Privacy e protezione dei dati

Due cose diverse, e conviene distinguerle subito. La prima è mettere in ordine un sito: cookie, informativa, registro dei trattamenti, fornitori, tempi di conservazione. La seconda è l'incarico di DPO esterno per chi deve nominarlo o vuole comunque qualcuno che se ne occupi.

Prenota una call

Adeguamento di un sito

Il banner dei cookie che funziona

Nessuna traccia prima del consenso, e il rifiuto che vale quanto l’accettazione. Un banner con il solo «Accetta» non è un consenso: è un avviso.

L'informativa scritta per il tuo sito

Quali dati raccogli davvero, dove finiscono, per quanto restano. Non un modello scaricato in cui il nome dell’azienda è l’unica cosa cambiata.

Il registro dei trattamenti del sito

Cosa fa il sito con i dati, un trattamento per riga: form, statistiche, prenotazioni, newsletter. È il documento che serve avere quando qualcuno lo chiede.

I fornitori messi in fila

Chi ospita il sito, chi manda le email, chi conta le visite: ognuno è un responsabile del trattamento e va nominato per iscritto. È la parte che manca più spesso.

Una ragione per ogni campo del modulo

Perché chiedi quel dato: un contratto, un obbligo, un consenso. È la domanda che decide se quel campo può esistere, e viene prima di qualsiasi informativa — un campo senza risposta si toglie, e il modulo converte meglio.

Per quanto lo tieni, e poi cosa

La norma non dà un numero di mesi: lo decidi tu, lo scrivi, e serve che scada davvero. Un archivio che cresce per sempre è la cosa che rende impossibile rispondere a chi chiede la cancellazione.

Su un sito nuovo tutto questo è parte del lavoro: si sceglie nel configuratore del preventivo. Su un sito che esiste già si guarda com'è fatto e si dice cosa manca, prima di toccare niente.

Cosa ti resta in mano

Informativa privacy e cookie policy scritte sul tuo sito, non un modello con il nome cambiato.
Registro dei trattamenti: un foglio per riga, quello che serve avere pronto quando lo chiedono.
Elenco dei fornitori che toccano i dati, con le nomine a responsabile da firmare.
Banner dei cookie configurato: niente parte prima del consenso, e il rifiuto vale quanto il sì.
I tempi di conservazione scritti trattamento per trattamento, e il modo per farli scadere.
Una pagina di istruzioni per te: cosa fare se qualcuno chiede i suoi dati o li vuole cancellati, e in quanto tempo.
Dove serve, la valutazione d’impatto: si fa quando il trattamento è a rischio elevato, non per abitudine.

Cosa guardo su un sito

Sei controlli, sempre gli stessi, in questo ordine. Accanto a ognuno c'è come farlo da solo: non serve niente che non sia già nel tuo browser, e se dopo averli fatti scopri che il tuo sito è in ordine, hai risparmiato una call.

Cosa parte prima del «sì»Sono le richieste che il sito manda a domini di terzi appena si apre: mappe, video, caratteri, statistiche, pulsanti social.Come lo controlli: Strumenti per sviluppatori → scheda Rete, ricarica la pagina senza toccare il banner e ordina per dominio. Ogni nome che non è il tuo è qualcosa da giustificare.
Se il rifiuto vale davveroUn banner con «Accetta» in evidenza e il rifiuto nascosto in un sottomenu non raccoglie un consenso libero, e lo scorrimento della pagina non è un sì.Come lo controlli: Premi «Rifiuta» e ricarica: se i cookie di terzi tornano, il banner è un cartello. Le linee guida del Garante del 2021 dicono che accettare e rifiutare devono costare lo stesso.
Cosa chiedono i moduli, e perchéCampo per campo: nome, telefono, data di nascita, codice fiscale. Ognuno deve avere una ragione, e le spunte già segnate non valgono come consenso.Come lo controlli: Compila il tuo modulo e guarda cosa arriva: se un dato non ti serve per rispondere, non serve chiederlo. Le caselle preselezionate si vedono a occhio.
Dove finiscono i messaggiUn modulo che manda a un servizio esterno oltre che a te: quel servizio tratta dati per conto tuo, quindi è un responsabile e va nominato per iscritto.Come lo controlli: Chiediti chi riceve una copia: la casella di posta, il servizio di newsletter, il gestionale, il CRM. Ognuno è un nome da mettere nel registro.
Chi conta le visite, e con quale IPLe statistiche sono il punto in cui un sito piccolo sbaglia più spesso, perché si installano in un minuto e portano dati fuori.Come lo controlli: Cerca lo script delle statistiche nel sorgente della pagina. Se è di un terzo, il consenso viene prima; se è tuo, guarda se l’indirizzo IP viene salvato intero.
Backup, archivi e vecchi elenchiLa cancellazione vale anche sulle copie: un contatto eliminato dal gestionale ma vivo in un backup di due anni non è cancellato.Come lo controlli: Chiedi al tuo fornitore quante copie tiene e per quanto tempo. È una domanda a cui deve saper rispondere per iscritto.

Come funziona

Una call, gratisMezz’ora per capire cosa raccogli davvero: moduli, prenotazioni, newsletter, gestionali, telecamere. Alla fine sai se il tuo caso è semplice o no, e questo non si paga.
Guardo il sito e gli strumentiFaccio i sei controlli della sezione qui sopra, più quelli che il tuo caso richiede: quali dati partono, verso chi, e cosa succede prima che qualcuno abbia detto sì.
Ti mando una lista scrittaCosa manca, in ordine di urgenza, con accanto il preventivo. È una lista che resta tua: se decidi di fermarti lì, sai comunque dove sei.
Si sistema, e resta sistematoBanner, informativa, registro, nomine dei fornitori, tempi di conservazione. Poi quando il sito cambia — un modulo nuovo, uno strumento nuovo — si aggiorna quello che va aggiornato.

Chi mi chiama, e cosa manca di solito

Quattro tipi di attività, con i trattamenti che hanno quasi sempre e le mancanze che si ripetono. Non sono lavori fatti per qualcuno: se lo fossero, starebbero nella sezione dei lavori con il nome e il link.

Ristoranti, bar, locali

Prenotazioni per modulo o messaggio, newsletter delle serate, wifi per i clienti, telecamere, foto pubblicate sui social.

Di solito manca il collegamento fra il modulo e l’informativa, il cartello delle telecamere fatto come si deve, e il permesso per pubblicare le foto in cui si riconoscono i clienti.

Negozi online

Ordini, pagamenti, spedizioni, carrelli abbandonati, recensioni, resi.

Le nomine dei fornitori che toccano i dati — piattaforma, corriere, chi manda le email — e la ragione per cui si fa marketing: per un ordine la base è il contratto, per la pubblicità serve altro.

Associazioni, sagre, feste

Elenco dei soci, volontari, iscrizioni alle attività, foto della festa, cassa e prevendite.

Quasi tutto, e non per cattiva volontà: l’elenco dei soci è un trattamento come gli altri, e il permesso dei genitori per le foto dei minori è la cosa più dimenticata in assoluto.

Studi e professionisti

Appuntamenti, schede dei clienti, referti, note, fatture.

Qui il quadro cambia: se ci sono dati sulla salute sono dati particolari, servono misure più serie e spesso una valutazione d’impatto. È il caso in cui conviene parlarne prima di toccare qualsiasi cosa.

DPO esterno

L'incarico si valuta caso per caso, perché dipende da cosa tratta l'azienda: prima una call per capire se serve davvero e cosa comporterebbe, poi un preventivo. Comprende quello che l'articolo 39 del GDPR assegna al DPO — informare e dare pareri, sorvegliare l'osservanza, fare da punto di contatto con il Garante e con le persone i cui dati sono trattati — e nient'altro presentato come di più.

In concreto, su un anno di incarico: un'analisi iniziale scritta, la revisione dei documenti quando qualcosa cambia, la disponibilità per le domande che arrivano durante l'anno, l'indirizzo pubblicato come punto di contatto, e la gestione delle richieste delle persone insieme a chi le riceve. Se c'è una violazione, si lavora sulle 72 ore della sezione qui sotto.

Una cosa detta prima di cominciare: se l'incarico serve solo per avere un nome da scrivere nel registro, non sono la persona giusta. Un DPO che non guarda niente è un costo che peggiora la posizione dell'azienda invece di migliorarla, perché documenta che qualcuno doveva guardare.

Cosa dice la norma, in pratica

Gli articoli che tornano in ogni discorso, con accanto cosa significano su un sito vero. Sono citati per numero perché si possano controllare: è una descrizione del regolamento, non un parere sul tuo caso.

Articolo	Cosa dice	Cosa vuol dire per te
Art. 5	Principi: raccogli il minimo, per uno scopo dichiarato, e non tenerlo per sempre.	Ogni campo in più su un modulo è un dato da proteggere, spiegare e cancellare. Toglierlo è gratis.
Art. 6	Sei basi giuridiche possibili, e il consenso è solo una: contratto, obbligo di legge, interesse legittimo, e le altre.	Per gestire un ordine il consenso non serve: la base è il contratto. Chiederlo dove non serve non è uno scrupolo in più, è un errore — perché il consenso si revoca.
Art. 12-13	L’informativa va data al momento della raccolta, in forma comprensibile.	Una pagina scritta sul tuo sito, e un link accanto al modulo — non solo in fondo alla home.
Art. 15-22	I diritti: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione.	Vanno soddisfatti entro un mese, prorogabile di due. Per farlo devi sapere dove sono i dati: è il motivo per cui il registro serve a te prima che al Garante.
Art. 28	Chi tratta dati per conto tuo è un responsabile, e serve un atto scritto con contenuti minimi.	Hosting, servizio email, gestionale, agenzia: ognuno firma. Quasi tutti hanno già il modulo pronto.
Art. 30	Registro delle attività di trattamento. L’esenzione sotto i 250 dipendenti non vale se il trattamento non è occasionale o se ci sono dati particolari.	Per un’attività con clienti abituali e un sito, in pratica va tenuto.
Art. 32	Misure tecniche e organizzative adeguate al rischio.	HTTPS, un accesso per persona, password non condivise, aggiornamenti, e un backup che qualcuno ha provato a ripristinare almeno una volta.
Art. 33-34	Violazione dei dati: notifica al Garante entro 72 ore quando c’è un rischio, e avviso alle persone se il rischio è elevato.	Le 72 ore partono da quando te ne accorgi. La differenza la fa averlo deciso prima: vedi la sezione dopo.
Art. 35	Valutazione d’impatto quando il trattamento presenta un rischio elevato.	Non serve per un modulo contatti. Serve per profilazione su larga scala, dati sulla salute, sorveglianza sistematica.
Art. 37-39	Quando il DPO è obbligatorio, la sua posizione e i suoi compiti.	I tre casi sono nelle domande qui sotto, i compiti nella sezione del DPO esterno.

Se succede un guaio: 72 ore

È l'unica parte del regolamento con un cronometro: quando c'è una violazione dei dati e comporta un rischio, la notifica al Garante va fatta entro 72 ore da quando te ne accorgi. Non è una scadenza che si rispetta improvvisando, ed è anche l'unica cosa che si può preparare adesso, quando non serve.

Chi si accorge del guaio, e a chi lo dice. Un nome, non «l’ufficio».
Cosa è successo, quando, quanti dati e quali persone: senza questo la notifica non si può nemmeno scrivere.
Dove sono i log che lo dimostrano, e per quanto tempo restano.
Chi decide se c’è un rischio e quindi se si notifica: la decisione va motivata per iscritto anche quando è «no».
Cosa si scrive alle persone coinvolte, se il rischio è elevato — e in che ordine si avvisano.

Le cinque righe qui sopra sono un foglio di due pagine, non un progetto. Farlo prima costa un'ora; farlo dopo significa scrivere una notifica mentre si cerca ancora di capire cosa è successo.

Guarda com'è fatto questo sito

Il modo più rapido di capire come lavoro è controllare come è fatto il posto in cui stai leggendo. Sono cinque cose, tutte verificabili in un minuto con i controlli della sezione di sopra.

Nessun cookie di analisi. Nemmeno dopo il consenso.

Le visite si contano sul server e l’indirizzo IP viene troncato prima di essere salvato. La scelta sul banner sta nel tuo browser, non in un cookie che gira.

Nessuno script di terze parti

I caratteri arrivano da questo dominio, non da Google: aprendo gli strumenti per sviluppatori non parte una richiesta verso nessun altro, quindi il tuo IP non lo riceve nessuno per leggere la pagina.

La prenotazione delle call è dentro il sito

Nessun servizio esterno con i suoi cookie e i suoi trasferimenti: l’appuntamento finisce nello stesso database del resto.

Anche la pubblicità si misura senza tracciare

Da dove arriva un contatto si legge dal link e resta sulla riga della visita. Nessun identificativo che segue una persona da un giorno all’altro.

Un contatto si cancella con un clic

I messaggi ricevuti stanno in un database nostro e si eliminano dal pannello: il diritto alla cancellazione è una cosa che si fa, non una frase in un’informativa.

Quanto costa

Se il sito lo faccio io, l'adeguamento è una voce del preventivo e la cifra la vedi da solo nel configuratore, insieme al resto. Su un sito che esiste già dipende da cosa c'è dentro: prima la lista scritta, poi il prezzo — e la lista arriva dopo la call, che non si paga.

L'incarico di DPO esterno si valuta caso per caso e si preventiva dopo aver guardato cosa tratta l'azienda. Nessun canone deciso prima di sapere su cosa.

Le parole che userò

Sette termini che tornano in ogni discussione su questo tema. Li uso sempre in questo senso, e se in una call te ne dico uno che non è qui dentro, fermami.

Titolare del trattamento: Chi decide perché e come i dati vengono usati: la tua azienda. La responsabilità resta qui, e non si delega a nessuno.
Responsabile del trattamento: Chi tratta i dati per conto tuo seguendo le tue istruzioni: l’hosting, il servizio email, il gestionale. Va nominato per iscritto.
Trattamento: Qualunque cosa si faccia con un dato: raccoglierlo, salvarlo, guardarlo, mandarlo a qualcuno, cancellarlo. Anche solo conservarlo è un trattamento.
Base giuridica: La ragione per cui puoi usare quel dato. Sono sei e il consenso è solo una: spesso quella giusta è il contratto o un obbligo di legge.
Dati particolari: Salute, convinzioni religiose o politiche, orientamento sessuale, dati biometrici, appartenenza sindacale. Cambiano il quadro: più misure, più attenzione.
Registro dei trattamenti: L’elenco di cosa fai con i dati, una riga per attività: perché, quali dati, chi li vede, per quanto, dove stanno. È il documento che rende possibile tutto il resto.
Valutazione d’impatto (DPIA): Un’analisi scritta dei rischi, obbligatoria quando il trattamento è a rischio elevato. Non serve per un modulo contatti.

Domande

La mia azienda deve avere un DPO?: L'articolo 37 del GDPR lo rende obbligatorio in tre casi: se il trattamento è svolto da un'autorità o da un organismo pubblico; se l'attività principale comporta un monitoraggio regolare e sistematico di persone su larga scala; se l'attività principale comporta il trattamento su larga scala di dati particolari (salute, convinzioni, dati giudiziari). Fuori da questi casi è facoltativo, e nominarlo resta una scelta che si valuta guardando cosa fa l'azienda. Questa è una descrizione della norma, non un parere legale.
Il DPO risponde al posto mio se qualcosa va storto?: No, e chi lo lascia credere fa un favore a nessuno. Il DPO informa, sorveglia, dà pareri e fa da punto di contatto con il Garante (articoli 38 e 39). La responsabilità del trattamento resta del titolare, cioè dell'azienda. Un DPO serve a sapere prima quello che altrimenti si scopre dopo.
Serve sempre il consenso?: No, ed è l'equivoco più diffuso. Le basi giuridiche sono sei (articolo 6): per gestire un ordine basta il contratto, per conservare le fatture c'è un obbligo di legge. Il consenso serve dove non c'è altra base — la newsletter promozionale, i cookie non tecnici — e ha una caratteristica scomoda: si può revocare quando si vuole. Chiederlo dove non serviva significa rendere revocabile una cosa che poteva stare in piedi da sola.
Posso mandare la newsletter ai clienti che ho già?: A certe condizioni sì, ed è una delle poche scorciatoie legittime: il Codice privacy italiano (articolo 130, comma 4) permette di scrivere a chi ti ha già comprato qualcosa per proporgli prodotti o servizi analoghi, se glielo hai detto quando hai raccolto l'indirizzo e se in ogni messaggio può dire basta. Fuori da lì serve il consenso. Vale la pena guardarlo caso per caso invece di applicarlo a memoria.
Per quanto tempo devo tenere i dati?: Non c'è un numero uguale per tutti: la norma dice che il tempo lo decidi tu in base allo scopo, lo scrivi, e poi lo rispetti. Su alcune cose sono altri obblighi a decidere — le fatture, per esempio. La parte difficile non è scegliere il termine: è fare in modo che scada davvero, backup compresi.
Quanto tempo ci vuole?: L'analisi di un sito piccolo è questione di un paio di giorni, e la lista scritta arriva prima del preventivo. I documenti dipendono da quanti trattamenti ci sono davvero: un modulo contatti e una newsletter sono una cosa, un gestionale con le schede dei clienti è un'altra. L'incarico di DPO invece non è un lavoro che finisce: è continuativo per definizione.
Devo cambiare gestionale, hosting o piattaforma?: Quasi mai. Si guarda cosa c'è e si mette in ordine intorno. Ci sono due casi in cui invece bisogna dirlo: se un fornitore non firma la nomina a responsabile, e se porta i dati fuori dallo Spazio economico europeo senza garanzie valide. In quei due casi il problema è il fornitore, e continuare a far finta che vada bene costa più che cambiarlo.
Cosa succede se arriva un controllo?: Chiedono i documenti: registro dei trattamenti, informative, nomine dei responsabili, misure di sicurezza, e la dimostrazione che le cose scritte corrispondono a quelle fatte. Averli pronti è metà del lavoro. L'altra metà è che descrivano il tuo lavoro vero: un registro copiato da un altro settore è peggio di un registro corto.
Fai anche consulenza legale?: No: non sono un avvocato, non scrivo pareri legali e non assisto in giudizio. Quello che faccio è tecnico e organizzativo — guardare come funziona un sito o un processo, dire cosa non torna, scrivere i documenti che lo descrivono e sistemare la parte tecnica. Dove serve un legale lo dico, invece di improvvisare.

Cosa non faccio

Pareri legali, contratti da avvocato, assistenza in giudizio o davanti al Garante come difensore.
Bollini di conformità: non esiste un timbro che «mette a norma» un’azienda, e chi lo vende sta vendendo un’altra cosa.
Garanzie di risultato. Si mette in ordine quello che si vede e si scrive per iscritto cosa resta aperto.
L’incarico di DPO solo per avere un nome nel registro: un DPO che non guarda niente peggiora la posizione dell’azienda invece di migliorarla.
Copie dei tuoi archivi sul mio computer: guardo quello che serve, dove sta, e non mi porto via niente.

Vuoi capire da dove partire? Prenota una call — la prima call serve a questo, e non si paga.