Articolo a cura di: Redazione - Studio Legale Calvello

L’informativa privacy non dovrebbe essere considerata un modello standard da compilare una volta e conservare tra i documenti aziendali. Deve descrivere in modo fedele come l’azienda tratta concretamente i dati personali: per quali finalità, su quale base giuridica, per quanto tempo, con quali destinatari, con eventuali trasferimenti verso Paesi terzi e con quali diritti per gli interessati. Gli articoli 12, 13 e 14 del GDPR impongono obblighi precisi di trasparenza, che cambiano anche a seconda che i dati siano raccolti direttamente dall’interessato oppure provengano da altre fonti.

Per un’impresa il problema emerge spesso quando informative predisposte anni prima non corrispondono più all’organizzazione reale: sono cambiati software, fornitori, attività di marketing, sistemi di controllo, servizi cloud, modalità di selezione del personale o tempi di conservazione. In questi casi non basta verificare che nel documento siano presenti formalmente tutte le voci richieste dal GDPR. Occorre controllare la coerenza tra ciò che l’informativa dichiara e i trattamenti effettivamente svolti dall’azienda, coordinandola con il registro delle attività di trattamento e con la restante documentazione privacy.

Cosa deve contenere un’informativa privacy ai sensi del GDPR

Quando i dati personali sono raccolti direttamente presso l’interessato, l’art. 13 del Regolamento (UE) 2016/679 richiede innanzitutto di indicare l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, quelli del suo rappresentante e del responsabile della protezione dei dati (DPO/RPD). Devono poi essere specificate le finalità per le quali i dati vengono trattati e la relativa base giuridica. Questo collegamento è essenziale: non è sufficiente elencare genericamente finalità e basi giuridiche senza rendere comprensibile quale presupposto legittimi ciascun trattamento.

Se il trattamento si fonda sul legittimo interesse del titolare o di terzi, l’informativa deve indicare anche quale interesse legittimo viene perseguito. Se invece il presupposto è il consenso, devono risultare correttamente rappresentati anche il diritto di revocarlo e le condizioni applicabili al relativo trattamento. Informativa e consenso, peraltro, non coincidono: l’obbligo di informare l’interessato sussiste anche per numerosi trattamenti che trovano la propria base giuridica nel contratto, in un obbligo legale o nel legittimo interesse e che quindi non richiedono il consenso.

Devono essere indicati i destinatari o le categorie di destinatari dei dati personali e, quando pertinente, le informazioni previste per i trasferimenti di dati verso Paesi terzi o organizzazioni internazionali. L’informativa deve precisare anche il periodo di conservazione dei dati oppure, quando non sia possibile stabilirlo anticipatamente in termini puntuali, i criteri utilizzati per determinarlo. Espressioni indeterminate o formule standard possono non rappresentare adeguatamente il trattamento concreto, soprattutto quando l’impresa gestisce dati con finalità e tempi di conservazione differenti.

Il documento deve poi spiegare i diritti esercitabili dall’interessato secondo il GDPR, compreso il diritto di proporre reclamo all’autorità di controllo. A seconda della base giuridica e delle caratteristiche del trattamento possono assumere rilievo, tra gli altri, accesso, rettifica, cancellazione, limitazione, opposizione e portabilità. Occorre inoltre indicare se il conferimento dei dati costituisca un obbligo legale o contrattuale, oppure un requisito necessario per concludere un contratto, chiarendo le possibili conseguenze del mancato conferimento. Quando ricorrono i relativi presupposti, devono essere fornite anche le informazioni sull’esistenza di processi decisionali automatizzati, compresa la profilazione.

Questi elementi non esauriscono ogni possibile contenuto dell’informativa: la sua struttura dipende dal trattamento effettivamente svolto. Il punto, per l’azienda, è evitare che un elenco formalmente completo nasconda informazioni generiche, inesatte o non più attuali.

Articoli 13 e 14 GDPR: contenuto e modalità dell’informativa cambiano in base alla provenienza dei dati

Prima di predisporre o aggiornare un’informativa occorre stabilire da dove provengono i dati personali. L’art. 13 disciplina il caso nel quale siano ottenuti direttamente dall’interessato: per esempio quando un cliente compila un modulo, un candidato trasmette il curriculum o un dipendente fornisce i dati necessari alla gestione del rapporto di lavoro. In linea generale, le informazioni previste dalla norma devono essere rese nel momento in cui i dati vengono ottenuti.

L’art. 14 disciplina invece i casi nei quali i dati personali non siano stati ottenuti direttamente dall’interessato. Accade, ad esempio, quando un’impresa acquisisce legittimamente informazioni da soggetti terzi o da altre fonti nell’ambito della propria attività. In questa situazione l’informativa deve comprendere anche le categorie di dati personali trattati e la fonte dalla quale provengono, precisando, quando applicabile, se si tratta di fonti accessibili al pubblico.

Anche i tempi cambiano. Nei trattamenti soggetti all’art. 14 l’informativa deve essere fornita entro un termine ragionevole dall’ottenimento dei dati e comunque, di regola, entro un mese, tenendo conto delle circostanze specifiche. Se i dati sono destinati a essere utilizzati per comunicare con l’interessato, l’informazione deve essere resa al più tardi in occasione della prima comunicazione; se è prevista la comunicazione dei dati a un altro destinatario, al più tardi alla prima comunicazione a tale destinatario. Lo stesso art. 14 contempla specifiche eccezioni che devono essere verificate caso per caso e non possono essere trasformate in una dispensa generalizzata dall’obbligo di informativa.

La trasparenza riguarda anche il modo in cui le informazioni vengono presentate. L’art. 12 GDPR richiede una forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Un documento molto lungo non è quindi necessariamente più conforme di uno strutturato correttamente. Per trattamenti complessi può essere opportuno organizzare l’informazione su più livelli, purché l’interessato possa individuare facilmente le informazioni che lo riguardano e accedere al contenuto completo.

Per la stessa ragione, utilizzare un’unica informativa generica per dipendenti, clienti, fornitori, candidati, utenti del sito e altre categorie di interessati può creare incongruenze quando finalità, basi giuridiche, destinatari e tempi di conservazione sono differenti. La scelta tra un documento unitario e informative distinte non dipende dal numero dei modelli che l’azienda desidera utilizzare, ma dalla capacità di rappresentare i trattamenti in maniera corretta e comprensibile. Questo controllo dovrebbe essere coordinato con il registro delle attività di trattamento e, più in generale, con l’aggiornamento della documentazione privacy aziendale, perché una difformità tra documenti e operatività concreta può rendere evidente che la compliance formale non descrive più ciò che accade realmente nell’impresa.

Quando l’informativa privacy diventa incompleta o non più coerente con i trattamenti aziendali

Un’informativa corretta al momento della sua predisposizione può diventare inadeguata quando cambia il trattamento dei dati. È una situazione frequente nelle aziende che introducono nuovi gestionali, CRM, piattaforme cloud, sistemi di videosorveglianza, strumenti per il controllo degli accessi, applicazioni di intelligenza artificiale o nuove attività di marketing. Lo stesso problema può presentarsi quando cambiano i fornitori che trattano dati personali, vengono modificati i tempi di conservazione, iniziano trasferimenti di dati verso Paesi terzi oppure vengono introdotte finalità ulteriori rispetto a quelle originariamente comunicate agli interessati.

Il GDPR disciplina espressamente anche l’ipotesi in cui il titolare intenda trattare ulteriormente i dati personali per una finalità diversa da quella per la quale sono stati raccolti. Prima di procedere al trattamento ulteriore, nei casi regolati dagli artt. 13 e 14, devono essere fornite all’interessato le informazioni relative alla nuova finalità e le ulteriori informazioni pertinenti previste dal Regolamento. L’aggiornamento dell’informativa deve quindi seguire l’evoluzione effettiva dei trattamenti e non essere rimandato automaticamente a una revisione periodica prestabilita.

Per verificare la conformità delle informative noi partiamo normalmente dai trattamenti realmente eseguiti. Il confronto con il registro delle attività di trattamento consente, per esempio, di verificare se finalità, categorie di interessati e dati, destinatari, trasferimenti e termini di cancellazione siano rappresentati coerentemente. Se il registro indica l’utilizzo di determinati fornitori o servizi cloud, mentre l’informativa non considera i relativi flussi di dati, oppure se i tempi dichiarati non corrispondono a quelli effettivamente applicati dai sistemi aziendali, la documentazione richiede una verifica più approfondita.

Lo stesso metodo deve essere applicato alle diverse categorie di interessati. L’informativa destinata ai dipendenti deve essere costruita sui trattamenti connessi al rapporto di lavoro e agli strumenti effettivamente utilizzati dall’impresa; quella rivolta ai clienti deve considerare le finalità contrattuali, amministrative e le eventuali ulteriori attività svolte sui loro dati; quella per i candidati deve riflettere le modalità effettive di selezione e conservazione delle candidature. Sito web, moduli di contatto, newsletter, videosorveglianza e altre attività possono richiedere informazioni specifiche che non possono essere risolte semplicemente replicando lo stesso modello.

Un altro errore frequente consiste nel confondere l’informativa con la richiesta di consenso. Inserire caselle da selezionare o formule come “acconsento al trattamento dei dati” non rende automaticamente conforme il trattamento. Occorre prima individuare la corretta base giuridica per ciascuna finalità e chiedere il consenso soltanto quando questa sia effettivamente la base applicabile. Una revisione delle informative può quindi far emergere un problema più ampio nella struttura della compliance: finalità formulate in modo generico, basi giuridiche non correttamente individuate, conservazioni indefinite, fornitori non adeguatamente qualificati o trattamenti che non trovano corrispondenza nella documentazione.

La mancata o inadeguata informazione dell’interessato può assumere rilievo anche sul piano sanzionatorio. Le violazioni degli obblighi previsti dagli artt. 12, 13 e 14 rientrano nel regime dell’art. 83, paragrafo 5, GDPR. Questo non significa che ogni inesattezza determini automaticamente l’applicazione di una sanzione nella misura massima: l’autorità di controllo valuta le circostanze del caso secondo i criteri previsti dal Regolamento. Per l’impresa è però importante poter dimostrare, secondo il principio di accountability, che le informative sono state costruite sui trattamenti effettivi, mantenute aggiornate e inserite in un sistema documentale coerente. Per questo la loro revisione trova normalmente posto nel più ampio adeguamento GDPR aziendale e non dovrebbe essere affrontata come un semplice intervento formale sul testo.

Un caso pratico: informative utilizzate da anni mentre i trattamenti aziendali erano cambiati

In un caso aziendale, qui richiamato in forma anonimizzata nel rispetto della riservatezza professionale, ci siamo trovati a esaminare una documentazione privacy che comprendeva informative predisposte in precedenza e ancora utilizzate nei rapporti con diverse categorie di interessati. Nel frattempo l’organizzazione aveva modificato alcuni strumenti informatici e modalità operative, con la conseguenza che parte delle informazioni contenute nei documenti non rappresentava più con sufficiente precisione i trattamenti effettivamente svolti.

Il lavoro non è consistito semplicemente nel riscrivere le informative. Abbiamo prima ricostruito i trattamenti pertinenti e confrontato le informazioni fornite agli interessati con la documentazione e con l’organizzazione concreta dell’impresa. L’aspetto che ha richiesto maggiore attenzione è stato proprio il coordinamento tra finalità, basi giuridiche, destinatari, fornitori coinvolti e tempi di conservazione, evitando di trasferire automaticamente le stesse formulazioni da un’informativa all’altra.

Le informative sono state quindi riorganizzate in funzione delle effettive categorie di interessati e dei trattamenti che le riguardavano, coordinando l’intervento con la restante documentazione privacy. È un esempio di come un problema apparentemente limitato alla formulazione di alcuni documenti possa richiedere, prima della loro modifica, una verifica sostanziale di ciò che l’azienda fa realmente con i dati personali.

FAQ sulle informative privacy aziendali

L’informativa privacy deve essere firmata dall’interessato?

Il GDPR impone al titolare di fornire all’interessato le informazioni previste dagli artt. 13 o 14, ma non stabilisce in via generale che l’informativa debba essere firmata. La firma può essere utilizzata dall’azienda come elemento documentale per dimostrare l’avvenuta consegna o presa visione, quando appropriato rispetto alle modalità del trattamento, ma non deve essere confusa con il consenso. Se una determinata finalità richiede il consenso, questo deve rispettare autonomamente i requisiti previsti dal GDPR.

Un’azienda può utilizzare un’unica informativa per clienti, fornitori e dipendenti?

Non esiste una regola che imponga necessariamente un documento distinto per ogni categoria di interessati. Occorre però verificare se un’unica informativa riesca a descrivere in maniera chiara e corretta trattamenti che possono avere finalità, basi giuridiche, destinatari e tempi di conservazione molto diversi. Quando l’accorpamento rende l’informazione generica o difficilmente comprensibile, è preferibile differenziare le informative in funzione dei trattamenti effettivamente svolti.

È sufficiente utilizzare un fac simile di informativa privacy trovato online?

Un modello può servire come riferimento strutturale, ma non consente di conoscere i trattamenti concretamente effettuati dall’impresa. Software utilizzati, fornitori, flussi di dati, finalità, basi giuridiche, conservazione, trasferimenti internazionali e categorie di interessati dipendono dall’organizzazione specifica. Un fac simile compilato senza questa verifica può quindi contenere tutte le formule apparentemente necessarie e, allo stesso tempo, descrivere in modo inesatto o incompleto ciò che l’azienda effettivamente fa con i dati.

Quando devono essere aggiornate le informative privacy aziendali?

Non è sufficiente stabilire una scadenza astratta uguale per tutte le imprese. Le informative devono essere riesaminate quando intervengono cambiamenti che incidono sulle informazioni comunicate agli interessati: nuove finalità, modifiche delle basi giuridiche, nuovi destinatari, differenti tempi di conservazione, trasferimenti di dati o altre variazioni rilevanti. Per questo l’aggiornamento dovrebbe essere coordinato con la verifica periodica della documentazione e dei trattamenti aziendali.

Cosa fare se l’azienda scopre che le proprie informative privacy sono incomplete o non aggiornate?

Prima di modificare i testi è opportuno individuare esattamente quali trattamenti siano interessati e quali informazioni non corrispondano più alla situazione reale. La verifica dovrebbe comprendere il registro dei trattamenti e la documentazione collegata, così da evitare correzioni isolate che lascino irrisolte altre incoerenze. A seconda del problema riscontrato può essere necessario aggiornare l’informativa e valutare come gestire correttamente i trattamenti già in corso e l’informazione agli interessati. Il percorso dipende dalla natura e dalla portata della difformità concreta.

Informative privacy aziendali incomplete o da aggiornare: richiedi una valutazione

Se le informative utilizzate dalla vostra azienda sono state predisposte anni fa, derivano da modelli standard oppure non sono mai state confrontate con i trattamenti effettivamente svolti, possiamo verificare la loro conformità agli artt. 12, 13 e 14 GDPR e la coerenza con il registro dei trattamenti e con la restante documentazione privacy.

La verifica deve partire dall’organizzazione concreta dell’impresa: quali dati vengono trattati, per quali finalità, con quali basi giuridiche, attraverso quali sistemi, con quali soggetti esterni e per quanto tempo. Solo dopo questa ricostruzione è possibile valutare quali informative siano necessarie e quali contenuti debbano essere corretti o aggiornati.

Per sottoporre allo Studio la situazione della vostra impresa potete richiedere una valutazione in merito al GDPR e alla privacy aziendale attraverso il modulo dedicato, descrivendo le informative attualmente utilizzate e il problema riscontrato.