Art. 12 GDPR — Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato

Commento

Il principio di trasparenza

L'art. 12 GDPR è la norma cardine della trasparenza nel rapporto tra titolare e interessato. Concretizza il principio di trasparenza dell'art. 5, par. 1, lett. a, declinandolo in obblighi operativi su forma, lingua, modalità e tempi delle comunicazioni. La norma si applica trasversalmente agli obblighi informativi (artt. 13-14), ai diritti dell'interessato (artt. 15-22) e alle comunicazioni in caso di data breach (art. 34). La trasparenza è la condizione affinché l'interessato possa esercitare il proprio diritto fondamentale alla protezione dei dati.

Lingua chiara e accessibile

Il par. 1 impone che il titolare adotti misure appropriate per fornire informazioni e comunicazioni in forma concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro, in particolare quando sono destinate specificamente a minori. Sono vietate privacy policy in legalese, formattate come muri di testo, prive di gerarchia visiva. L'EDPB nelle linee guida sulla trasparenza ha consolidato il modello layered (informativa breve + estesa) e l'uso di icone, video, FAQ. La giurisprudenza CGUE ha sanzionato piattaforme che, pur fornendo informazioni, le formulavano in modo inaccessibile.

Modalità di esercizio dei diritti

Le informazioni sono fornite per iscritto o con altri mezzi, anche elettronici. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché ne sia comprovata l'identità con altri mezzi. Il par. 2 prevede che il titolare debba agevolare l'esercizio dei diritti di cui agli artt. 15-22. È regola di proattività: non basta non ostacolare, occorre rendere agevole. Form dedicati, indirizzi privacy@, dashboard self-service sono buone pratiche; il rinvio a procedure cartacee, a uffici remoti, a contatti generici è red flag.

Tempi di risposta e gratuità

Il par. 3 fissa il termine di un mese per fornire informazioni sulle azioni intraprese in seguito a una richiesta dell'interessato (con possibilità di proroga di due mesi per richieste complesse, motivata e comunicata all'interessato entro un mese). Le informazioni sono fornite gratuitamente (par. 5), salvo richieste manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo: in tal caso il titolare può addebitare un contributo ragionevole oppure rifiutare di rispondere, dimostrando il carattere abusivo della richiesta. La gratuità è regola generale, la denegazione è eccezione motivata.

Diniego e tutela

Se il titolare non ottempera alla richiesta, informa l'interessato senza ritardo e al più tardi entro un mese dei motivi dell'inattività e della possibilità di proporre reclamo all'autorità di controllo (art. 77) e di proporre ricorso giurisdizionale (artt. 78-79). È regola di doppio binario: il titolare può negare ma deve motivare e indicare i rimedi. La giurisprudenza del Garante ha sanzionato titolari che hanno opposto silenzio rifiuto o motivazioni generiche.

Icone standardizzate

Il par. 7 prevede la possibilità di accompagnare le informazioni con icone standardizzate per offrire una panoramica chiara, leggibile, significativa. La Commissione ha facoltà di adottare atti delegati per la definizione delle icone (par. 8). La prassi attuale dei Garanti europei e dell'EDPB ha sviluppato library di icone (occhi, lucchetti, frecce, marchi temporali) impiegate nelle informative layered. Il titolare che adotta icone deve assicurare che siano comprensibili in modo intuitivo e coerenti con il contenuto testuale: l'iconografia decorativa o ingannevole è considerata dark pattern.

Regola pratica e checklist operativa

Per la compliance art. 12: (i) ristrutturare l'informativa in modello layered con sezioni titolate; (ii) impostare un canale unico (privacy@, form web) per ricevere richieste; (iii) automatizzare il triage (riconoscimento richiesta, controllo identità, timer 1 mese); (iv) preparare template di risposta per ogni diritto; (v) tracciare ogni richiesta nel registro; (vi) prevedere escalation per richieste complesse; (vii) fornire sempre indicazione dei rimedi (reclamo, ricorso). La trasparenza è fattore competitivo.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.