Articolo a cura di: Redazione - Studio Legale Calvello

Un’informativa privacy predisposta anni fa, copiata da un modello standard o mai aggiornata dopo l’introduzione di nuovi trattamenti può esporre l’azienda a contestazioni e sanzioni GDPR. Il problema non riguarda soltanto la presenza del documento: l’informativa deve descrivere in modo corretto, comprensibile e aggiornato come l’impresa raccoglie, utilizza, comunica e conserva i dati personali di dipendenti, clienti, fornitori e altri interessati.

Le irregolarità emergono spesso quando l’azienda introduce un nuovo software gestionale, affida servizi a fornitori esterni, modifica le attività di marketing o installa strumenti di controllo senza rivedere le informazioni precedentemente fornite. Anche un documento formalmente completo può risultare non conforme se descrive trattamenti diversi da quelli effettivamente svolti. In queste situazioni occorre individuare le carenze, verificarne le conseguenze sui trattamenti già effettuati e stabilire quali correzioni siano necessarie, anche con l’assistenza di un professionista esperto in privacy aziendale.

Quando un’informativa privacy aziendale è incompleta, vecchia o non conforme al GDPR

Un’informativa privacy aziendale diventa inadeguata quando le informazioni comunicate agli interessati non corrispondono più alle modalità effettive del trattamento oppure mancano elementi richiesti dagli articoli 13 e 14 del Regolamento (UE) 2016/679. Non esiste una scadenza generale che imponga di riscrivere tutte le informative ogni anno: l’obbligo consiste nel mantenere corrette le informazioni e nel rispettare gli obblighi di trasparenza quando cambiano le circostanze rilevanti.

Consideriamo un’impresa che utilizza ancora l’informativa predisposta nel 2018. Nel frattempo ha introdotto un CRM, trasferito parte della documentazione su piattaforme cloud, affidato il servizio paghe a un nuovo fornitore e attivato campagne commerciali automatizzate. Il documento originario potrebbe non descrivere più correttamente le finalità del trattamento, le categorie di destinatari, gli eventuali trasferimenti internazionali o i periodi di conservazione. L’anzianità dell’informativa, da sola, non costituisce una violazione: la non conformità deriva dalle omissioni, dalle informazioni inesatte o dalla mancata comunicazione di elementi che la normativa richiede di rendere conoscibili agli interessati.

Tra gli errori più frequenti riscontrabili nelle informative aziendali vi sono l’indicazione di finalità eccessivamente generiche, l’assenza di una base giuridica corretta per ciascun trattamento, la mancata indicazione dei periodi di conservazione o dei criteri utilizzati per determinarli, informazioni insufficienti sui destinatari e l’omissione dei trasferimenti di dati verso Paesi terzi. Possono risultare carenti anche le indicazioni relative ai diritti degli interessati, alla possibilità di presentare reclamo al Garante per la protezione dei dati personali e ai dati di contatto del DPO, quando designato.

Particolare attenzione merita l’utilizzo di informative standardizzate o copiate da altre imprese. Una privacy policy apparentemente completa può contenere basi giuridiche non pertinenti, indicare trattamenti inesistenti oppure omettere attività realmente svolte. La presenza di un testo pubblicato sul sito o consegnato ai dipendenti non dimostra, di per sé, il rispetto degli obblighi informativi. L’azienda deve poter ricostruire quali informazioni siano state fornite, a quali soggetti e in quale momento.

Il problema riguarda anche le diverse categorie di interessati. L’informativa destinata ai dipendenti deve considerare i trattamenti effettivamente svolti nella gestione del rapporto di lavoro, mentre quella rivolta ai clienti deve essere coerente con le attività contrattuali, amministrative e commerciali. Per i dati raccolti indirettamente, inoltre, occorre verificare l’applicazione dell’articolo 14 GDPR e delle relative eccezioni. Non sempre un unico documento generico riesce a rappresentare correttamente trattamenti con finalità, destinatari e modalità differenti.

La prima verifica consiste quindi nel confrontare le informative esistenti con i processi aziendali. Questo controllo deve riguardare anche la coerenza con il registro delle attività di trattamento, le procedure interne e i rapporti con i fornitori che trattano dati personali. Un’informativa corretta sul piano formale può infatti rivelare problemi organizzativi ulteriori quando non corrisponde alla documentazione effettivamente utilizzata dall’impresa.

Come correggere un’informativa privacy incompleta e regolarizzare i trattamenti già effettuati

La correzione di un’informativa privacy non conforme richiede una verifica preliminare delle attività di trattamento. Limitarsi a sostituire il documento con un modello più recente rischia di lasciare irrisolte le cause dell’irregolarità, soprattutto quando l’informativa non descrive correttamente i processi aziendali. L’aggiornamento deve partire dai trattamenti effettivi, non dalla semplice riscrittura delle clausole.

Occorre anzitutto individuare quali dati personali vengono raccolti, per quali finalità, attraverso quali strumenti e con quali basi giuridiche. La verifica comprende i soggetti che possono accedere alle informazioni, i fornitori coinvolti, i tempi di conservazione e gli eventuali trasferimenti verso Paesi esterni allo Spazio economico europeo. Se emergono divergenze rispetto alle informazioni già comunicate, bisogna distinguere le inesattezze puramente documentali dalle situazioni nelle quali il trattamento stesso richiede ulteriori interventi di adeguamento.

Un caso particolarmente delicato riguarda le basi giuridiche. Se l’informativa indica il consenso come presupposto di un trattamento che in realtà si fonda sull’esecuzione di un contratto o su un obbligo legale, occorre correggere l’informazione e verificare la liceità dell’attività svolta. Viceversa, quando un trattamento richiede effettivamente il consenso, la semplice pubblicazione di una nuova informativa non può sostituire una manifestazione di volontà valida, libera, specifica, informata e inequivocabile. Un’informativa aggiornata non sana automaticamente eventuali trattamenti illeciti effettuati in precedenza.

La revisione deve considerare anche le modifiche delle finalità. L’articolo 13, paragrafo 3, e l’articolo 14, paragrafo 4, GDPR prevedono specifici obblighi informativi quando il titolare intende trattare ulteriormente i dati per finalità diverse da quelle originarie. Prima di procedere occorre verificare la compatibilità del nuovo trattamento con quello iniziale o individuare un diverso presupposto di liceità, quando necessario. Non è sufficiente aggiungere una finalità all’informativa per rendere automaticamente legittimo qualsiasi nuovo utilizzo dei dati.

Una volta individuate le modifiche, l’azienda deve stabilire come comunicare le informazioni aggiornate agli interessati. La pubblicazione della nuova privacy policy sul sito può essere appropriata per determinati trattamenti online, ma non sostituisce necessariamente gli obblighi informativi relativi ai dipendenti, ai clienti già acquisiti o ai soggetti i cui dati sono trattati attraverso altri canali. Le modalità di comunicazione dipendono dalla natura delle modifiche, dalle circostanze della raccolta e dall’esigenza di assicurare un’informazione effettiva, trasparente e facilmente accessibile.

Per i dipendenti, ad esempio, l’introduzione di nuovi strumenti informatici o sistemi di monitoraggio può richiedere un aggiornamento dell’informativa e una verifica delle ulteriori disposizioni applicabili ai controlli sul lavoro. La sola modifica del documento privacy non sostituisce gli eventuali adempimenti previsti dall’articolo 4 dello Statuto dei lavoratori. Analogamente, l’introduzione di una nuova piattaforma cloud richiede di verificare i rapporti contrattuali con il fornitore, le misure di sicurezza e gli eventuali trasferimenti internazionali, oltre alle informazioni da comunicare agli interessati.

La regolarizzazione deve essere documentata. È opportuno conservare le versioni precedenti delle informative, registrare le modifiche apportate e poter dimostrare le modalità con cui le nuove informazioni sono state rese disponibili. Questa documentazione contribuisce all’applicazione del principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, GDPR e permette di ricostruire le attività svolte in caso di audit, reclamo o richiesta dell’autorità di controllo.

Quando le carenze interessano più trattamenti, può essere necessario un intervento coordinato sulla documentazione privacy. Abbiamo approfondito questo aspetto nella guida dedicata a come aggiornare correttamente la documentazione privacy aziendale. Per le informative, l’obiettivo immediato resta individuare le informazioni mancanti o inesatte, verificare le conseguenze delle omissioni e adottare correzioni coerenti con le attività realmente svolte dall’impresa.

Quali sanzioni e responsabilità rischia l’azienda per un’informativa privacy non conforme

Un’informativa privacy incompleta, inesatta o non aggiornata può integrare una violazione degli obblighi di trasparenza previsti dal GDPR, anche quando l’azienda dispone di altre misure organizzative per la protezione dei dati personali. Gli articoli 12, 13 e 14 del Regolamento (UE) 2016/679 impongono al titolare del trattamento di fornire informazioni corrette, comprensibili e accessibili agli interessati. La presenza di un documento formalmente denominato “informativa privacy” non esclude la responsabilità dell’impresa quando il suo contenuto risulta insufficiente o non corrispondente ai trattamenti effettivamente svolti.

Le violazioni degli obblighi informativi possono rientrare nel regime sanzionatorio dell’articolo 83, paragrafo 5, GDPR, che prevede sanzioni amministrative pecuniarie fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta dei limiti massimi previsti dalla normativa, non di importi automaticamente applicabili. La determinazione dell’eventuale sanzione richiede una valutazione delle circostanze concrete, secondo i criteri dell’articolo 83, paragrafo 2, tra cui natura, gravità e durata della violazione, carattere doloso o colposo, categorie di dati interessate, misure adottate per attenuare le conseguenze e grado di cooperazione con l’autorità di controllo.

Occorre distinguere l’incompletezza dell’informativa dalle ulteriori irregolarità che possono emergere durante una verifica. Se l’azienda omette di indicare un fornitore o una categoria di destinatari, il problema può riguardare gli obblighi informativi. Se, invece, emerge che i dati vengono trattati senza un’idonea base giuridica, conservati oltre i termini giustificabili o trasferiti all’estero senza rispettare le condizioni applicabili, possono configurarsi violazioni ulteriori. Correggere l’informativa non significa automaticamente regolarizzare ogni aspetto del trattamento sottostante.

Il Garante per la protezione dei dati personali può intervenire nell’esercizio dei poteri previsti dall’articolo 58 GDPR, anche ordinando al titolare di conformare i trattamenti alle disposizioni del Regolamento. A seconda delle circostanze, possono essere adottati ammonimenti, ingiunzioni correttive, limitazioni del trattamento o sanzioni amministrative pecuniarie. La scelta della misura dipende dalla violazione accertata e dai presupposti previsti dalla normativa. Un’informativa non aggiornata non determina necessariamente l’applicazione di una multa, ma neppure può essere considerata irrilevante soltanto perché non si è verificata una perdita o una divulgazione di dati personali.

Le carenze documentali possono emergere durante un controllo del Garante, in seguito al reclamo di un dipendente o di un cliente oppure attraverso un audit richiesto da un committente. In particolare, quando l’interessato contesta di non essere stato informato di una determinata attività, l’azienda deve poter ricostruire quali informazioni siano state effettivamente rese disponibili e in quale momento. Il principio di accountability richiede al titolare di essere in grado di dimostrare il rispetto degli obblighi applicabili, anche mediante una documentazione coerente con le procedure concretamente adottate.

La responsabilità del rispetto degli obblighi informativi ricade sul titolare del trattamento. L’eventuale affidamento della predisposizione delle informative a un consulente esterno o il coinvolgimento del DPO non trasferiscono automaticamente tale responsabilità. Il responsabile della protezione dei dati svolge le funzioni di informazione, consulenza e sorveglianza previste dall’articolo 39 GDPR, mentre le decisioni sulle finalità e sui mezzi del trattamento rimangono riconducibili al titolare. Per questa ragione, quando emergono omissioni o documenti obsoleti, la direzione aziendale deve assicurare che le verifiche e le correzioni necessarie vengano effettivamente eseguite.

Un ulteriore profilo riguarda le richieste risarcitorie. L’articolo 82 GDPR riconosce il diritto al risarcimento del danno materiale o immateriale subito a causa di una violazione del Regolamento, quando ricorrono i relativi presupposti. La mera irregolarità dell’informativa non comporta automaticamente un diritto al risarcimento: occorre accertare l’esistenza di un danno e il nesso causale con la violazione. Resta comunque possibile che un’omissione informativa si inserisca in una controversia più ampia, soprattutto quando riguarda controlli sui lavoratori, utilizzo dei dati per finalità commerciali o trattamenti non adeguatamente comunicati.

Quando l’irregolarità viene individuata internamente, è opportuno intervenire senza attendere una contestazione. La verifica deve individuare le informazioni mancanti, le attività interessate, gli eventuali trattamenti non correttamente rappresentati e le misure necessarie per ripristinare la conformità. Se l’azienda ha già ricevuto un reclamo o una richiesta dell’autorità, occorre valutare anche le modalità e i termini della risposta, preservando la documentazione utile a ricostruire quanto accaduto. Per un approfondimento sulle conseguenze delle carenze documentali abbiamo trattato il tema nell’articolo dedicato a come ridurre il rischio di sanzioni privacy attraverso una corretta documentazione aziendale.

Un esempio pratico: informativa privacy rimasta invariata dopo l’introduzione di nuovi software aziendali

Consideriamo il caso ipotetico di una società di servizi che utilizza da diversi anni le stesse informative privacy per dipendenti e clienti. Nel frattempo l’impresa ha introdotto un nuovo gestionale cloud, una piattaforma per la gestione del personale e un sistema CRM destinato anche alle comunicazioni commerciali. Durante una verifica interna emerge che le informative originarie non descrivono adeguatamente alcune delle nuove finalità, le categorie di destinatari e le modalità di conservazione dei dati.

La revisione richiede di ricostruire i trattamenti effettivamente svolti, confrontarli con il registro delle attività e verificare i rapporti con i fornitori coinvolti. L’aspetto più delicato riguarda la distinzione tra le attività che necessitano soltanto di una corretta integrazione informativa e quelle per le quali occorre riesaminare anche la base giuridica o le modalità operative. Per le comunicazioni commerciali, ad esempio, viene verificato se i dati siano utilizzati nel rispetto delle condizioni previste dalla normativa, senza presumere che la semplice modifica dell’informativa possa legittimare qualsiasi precedente utilizzo.

Sulla base delle verifiche, la società può predisporre informative distinte e coerenti con i trattamenti destinati ai dipendenti e ai clienti, individuando le modalità appropriate per comunicare le modifiche e documentare gli interventi effettuati. L’esempio mostra perché la regolarizzazione di un’informativa privacy obsoleta richiede spesso una verifica dei processi aziendali che ne hanno determinato l’inadeguatezza, anziché la semplice sostituzione del testo con un modello aggiornato.

Domande frequenti sulle informative privacy incomplete o non aggiornate

Un’informativa privacy predisposta nel 2018 deve essere obbligatoriamente rifatta?

No. Il GDPR non stabilisce una scadenza generale delle informative privacy. Un documento predisposto nel 2018 può essere ancora valido se contiene tutte le informazioni richieste e descrive correttamente i trattamenti attuali. Occorre aggiornarlo quando intervengono modifiche rilevanti oppure emergono omissioni o inesattezze. È quindi opportuno verificare periodicamente la corrispondenza tra informativa, attività aziendali e documentazione GDPR.

Se l’azienda scopre di aver utilizzato un’informativa incompleta, deve chiedere nuovamente il consenso?

Non necessariamente. L’aggiornamento dell’informativa e la raccolta del consenso sono adempimenti distinti. Quando il trattamento si fonda su una base giuridica diversa dal consenso, quest’ultimo non deve essere richiesto soltanto perché il documento è stato modificato. Se invece il consenso era necessario e non è stato acquisito validamente, occorre valutare come regolarizzare i trattamenti interessati. La nuova informativa non rende automaticamente lecite le attività svolte in precedenza.

È sufficiente pubblicare una nuova informativa privacy sul sito aziendale?

Dipende dalle modalità di raccolta dei dati, dalle categorie di interessati e dalla natura delle modifiche. La pubblicazione sul sito può essere appropriata per determinati trattamenti online, ma non garantisce necessariamente che dipendenti, clienti o altri soggetti siano stati adeguatamente informati. L’azienda deve individuare modalità di comunicazione coerenti con gli articoli 12, 13 e 14 GDPR e poter documentare l’adempimento degli obblighi applicabili.

Il Garante Privacy può sanzionare un’azienda anche se non si è verificato alcun data breach?

Sì. Gli obblighi di trasparenza e informazione sono autonomi rispetto a quelli relativi alla sicurezza dei dati personali. Un’informativa incompleta o inesatta può costituire una violazione del GDPR anche in assenza di accessi abusivi, perdita di dati o incidenti informatici. L’eventuale sanzione dipende dall’accertamento della violazione e dalla valutazione delle circostanze concrete, secondo i criteri previsti dall’articolo 83 GDPR.

Quanto costa far verificare e aggiornare le informative privacy aziendali?

Il costo dipende dal numero delle informative, dalla complessità dei trattamenti e dalle irregolarità riscontrate. La revisione di un documento relativo a trattamenti semplici richiede attività diverse rispetto all’adeguamento delle informative di un’impresa che utilizza software cloud, sistemi di monitoraggio dei dipendenti, piattaforme commerciali e fornitori esteri. Un preventivo attendibile richiede quindi una valutazione preliminare della documentazione esistente e delle attività necessarie per correggerla.

Informativa privacy incompleta o non aggiornata: richiedi una valutazione legale per la tua azienda

Se le informative privacy della vostra azienda non vengono aggiornate da anni, contengono informazioni incomplete oppure non descrivono correttamente i trattamenti effettuati, possiamo esaminare la situazione e individuare gli interventi necessari. La valutazione riguarda le carenze documentali, la conformità agli obblighi informativi del GDPR e le eventuali conseguenze sui trattamenti già svolti, con particolare attenzione ai rischi di contestazione e alle responsabilità del titolare.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella verifica e nell’adeguamento della documentazione privacy, nella gestione delle non conformità e nei rapporti con il Garante per la protezione dei dati personali. Per sottoporre il problema della vostra azienda allo Studio, richiedete una valutazione attraverso il modulo dedicato alla consulenza privacy e GDPR aziendale. Esamineremo la richiesta per individuare le possibili modalità di assistenza in relazione alle specifiche esigenze dell’impresa.