Informativa privacy: come farla a norma

In sintesi

• Cos’è: il documento con cui il titolare informa l’interessato su come tratta i suoi dati (artt. 13-14 GDPR).
• Quando: al momento della raccolta dei dati, in forma chiara e accessibile.
• Contenuto: titolare, finalità, base giuridica, destinatari, conservazione e diritti dell’interessato.
• Due tipi: art. 13 (dati raccolti dall’interessato) e art. 14 (dati raccolti presso terzi).

Cos’è l’informativa privacy

L’informativa è il documento con cui il titolare, in attuazione del principio di trasparenza, comunica all’interessato come e perché tratta i suoi dati personali (artt. 13 e 14 GDPR). Non è una formalità: è il modo in cui l’impresa rende l’interessato consapevole e, dove serve, può raccogliere un consenso valido.

Quando va resa

L’informativa va fornita al momento della raccolta dei dati: quando il cliente compila un modulo, quando si assume un dipendente, quando l’utente naviga sul sito. Deve essere facilmente accessibile, scritta in modo conciso, trasparente e comprensibile, con un linguaggio chiaro e semplice (non solo “legalese”).

Cosa deve contenere

Gli elementi essenziali sono: identità e contatti del titolare (ed eventuale DPO); finalità e base giuridica del trattamento; eventuale interesse legittimo perseguito; destinatari o categorie di destinatari; eventuali trasferimenti extra-UE; periodo di conservazione; i diritti dell’interessato (accesso, rettifica, cancellazione, ecc.) e come esercitarli; il diritto di reclamo al Garante; se il conferimento è obbligatorio o facoltativo e le conseguenze del rifiuto.

Informativa art. 13 e art. 14

L’art. 13 riguarda i dati raccolti direttamente presso l’interessato (es. il modulo che compila lui stesso). L’art. 14 riguarda i dati raccolti presso terzi (es. liste, banche dati): in questo caso l’informativa va resa entro termini definiti e deve indicare anche la fonte da cui provengono i dati. Cambia il momento e qualche contenuto, non la logica.

Errori da evitare

Informative generiche copiate da altri siti, finalità vaghe, mancata indicazione dei tempi di conservazione o dei diritti, consenso “annegato” nell’informativa. L’informativa deve rispecchiare i trattamenti reali (quelli mappati nel registro) ed essere distinta dall’eventuale richiesta di consenso, che va raccolta separatamente e in modo specifico.

Esempio pratico

Una SRL predispone un’informativa per i clienti (gestione ordini e fatturazione, base contrattuale), una per i dipendenti (gestione del rapporto, obblighi di legge) e una per il sito (navigazione, cookie, eventuale newsletter con consenso). Ognuna indica finalità reali, tempi di conservazione e i diritti, con i contatti per esercitarli.