Articolo a cura di: Redazione - Studio Legale Calvello

Le informative privacy aziendali devono descrivere correttamente come l’impresa raccoglie, utilizza, conserva e comunica i dati personali. Un’azienda che assume dipendenti, gestisce clienti e fornitori, utilizza sistemi informatici o introduce nuovi strumenti di controllo deve verificare quali informazioni fornire agli interessati e in quale momento. Il problema si presenta soprattutto quando la documentazione predisposta anni prima non corrisponde più ai trattamenti effettivamente svolti.

Gli articoli 12, 13 e 14 del Regolamento (UE) 2016/679 disciplinano gli obblighi di trasparenza e informazione. Un’informativa mancante, incompleta o non aggiornata può esporre l’impresa a contestazioni, provvedimenti del Garante Privacy e sanzioni amministrative, secondo le circostanze della violazione. Per questo, quando cambiano le attività aziendali, i software utilizzati, le finalità del trattamento o le modalità di gestione dei dati, occorre valutare se aggiornare le informative esistenti oppure predisporne di nuove.

Quali informative privacy deve avere un’azienda per dipendenti, clienti, fornitori e altri interessati

Non esiste un numero prestabilito di informative privacy che ogni impresa debba necessariamente possedere. Il GDPR richiede che le persone interessate ricevano informazioni adeguate ai trattamenti che le riguardano. Le informative necessarie dipendono quindi dalle categorie di interessati, dalle finalità perseguite, dalle modalità di raccolta dei dati e dall’organizzazione concreta dell’azienda. Una società può utilizzare documenti distinti per differenti categorie di persone oppure un’informativa articolata che comprenda più trattamenti, purché le informazioni siano complete, comprensibili e facilmente accessibili ai rispettivi destinatari.

Per le imprese con personale dipendente, l’informativa privacy dei lavoratori costituisce uno degli adempimenti da verificare prioritariamente. Deve descrivere i trattamenti connessi alla gestione del rapporto di lavoro, quali amministrazione del personale, elaborazione delle retribuzioni, gestione delle presenze e adempimenti previdenziali e fiscali. Quando l’impresa utilizza sistemi di geolocalizzazione, strumenti di monitoraggio informatico, dispositivi aziendali o particolari tecnologie di controllo, occorre verificare se le informazioni già consegnate siano sufficienti. La consegna di un’informativa generale al momento dell’assunzione non rende automaticamente leciti tutti i trattamenti successivamente introdotti, né sostituisce gli ulteriori adempimenti eventualmente richiesti dalla normativa lavoristica, compreso l’articolo 4 della Legge 300/1970.

Un’ulteriore verifica riguarda i candidati che partecipano alle selezioni del personale. La raccolta di curriculum, la gestione delle candidature e l’utilizzo di piattaforme di recruiting comportano trattamenti che devono essere valutati anche sotto il profilo degli obblighi informativi. Nel caso dei curriculum trasmessi spontaneamente, l’articolo 111-bis del Codice Privacy prevede una disciplina specifica relativa ai tempi dell’informativa. Diversa può essere la situazione quando i dati vengono raccolti mediante moduli online, società di selezione o strumenti automatizzati.

Le informative privacy destinate ai clienti devono essere coerenti con i dati effettivamente trattati per l’esecuzione dei contratti, la gestione amministrativa, l’assistenza e le eventuali attività commerciali. Se l’impresa utilizza un CRM, effettua campagne promozionali, realizza attività di profilazione o comunica dati a soggetti esterni, le relative informazioni devono essere adeguatamente rappresentate. Nel contesto B2B occorre distinguere i dati riferiti esclusivamente alle persone giuridiche dai dati personali dei loro rappresentanti, referenti e dipendenti, ai quali il GDPR continua ad applicarsi.

Anche i fornitori e i collaboratori esterni possono essere destinatari di informative specifiche. La gestione degli ordini, dei contratti, dei pagamenti e dei rapporti commerciali comporta frequentemente il trattamento di dati personali di professionisti individuali o referenti delle società fornitrici. Non bisogna confondere questo adempimento con la designazione dei responsabili del trattamento: l’informativa disciplina le informazioni da fornire agli interessati, mentre il contratto previsto dall’articolo 28 GDPR regola il rapporto con un soggetto che tratta dati personali per conto del titolare.

Ulteriori informative possono rendersi necessarie per i visitatori degli stabilimenti, gli utenti dei siti web, i clienti degli e-commerce e le persone riprese da impianti di videosorveglianza. Per questi ultimi trattamenti occorre considerare anche le specifiche modalità informative, comprese quelle multilivello previste per i sistemi di videosorveglianza. Le aziende che utilizzano canali interni di whistleblowing devono valutare separatamente le informazioni da fornire ai soggetti coinvolti nella gestione delle segnalazioni, tenendo conto degli obblighi di riservatezza e delle limitazioni ai diritti previste dalla normativa applicabile.

La ricognizione delle informative deve partire dai trattamenti effettivi e dalle categorie di interessati. Per individuare gli adempimenti documentali collegati, abbiamo approfondito anche quali documenti privacy sono obbligatori per un’azienda. Una verifica coordinata consente di individuare le informative mancanti senza moltiplicare inutilmente i documenti o utilizzare modelli generici non corrispondenti all’attività svolta.

Quando aggiornare le informative privacy aziendali e quali modifiche richiedono una nuova comunicazione

Il GDPR non stabilisce una scadenza annuale generalizzata delle informative privacy. L’obbligo consiste nel mantenere le informazioni corrette, complete e coerenti con i trattamenti effettuati. Una revisione periodica può essere opportuna come misura organizzativa, ma la necessità di intervenire deve essere valutata soprattutto quando cambiano elementi che incidono sulle informazioni dovute agli interessati. Un documento predisposto nel 2018 non è automaticamente irregolare per la sua data, mentre un’informativa redatta pochi mesi prima può risultare inadeguata se l’impresa ha modificato sostanzialmente le proprie attività.

Una delle situazioni più frequenti riguarda l’introduzione di nuovi software aziendali. La sostituzione del gestionale del personale, l’adozione di un CRM, il trasferimento dei dati su piattaforme cloud o l’utilizzo di applicazioni per il monitoraggio delle attività possono modificare finalità, destinatari, modalità del trattamento e trasferimenti internazionali. Prima di aggiornare l’informativa occorre comprendere quali cambiamenti siano effettivamente intervenuti. Il semplice cambio di un fornitore non impone sempre una nuova informativa, ma può renderne necessaria la revisione quando modifica informazioni che il titolare è tenuto a comunicare, come le categorie dei destinatari o le condizioni dei trasferimenti verso Paesi terzi.

Particolare attenzione richiede l’introduzione di nuove finalità. Un’impresa che inizialmente raccoglie dati dei clienti per eseguire contratti e successivamente intende utilizzarli per attività di marketing, profilazione o analisi automatizzata deve verificare la base giuridica del nuovo trattamento e gli obblighi informativi conseguenti. L’articolo 13, paragrafo 3, e l’articolo 14, paragrafo 4, del GDPR prevedono che, quando il titolare intende trattare ulteriormente i dati per una finalità diversa da quella originaria, debba fornire prima del nuovo trattamento le informazioni sulla diversa finalità e ogni ulteriore informazione pertinente. Occorre inoltre verificare la compatibilità del trattamento ulteriore con quello iniziale e l’eventuale necessità di una distinta base giuridica.

Le modifiche organizzative possono incidere sulle informative anche senza introdurre nuovi strumenti tecnologici. Fusioni, acquisizioni, cessioni di rami aziendali, riorganizzazioni societarie ed esternalizzazioni possono comportare cambiamenti nell’identità del titolare, nei destinatari dei dati o nelle modalità del trattamento. Non ogni modifica della denominazione sociale equivale a un cambiamento del titolare: occorre esaminare la continuità del soggetto giuridico e le effettive conseguenze dell’operazione. Anche la sostituzione del DPO può richiedere l’aggiornamento dei dati di contatto comunicati agli interessati, quando questi non siano più corretti.

Per valutare se le informative aziendali siano ancora adeguate, è necessario confrontarle con il registro delle attività di trattamento, con le procedure operative e con i rapporti contrattuali che incidono sulla gestione dei dati personali. Il registro e l’informativa svolgono funzioni differenti, ma eventuali incongruenze possono rivelare trattamenti non documentati correttamente o informazioni non più attuali. Il controllo deve considerare anche i tempi di conservazione, le basi giuridiche, le categorie di destinatari e l’eventuale esistenza di processi decisionali automatizzati soggetti agli obblighi informativi del GDPR.

Un altro problema riguarda le modalità con cui comunicare gli aggiornamenti. Non è sempre necessario raccogliere una nuova firma o richiedere nuovamente il consenso. La firma non costituisce un requisito generale di validità dell’informativa, e l’informativa non coincide con il consenso al trattamento. Quando una modifica incide sostanzialmente sulle informazioni già fornite, l’impresa deve valutare come comunicarla agli interessati in maniera effettiva, trasparente e tempestiva. La semplice sostituzione di un documento conservato negli archivi aziendali potrebbe non essere sufficiente. Se il trattamento richiede il consenso, occorre verificare separatamente se quello eventualmente acquisito copra le nuove finalità.

La revisione delle informative deve quindi essere collegata ai processi con cui l’azienda approva nuovi trattamenti, introduce strumenti informatici e modifica le proprie procedure. Per le imprese che hanno già predisposto la documentazione GDPR, può essere utile integrare tale controllo nel processo di aggiornamento della documentazione privacy aziendale, così da individuare tempestivamente le modifiche che richiedono una nuova informazione agli interessati e quelle che possono essere gestite mediante una revisione interna dei documenti.

Obblighi, responsabilità e rischi per l’azienda che utilizza informative privacy non conformi

La predisposizione delle informative privacy rientra nella responsabilità del titolare del trattamento, che deve assicurare il rispetto degli obblighi previsti dagli articoli 12, 13 e 14 del GDPR. Non è sufficiente possedere un documento formalmente denominato “informativa privacy”: il suo contenuto deve corrispondere ai trattamenti effettivamente svolti dall’impresa e le informazioni devono essere fornite agli interessati nei tempi e con le modalità previste dalla normativa. La responsabilità rimane in capo al titolare anche quando la redazione dei documenti viene affidata a un consulente esterno o quando l’azienda dispone di un Responsabile della protezione dei dati (DPO/RPD).

Il primo controllo riguarda la completezza delle informazioni obbligatorie. L’impresa deve identificare correttamente il titolare, indicare le finalità e le basi giuridiche dei trattamenti, precisare i destinatari o le relative categorie, fornire le informazioni richieste sui periodi di conservazione e spiegare come esercitare i diritti riconosciuti dal GDPR. Devono essere riportati, quando applicabili, i dati di contatto del DPO, le informazioni sui trasferimenti internazionali e quelle relative ai processi decisionali automatizzati, compresa la profilazione nei casi previsti dalla normativa. Per i dati raccolti presso soggetti diversi dall’interessato, l’articolo 14 richiede ulteriori informazioni, tra cui le categorie di dati personali trattati e la loro provenienza, salvo le eccezioni previste dal Regolamento. La disciplina dei contenuti obbligatori è approfondita nell’articolo dedicato a cosa devono contenere le informative privacy.

Un secondo profilo riguarda la corrispondenza tra documentazione e organizzazione aziendale. Se l’informativa dichiara che i dati dei dipendenti vengono utilizzati esclusivamente per finalità amministrative, mentre l’azienda ha introdotto strumenti di monitoraggio delle attività lavorative, la documentazione potrebbe non rappresentare correttamente il trattamento. Analogamente, un’informativa clienti che non descrive attività di profilazione effettivamente svolte o omette informazioni dovute sui trasferimenti internazionali può presentare carenze rilevanti. L’irregolarità dell’informativa non comporta automaticamente l’illiceità di ogni trattamento, ma può concorrere con ulteriori violazioni relative alla base giuridica, alla trasparenza o alle modalità di utilizzo dei dati.

La verifica assume particolare rilievo quando l’impresa riceve un reclamo da un dipendente, da un cliente o da un altro interessato. In queste circostanze può essere necessario ricostruire quali informazioni siano state effettivamente comunicate, in quale momento e attraverso quali strumenti. L’articolo 5, paragrafo 2, del GDPR impone al titolare di essere in grado di comprovare il rispetto dei principi applicabili al trattamento. È quindi opportuno conservare evidenze delle versioni delle informative utilizzate, delle date di aggiornamento e delle modalità di comunicazione, adottando sistemi proporzionati all’organizzazione aziendale. La raccolta della firma può rappresentare una possibile modalità documentale, ma non costituisce un obbligo generale previsto dal GDPR per dimostrare l’avvenuta informazione.

In caso di verifica del Garante per la protezione dei dati personali, le informative possono essere esaminate insieme al registro dei trattamenti, alle procedure interne e agli altri documenti pertinenti. L’autorità può valutare se le informazioni siano state fornite correttamente e se i trattamenti concretamente effettuati rispettino i principi di liceità, correttezza e trasparenza. Le violazioni degli obblighi informativi e dei diritti degli interessati possono rientrare nel regime sanzionatorio previsto dall’articolo 83, paragrafo 5, del GDPR, che contempla, per le imprese, sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi normativi, non di importi automaticamente applicabili: l’eventuale sanzione dipende dalla natura della violazione, dalla gravità, dalla durata e dagli altri criteri stabiliti dall’articolo 83.

Quando emergono carenze documentali, l’intervento deve partire dalla verifica dei trattamenti e dalla ricostruzione delle informazioni effettivamente fornite. La semplice sostituzione di un testo con un modello più recente potrebbe non risolvere il problema, soprattutto se l’irregolarità riguarda finalità non dichiarate, trattamenti privi di un’adeguata base giuridica o comunicazioni agli interessati mai effettuate. In queste situazioni occorre individuare le correzioni necessarie, stabilire se e come informare le persone coinvolte e documentare le misure adottate. Per le imprese che hanno individuato autonomamente una criticità, abbiamo esaminato anche come intervenire quando viene scoperta internamente una violazione GDPR.

Una revisione professionale delle informative può essere svolta nell’ambito di un audit privacy oppure come intervento mirato su specifici trattamenti. Nel primo caso si esamina la coerenza complessiva della documentazione; nel secondo si affronta una criticità circoscritta, come l’introduzione di un nuovo software HR o l’aggiornamento delle informazioni destinate ai clienti. La scelta dipende dall’estensione delle modifiche, dall’affidabilità della documentazione esistente e dalla presenza di eventuali contestazioni. L’obiettivo è ricondurre gli obblighi informativi alla realtà operativa dell’impresa, evitando correzioni esclusivamente formali che lascino irrisolte le cause delle difformità.

Esempio pratico: aggiornamento delle informative privacy dopo l’introduzione di nuovi sistemi aziendali

Consideriamo il caso ipotetico di una società commerciale con circa cinquanta dipendenti che utilizza informative privacy predisposte alcuni anni prima. Nel frattempo, l’impresa ha sostituito il gestionale del personale, introdotto un CRM per la gestione dei clienti e trasferito parte dei dati su una piattaforma cloud. Le informative originarie continuano a essere consegnate ai nuovi assunti e pubblicate sul sito aziendale, senza che sia stata effettuata una verifica della loro corrispondenza ai trattamenti attuali.

Durante una revisione documentale emerge che alcune informazioni relative ai destinatari dei dati, alle finalità commerciali e ai sistemi utilizzati non sono più adeguate. L’intervento richiede innanzitutto di ricostruire i flussi dei dati personali, esaminare i rapporti con i fornitori e confrontare le attività effettive con il registro dei trattamenti. Particolare attenzione viene dedicata al CRM, per distinguere la gestione ordinaria dei rapporti contrattuali dalle eventuali attività promozionali e di profilazione, che possono richiedere valutazioni giuridiche differenti.

Sulla base delle verifiche vengono individuate le informative da modificare, le informazioni da integrare e le modalità appropriate per comunicare gli aggiornamenti agli interessati. L’azienda può così organizzare una procedura interna che preveda il riesame della documentazione privacy prima dell’attivazione di nuovi trattamenti o della modifica di quelli esistenti. Il caso mostra perché l’aggiornamento delle informative debba essere preceduto da una verifica concreta dell’organizzazione aziendale, anziché limitarsi alla sostituzione di modelli standardizzati.

Domande frequenti sulle informative privacy aziendali

Un’azienda deve predisporre un’informativa privacy diversa per dipendenti, clienti e fornitori?

Non esiste un obbligo generale di predisporre un documento separato per ogni categoria di interessati. L’azienda deve però fornire informazioni complete, comprensibili e pertinenti ai trattamenti effettuati. Utilizzare informative distinte per dipendenti, clienti, fornitori e candidati può essere opportuno quando le finalità, le basi giuridiche e le modalità di trattamento sono differenti. La scelta deve assicurare che ciascun interessato riceva effettivamente tutte le informazioni previste dagli articoli 13 e 14 del GDPR.

Ogni quanto devono essere aggiornate le informative privacy aziendali?

Il GDPR non prevede una scadenza annuale obbligatoria. Le informative devono essere riesaminate quando intervengono modifiche rilevanti nei trattamenti, nelle finalità, nei destinatari, nei tempi di conservazione o nelle altre informazioni comunicate agli interessati. Una verifica periodica è consigliabile, soprattutto nelle imprese che introducono frequentemente nuovi software, servizi cloud o procedure organizzative. La data di redazione non determina da sola la conformità dell’informativa.

Quando si aggiorna un’informativa privacy bisogna farla firmare nuovamente?

Non necessariamente. Il GDPR non impone, in via generale, la firma dell’informativa né la raccolta di un nuovo consenso per ogni aggiornamento. L’azienda deve valutare se le modifiche richiedano una nuova comunicazione agli interessati e deve poter dimostrare il rispetto degli obblighi di trasparenza. Se vengono introdotte finalità che richiedono il consenso, occorre verificare se quello eventualmente acquisito sia valido anche per i nuovi trattamenti oppure se sia necessario raccoglierne uno specifico.

Chi risponde se le informative privacy aziendali sono incomplete o non aggiornate?

La responsabilità del rispetto degli obblighi informativi ricade sul titolare del trattamento, normalmente la società o l’impresa che determina finalità e mezzi del trattamento. L’affidamento della redazione a un consulente privacy o il coinvolgimento del DPO non trasferiscono automaticamente tale responsabilità. Un’informativa non conforme può comportare interventi correttivi e, nei casi previsti dal GDPR, sanzioni amministrative, da valutare secondo le caratteristiche della violazione.

Quanto costa far verificare e aggiornare le informative privacy di un’azienda?

Il costo dipende dal numero e dalla complessità dei trattamenti, dalla documentazione esistente e dalle verifiche necessarie. La revisione di alcune informative già correttamente strutturate richiede un’attività diversa rispetto alla ricostruzione completa dei trattamenti di una società con numerosi dipendenti, piattaforme informatiche e rapporti con fornitori esterni. Per formulare un preventivo attendibile occorre prima individuare le informative da predisporre o aggiornare e verificare se siano necessarie ulteriori attività di adeguamento GDPR.

Informative privacy aziendali da predisporre o aggiornare: richiedi una valutazione legale

Se la vostra azienda utilizza informative privacy predisposte anni fa, ha introdotto nuovi trattamenti oppure non dispone di documenti adeguati per dipendenti, clienti e fornitori, è opportuno verificare la situazione prima che emergano contestazioni o richieste del Garante Privacy. Noi dello Studio Legale Calvello assistiamo le imprese nella verifica, predisposizione e revisione delle informative privacy aziendali, valutando gli obblighi applicabili, le criticità documentali e gli interventi necessari in relazione all’organizzazione effettiva.

Per sottoporre il vostro caso allo Studio, richiedete una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze di assistenza e le verifiche professionali eventualmente necessarie.