Quali servizi devono figurare nell'informativa sulla privacy?

Ogni servizio di terzi integrato che tratta dati personali — analisi, pubblicità, font, mappe, chat, CDN, hosting — deve comparire nell'informativa privacy.

L’informativa sulla privacy e il banner di consenso rispondono a due domande diverse. Il banner regola se un servizio possa caricarsi (consenso ai sensi dell’art. 25 TDDDG). L’informativa assolve l’obbligo di informazione dell’art. 13 GDPR: deve nominare anche i servizi che operano su una base diversa dal consenso: hosting, CDN, un filtro antispam lato server, la fornitura dei caratteri. Un servizio che non necessita di banner può comunque dover comparire nell’informativa.

Le indicazioni per ogni servizio seguono uno schema fisso: nome e indirizzo del fornitore, finalità del trattamento, base giuridica (consenso, contratto, legittimo interesse), categorie di dati trattati, periodo di conservazione, se e verso dove i dati sono trasferiti in un paese terzo e su quale base, nonché i diritti degli interessati compresa la revoca. Se manca uno di questi punti, l’informativa è incompleta in quella misura, e ciò costituisce una violazione autonoma sanzionabile, indipendentemente dal fatto che l’integrazione stessa fosse lecita.

L’errore più frequente è l’elenco obsoleto. I servizi si aggiungono tramite plugin, il tag manager o un aggiornamento del tema senza che l’informativa venga adeguata. Al contrario, vi figurano spesso ancora strumenti rimossi da tempo. Un confronto pragmatico: caricare la pagina in una finestra privata, annotare tutti gli host di terze parti nella scheda di rete e confrontarli con l’informativa, almeno dopo ogni modifica rilevante del sito.

È un rischio?

L'art. 13 GDPR richiede indicazioni su finalità, base giuridica, destinatari, periodo di conservazione e trasferimento verso Paesi terzi. Un'informativa privacy incompleta è una violazione autonoma — indipendentemente dal fatto che l'integrazione in sé sia lecita.

Cosa puoi fare

• Creare un elenco completo di tutti i servizi integrati (anche quelli che arrivano tramite un plugin o un tag manager).
• Per ogni servizio: aggiungere fornitore, finalità, base giuridica, periodo di conservazione, Paese destinatario.
• Mantenere aggiornata l'informativa privacy a ogni modifica del sito.
• Confrontare regolarmente se i servizi effettivamente caricati corrispondono all'informativa privacy.

Domande frequenti

Devo inserire nell’informativa anche hosting e CDN?

Sì. Provider di hosting e CDN trattano gli indirizzi IP dei visitatori e sono destinatari ai sensi dell’art. 13 GDPR. Non necessitano di banner di consenso, ma vanno inseriti nell’informativa con finalità, base giuridica ed eventuale trasferimento in un paese terzo.

Basta un generatore di informative?

Come punto di partenza sì. I testi generati coprono servizi standard, ma devono essere adattati agli strumenti effettivamente usati e mantenuti aggiornati. Un generatore non sostituisce né la ricognizione né la verifica legale.

Cosa succede con un’informativa incompleta?

È una violazione autonoma del GDPR ai sensi dell’art. 13 che le autorità di controllo possono sanzionare, anche se il trattamento in sé è lecito. In pratica, prevalgono dapprima avvisi e diffide.

Ogni quanto devo controllare l’informativa?

Dopo ogni modifica che aggiunge o rimuove servizi e, inoltre, con cadenza fissa (ad es. semestrale). Per il controllo di routine è sufficiente confrontare gli host di terze parti caricati nella scheda di rete con l’informativa.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.