciamento, strumenti di analytics, plugin social, ecc. Non importa che l’utente non compili moduli: l’informativa va comunque fornita.

No, o almeno non senza adattarlo correttamente. Le informative “copiate” sono spesso generiche e non riflettono i trattamenti reali del tuo sito (come strumenti usati, finalità, basi giuridiche). Un’informativa non conforme può comportare sanzioni. È importante redigerla su misura, anche partendo da un modello strutturato.

Sì. Il GDPR considera “dato personale” qualsiasi informazione che identifica o rende identificabile una persona fisica, direttamente o indirettamente.
Questo include:

• Nome, email, numero di telefono
• IP address, ID cookie, dati di navigazione
• Foto, video, audio
• Geolocalizzazione, ID dispositivo

Sì. I dati raccolti per finalità di selezione del personale (come curriculum, esperienze lavorative, ecc.) sono particolarmente delicati e devono essere accompagnati da un’informativa specifica. Inoltre, è buona prassi prevedere un flag di accettazione esplicita e indicare chiaramente i tempi di conservazione dei dati ricevuti.

Il GDPR incoraggia un linguaggio chiaro, semplice e accessibile. È quindi consigliabile:

• Usare paragrafi brevi e titoli
• Evidenziare gli aspetti chiave (finalità, base giuridica, diritti)
• Offrire una versione “breve” in formato domanda/risposta (es. mini-FAQ)
• Accompagnare l’informativa con icone o infografiche, quando possibile
• Semplificare sì, ma senza omettere le informazioni obbligatorie.

Sì. La privacy policy spiega come vengono trattati i dati personali degli utenti in generale. La cookie policy, invece, riguarda solo l’uso dei cookie e strumenti di tracciamento. Devono essere due documenti distinti, anche se collegati tra loro, e la cookie policy deve essere accompagnata da un banner conforme che consenta (o meno) il consenso preventivo all’uso dei cookie non tecnici.

Solo se i trattamenti sono identici per tutti i canali digitali. Altrimenti, l’informativa deve essere differenziata o almeno modulata in base al sito/app, ai dati raccolti e alle finalità. Un’unica informativa generica rischia di essere troppo vaga e quindi non conforme.

Sì. Se un fornitore tratta dati personali per tuo conto (es. hosting, CRM, piattaforme newsletter, gestionali cloud), deve essere nominato responsabile esterno del trattamento ai sensi dell’art. 28 GDPR. La nomina avviene tramite contratto scritto o accordo di nomina che definisca compiti, misure di sicurezza e responsabilità.

Se il data breach può comportare rischi per i diritti e le libertà delle persone, devi notificarlo al Garante entro 72 ore e, in certi casi, anche informare gli interessati. È importante avere un piano di gestione degli incidenti, registrare ogni violazione e documentare le misure adottate per mitigarla.

Nella maggior parte dei casi sì. Anche piccole realtà devono tenere un registro dei trattamenti se trattano dati non occasionali (es. gestione clienti, newsletter, fatturazione). Il registro serve a dimostrare la conformità al GDPR e a gestire in modo strutturato i trattamenti effettuati.

Solo per il tempo necessario a raggiungere le finalità per cui sono stati raccolti, e in ogni caso nel rispetto di obblighi legali e fiscali. È buona prassi stabilire e comunicare tempi di conservazione precisi, o criteri per determinarli, e cancellare o anonimizzare i dati scaduti.

Sì, ma solo se il Paese offre un livello di protezione adeguato secondo il GDPR, o se usi garanzie appropriate (es. Clausole Contrattuali Standard, decisioni di adeguatezza). L’uso di servizi cloud statunitensi o di altre giurisdizioni richiede un’analisi accurata e clausole specifiche nei contratti.

Devi rispondere entro 30 giorni, fornendo le informazioni richieste o confermando la cancellazione. Puoi richiedere una verifica dell’identità per evitare abusi. È importante avere procedure interne per gestire le richieste degli interessati e documentare le risposte fornite.

Solo se hai raccolto un consenso valido, libero e specifico, oppure se sussiste un’altra base giuridica adeguata (es. soft spam per clienti già acquisiti). Devi sempre offrire un’opzione semplice per revocare il consenso o disiscriversi.

Sì. Il GDPR impone misure di sicurezza adeguate al rischio, indipendentemente dalla dimensione dell’impresa. Questo include: protezione degli accessi, backup, crittografia, aggiornamenti software e formazione interna. La sicurezza è un obbligo legale, non solo tecnico.

Sì. Tutte le persone autorizzate al trattamento (dipendenti, collaboratori, stagisti) devono ricevere istruzioni precise e formazione di base. Inoltre, è buona prassi far firmare loro una designazione ad autorizzati al trattamento e mantenere tracciabilità delle attività svolte.

Sì. Anche i log di sistema, che registrano IP, orari e attività di accesso, contengono dati personali. Devono essere trattati nel rispetto dei principi del GDPR (finalità, minimizzazione, conservazione limitata). È consigliabile indicarne l’uso nell’informativa privacy e stabilire tempi di conservazione chiari.

Sì. Ogni trattamento di dati personali deve basarsi su una delle basi giuridiche previste dal GDPR (es. consenso, obbligo legale, esecuzione di un contratto, legittimo interesse, interesse pubblico, tutela di interessi vitali). La base giuridica deve essere chiara e documentata per ogni finalità di trattamento.

Sì, ma solo se esiste un’altra base giuridica valida (es. obbligo legale, contratto o legittimo interesse). Il consenso è necessario principalmente per trattamenti non strettamente necessari o per attività di marketing e profilazione. Non è mai corretto raccogliere dati senza una base giuridica documentata.

Non sempre. La nomina di un DPO è obbligatoria solo in determinati casi, come per enti pubblici, aziende che effettuano monitoraggi su larga scala o trattano dati sensibili in modo sistematico. Tuttavia, anche quando non obbligatorio, può essere utile nominare un consulente privacy per garantire la compliance.

Solo se il trattamento è ancora coerente con la finalità originaria e se il consenso (quando necessario) è ancora valido. In caso contrario, è opportuno cancellare, anonimizzare o richiedere nuovamente il consenso. Conservare dati obsoleti senza giustificazione può costituire una violazione del GDPR.

Sì. Marketing e profilazione sono trattamenti distinti e richiedono consensi separati, liberi e specifici. Non è conforme pre-selezionare checkbox o imporre il consenso unico per più finalità. Inoltre, l’utente deve poter revocare facilmente ogni consenso.

No, salvo che chi ti ha venduto la lista possa dimostrare di aver raccolto i consensi validi e trasferibili. Anche in tal caso, tu diventi autonomo titolare del trattamento e sei responsabile della conformità dell’invio. È un’area ad alto rischio sanzionatorio, da gestire con estrema cautela.

Il titolare decide finalità e mezzi del trattamento dei dati personali. Il responsabile, invece, tratta i dati per conto del titolare e secondo le sue istruzioni. Sono due ruoli distinti, con obblighi diversi: confonderli può generare responsabilità importanti.

Sì. Se cambi le finalità del trattamento rispetto a quelle originariamente comunicate, devi aggiornare l’informativa privacy e, se necessario, ottenere un nuovo consenso. Non è mai possibile ampliare le finalità “in silenzio” senza informare gli interessati.

Sì. Non basta adottare misure tecniche e organizzative: il GDPR impone anche la loro documentazione. Può trattarsi di policy interne, procedure, log di sicurezza, piani di backup e report di valutazione dei rischi. Questa documentazione è essenziale in caso di controlli del Garante.

Sì. Se i dati sono anonimizzati in modo effettivo (cioè non più riconducibili a persone fisiche), non rientrano più nell’ambito di applicazione del GDPR e possono essere conservati più a lungo. Attenzione però: pseudonimizzazione e anonimizzazione non sono la stessa cosa, e la prima non elimina gli obblighi privacy.

Deve essere facilmente accessibile in ogni pagina del sito, tipicamente nel footer, e linkata in tutti i punti in cui avviene raccolta dati (es. moduli contatto, newsletter, e-commerce). Se hai cookie di profilazione o di terze parti, l’informativa va collegata anche al banner cookie.

Dipende. Se i trattamenti sono diversi (es. navigazione vs. acquisto), è consigliabile una struttura unica ma suddivisa per sezioni, oppure due informative specifiche collegate tra loro. L’importante è che ogni finalità sia chiara, separata e comprensibile.

Sì. Questi strumenti tracciano comportamenti e profili degli utenti, quindi vanno descritti con chiarezza nell’informativa. Inoltre, richiedono il consenso tramite banner cookie prima dell’attivazione, come previsto dalle Linee guida del Garante Privacy.

Non per ogni modifica, ma ogni volta che cambi il modo in cui raccogli o tratti i dati (es. aggiunta di un nuovo plugin, attivazione newsletter, cambio fornitore cloud). È buona prassi fare una revisione periodica dell’informativa (almeno una volta l’anno).

Sì. Il Garante può attivare controlli d’ufficio oppure in seguito a semplici segnalazioni da parte di utenti o concorrenti. Una privacy policy non conforme può essere considerata una violazione del GDPR, anche in assenza di danno, con sanzioni fino a 20 milioni di euro o il 4% del fatturato globale.

Dipende dal canale di vendita. Se tutto avviene online, l’informativa pubblicata e il tracciamento del consenso (es. checkbox accettazione) possono essere sufficienti. Se usi anche altri canali (es. email, telefono, POS), serve prevedere informative specifiche e raccogliere il consenso anche offline se necessario.

Il controllo spetta al Garante per la protezione dei dati personali, ma può partire anche da autorità europee, utenti o concorrenti. Inoltre, molte piattaforme (es. marketplace, fornitori di pagamento) richiedono documentazione conforme per permettere l’uso dei loro servizi.

Sì. L’informativa deve essere comprensibile per l’utente, quindi nella lingua del Paese in cui vendi. Per i Paesi UE, vale il GDPR, ma possono esserci ulteriori obblighi locali (es. Germania, Francia). È consigliabile adattare linguaggio e struttura alle normative del Paese di destinazione.

Sì. L’informativa privacy è obbligatoria ogni volta che vengono raccolti o trattati dati personali, anche in modo indiretto. Ad esempio, l’indirizzo IP di un visitatore è considerato un dato personale. Se il sito è online e accessibile, è molto probabile che vengano trattati dati anche solo tramite log tecnici o strumenti di analytics.

Assolutamente sì. Strumenti come Google Analytics, Facebook Pixel, Hotjar o simili comportano la raccolta di dati personali (spesso anche da parte di terze parti). Il GDPR impone di informare gli utenti in modo trasparente su chi tratta i loro dati, per quali finalità e su quali basi giuridiche. L’informativa deve menzionare espressamente questi strumenti.

L’informativa deve essere facilmente accessibile in ogni momento (footer permanente) ma anche richiamata puntualmente nei momenti in cui si raccolgono dati (es. moduli di contatto, form di iscrizione, live chat). Non basta un link generico in fondo al sito: serve un’informativa breve o il rinvio all’informativa completa nel contesto in cui avviene il trattamento.

No. Esistono modelli generici, ma l’informativa deve essere personalizzata in base a:

• Finalità specifiche del trattamento
• Tipologie di dati raccolti
• Base giuridica utilizzata (consenso, obbligo legale, contratto, legittimo interesse, ecc.)
• Strumenti tecnici e provider coinvolti
• Modalità di gestione dei diritti degli utenti

Un “copia-incolla” può non solo risultare inutile, ma espone a rischi sanzionatori.

Sì, secondo le Linee Guida dell’EDPB. Un’informativa multilivello garantisce chiarezza e accessibilità, consentendo all’utente di comprendere facilmente finalità, modalità e basi giuridiche del trattamento dei dati.

Costituisce una violazione del GDPR e può determinare sanzioni da parte del Garante. Inoltre, i consensi raccolti in assenza di informativa non sono validi e non possono essere utilizzati per trattamenti successivi.