Informative privacy: cosa scrivere e quando consegnarle

Moduli di iscrizione, contratti di lavoro, siti web, sportelli, sistemi di videosorveglianza: ogni volta che un'organizzazione raccoglie dati personali deve informare le persone. È il principio di trasparenza del GDPR, e lo strumento principale è l'informativa, regolata dagli articoli 13 e 14 del Regolamento.

Troppo spesso le informative sono testi lunghi, copiati da modelli, che nessuno legge. Il GDPR chiede altro: informazioni concise, trasparenti, intelligibili e facilmente accessibili, con un linguaggio semplice e chiaro.

Quando fornirla

Dati raccolti direttamente dalla persona (articolo 13): l'informativa va fornita nel momento in cui i dati vengono raccolti. Ad esempio sul modulo cartaceo, nella pagina web del modulo online, allo sportello, nel contratto.

Dati ottenuti da altri (articolo 14): ad esempio da un'altra organizzazione o da registri pubblici. In questo caso va fornita entro un termine ragionevole, al più tardi entro un mese, oppure alla prima comunicazione con la persona o prima di comunicare i dati a terzi. Sono previste alcune eccezioni, ad esempio quando fornire l'informativa risulta impossibile o richiederebbe uno sforzo sproporzionato.

Cosa deve contenere

Gli elementi principali sono:

• chi è il titolare del trattamento e come contattarlo;
• i contatti del responsabile della protezione dei dati, se nominato;
• le finalità per cui i dati vengono trattati e la base giuridica di ciascuna, ad esempio contratto, obbligo di legge, consenso, interesse pubblico o legittimo interesse;
• se si invoca il legittimo interesse, quale interesse;
• i destinatari o le categorie di destinatari;
• gli eventuali trasferimenti fuori dall'Unione europea e le garanzie adottate;
• il periodo di conservazione o i criteri per determinarlo;
• i diritti della persona: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità quando applicabile, revoca del consenso;
• il diritto di proporre reclamo al Garante;
• se fornire i dati è obbligatorio e cosa succede se non vengono forniti;
• l'eventuale esistenza di decisioni automatizzate, compresa la profilazione, con informazioni sulla logica utilizzata.

Per i dati ottenuti da altri vanno indicate anche le categorie di dati e la fonte.

Renderla comprensibile

Alcune pratiche aiutano a trasformare un obbligo in comunicazione reale:

• informativa a più livelli: una sintesi breve con le informazioni essenziali, e un link o un documento con i dettagli;
• una finalità per paragrafo, con la relativa base giuridica e i tempi di conservazione;
• niente formule generiche come "per finalità connesse all'attività": dire che cosa si fa davvero;
• coerenza con il registro dei trattamenti: le informative devono descrivere ciò che accade realmente;
• formati adatti al contesto: un cartello per la videosorveglianza, un testo breve per un modulo, una pagina dedicata sul sito.

Errori frequenti

• informative non aggiornate dopo l'introduzione di nuovi strumenti, ad esempio software in cloud o sistemi di intelligenza artificiale;
• consenso chiesto anche quando la base giuridica è un'altra, creando confusione;
• tempi di conservazione indicati come "per il tempo necessario" senza criteri;
• assenza dei contatti del DPO.

In sintesi

Un'informativa ben scritta non è solo un adempimento: è il primo segno di rispetto verso le persone di cui si trattano i dati. Chiara, aggiornata e coerente con ciò che l'organizzazione fa davvero.