Le informazioni legali si riferiscono all’insieme delle informazioni che un sito web deve obbligatoriamente visualizzare per identificare i propri responsabili. Questa obbligazione, stabilita dalla legge per la fiducia nell’economia digitale (LCEN) del 21 giugno 2004, riguarda tutti i siti web, siano essi professionali, associativi o personali con finalità commerciali. La protezione della vita privata online si basa su un secondo pilastro normativo, il RGPD, che regola la raccolta e il trattamento dei dati personali dei visitatori.
Tracciatori e direttiva ePrivacy: ciò che il banner dei cookie non copre
La maggior parte dei siti visualizza un banner di consenso ai cookie. Questa interfaccia riflette solo una parte degli obblighi legati ai tracciatori.
Le indicazioni del Comitato europeo per la protezione dei dati sull’articolo 5(3) della direttiva ePrivacy comprendono molto più dei classici cookie. I pixel di tracciamento, identificatori unici e meccanismi di tracciamento tramite link rientrano anch’essi nel perimetro. Un audit di conformità limitato al solo banner dei cookie lascia quindi degli angoli ciechi.
Il controllo riguarda anche l’equilibrio concreto tra accettare e rifiutare i tracciatori. La CNIL ha inflitto a Google una multa di 325 milioni di euro il 1° settembre 2025, in un caso in cui la procedura di rifiuto dei cookie era considerata più vincolante dell’accettazione. Questo tipo di sanzione dimostra che la conformità non si limita a visualizzare un banner, ma richiede una simmetria reale tra le scelte proposte all’utente.
Per ottenere ulteriori informazioni su Secrets d’Hommes e la loro politica di trasparenza, la pagina delle informazioni legali del sito dettaglia i tracciatori utilizzati e le finalità associate.
Informazioni legali obbligatorie: contenuto in base allo stato dell’editore
Il contenuto delle informazioni legali varia a seconda che l’editore del sito sia una persona fisica o giuridica, e in base alla natura della sua attività.
Per un azienda o un’associazione, le informazioni devono includere:
- La ragione sociale, l’indirizzo della sede, il numero di telefono e l’indirizzo e-mail di contatto
- Il numero di iscrizione al registro delle imprese e delle società (RCS) o al repertorio delle professioni, nonché il numero di partita IVA intracomunitaria se del caso
- Il nome del direttore della pubblicazione e i contatti dell’hosting del sito (ragione sociale, indirizzo, telefono)
Le professioni regolamentate (avvocati, medici, commercialisti) devono aggiungere il riferimento alle norme professionali applicabili e l’autorità che ha rilasciato l’autorizzazione all’esercizio. I siti di commercio elettronico completano queste informazioni con le loro condizioni generali di vendita.
La mancanza di informazioni legali o il loro carattere incompleto espongono l’editore a sanzioni penali previste dalla LCEN.
RGPD e dati personali: gli obblighi di informazione verso i visitatori
Il Regolamento generale sulla protezione dei dati impone a qualsiasi sito che raccoglie dati personali (modulo di contatto, iscrizione a una newsletter, creazione di un account) di informare chiaramente le persone interessate.
Questa informazione deve specificare le finalità del trattamento, la base giuridica utilizzata (consenso, interesse legittimo, esecuzione di un contratto), i destinatari dei dati e la durata della conservazione. Il visitatore deve anche conoscere i propri diritti: accesso, rettifica, cancellazione, portabilità e opposizione.
Un punto spesso trascurato: cancellare un dato e farlo scomparire da un motore di ricerca sono due procedure distinte. Il diritto alla cancellazione, previsto dall’articolo 17 del RGPD, obbliga il responsabile del trattamento a eliminare i dati. La rimozione dai risultati di un motore di ricerca è oggetto di una richiesta separata, indirizzata direttamente all’operatore del motore. Le due procedure non producono lo stesso risultato e devono talvolta essere condotte in parallelo.
IA generativa e vita privata: le raccomandazioni recenti della CNIL
L’ascesa dei sistemi di intelligenza artificiale generativa solleva nuove questioni in materia di protezione della vita privata online. Nel febbraio 2025, la CNIL ha pubblicato raccomandazioni sull’applicazione del RGPD ai sistemi di IA.
Quando un modello di IA è addestrato con dati personali che possono essere memorizzati, le persone interessate devono in linea di principio essere informate di questo utilizzo. La CNIL raccomanda anche di integrare la protezione della vita privata fin dalla progettazione del sistema, secondo il principio della privacy by design già previsto nel RGPD.
Questa dimensione è assente nella maggior parte delle pagine di informazioni legali attuali. Un sito che utilizza un chatbot o uno strumento di IA che tratta i dati dei visitatori dovrebbe comunque menzionare questo trattamento nella propria politica di riservatezza, specificando le finalità e le garanzie messe in atto.
Consenso sul web: ciò che distingue una conformità reale da un semplice display
Visualizzare un modulo di raccolta del consenso non è sufficiente per rispettare il RGPD. Il consenso deve essere libero, specifico, informato e inequivocabile. In pratica, ciò significa che le caselle pre-selezionate sono vietate e che il rifiuto deve essere altrettanto semplice quanto l’accettazione.
Tre criteri consentono di valutare la conformità reale di un dispositivo di consenso:
- Il pulsante di rifiuto è visibile allo stesso livello del pulsante di accettazione, senza colori attenuati né etichette ambigue
- Ogni finalità di trattamento può essere accettata o rifiutata singolarmente, non solo in blocco
- Il ritiro del consenso è accessibile in qualsiasi momento da una pagina chiaramente identificata del sito
La CNIL ha intensificato i controlli su questi punti. Le aziende sanzionate sono state spesso punite non per l’assenza totale di banner, ma per meccanismi di consenso sbilanciati che rendono il rifiuto più laborioso dell’accettazione.
La conformità di un sito web si basa sull’articolazione tra informazioni legali complete, politica di riservatezza dettagliata e dispositivo di consenso equilibrato. Questi tre strati non funzionano in modo isolato: un sito le cui informazioni legali sono impeccabili ma il cui banner dei cookie orienta verso l’accettazione rimane esposto a una sanzione.
