Informativa sulla privacy conforme all'UE

Se il vostro sito web raccoglie dati da persone nell'Unione Europea (UE), avrete bisogno di un'informativa sulla privacy che soddisfi i rigorosi standard regionali.

Il panorama giuridico europeo è costituito principalmente dal Regolamento generale sulla protezione dei datiGDPR), dalla Direttiva ePrivacy (talvolta indicata come "Legge europea sui cookie") e da normative più recenti come la Legge europea sull'intelligenza artificiale.

In questa guida spiego cosa rende un'informativa sulla privacy conforme all'UE, come queste leggi chiave la influenzano, cosa includere e dove pubblicarla.

Vi mostrerò anche come gli strumenti di Termlyrendano più facile crearne uno che abbia tutte le carte in regola.

Indice dei contenuti

1. Che cos'è un'informativa sulla privacy conforme all'UE?
2. Leggi e regolamenti dell'UE che hanno un impatto sulle politiche sulla privacy
3. Cosa contiene un'informativa sulla privacy conforme all'UE
4. Dove pubblicare l'informativa sulla privacy dell'UE
5. Informativa sulla privacy dell'UE e informativa sui cookie: Perché sono necessarie entrambe
6. Come Termly aiuta le aziende a creare un'informativa sulla privacy conforme all'UE

Che cos'è un'informativa sulla privacy conforme all'UE?

Un'informativa sulla privacy conforme all'UE spiega come la vostra azienda raccoglie, utilizza, archivia e protegge i dati personali degli individui nell'Unione Europea.

Si tratta di un requisito legale previsto dal GDPR, concepito per dare alle persone trasparenza e controllo sui propri dati personali.

Per soddisfare gli standard del GDPR , la vostra politica sulla privacy deve includere chiaramente:

Inoltre, l'informativa deve essere scritta in un linguaggio semplice e comprensibile ed essere accessibile ovunque vengano raccolti i dati (come le pagine di iscrizione o i banner dei cookie).

Leggi e regolamenti dell'UE che hanno un impatto sulle politiche sulla privacy

Diverse normative dell'Unione Europea determinano il modo in cui le aziende gestiscono i dati personali e ciò che deve figurare nelle loro informative sulla privacy. Di seguito sono elencate le principali leggi e norme da conoscere per la creazione di un'informativa sulla privacy conforme all'UE.

GDPR

Il Regolamento generale sulla protezione dei dati (GDPR) è il fondamento della legislazione europea sulla privacy dei dati. Si applica a qualsiasi organizzazione che tratta i dati personali di persone nell'UE, anche se l'azienda stessa ha sede al di fuori dell'Europa.

Ai sensi del GDPR, la vostra informativa sulla privacy deve spiegare chiaramente:

• Quali dati personali raccogliete e perché
• La vostra base legale per il trattamento di tali dati (ad esempio, consenso o interesse legittimo)
• Per quanto tempo lo conservate e con chi lo condividete
• Come gli utenti possono esercitare i loro diritti, come l'accesso, la correzione o la cancellazione dei loro dati
• L'informativa deve inoltre descrivere i dati di contatto del responsabile del trattamento dei dati e, se del caso, del responsabile della protezione dei dati.
• Ricordate che la trasparenza GDPR si applica sia alla raccolta diretta che a quella indiretta dei dati: i responsabili del trattamento devono fornire una notifica anche quando ottengono i dati da terzi.

Il GDPR richiede anche che la vostra politica sia scritta in un linguaggio chiaro e semplice, in modo che chiunque possa capire facilmente come vengono trattati i loro dati.

Legge UE sui cookie

La legge europea sui cookie, formalmente nota come direttiva ePrivacy, regola le modalità di utilizzo dei cookie e di tecnologie di tracciamento simili sui siti web.

La Direttiva ePrivacy integra il GDPR per garantire agli utenti un controllo significativo sul tracciamento online.

È importante notare che la Direttiva ePrivacy viene attuata attraverso le leggi nazionali (ad esempio, il TTDSG della Germania, la legge sulle telecomunicazioni del Belgio, ecc.

Per essere conformi, è necessario

• Informare gli utenti sui tracker online (ad esempio i cookie) utilizzati e sulle loro funzioni.
• Ottenere un consenso preventivo e inequivocabile prima di inserire qualsiasi cookie o tracker non essenziale (come i tracker analitici o pubblicitari)
• Dare agli utenti la possibilità di accettare o rifiutare i cookie o i tracker in qualsiasi momento.
• I cookie non essenziali devono rimanere inattivi fino a quando non viene fornito esplicitamente il consenso.

L'informativa sulla privacy dovrebbe essere collegata o includere una sezione sui cookie che spieghi questi dettagli, e molti siti web la abbinano a un banner dedicato all 'informativa sui cookie o al consenso.

Legge UE sull'AI

La legge dell'UE sull'intelligenza artificiale (AI) è una normativa più recente che mira a garantire che i sistemi di AI siano sviluppati e utilizzati in modo responsabile. Sebbene si rivolga principalmente alle applicazioni di IA ad alto rischio, ha anche un impatto sulla trasparenza del trattamento dei dati.

Se la vostra azienda utilizza l'IA per prendere decisioni, analizzare il comportamento o personalizzare le esperienze, la vostra informativa sulla privacy deve essere resa nota:

• Quando e come vengono utilizzati i sistemi di IA
• Se il sistema di intelligenza artificiale è utilizzato per il riconoscimento delle emozioni o la categorizzazione biometrica
• Se il sistema di IA genera contenuti "deep fake" o manipola testi di interesse pubblico, dovete dichiarare che il contenuto è generato artificialmente.
• Su quali dati si basano
• Quali misure adottate per garantire l'equità e la supervisione umana e i vostri meccanismi di revisione umana.

L'aggiunta di una breve dichiarazione sull'uso dell'IA aiuta a dimostrare la responsabilità e si allinea ai principi di trasparenza dell'AI Act.

IAB TCF v2.2

Il Transparency and Consent Framework (IAB TCF v2.2) dell'Interactive Advertising Bureau è un quadro volontario progettato per aiutare gli editori e gli inserzionisti a gestire il consenso degli utenti in conformità con il GDPR e la direttiva ePrivacy.

La partecipazione al TCF può semplificare i flussi di lavoro per la conformità degli ad-tech, ma non garantisce di per sé la conformità alle leggi sulla protezione dei dati.

Le aziende che utilizzano annunci online o collaborano con partner di tecnologia pubblicitaria possono utilizzare il TCF per standardizzare le modalità di raccolta e condivisione del consenso.

Termly supporta questo quadro, aiutando i siti web a visualizzare i banner dei cookie e a registrare un consenso valido in linea con gli standard IAB.

SOC2

Il SOC 2 (Service Organization Control 2) è un altro standard di attestazione volontario statunitense e non è un requisito legale nell'UE.

Tuttavia, tale quadro può rafforzare la fiducia e dimostrare come le aziende gestiscono i dati dei clienti sulla base di cinque "principi di fiducia":

• Sicurezza
• Disponibilità
• Integrità dell'elaborazione
• Riservatezza
• La privacy

Anche se non è richiesta per legge nell'UE, la certificazione SOC 2 dimostra che le pratiche di gestione dei dati sono solide. L'inclusione di SOC 2 o di misure di sicurezza simili nella vostra informativa sulla privacy può aumentare la fiducia degli utenti, soprattutto per le aziende SaaS e quelle che si basano sui dati.

Cosa contiene un'informativa sulla privacy conforme all'UE

Di seguito sono riportati gli elementi chiave che ogni informativa sulla privacy dell'UE dovrebbe includere.

Introduzione

L'introduzione dell'informativa sulla privacy dà il tono della trasparenza e aiuta gli utenti a capire chi siete, cosa copre l'informativa e come contattarvi per i loro dati.

Come minimo, dovrebbe:

• Identificate il nome e l'indirizzo della vostra organizzazione.
• Spiegare lo scopo e l'ambito della politica
• Includere la data di entrata in vigore
• Indicare il nome del responsabile del trattamento dei dati e fornire un'e-mail di contatto per le domande sulla privacy.
• Per i responsabili del trattamento non appartenenti all'UE soggetti al GDPR (ovvero all'articolo 3, paragrafo 2, del GDPR), includere i dati di contatto del proprio rappresentante nell'UE in conformità all'articolo 27 del GDPR.

Di seguito riportiamo l'Informativa sulla privacy diTermly, che dimostra come comunicare queste informazioni in modo chiaro e accessibile.

Questo tipo di introduzione fornisce subito agli utenti un contesto essenziale. Mantenere un linguaggio semplice e diretto aiuta a soddisfare gli standard di trasparenza GDPR e a creare fiducia fin dalla prima riga.

Base giuridica per la raccolta e l'elaborazione dei dati

Ai sensi del GDPRogni organizzazione che raccoglie o elabora dati personali di residenti nell'UE deve identificare una base legittima per farlo.

Le sei basi giuridiche previste dal GDPR sono:

• Consenso: L'individuo ha dato il suo chiaro consenso al trattamento dei suoi dati per uno scopo specifico, come l'iscrizione a una newsletter.
• Contratto: il trattamento dei dati è necessario per adempiere a un contratto, come la fornitura di un prodotto o servizio acquistato.
• Obbligo legale: Siete obbligati per legge a trattare i dati (ad esempio per la tenuta dei registri fiscali o del lavoro).
• Interessi legittimi: Avete un motivo commerciale valido per trattare i dati che non prevalga sui diritti dell'utente (ad esempio, prevenire le frodi o migliorare la funzionalità del sito web). Deve essere "articolato in modo chiaro e preciso" e "reale e attuale, non speculativo".
• Interessi vitali: Il trattamento è necessario per proteggere la vita di una persona (raro nella maggior parte dei contesti aziendali).
• Compito pubblico: Il trattamento è necessario per svolgere un compito di interesse pubblico (di solito si applica alle organizzazioni governative).

Quando scrivete la vostra politica sulla privacy, specificate quali di queste basi si applicano a ciascun tipo di dati raccolti e perché.

La prassi migliore è quella di collegare ogni finalità di trattamento a una specifica base giuridica (ad esempio, l'iscrizione alla newsletter al consenso, gli acquisti al contratto, ecc.)

Ad esempio, l'Informativa sulla privacy di Spotify elenca chiaramente le basi giuridiche su cui si basa il trattamento dei dati. Di seguito ne riportiamo un estratto.

Questo esempio mostra come sia possibile raggruppare le attività di trattamento sotto diverse basi legali, mantenendo un linguaggio conciso e di facile comprensione.

Quali dati raccogliere

Una pietra miliare della GDPR è la trasparenza sui tipi di dati raccolti.

La vostra politica sulla privacy deve elencare chiaramente le categorie di dati personali che trattate e spiegare brevemente come li raccogliete, se direttamente dagli utenti, attraverso tecnologie automatizzate o da terzi.

Siate specifici. Evitate frasi generiche come "potremmo raccogliere informazioni".

I tipi di dati più comuni includono:

• Identificatori personali: Nomi, indirizzi e-mail, numeri di telefono, indirizzi postali.
• Informazioni sull'account: Credenziali di accesso, dettagli del profilo e preferenze
• Dettagli di pagamento: Indirizzi di fatturazione, informazioni sui metodi di pagamento o registrazioni di transazioni.
• Dati tecnici: Indirizzi IP, tipo di browser, sistema operativo e identificatori del dispositivo
• Dati di utilizzo: Come gli utenti interagiscono con il vostro sito web, l'applicazione o le e-mail
• Cookie e dati di tracciamento: Informazioni raccolte tramite analisi, pubblicità o integrazioni con i social media.

Se trattate dati sensibili, come informazioni biometriche, sanitarie o politiche, dovete dichiararlo esplicitamente e spiegare le garanzie aggiuntive che applicate.

L'obiettivo è fornire agli utenti un quadro chiaro di quali dati raccogliete e perché. Evitate frasi vaghe come "potremmo raccogliere informazioni". Siate invece il più specifici possibile.

Di seguito è riportata l 'Informativa sulla privacy di Airbnb, che suddivide i tipi di dati raccolti in sezioni semplici e organizzate.

Questo esempio dimostra come presentare le categorie di dati in modo chiaro e raggruppare le informazioni correlate, rendendo la sezione facile da navigare e da capire.

Politica di archiviazione e conservazione dei dati

In base al GDPR, le aziende sono tenute a spiegare per quanto tempo conservano i dati personali e cosa determina questo lasso di tempo. Questo aiuta gli utenti a capire come viene gestito il ciclo di vita dei loro dati, dalla raccolta alla cancellazione.

La polizza deve comprendere:

• Come e dove vengono archiviati i dati (ad esempio, su server sicuri, nel cloud o tramite fornitori di terze parti)
• Per quanto tempo vengono conservate le diverse categorie di dati
• I criteri utilizzati per decidere i periodi di conservazione (ad esempio, requisiti legali, esigenze operative).
• Cosa succede quando i dati non sono più necessari (ad esempio, anonimizzazione o cancellazione)

Ricordate di fornire esempi concreti, come ad esempio "i dati di fatturazione vengono conservati per 7 anni per la conformità fiscale, i dati di marketing cancellati 12 mesi in caso di mancato opt-out".

Evitate di dire che i dati vengono conservati "per il tempo necessario" senza un ulteriore contesto.

È invece necessario indicare il periodo di conservazione specifico (ad esempio, "6 mesi") o, se ciò non è possibile, i "criteri utilizzati per determinare tale periodo" (ad esempio, "la durata dell'abbonamento dell'utente più un periodo di 1 anno per risolvere i reclami legali").

Ad esempio, l'Informativa sulla privacy di Microsoft fornisce una chiara panoramica delle sue pratiche di conservazione. Di seguito viene illustrato come vengono specificati i periodi di conservazione a seconda del caso d'uso.

Questo esempio mostra come andare oltre le dichiarazioni vaghe e dare agli utenti uno sguardo trasparente sulle pratiche di conservazione.

Illustrando chiaramente per quanto tempo i dati vengono conservati e le motivazioni che li giustificano, la vostra politica dimostra responsabilità e contribuisce a creare fiducia nel vostro pubblico.

Clausola sui trasferimenti di dati

Una clausola di trasferimento dei dati spiega come e quando i dati personali possono essere condivisi o trasmessi tra le parti, sia all'interno della vostra organizzazione che ai fornitori di servizi, ma soprattutto quando vengono trasferiti oltre i confini geografici, cioè al di fuori dello Spazio economico europeo (SEE).

Ai sensi del GDPR, i trasferimenti verso un Paese terzo sono limitati dal Capitolo V del GDPR e questa sezione aiuta a dimostrare che la vostra azienda mantiene un controllo rigoroso sulle modalità di trasferimento dei dati, garantendo che siano sempre gestiti in modo sicuro e legale.

Se i dati escono dal SEE, dovete specificare il meccanismo che state utilizzando, come la decisione di adeguatezza, le clausole contrattuali standard (SCC) o le norme vincolanti d'impresa. Si noti inoltre che possono essere applicate garanzie supplementari ai sensi dell'articolo 46 del GDPR.

Inoltre, la polizza deve descrivere:

• Quando e perché i dati personali possono essere trasferiti
• Con chi possono essere condivisi i dati (ad esempio, affiliati o fornitori terzi).
• Le misure di sicurezza adottate per proteggere i dati durante il trasferimento (ad esempio, crittografia, accordi contrattuali o meccanismi legali approvati).
• Come gli utenti possono contattarvi per avere maggiori informazioni su questi trasferimenti

Questa clausola aiuta a mitigare rischi come la violazione dei dati e la non conformità, assicurando agli utenti che le loro informazioni personali rimangono protette indipendentemente dal luogo in cui vengono elaborate o archiviate.

Morgan Lewis fornisce un ottimo esempio di come comunicare chiaramente questo aspetto nella sua Informativa sulla privacy riportata di seguito.

Questo esempio mostra come bilanciare la trasparenza con la rassicurazione, fornendo un link all'elenco delle sedi e spiegando le ragioni del trasferimento dei dati.

Cookie e altri tracciatori

I cookie e le tecnologie di tracciamento simili svolgono un ruolo fondamentale nel modo in cui i siti web raccolgono e analizzano i dati degli utenti.

Dovete distinguere chiaramente tra cookie essenziali e non essenziali e fornire un link alla vostra Politica sui cookie separata e/o al centro di preferenza per i cookie.

Ai sensi della legge europea sui cookie e del GDPR, siete tenuti a spiegare chiaramente come vengono utilizzati questi strumenti e a fornire agli utenti un controllo significativo su di essi.

L'informativa sulla privacy (o l'informativa sui cookie collegata) dovrebbe includere:

• Quali tipi di cookie o tracker utilizzate (ad esempio, essenziali, analitici, di marketing)
• Perché li utilizzate (ad esempio, per ricordare le preferenze o migliorare le prestazioni del sito)
• Se terze parti inseriscono cookie attraverso il vostro sito
• Come gli utenti possono gestire o ritirare il loro consenso, che deve essere ottenuto prima dell'inserimento di qualsiasi tracker non essenziale.

È inoltre buona norma creare e includere un link alla vostra Informativa sui cookie, in modo che gli utenti possano facilmente accedere a informazioni dettagliate o regolare le proprie impostazioni.

Shopify è un esempio di come introdurre l'uso dei cookie in modo chiaro e collegare gli utenti a ulteriori informazioni nella sua Informativa sulla privacy, riportata di seguito.

Questo esempio mostra come essere trasparenti senza sopraffare i lettori. Riassumendo brevemente le pratiche relative ai cookie e indirizzando gli utenti a un'Informativa sui cookie dettagliata, Shopify bilancia la conformità con la chiarezza, una pratica ottimale per qualsiasi sito web rivolto all'UE.

Diritti dell'interessato

Ai sensi del GDPR, gli individui, noti come soggetti interessati, hanno diversi diritti che consentono loro di controllare i propri dati personali. L'informativa sulla privacy deve elencare chiaramente questi diritti e spiegare come gli utenti possono esercitarli.

I diritti principali comprendono:

• Diritto di accesso: Gli utenti possono richiedere una copia dei dati personali in vostro possesso.
• Diritto di rettifica: Gli utenti possono richiedere la correzione di informazioni inesatte o incomplete.
• Diritto alla cancellazione (diritto all'oblio): Gli utenti possono richiedere la cancellazione dei propri dati personali in determinate circostanze.
• Diritto di limitare il trattamento: Gli utenti possono limitare l'utilizzo dei propri dati.
• Diritto alla portabilità dei dati: Gli utenti possono ottenere una copia dei propri dati personali da utilizzare per diversi servizi.
• Diritto di opposizione: Gli utenti possono opporsi a determinati tipi di trattamento, come il marketing diretto.
• Diritto di revoca del consenso: Gli utenti possono revocare il proprio consenso in qualsiasi momento quando il trattamento è basato sul consenso.

L'informativa sulla privacy deve spiegare come gli utenti possono presentare una richiesta di accesso ai dati (DSAR), una richiesta formale di accesso, modifica o cancellazione dei propri dati.

Secondo il GDPR, le aziende devono rispondere senza ritardi ingiustificati e al massimo entro un mese con risposte chiare, complete e sicure.

La gestione manuale delle DSAR può essere complessa e lenta. Una soluzione DSAR aiuta a centralizzare le richieste, a confermare l'identità dell'utente e a tenere traccia delle risposte, in modo che le aziende siano organizzate e rispettino le scadenze del GDPR .

Apple illustra chiaramente i diritti degli interessati e fornisce agli utenti un modo pratico per esercitarli nella sua Informativa sulla privacy riportata di seguito.

Questo esempio mostra come combinare chiarezza e accessibilità. Apple elenca i principali diritti in un linguaggio semplice e fornisce immediatamente un punto di contatto per gli utenti.

Informazioni di contatto della vostra azienda

Ogni informativa sulla privacy dell'UE dovrebbe concludersi con una sezione di contatto chiara e accessibile. Questa parte dell'informativa indica esattamente agli utenti come contattarvi in caso di domande, dubbi o se vogliono esercitare i loro diritti sui dati.

Come minimo, includere:

• Nome legale completo dell'azienda
• L'indirizzo della vostra azienda
• Un'e-mail di contatto per le domande sulla privacy
• Informazioni di contatto del responsabile della protezione dei dati (DPO), se applicabile

Potete anche collegare il vostro modulo DSAR per rendere ancora più facile per gli utenti contattarvi in modo sicuro.

Un buon esempio è dato dall'informativa sulla privacy di Canva, che include una sezione contatti semplice e ben organizzata, come mostrato nella schermata sottostante.

Questo esempio illustra le migliori pratiche per le organizzazioni internazionali.

Canva non solo fornisce un indirizzo e-mail e fisico diretto, ma indica anche i nomi dei suoi rappresentanti nell'UE e nel Regno Unito e include collegamenti a moduli di richiesta dati, rendendo più facile per gli utenti di qualsiasi regione contattare la parte giusta.

Dove pubblicare l'informativa sulla privacy dell'UE

Anche l'informativa sulla privacy più accurata non sarà utile alla vostra azienda se gli utenti non riescono a trovarla. Secondo il GDPR, le informative sulla privacy devono essere facilmente accessibili ovunque vengano raccolti dati personali. In questo modo gli utenti possono verificare come verranno utilizzate le loro informazioni prima di condividerle.

L'informativa sulla privacy deve essere disponibile in punti chiave del sito web o dell'app, tra cui:

Rendere accessibile l'informativa sulla privacy in questi luoghi non solo favorisce la conformità, ma mostra anche agli utenti che la vostra azienda dà valore all'apertura e alla responsabilità.

Informativa sulla privacy dell'UE e informativa sui cookie: Perché sono necessarie entrambe

Un'informativa sulla privacy e un'informativa sui cookie possono sembrare simili, ma entrambe hanno scopi distinti e svolgono un ruolo fondamentale per la trasparenza.

L'informativa sulla privacy fornisce un'ampia panoramica su come la vostra azienda raccoglie, utilizza, condivide e protegge i dati personali. Riguarda tutti i tipi di informazioni trattate, dai dettagli dell'account ai dati di pagamento.

Una cookie policy, invece, si concentra specificamente sulle tecnologie di tracciamento utilizzate sul vostro sito web. Spiega quali cookie sono attivi, cosa fanno, chi li imposta e come gli utenti possono gestire le loro preferenze.

La presenza di entrambi i documenti rende più facile per gli utenti trovare le informazioni di cui hanno bisogno, senza dover passare attraverso sezioni dense di testo. Inoltre, dimostra che la vostra azienda dà importanza alla chiarezza e al controllo dell'utente, due elementi essenziali per creare fiducia online.

Come Termly aiuta le aziende a creare un'informativa sulla privacy conforme all'UE

Creare un'informativa sulla privacy che soddisfi gli standard dell'UE può sembrare complicato, soprattutto quando la vostra azienda raccoglie dati su più punti di contatto.

Termly's generatore di informativa sulla privacy vi aiuta con una breve serie di domande sulla vostra attività, sul vostro settore e sulle vostre pratiche in materia di dati. Quindi crea una politica su misura che si allinea alla vostra regione e ai requisiti legali.

Inoltre, consente di effettuare facilmente aggiornamenti in base alle modifiche delle leggi per mantenere la polizza accurata.

Con Termly, le aziende possono risparmiare tempo, ridurre al minimo il lavoro manuale di conformità e fornire con sicurezza politiche che favoriscono la fiducia e la trasparenza.

Per saperne di più su chi scrive

Scritto da Hanna De La Garza

Hanna è Content Writer presso Termly, dove crea risorse coinvolgenti su privacy dei dati, gestione del consenso, aggiornamenti normativi e altro ancora. Si concentra sul rendere accessibili argomenti complessi per i proprietari di aziende e contribuisce sia alle nuove iniziative di contenuto sia agli aggiornamenti dei materiali esistenti per garantire accuratezza e chiarezza.

Per saperne di più su chi scrive

Recensione di Teodor Stanciu, CIPP/E, CIPM Coordinatore legale e DPO