Introduzione

Il sito di una PMI raccoglie dati anche quando "è solo una vetrina". Un form. Una mail in copia. Un pixel. Una newsletter. Un hosting fuori dall'UE. Non ti serve un dipartimento legale per vedere cosa succede. Ti serve guardare il sito come lo guarda un visitatore, e scrivere quello che fai davvero.

Questa non è consulenza legale. Non sostituisce un avvocato o un DPO. È una checklist operativa: cosa deve esserci sul sito, cosa deve tornare vero, e dove la gente copia testi che non descrivono nulla.

Qui: informativa allineata alla realtà, cookie e banner secondo il Garante, form, newsletter, hosting fuori UE, responsabili, e il minimo su un data breach.

Non è un parere legale. Il GDPR e il Codice privacy si applicano al caso concreto. Qui trovi il minimo da mettere in ordine sul sito, perché senza quello anche il parere arriva tardi.

Se vuoi vedere come teniamo i testi su questo sito: privacy e termini. Se usi analytics, la guida dedicata è privacy e analytics sul sito.

Cosa conta sul sito (e cosa è teatro)

Il Regolamento UE 2016/679 (GDPR) chiede, in sintesi, tre cose che un sito rende visibili:

Dire alle persone quali dati prendi, perché, per quanto, a chi li dai.
Chiedere il consenso quando serve (cookie non tecnici, newsletter, certi form).
Poter dimostrare che lo hai fatto, e saper rispondere se qualcuno chiede i suoi dati o se qualcosa esce.

Il teatro è il contrario: banner che copre lo schermo e non si può rifiutare, informativa di un'altra azienda, "ci riserviamo ogni uso futuro", form che finisce in una casella condivisa senza scadenza.

Se l'informativa dice una cosa e il form ne fa un'altra, non hai un problema di copy. Hai un trattamento che non hai descritto.

Informativa: deve descrivere questo sito, non "un sito"

L'informativa (privacy policy) è il testo in cui il titolare dice chi è e cosa fa con i dati. Articoli 13 e 14 del GDPR, in pratica: identità, finalità, base giuridica, destinatari, tempi, diritti, dove reclamare.

Sul sito di una PMI il minimo utile è una pagina raggiungibile da ogni schermata. Footer. Link nel form. Link nel banner. Non un PDF sepolto.

Cosa deve esserci, in italiano leggibile

Cosa deve esserci in informativa

Titolare: ragione sociale, sede, P.IVA, contatto (email dedicata o PEC)
Quali dati: form, mail, log tecnici, cookie, eventuali account
Perché: risposta a una richiesta, invio preventivo, newsletter, sicurezza del sito
Base: contratto/misure precontrattuali, legittimo interesse, consenso, obbligo di legge
Chi li vede: interni, hosting, email provider, newsletter, analytics se ci sono
Per quanto: un tempo vero, non "il tempo necessario" da solo
Trasferimenti extra-UE, se il provider è fuori o usa data center fuori
Diritti: accesso, rettifica, cancellazione, opposizione, reclamo al Garante

"Tempo vero" significa un numero o un criterio. Esempio: "le richieste dal form si cancellano dopo 24 mesi dall'ultima risposta, salvo obblighi contabili". Non è poesia. È una regola che qualcuno in azienda può applicare.

Allineamento con la realtà

Apri il sito. Elenca i punti in cui un dato entra:

form contatto, preventivo, candidatura
mailto e WhatsApp se li metti come canale
iscrizione newsletter
commenti, area riservata, e-commerce
chat di terze parti
pixel, tag manager, heatmap, recaptcha, font da CDN, video embed

Ogni riga o sta in informativa, o la togli. Non esiste "è solo un widget".

Copiare l'informativa di un concorrente, o un modello con titolare sbagliato, è peggio di un testo corto e vero. Il Garante legge il tuo sito, non le tue intenzioni.

Se cambi hosting, tool di mail o analytics, aggiorni la pagina. Non "quando rifacciamo il sito".

Il Garante Privacy ha linee guida su cookie e tracciamento (provvedimento 10 giugno 2021) e FAQ dedicate. La sintesi operativa, non il parere:

Cookie tecnici (sessione, preferenze di lingua, carrello, sicurezza): informativa, non serve il consenso preventivo.
Analytics e marketing, pixel, profilazione: consenso prima di attivarli. Default: spenti.
Se usi solo cookie tecnici, puoi dirlo in pagina o nell'informativa. Non sei obbligato a un banner da agenzia.

Dire in breve che usi tecnici e, solo col consenso, gli altri.
Lasciare chiudere senza accettare (la X: restano i default, cioè niente non-tecnici).
Offrire accetta, rifiuta o scelte analitiche (categorie, terze parti), e un modo per cambiare idea dopo. Il footer con "gestisci cookie" è la prassi utile.

Non vale: scroll = consenso. Non vale: "continua a navigare". Non vale: solo "Accetta" enorme e "maggiori info" minuscolo. Non vale: rimostrare il banner ogni due giorni a chi ha già detto no.

Le linee guida del Garante (10 giugno 2021) e la scheda di sintesi sono il riferimento italiano. Non il blog di un plugin. Leggi quelle, poi configura lo strumento.

Situazione	Banner?	Cosa fare
Solo cookie tecnici	Di solito no	Informativa chiara in pagina o in privacy
Analytics non anonimizzato / ads	Sì, prima	Blocca i tag finché non c'è un sì
Font, video, mappe che settano cookie	Valuta	Spesso servono consenso o alternative tecniche

Se l'analytics è il tuo unico extra, leggi privacy e analytics sul sito prima di incollare un ID di Google e sperare.

Un banner che non può dire no non è un banner. È un ostacolo. Il Garante lo ha scritto in chiaro.

Form di contatto: il pezzo che quasi tutti hanno

Nome, email, telefono, messaggio. A volte allegato. È un trattamento. Piccolo. Reale.

Cosa decidere, per iscritto

Quali campi. Telefono obbligatorio "perché così li richiamiamo" è una scelta. Se non lo usi, non lo pretendere. Dato minimo: quello che ti serve per rispondere.
Dove finisce. Inbox di una persona, CRM, foglio Excel, helpdesk. L'informativa deve nominare la destinazione in modo comprensibile (email aziendale, gestionale X), non "i nostri sistemi".
Chi legge. Una casella info@ letta da tre persone è già un perimetro. Una casella inoltrata sul Gmail personale del titolare è un altro perimetro, e va detto se i dati escono così.
Quanto resta. Dopo la pratica chiusa, quanto tieni il thread? Sei mesi? Due anni? "Per sempre nella inbox" non è una policy. È accumulo.
Base giuridica. Di solito: misure precontrattuali o legittimo interesse a rispondere a una richiesta spontanea. Se usi quei dati per una newsletter, quello è un altro trattamento. Serve un sì a parte.

Checkbox "ho letto l'informativa" è utile. Non sostituisce il link visibile. Non è, da sola, il consenso al marketing.

Se il form invia una mail in chiaro a una casella piena di inoltri, il rischio non è il GDPR in astratto. È quella inbox inoltrata, gli inoltri sbagliati, il telefono perso. Riduci campi, riduci copie, metti una scadenza.

Allegati: CV e documenti d'identità non sono "un campo in più". Sono categorie che vuoi solo se stai davvero selezionando o identificando. Altrimenti togli l'upload.

Iscrivere al bollettino chi ha solo chiesto un preventivo è il classico salto. Due finalità. Due basi. Due testi.

Per la newsletter, in pratica:

checkbox non pre-spuntata, o un form dedicato
spiegazione di cosa arriva e quanto spesso, senza poesia
link per disiscriversi in ogni invio, che funziona
lista presso un provider che sai nominare (e che sta in informativa)
niente comprare liste. Mai.

Se usi un SaaS di mailing, quel SaaS è un responsabile del trattamento. Serve un contratto (DPA) e il nome in informativa. Se i server sono fuori UE, vale il paragrafo sui trasferimenti.

Form contatto

Rispondere a una richiesta
Conservazione della pratica
Non è una lista marketing

Consenso specifico
Disiscrizione vera
Provider nominato in informativa

Hosting fuori dall'UE

"Il sito è in Italia" non si decide dal dominio .it. Si decide da dove stanno i server, chi è il contratto, e se quel fornitore sposta copie negli Stati Uniti o altrove.

Casi tipici:

hosting europeo, società UE: il più lineare da descrivere
CDN globale, object storage, email transazionale, analytics USA
"regione Francoforte" ma gruppo extra-UE che può accedere

Il GDPR (capo V) non vieta i trasferimenti. Li condiziona: decisione di adeguatezza, clausole contrattuali, e una descrizione in informativa. Non inventare "i dati non escono mai dall'Italia" se Cloudflare, Amazon o Google sono nel percorso.

Chiedi al provider dove stanno i dati e se c'è un DPA. Se non sanno rispondere, è già un segnale. La pagina privacy del sito deve poter ripetere quella risposta.

Non è un motivo per non usare un cloud serio. È un motivo per non copiare "nessun trasferimento extra-UE" da un template.

Responsabili: chi tratta per conto tuo

Il titolare sei tu (la ditta, la società). Il responsabile è chi tratta i dati sulle tue istruzioni: hosting, newsletter, CRM, assistenza, studio che gestisce le pec del form.

Articolo 28, in terra: contratto scritto, istruzioni, sicurezza, divieto di usare i dati per i fatti loro, aiuto in caso di diritti e di breach.

Elenco da tenere aggiornato (anche in un foglio)

Hosting / piattaforma del sito
DNS e CDN, se separati
Casella email e, se diverso, form-to-mail
Strumento newsletter
Analytics, tag manager, recaptcha, chat
Backup del sito, se è un altro fornitore

Quell'elenco alimenta l'informativa. Se un nome non è in lista, o non lo usi, o l'hai dimenticato. La seconda è la più frequente.

I dipendenti che leggono il form non sono "responsabili" in senso GDPR. Sono persone autorizzate. Devono sapere di non inoltrare la inbox sul gruppo WhatsApp.

Data breach: il minimo prima che succeda

Violazione: dati personali persi, rubati, divulgati, o resi illeggibili senza averlo deciso tu. Sul sito: form svuotato da un attacco, inbox violata, backup esposto, plugin che manda i lead a terzi.

Il Garante spiega la procedura. Sintesi operativa:

Sapere che è successo. Log, avviso del provider, cliente che riceve una mail strana. Senza monitoraggio, il termine parte quando "ne vieni a conoscenza" e tu non lo sai. È il peggior mondo.
Capire se c'è rischio per le persone. Non ogni incidente è da notifica. Ma "vediamo se passa" non è una valutazione.
Notifica al Garante, se il rischio non è improbabile: senza ritardo ingiustificato, ove possibile entro 72 ore dalla conoscenza. Oltre, spieghi il ritardo. Canale: procedura telematica, non una pec inventata.
Comunicare agli interessati se il rischio è alto (password in chiaro, dati finanziari, dati che espongono qualcuno).
Il responsabile (hosting, SaaS) ti avvisa. Tu resti titolare della notifica.

Le 72 ore non sono "tre giorni per decidere se ci va di dire". Partono dalla conoscenza dell'incidente. Avere un contatto interno e i log del form non è burocrazia. È l'unico modo per non arrivare già in ritardo.

Prima del fatto, ti basta poco:

chi chiama se il sito o la mail "fanno cose strane"
dove sta l'elenco dei trattamenti del sito (form, liste, backup)
dove sta la pagina del Garante, già salvata
i contratti con hosting e mail, con i recapiti di incident

Non è un piano da multinazionale. È non scoprire il modulo il venerdì sera.

Form, cookie e hosting del sito non tornano con l'informativa? Parliamone

Una passeggiata sul tuo sito, in un'ora

Fai questo giro. Tieni un foglio. Ogni "non lo so" è un punto da chiudere.

Footer: c'è il link a privacy? A cookie, se hai un banner? Funzionano da mobile?
Informativa: il titolare è giusto? L'email esiste? I tool elencati sono quelli veri?
Form: campi, destinazione, checkbox, link all'informativa. Invia un test. Dove arriva? Chi altro lo vede?
Newsletter: iscriviti. Arriva la mail? Il link di uscita funziona? Eri già in lista da un form vecchio?
Banner: a freddo, in finestra anonima. Puoi chiudere senza accettare? I tag partono prima del sì? Controlla la rete del browser, non la sensazione.
Hosting e mail: contratto, regione, DPA. Una riga in informativa che non sia falsa.
Chi cancella un interessato se lo chiede? Mail, form, lista. Un nome, non "vediamo".

Il minimo GDPR sul sito è questo: testi veri, consensi veri, destinazioni note, un modo per cancellare. Il resto è profondità, non vetrina.

Errori comuni

Informativa con titolare inesistente. Plugin che lascia Company Name. Si sistema in mezz'ora. Si lascia per mesi.
Banner senza tracciamenti. Se non profili, spegni il teatro. Basta dire i cookie tecnici.
Form che iscrive alla newsletter in silenzio. Checkbox nascosto o pre-spuntato: trattamento senza base.
"Siamo una PMI." Non c'è una soglia "sotto i dieci dipendenti il form è libero". Proporzionale non significa zero.
Hosting "è incluso". Esiste. Ha un nome. Va nel foglio dei responsabili.
Breach: non diciamo niente. Se scatta l'obbligo, il silenzio è un secondo problema. Canale Garante, con i fatti.

Checklist finale

Il minimo sul sito, da spuntare

Pagina privacy in footer, titolare vero, contatto che risponde
Elenco trattamenti allineato a form, mail, cookie, widget
Tempi di conservazione scritti in modo applicabile
Banner solo se ci sono tracciamenti; X e rifiuto; tag bloccati prima del consenso
Form: campi minimi, destinazione nota, no marketing silenzioso
Newsletter: consenso, disiscrizione, provider in informativa
Hosting e SaaS: DPA, extra-UE dichiarato se c'è
Foglio dei responsabili aggiornato
Chi gestisce una richiesta di accesso o cancellazione
Chi fa cosa nelle prime ore di un incidente; link Garante già noto

Se un collega può leggere l'informativa e riconoscere il sito vero — form, mail, tool — sei sopra la media. Il passo dopo è tenerla aggiornata quando cambi un fornitore.

Conclusione

Sul sito di una PMI il GDPR non è un certificato da appendere. È l'informativa che descrive i pezzi veri, un banner solo se tracci, un form con una destinazione e una scadenza, una newsletter con un sì, e i nomi di chi tiene i server. Il breach si affronta prima, con un recapito e un foglio, non dopo con il panico.

I testi ufficiali stanno dal Garante. I nostri, come esempio di pagine vive e linkate dal sito, sono in legal. Per la parte analytics, privacy e analytics.

Quando i testi e i tool non coincidono, si sistemano i tool o si sistemano i testi. Non si aggiunge un paragrafo vago.

Vuoi allineare informativa, form e cookie del sito a quello che succede davvero? Contattaci

Risorse utili (autorevoli):

Garante per la protezione dei dati personali — Autorità italiana
Regolamento UE 2016/679 — testo e materiali sul GDPR
FAQ Cookie — Garante — banner, informativa, consenso
Linee guida cookie e tracciamento, 10 giugno 2021 — provvedimento
Data breach — Garante — 72 ore, comunicazione, cosa fare
Notifica telematica data breach — canale ufficiale di notifica

GDPR sul sito di una PMI: checklist pratica