Informativa privacy modello e regole di redazione GDPR

Predisporre un'informativa privacy conforme al Regolamento UE 2016/679 significa garantire la massima trasparenza verso i clienti, comunicando in modo chiaro come vengono raccolti, utilizzati e conservati i loro dati personali. Per risultare valida, la comunicazione deve possedere caratteristiche ben definite: deve essere concisa, facilmente accessibile, comprensibile per l'interessato e improntata ai principi generali di correttezza e liceità. L'omessa o incompleta informativa espone l'impresa a violazioni di natura amministrativa soggette a pesanti sanzioni pecuniarie.

Le caratteristiche e i canali di trasmissione del documento

Il testo dell'informativa deve essere fornito di norma per iscritto, privilegiando la forma elettronica, in particolar modo quando i servizi offerti sono fruibili online. Le indicazioni fornite dal Garante per la protezione dei dati personali ammettono anche la trasmissione orale delle informazioni, a condizione che siano comunque rispettati tutti i requisiti di sostanza e di trasparenza fissati dall'ordinamento europeo.

Qualunque sia la modalità prescelta, la redazione non può ridursi a un mero adempimento formale: il linguaggio deve rimanere sempre comprensibile per l'utente, evitando formule eccessivamente complesse che ne ostacolino l'immediata comprensione.

I contenuti obbligatori previsti dal Regolamento UE 2016/679

Gli articoli 13 e 14 del GDPR stabiliscono un elenco tassativo di informazioni che il titolare del trattamento deve inserire all'interno del documento. Un corretto schema informativo deve comprendere:

• l'identità e i dati di recapito del titolare del trattamento e, ove presente, del suo rappresentante;
• i recapiti del responsabile della protezione dei dati, qualora tale figura sia stata nominata;
• le finalità perseguite con il trattamento e la specifica base giuridica su cui esso si fonda;
• gli eventuali legittimi interessi perseguiti dal titolare o da soggetti terzi;
• i destinatari o le categorie di destinatari a cui i dati personali potranno essere comunicati;
• l'eventuale intenzione di trasferire i dati personali verso un Paese terzo o un'organizzazione internazionale, specificando l'esistenza o meno di decisioni di adeguatezza della Commissione oppure indicando le garanzie appropriate adottate e le modalità per ottenerne copia.

Trasparenza, tempi di conservazione e diritti dell'interessato

Per garantire un trattamento pienamente trasparente e corretto, la disciplina comunitaria impone l'integrazione di ulteriori elementi essenziali relativi alla gestione del rapporto nel tempo:

• il periodo effettivo di conservazione delle informazioni raccolte oppure i criteri oggettivi adottati per calcolare tale durata;
• la facoltà per l'interessato di revocare in qualunque momento il consenso precedentemente accordato;
• l'indicazione espressa dei diritti spettanti all'utente, tra cui l'accesso ai dati, la rettifica, la cancellazione, la limitazione del trattamento, l'opposizione e il diritto alla portabilità;
• il diritto di proporre formale reclamo dinanzi all'Autorità di controllo nazionale, individuata in Italia nel Garante per la protezione dei dati personali;
• l'indicazione se il conferimento dei dati costituisca un obbligo di legge, un vincolo contrattuale o un requisito indispensabile per stipulare il contratto, specificando le conseguenze derivanti da un eventuale rifiuto a fornirli;
• la presenza di eventuali processi decisionali automatizzati, con l'illustrazione della logica applicata e degli effetti previsti per la persona interessata.

Tempistiche per la consegna dell'informativa

Le scadenze per la trasmissione delle informazioni variano a seconda delle modalità con cui i dati vengono acquisiti. Nell'ipotesi di raccolta diretta presso l'interessato, la consegna del documento e la relativa sottoscrizione devono avvenire prima che i dati vengano acquisiti.

Nel caso in cui i dati non siano ottenuti direttamente dalla persona a cui si riferiscono, l'informativa deve essere fornita entro termini precisi:

• entro un termine massimo di un mese dall'avvenuta raccolta;
• al momento della prima comunicazione con l'interessato, qualora i dati siano destinati a tale finalità;
• entro e non oltre la prima comunicazione a terzi, in caso di trasmissione all'esterno.

Perché evitare modelli generici e come procedere

L'adozione di un fac simile standardizzato o reperito genericamente espone l'azienda a rischi significativi. Sebbene le voci obbligatorie siano definite in modo puntuale dagli articoli 13 e 14 del Regolamento UE 2016/679, ogni attività economica presenta flussi di dati, finalità operative e tempi di conservazione differenti.

Per questa ragione, la redazione deve essere svolta su misura rispetto ai trattamenti concretamente realizzati, verificando con regolarità la tenuta dei testi e provvedendo al loro tempestivo aggiornamento qualora mutino le logiche interne, l'impiego di processi decisionali automatizzati o le prassi normative.

Per valutare il caso specifico è possibile rivolgersi allo studio.