Privacy digitale Italia: guida alla normativa, GDPR e cookie

Chiunque navighi online si è scontrato almeno una volta con un banner cookie o un avviso sulla privacy, perché dietro quei messaggi c’è un sistema di regole che in Italia combina il Regolamento Generale sulla Protezione dei Dati (GDPR) europeo con il Codice privacy nazionale. Questa guida vi aiuta a orientarvi tra normativa, diritti e obblighi concreti, con un occhio alle novità previste per il 2026.

Regolamento GDPR in vigore dal 25 maggio 2018 ·
Legge italiana sulla privacy D.Lgs. 196/2003 (Codice privacy) e D.Lgs. 101/2018 ·
Autorità garante in Italia Garante per la protezione dei dati personali ·
Sanzioni massime GDPR 20 milioni di euro o 4% del fatturato annuo globale

Cinque dati fondamentali per capire il quadro normativo italiano sulla privacy digitale, uno per riga.

Qual è l’attuale legge sulla privacy in Italia?

Il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003)

Il cuore della normativa italiana è il Decreto Legislativo 30 giugno 2003, n. 196, noto come Codice in materia di protezione dei dati personali. Questo testo ha recepito la direttiva europea 95/46/CE e ha rappresentato per quindici anni il riferimento principale per il trattamento dei dati in Italia.

Le modifiche del D.Lgs. 101/2018 di adeguamento al GDPR

Con l’entrata in vigore del GDPR (Regolamento UE 2016/679), l’Italia ha dovuto armonizzare il proprio Codice. Il D.Lgs. 10 agosto 2018, n. 101 ha modificato il D.Lgs. 196/2003 per allinearlo al regolamento europeo, abrogando le norme contrastanti e introducendo disposizioni specifiche per il contesto italiano (EUR-Lex (Regolamento UE 2016/679)).

Il ruolo del Garante per la protezione dei dati personali

L’autorità di controllo indipendente è il Garante per la protezione dei dati personali, istituito con la legge n. 675/1996 e ora disciplinato dal Codice privacy. Il Garante vigila sul rispetto della normativa, emana linee guida (ad esempio sulle linee guida cookie del 10 giugno 2021) e irroga sanzioni. Le sue decisioni sono vincolanti per soggetti pubblici e privati.

Il punto centrale è che la normativa italiana non si sostituisce al GDPR, ma lo integra con disposizioni specifiche.

Cosa si intende per privacy digitale?

Differenza tra privacy e protezione dei dati personali

La privacy è il diritto alla riservatezza della sfera personale; la protezione dei dati personali è il diritto di controllo sulle proprie informazioni. In ambito digitale, questi due concetti si intrecciano: ogni volta che usiamo un’app, un social o un sito web, lasciamo tracce che possono essere raccolte, analizzate e conservate.

Ambito digitale: dati online, tracciamento, comunicazioni elettroniche

Secondo la direttiva ePrivacy (EUR-Lex (Direttiva 2002/58/CE)), la riservatezza delle comunicazioni elettroniche è un principio fondamentale. Ciò include la protezione dei dati di traffico, della localizzazione e dei cookie. In Italia, il Garante ha ribadito che il consenso per i cookie di profilazione deve essere esplicito e non può essere presunto (Corte di giustizia dell’Unione europea (sentenza Planet49)).

Il GDPR è ancora in vigore?

Conferma della vigenza del GDPR nell’UE

Sì, il GDPR (Regolamento UE 2016/679) è pienamente in vigore e si applica in tutta l’Unione Europea dal 25 maggio 2018. Non è stato abrogato né sostituito. La sua efficacia è confermata dalla giurisprudenza della Corte di giustizia e dalle attività delle autorità di controllo (EUR-Lex (Regolamento UE 2016/679)).

Novità previste per il 2026 (regolamento ePrivacy, AI Act)

Il regolamento ePrivacy, che dovrebbe sostituire l’attuale direttiva, è ancora in discussione. Le tempistiche definitive restano incerte. L’AI Act, invece, è entrato in vigore il 1° agosto 2024 e avrà impatto sulle pratiche di trattamento dati legate all’intelligenza artificiale, con possibili modifiche dal 2026 (EUR-Lex (AI Act)).

Rapporto con la normativa italiana

L’Italia ha recepito il GDPR con il D.Lgs. 101/2018, che ha modificato il Codice privacy. Le disposizioni del GDPR sono direttamente applicabili, mentre il Codice italiano integra aspetti procedurali e sanzionatori nazionali. Il Garante resta l’autorità di riferimento per l’applicazione sul territorio.

Monitorare l’evoluzione normativa è quindi un obbligo concreto per chi gestisce dati personali.

Quali sono i 7 principi del GDPR?

L’articolo 5 del GDPR elenca sette principi fondamentali che guidano ogni trattamento di dati personali. Eccoli in sintesi:

• Liceità, correttezza e trasparenza – il trattamento deve avere una base giuridica ed essere comunicato all’interessato.
• Limitazione della finalità – i dati possono essere raccolti solo per scopi determinati e legittimi.
• Minimizzazione dei dati – raccogliere solo i dati strettamente necessari.
• Esattezza – i dati devono essere accurati e aggiornati.
• Limitazione della conservazione – conservare i dati solo per il tempo necessario.
• Integrità e riservatezza – proteggere i dati da accessi non autorizzati.
• Responsabilizzazione (accountability) – il titolare deve dimostrare di aver adottato misure adeguate (EUR-Lex (Regolamento UE 2016/679)).

Il pattern: sette principi, un’unica logica – il controllo e la trasparenza sul ciclo di vita dei dati.

Quali sono i dati sensibili da non pubblicare?

Categorie particolari di dati personali (art. 9 GDPR)

I dati sensibili sono quelli che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché i dati genetici, biometrici, relativi alla salute, alla vita sessuale o all’orientamento sessuale.

Esempi e conseguenze

Pubblicare online l’orientamento politico di una persona senza il suo consenso esplicito viola l’art. 9 del GDPR. La sanzione può arrivare fino a 20 milioni di euro o al 4% del fatturato annuo globale (EUR-Lex (Regolamento UE 2016/679)). Il consenso per il trattamento di queste categorie deve essere esplicito e specifico, non può essere dedotto da un comportamento inerte.

È meglio accettare o rifiutare i cookie?

Cookie tecnici vs cookie di profilazione

I cookie tecnici sono necessari per il funzionamento del sito (ad esempio per la navigazione o l’autenticazione) e non richiedono consenso. I cookie di profilazione tracciano il comportamento dell’utente per finalità pubblicitarie o di marketing: per questi è obbligatorio il consenso esplicito.

Tre differenze, un unico principio: il consenso deve essere libero, specifico, informato e inequivocabile (Corte di giustizia dell’Unione europea (sentenza Planet49)).

Consenso informato e banner cookie

Le linee guida del Garante del 10 giugno 2021 richiedono che il banner cookie sia chiaro, che l’utente possa scegliere in modo granulare e che il rifiuto sia semplice quanto l’accettazione (Garante per la protezione dei dati personali (Linee guida cookie)).

Come gestire le preferenze nei browser

Oggi la maggior parte dei browser offre impostazioni per bloccare i cookie di terze parti. Strumenti come la funzionalità “Do Not Track” o le preferenze avanzate di Chrome, Firefox e Safari permettono di limitare il tracciamento senza dover cliccare ogni volta “Rifiuta tutto”.

In definitiva, la scelta consapevole dell’utente è il fondamento della privacy digitale.

Guida pratica alla conformità privacy in Italia

1. Mappare i trattamenti di dati personali – creare un registro dei trattamenti come richiesto dall’art. 30 GDPR.
2. Redigere l’informativa privacy – spiegare in modo chiaro quali dati vengono raccolti, per quale fine e su quale base giuridica.
3. Implementare un banner cookie conforme – con scelta granulare e pari facilità tra accettazione e rifiuto (Garante per la protezione dei dati personali (Linee guida cookie)).
4. Designare un Data Protection Officer (DPO) – obbligatorio per enti pubblici e per aziende che trattano dati su larga scala.
5. Gestire il consenso – registrare le preferenze degli utenti e garantire la possibilità di revoca.
6. Preparare procedure per data breach – notifica al Garante entro 72 ore dalla scoperta (EUR-Lex (Regolamento UE 2016/679)).

Seguire questi passaggi riduce il rischio di sanzioni e aumenta la fiducia degli utenti.

Timeline: privacy digitale in Italia

• 25 maggio 2018 – Entrata in vigore del GDPR (EUR-Lex)
• 19 settembre 2018 – Entrata in vigore del D.Lgs. 101/2018 di adeguamento italiano
• 10 giugno 2021 – Linee guida del Garante su cookie e altri strumenti di tracciamento (Garante per la protezione dei dati personali)
• 2024 – Proposta di regolamento ePrivacy ancora in discussione
• 1° agosto 2024 – Entrata in vigore dell’AI Act (EUR-Lex (AI Act))
• 12 settembre 2025 – Applicazione del Data Act (EUR-Lex (Data Act))
• 17 aprile 2026 – Provvedimento del Garante sui tracking pixel (Garante per la protezione dei dati personali (Provvedimento tracking pixel))

La sequenza degli eventi mostra un progressivo irrigidimento delle regole europee sulla privacy.

Punti di vista autorevoli

Il consenso al trattamento dei dati personali deve essere libero, specifico, informato e inequivocabile: nessuna casella pre‑spuntata può sostituire un’azione positiva dell’utente.

– Corte di giustizia dell’Unione europea, sentenza Planet49 (Corte di giustizia UE)

Con il provvedimento del 17 aprile 2026, il Garante chiarisce che l’impiego di tracking pixel coinvolge più soggetti e va valutato caso per caso, alla luce del principio di minimizzazione dei dati.

– Garante per la protezione dei dati personali, comunicato ufficiale (Garante privacy)

L’integrazione tra GDPR e AI Act rappresenta la sfida normativa dei prossimi anni per le aziende italiane che utilizzano sistemi di intelligenza artificiale.

– Esperto intervistato da Agenda Digitale

Queste dichiarazioni sottolineano che la privacy digitale è un diritto in evoluzione.

Per le aziende italiane che operano nel digitale, la scelta è chiara: investire nella conformità privacy oggi, oppure affrontare sanzioni fino a 20 milioni di euro e la perdita di fiducia degli utenti domani.

Per approfondire il quadro normativo, puoi consultare questa guida completa al GDPR e alla normativa che analizza ogni aspetto della protezione dati in Italia.

Domande frequenti