Privacy policy startup: come redigerla e cosa includere nel 2026

Contenuto dell'informativa, basi giuridiche, tempi di risposta e soglia sui minori verificati sul testo del GDPR (Regolamento UE 2016/679, versione del Garante Privacy) e sull'art. 2-quinquies del D.Lgs. 196/2003 su Normattiva; regole sui cookie sulle Linee guida del Garante del 10 giugno 2021, il 12 novembre 2026. La normativa e i provvedimenti cambiano: per il tuo caso rivolgiti a un consulente privacy.

La privacy policy non è un copia-incolla

Usare il testo di un concorrente o un template generico è una scorciatoia rischiosa, perché l'informativa deve descrivere come la tua società tratta i dati, non come li tratta un'altra. Il GDPR chiede (art. 12) informazioni concise, trasparenti, intelligibili e facilmente accessibili, con un linguaggio semplice e chiaro, soprattutto se sono destinate ai minori. Le sanzioni amministrative del GDPR possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, e fino a 20 milioni o al 4% per le violazioni più gravi, tra cui quelle sui diritti degli interessati e sui principi di base del trattamento: sono i massimi previsti, non l'importo tipico. Per il quadro generale leggi anche GDPR per startup.

Il contenuto, punto per punto

Titolare del trattamento

Indica la ragione sociale, la sede e un indirizzo di contatto. Se hai nominato un DPO, i suoi dati di contatto vanno inseriti. Il DPO non è obbligatorio per tutte le startup: l'art. 37 lo richiede, tra l'altro, quando le attività principali consistono in un monitoraggio regolare e sistematico degli interessati su larga scala o nel trattamento su larga scala di categorie particolari di dati.

Finalità e basi giuridiche

Per ogni finalità serve una base giuridica tra le sei dell'art. 6: consenso, esecuzione di un contratto o misure precontrattuali, obbligo legale, salvaguardia di interessi vitali, compito di interesse pubblico, legittimo interesse. Le più usate dalle startup sono il contratto (l'email per creare l'account), il consenso (newsletter, marketing), l'obbligo legale (dati fiscali) e il legittimo interesse, che però non deve prevalere sui diritti dell'interessato. Per un esempio di consenso nel marketing leggi email marketing e GDPR.

Destinatari e trasferimenti extra UE

Elenca le categorie dei fornitori che ricevono i dati (hosting, CRM, strumenti di analytics, pagamenti). Se i dati vanno verso un paese terzo, devi indicare se esiste una decisione di adeguatezza della Commissione oppure quali garanzie hai adottato e come ottenerne copia.

Conservazione

Per ogni categoria di dati indica un periodo o i criteri per determinarlo. "Finché necessario" da solo è debole: scrivi per esempio che i dati dell'account sono conservati finché l'account è attivo, e quelli fiscali per il tempo richiesto dalla legge.

Categorie di dati

L'art. 13 non elenca le categorie di dati come voce obbligatoria (lo fa l'art. 14, quando i dati non provengono dall'interessato), ma è prassi corretta dire quali dati raccogli: anagrafici, di contatto, di pagamento, di navigazione. Se tratti categorie particolari di dati, come i dati sulla salute, serve una base giuridica specifica (art. 9).

Cookie e strumenti di tracciamento

Secondo le Linee guida del Garante del 10 giugno 2021, i cookie e gli strumenti non tecnici richiedono il consenso preventivo dell'utente: il legittimo interesse non è una base utilizzabile. Alla prima visita non devono essere installati strumenti non tecnici; la chiusura del banner con la X mantiene le impostazioni predefinite; chi rifiuta di norma non va richiamato per almeno 6 mesi; le scelte devono poter essere modificate in ogni momento, per esempio tramite un link in fondo alla pagina. Gli strumenti di analytics possono essere assimilati ai tecnici solo a condizioni strette (mascheramento dell'IP, statistiche aggregate, un solo sito, nessun incrocio con altri dati da parte del fornitore). Se usi pixel di retargeting o di profilazione, indicali nell'informativa e nella cookie policy e blocca i tracciatori finché non c'è il consenso.

Dati di minori

L'art. 8 del GDPR fissa a 16 anni l'età per il consenso al trattamento in relazione ai servizi della società dell'informazione offerti direttamente ai minori, ma consente agli Stati membri di abbassarla fino a 13. In Italia l'art. 2-quinquies del D.Lgs. 196/2003 prevede che il minore che ha compiuto 14 anni possa esprimere il consenso; sotto i 14 anni serve il consenso di chi esercita la responsabilità genitoriale. Chi si rivolge ai minori deve usare un linguaggio semplice e verificare in modo ragionevole il consenso del genitore.

Diritti degli interessati e tempi di risposta

L'art. 12 stabilisce che devi fornire le informazioni sull'azione intrapresa a seguito di una richiesta senza ingiustificato ritardo e comunque entro un mese dal ricevimento. Il termine può essere prorogato di due mesi, se necessario per la complessità o il numero delle richieste, ma devi avvisare l'interessato della proroga e dei motivi entro il primo mese. Se non dai seguito alla richiesta, devi spiegare i motivi entro un mese e indicare la possibilità di reclamo all'autorità di controllo e di ricorso giurisdizionale. Le informazioni e le risposte sono gratuite, salvo richieste manifestamente infondate o eccessive. Una versione precedente di questa pagina parlava di "30 giorni prorogabili a 90": è una semplificazione. Organizza un processo interno: una casella dedicata, un registro delle richieste e chi risponde entro quale data.

Esempio: un'app SaaS con newsletter e analytics

Ipotesi dichiarate: una startup B2B vende un software in abbonamento, registra gli account, invia una newsletter e usa uno strumento di analytics. L'informativa dovrebbe distinguere almeno quattro trattamenti: erogazione del servizio (base: contratto), fatturazione (obbligo legale), newsletter (consenso, revocabile in ogni momento), analytics (consenso se non rientra nelle condizioni del Garante per gli strumenti assimilati ai tecnici). Per ciascuno: dati, destinatari (fornitore di hosting, di email marketing), conservazione e diritti. Se il fornitore della newsletter ha server fuori dall'UE, aggiungi il trasferimento e la garanzia usata.

Aggiornamento e versioni

Aggiorna l'informativa ogni volta che cambiano i trattamenti: nuovo strumento, nuova finalità, nuovo fornitore. Se vuoi usare dati raccolti per una finalità diversa da quella dichiarata, l'art. 13 impone di informare l'interessato prima del nuovo trattamento. Conserva lo storico delle versioni con la data. Non ho trovato nelle fonti ufficiali un termine di preavviso per le modifiche: quello che conta è che l'interessato abbia l'informazione prima del trattamento.

Errori comuni

• Copiare l'informativa di un altro sito.
• Indicare il legittimo interesse come base per i cookie di profilazione.
• Non nominare i fornitori o le categorie di fornitori che ricevono i dati.
• Dimenticare i trasferimenti extra UE di strumenti SaaS usati dal team.
• Non avere un processo per rispondere alle richieste entro un mese.

Approfondisci anche i contratti essenziali startup (in particolare i rapporti con i fornitori che trattano dati per tuo conto). Questa pagina ha scopo informativo e non sostituisce la consulenza di un esperto di privacy.

Domande frequenti

Fonti

• Garante Privacy: testo del Regolamento UE 2016/679 (GDPR)^[1]
• Garante Privacy: informativa^[2]
• Garante Privacy: Linee guida cookie e altri strumenti di tracciamento (10 giugno 2021)^[3]
• Normattiva: D.Lgs. 196/2003, art. 2-quinquies^[4]