Modulo di contatto del sito e privacy: caselle, informativa e consensi in regola

Metti in regola il modulo in sei passi

1. Guarda il modulo con gli occhi di chi lo compila

   Elenca i campi, quali sono obbligatori, le caselle e il testo vicino al pulsante. Se non parte senza spuntare nulla, va cambiato.

2. Togli i campi che non usi

   Per rispondere bastano di solito nome, email o telefono e il messaggio. Indirizzo, data di nascita, codice fiscale: solo se servono davvero a quella richiesta.

3. Sistema le caselle

   Elimina la casella obbligatoria «acconsento al trattamento». Se ti serve il consenso al marketing, aggiungi una casella separata, vuota e facoltativa.

4. Scrivi il testo breve sotto il pulsante

   Tre o quattro righe con titolare, finalità, tempo di conservazione e link all’informativa completa. Trovi un modello più sotto.

5. Scopri dove finiscono i messaggi

   Chiedi a chi gestisce il sito se il modulo invia solo un’email o salva anche le richieste in un archivio, e quali servizi esterni usa (antispam, invio email, gestionale dei contatti).

6. Decidi un tempo di conservazione e applicalo

   Per esempio 6 mesi dall’ultimo contatto per chi non è diventato cliente. Scrivilo nell’informativa e programma la cancellazione, nella casella email e nell’archivio del sito.

Perché per rispondere non serve il consenso

Il GDPR permette di usare i dati personali solo se c’è una base giuridica. Il consenso è una delle sei, non l’unica. Quando una persona compila il modulo per chiederti un’informazione, un preventivo o un appuntamento, usi i suoi dati per fare quello che ti ha chiesto: la base è l’esecuzione di misure precontrattuali adottate su sua richiesta (articolo 6, lettera b). Non serve altro.

Lo ha confermato anche il Garante nel novembre 2025, sanzionando con 400.000 euro una società di servizi: il modulo per chiedere un preventivo ed essere richiamati era lecito su base precontrattuale. Il problema era un altro: chi chiedeva il preventivo veniva considerato d’accordo anche a ricevere telefonate promozionali, senza poter dire di no separatamente.

Chiedere il consenso «per rispondere» è inutile e confonde: il consenso si può revocare in ogni momento, e una base sbagliata non sostituisce quella giusta. Le altre basi giuridiche sono spiegate nella guida GDPR e informative.

Le caselle: quali servono e quali no

Le regole di fondo vengono dall’articolo 7 del GDPR e dalle linee guida europee sul consenso: il silenzio, le caselle già spuntate o il non fare nulla non sono consenso; ogni finalità va accettata o rifiutata separatamente; ritirare il consenso deve essere facile come darlo; e il consenso non è libero se è la condizione per ottenere il servizio. Il Garante lo diceva già nel 2013 per i siti: non è libero il consenso promozionale preimpostato, né quello senza cui non ci si può registrare.

Quali dati chiedere

Il principio è la minimizzazione: solo i dati adeguati e necessari allo scopo. In pratica:

• Obbligatori: un recapito per rispondere (email o telefono) e il messaggio.
• Facoltativi: il telefono, se rispondi di solito via email; il comune, se serve per capire se lavori in quella zona.
• Da evitare: codice fiscale, data di nascita, indirizzo completo, documento d’identità. Servono, semmai, quando la persona diventa cliente.
• Domande di marketing come «come ci hai conosciuto?»: solo facoltative.

Il testo breve sotto il modulo: un modello

L’informativa va data nel momento in cui raccogli i dati, cioè lì, accanto al pulsante. Non serve incollare tutta l’informativa: si usa un testo breve con il link a quella completa, che contiene tutte le voci dell’articolo 13. Come scrivere quella completa lo spiega l’articolo sull’informativa privacy.

Adatta tempi e finalità a quello che fai davvero.

Dove finiscono i messaggi e per quanto tenerli

Il modulo spesso non manda solo un’email:

• i plugin dei moduli per i CMS più diffusi possono salvare ogni richiesta anche in un archivio dentro il sito, che cresce per anni senza che nessuno lo guardi;
• le email possono passare da un servizio di invio esterno, finire in un gestionale dei contatti o in un foglio condiviso;
• alcuni moduli sono ospitati direttamente da un fornitore esterno, che riceve i dati prima di te.

Ogni fornitore che tratta i dati per tuo conto va nominato responsabile del trattamento con un accordo scritto: di solito si accettano le condizioni del servizio, ma vanno lette. Vedi responsabile esterno: chi va nominato. Se il fornitore ha server fuori dall’Unione europea, va scritto nell’informativa completa.

Sul tempo di conservazione la legge non fissa un numero: devi deciderlo tu e saperlo giustificare. Nel caso del novembre 2025 il Garante ha ritenuto eccessivi 12 mesi di conservazione dei contatti di potenziali clienti a fini promozionali, e ha contestato la formula «per il periodo strettamente necessario» senza un termine preciso. Per una semplice richiesta di informazioni che non diventa un contratto, di regola si ragiona in mesi, non in anni: il tempo che serve per chiudere o riprendere la trattativa. Per scopi promozionali serve una valutazione più attenta. L’importante è scriverlo e cancellare davvero, anche nella casella email.

Infine la sicurezza: HTTPS, protezione antispam e CMS aggiornato. Un sito violato espone anche l’archivio dei messaggi: vedi sito WordPress hackerato.

Captcha, mappe e script esterni nella pagina contatti

La pagina contatti è spesso quella con più strumenti di terzi: il captcha contro lo spam, la mappa, a volte una chat. Molti captcha di terzi caricano script e possono installare cookie o raccogliere dati sul comportamento del visitatore. Le conseguenze:

• vanno indicati nella cookie policy e, se non sono strettamente tecnici, gestiti dal cookie banner;
• se il captcha si carica solo dopo il consenso, chi rifiuta i cookie rischia di non poter inviare il modulo: prevedi un’alternativa, come un indirizzo email in chiaro o un sistema antispam che non dipende da terzi;
• esistono soluzioni antispam ospitate sul tuo sito, come un campo nascosto che solo i robot compilano o una domanda semplice: per un piccolo sito spesso bastano.

Newsletter dal modulo: le regole del marketing

Per mandare email, SMS o messaggi promozionali serve il consenso (articolo 130 del Codice privacy). C’è un’eccezione, il cosiddetto soft spam: puoi scrivere senza consenso a chi ti ha lasciato l’email acquistando un prodotto o servizio, per offrirgli prodotti simili, se l’hai informato e gli dai sempre modo di dire no. Ma chi ti ha scritto dal modulo solo per chiedere un’informazione non ha comprato nulla: per lui l’eccezione non vale. Per le offerte serve la casella.

Come raccogliere un consenso che regga:

• conserva la prova: almeno data, ora e indirizzo di chi si è iscritto, più il testo della casella in quel momento;
• usa la conferma via email: un messaggio con un link da cliccare per attivare l’iscrizione. Il Garante la indica come strumento utile, ed evita iscrizioni fatte con l’indirizzo di altri;
• in ogni messaggio metti un link per disiscriversi che funzioni con un clic;
• se vuoi passare i contatti ad altre aziende, serve un consenso ancora diverso, mai incluso in quello per la tua newsletter.

Le regole su WhatsApp, pixel nelle email e messaggi ai clienti sono nell’articolo sul GDPR per piccole aziende.

Curriculum, dati sanitari e altri casi particolari

• Candidature e curriculum inviati dal modulo «Lavora con noi»: il consenso non serve; l’informativa si può dare al primo contatto utile. Decidi per quanto tieni i curriculum e cancella quelli superati.
• Dati sanitari nel campo messaggio: uno studio medico, un fisioterapista o un centro estetico ricevono spesso descrizioni di disturbi. Scrivi sopra il campo di non inserire informazioni sulla salute non necessarie e di parlarne all’appuntamento; non chiedere la diagnosi nel modulo e limita chi legge quei messaggi.
• Richieste inoltrate a tutto l’ufficio o a collaboratori esterni: riduci i destinatari a chi deve rispondere.

Se qualcuno ti chiede quali dati hai su di lui, hai un mese per rispondere: vedi diritto di accesso ai dati. Se il modulo ha esposto le richieste a estranei, valuta subito se è un data breach.

Un esempio concreto

Lucia ha un piccolo studio di fisioterapia. Il modulo del sito chiede nome, cognome, email, telefono, data di nascita e «descrivi il tuo problema», con una casella obbligatoria «Acconsento al trattamento dei dati ai sensi del GDPR» e una casella newsletter già spuntata.

• Toglie la data di nascita e rende facoltativo il telefono.
• Elimina la casella obbligatoria e lascia vuota quella della newsletter, che diventa facoltativa.
• Sopra il messaggio scrive: «Indica solo il motivo della visita; i dettagli sulla tua salute li vediamo insieme in studio».
• Scopre che il plugin conservava nel sito più di 900 richieste degli ultimi quattro anni: le cancella e imposta la cancellazione automatica dopo 6 mesi.
• Aggiunge il testo breve con il link all’informativa completa.

Cosa fa il consulente privacy su Intervento

Indica l’indirizzo del sito e della pagina contatti, allega uno screenshot del modulo e l’informativa attuale, e spiega dove arrivano le richieste. L’orientamento gratuito ti dice quali sono i punti critici più probabili. Con l’Analisi ottieni una lettura automatica dell’informativa e delle caselle. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: cosa togliere, cosa aggiungere, che tempi di conservazione indicare e se il tuo modo di raccogliere iscritti alla newsletter regge. Con il livello Soluzione prepara i testi aggiornati, su preventivo.