Autore: Andrea Marton

La fideiussione omnibus impegna a garantire tutti i debiti, anche futuri, del debitore verso la banca. Ma non è una trappola senza uscita: il fideiussore può recedere, fermando la garanzia per il futuro. Il recesso, però, non cancella i debiti già maturati: va fatto al momento giusto e nel modo giusto.

Cos’è la fideiussione omnibus

La fideiussione omnibus è la garanzia con cui il fideiussore si obbliga per tutti i debiti, presenti e futuri, del debitore principale verso la banca. Poiché copre obbligazioni future, la legge impone un limite: deve essere previsto l’importo massimo garantito (art. 1938 c.c.). Senza questo tetto, la garanzia non è valida per la parte eccedente.

Il diritto di recesso

Proprio perché garantisce obbligazioni future, la fideiussione omnibus può essere oggetto di recesso da parte del fideiussore. Il recesso impedisce che la garanzia copra i nuovi debiti che sorgeranno dopo, ma non libera dai debiti già esistenti al momento in cui produce effetto. È lo strumento per “chiudere il rubinetto” verso il futuro.

Profilo	Disciplina	Norma
Oggetto	Debiti presenti e futuri verso la banca	–
Importo massimo	Obbligatorio per le obbligazioni future	art. 1938 c.c.
Recesso	Ferma la garanzia per i debiti successivi	–
Debiti anteriori	Restano garantiti	–

Come comunicare il recesso

Il recesso ha effetto dal momento in cui la banca ne ha conoscenza: va quindi comunicato con un atto a data certa – PEC o raccomandata A/R. È prudente conservare la prova della ricezione, perché è la data del recesso a separare i debiti garantiti (anteriori) da quelli non garantiti (posteriori).

Le altre vie d’uscita

Oltre al recesso, il fideiussore può puntare su altre cause di liberazione: la liberazione ex art. 1957 c.c., per cui il garante è liberato se il creditore non agisce contro il debitore entro sei mesi dalla scadenza (a meno che una clausola valida l’abbia derogata); la nullità delle clausole dello schema ABI (reviviscenza, deroga al 1957, sopravvivenza); l’estinzione del debito garantito. Sono strade da valutare insieme al recesso.

Spunti pratici

• Verifica l’importo massimo: senza tetto la garanzia per i debiti futuri non è valida (art. 1938 c.c.).
• Recedi per iscritto con PEC o raccomandata A/R: conta la data di conoscenza da parte della banca.
• Sappi cosa resta: il recesso non libera dai debiti già maturati.
• Valuta l’art. 1957 c.c. e la nullità delle clausole ABI come ulteriori leve.
• Errore frequente: credere che il recesso cancelli ogni obbligo, anche quello sui debiti già in essere.

Esempio pratico

Tizio ha prestato fideiussione omnibus per i debiti della società di Caio verso la banca, con importo massimo indicato (art. 1938 c.c.). Deciso a non garantire più nuove esposizioni, Tizio invia il recesso via PEC: da quel momento i nuovi fidi concessi a Caio non sono coperti. Restano invece garantiti i debiti già in essere alla data del recesso, salvo che operino altre cause di liberazione, come quella dell’art. 1957 c.c.

La fideiussione omnibus e l’importo massimo

La omnibus copre tutti i debiti, anche futuri, del debitore verso la banca. Proprio perché abbraccia obbligazioni future, deve indicare l’importo massimo garantito (art. 1938 c.c.): è la condizione di validità della garanzia per la parte eccedente. Prima di pensare al recesso, conviene quindi verificare il contratto: l’assenza o l’indeterminatezza del massimale è di per sé un vizio rilevante, che riduce o azzera l’esposizione del garante.

Recesso e debiti già in essere

Il recesso ferma la garanzia per il futuro, ma non scioglie il garante dai debiti già sorti al momento in cui produce effetto. Per quelle esposizioni il fideiussore resta obbligato, salvo che operino altre cause di liberazione. Tra queste, la più importante è la liberazione dell’art. 1957 c.c.: il garante è liberato se, scaduta l’obbligazione, il creditore non agisce contro il debitore entro sei mesi. È la tutela che molte clausole ABI cercavano di derogare e che, caduta la clausola, torna a operare.

Le clausole nulle come ulteriore leva

Chi vuole “uscire” da una fideiussione omnibus dovrebbe esaminare il testo anche alla ricerca delle clausole dello schema ABI – reviviscenza, deroga all’art. 1957 c.c., sopravvivenza – che la giurisprudenza di legittimità a Sezioni Unite considera affette da nullità parziale (artt. 1419 e 1339 c.c.). Eliminata, in particolare, la deroga all’art. 1957 c.c., il garante riacquista la liberazione per inazione del creditore. Recesso, importo massimo, art. 1957 c.c. e nullità delle clausole sono leve da usare insieme, valutando il caso concreto.

Moltissime fideiussioni omnibus firmate in banca ricalcano un modello standard (lo “schema ABI” del 2003) che conteneva clausole giudicate frutto di un’intesa anticoncorrenziale. Sapere quali sono e come contestarle può alleggerire sensibilmente la posizione del garante.

Il problema: lo schema ABI e l’antitrust

Nel 2005 la Banca d’Italia, allora autorità di tutela della concorrenza nel settore bancario, con il provvedimento n. 55 del 2 maggio 2005 accertò che alcune clausole dello schema contrattuale ABI per le fideiussioni omnibus erano in contrasto con l’art. 2 della legge 10 ottobre 1990, n. 287 (divieto di intese restrittive della concorrenza). In sostanza, le banche applicavano in modo uniforme clausole sfavorevoli al garante, frutto di un’intesa vietata.

Le tre clausole “incriminate”

Le clausole censurate sono tre, corrispondenti agli articoli 2, 6 e 8 dello schema:

• Clausola di reviviscenza: obbliga il fideiussore a “tenere indenne” la banca anche se i pagamenti già ricevuti dal debitore vengono successivamente dichiarati inefficaci o revocati (ad esempio per revocatoria nel quadro della crisi d’impresa). In pratica la garanzia “rivive” dopo essere stata estinta.
• Deroga all’art. 1957 c.c.: priva il fideiussore della liberazione prevista dall’art. 1957 c.c., per cui il garante resta obbligato dopo la scadenza dell’obbligazione principale solo se il creditore agisce contro il debitore entro sei mesi. La clausola elimina questa tutela.
• Clausola di sopravvivenza: mantiene ferma l’obbligazione del fideiussore anche quando l’obbligazione principale è dichiarata invalida, in deroga al principio di accessorietà dell’art. 1939 c.c.

Clausola	Cosa fa	Norma derogata
Reviviscenza	La garanzia “rivive” dopo pagamenti revocati	–
Deroga art. 1957	Elimina la liberazione del fideiussore	art. 1957 c.c.
Sopravvivenza	Garanzia ferma anche se l’obbligazione è invalida	art. 1939 c.c.

La svolta: Cassazione Sezioni Unite n. 41994/2021

Dopo anni di contrasti, le Sezioni Unite della Corte di Cassazione, con la sentenza n. 41994 del 30 dicembre 2021, hanno stabilito che le fideiussioni omnibus che riproducono le clausole dello schema ABI sono affette da nullità parziale: è nulla solo la parte del contratto che riproduce quelle clausole, mentre la fideiussione resta valida ed efficace per il resto (applicando i principi sulla nullità parziale degli artt. 1419 e 1339 c.c.), salvo che risulti una diversa volontà delle parti.

Le Sezioni Unite hanno escluso sia la nullità totale del contratto, sia la mera tutela risarcitoria: la soluzione è quella, intermedia, della nullità parziale. Per il garante è un risultato concreto, perché elimina proprio le clausole più penalizzanti, ad esempio la deroga all’art. 1957 c.c.

Come contestarle

Le clausole nulle si fanno valere tipicamente in opposizione a decreto ingiuntivo (art. 645 c.p.c.), entro 40 giorni dalla notifica, oppure con un’autonoma azione di accertamento della nullità parziale. La nullità è rilevabile e, trattandosi di nullità, non è soggetta ai termini di decadenza propri dell’annullabilità. Occorre dimostrare che il contratto riproduce le clausole dello schema censurato.

Spunti pratici

• Confronta il tuo contratto con lo schema ABI: cerca reviviscenza, deroga al 1957 e sopravvivenza.
• Se hai ricevuto un decreto ingiuntivo, fai valere la nullità in opposizione entro 40 giorni (art. 645 c.p.c.).
• Ricorda la nullità parziale: cadono le clausole, non l’intera garanzia (Cass. Sez. Un. n. 41994/2021; artt. 1419-1339 c.c.).
• Punta sull’art. 1957 c.c.: senza la clausola di deroga, la liberazione del fideiussore torna a operare.
• Errore frequente: pretendere la nullità totale del contratto; le Sezioni Unite l’hanno esclusa.

Esempio pratico

Tizio ha firmato una fideiussione omnibus a garanzia dei debiti della società di Caio verso la banca. La banca gli notifica un decreto ingiuntivo. Tizio propone opposizione (art. 645 c.p.c.) eccependo la nullità delle clausole di reviviscenza, deroga all’art. 1957 c.c. e sopravvivenza, riprodotte dallo schema ABI. In linea con Cass. Sez. Un. n. 41994/2021, il giudice dichiara la nullità parziale (artt. 1419-1339 c.c.): cadono quelle clausole e, in particolare, torna applicabile la liberazione dell’art. 1957 c.c.

Perché la nullità è solo parziale

La scelta della nullità parziale non è casuale. Le Sezioni Unite hanno preferito questa soluzione, tra le tre prospettate (nullità totale, nullità parziale, sola tutela risarcitoria), perché è quella che meglio realizza gli scopi della normativa antitrust: colpisce le clausole frutto dell’intesa vietata, ma conserva la garanzia per il resto, evitando di liberare del tutto il fideiussore. Si applicano i meccanismi degli artt. 1419 e 1339 c.c.: cade la singola clausola, il contratto resta in piedi, salvo che risulti che le parti non lo avrebbero concluso senza quella parte.

Onere della prova e prova privilegiata

Chi eccepisce la nullità deve dimostrare che la fideiussione riproduce le clausole dello schema censurato. Il provvedimento di Banca d’Italia n. 55/2005 costituisce un riferimento importante in questo senso, perché attesta l’esistenza dell’intesa anticoncorrenziale negli anni in cui lo schema era diffuso. Per le fideiussioni successive al 2005, la giurisprudenza richiede comunque di verificare in concreto la riproduzione delle clausole e la persistenza degli effetti dell’intesa: la nullità non è automatica per ogni garanzia, ma va ancorata al testo.

Gli effetti pratici per il garante

L’effetto più rilevante è il recupero della liberazione dell’art. 1957 c.c.: senza la clausola di deroga, il fideiussore è liberato se il creditore non agisce contro il debitore entro sei mesi dalla scadenza. Cadono anche la reviviscenza, che faceva “tornare in vita” la garanzia dopo pagamenti revocati, e la sopravvivenza, che la teneva ferma anche a fronte di un’obbligazione principale invalida, in deroga all’accessorietà (art. 1939 c.c.). Per il garante, in concreto, può significare ridurre o azzerare la pretesa della banca.

In sintesi

• Quali sono: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione (artt. 15-22 GDPR).
• Termine: l’impresa deve rispondere senza ritardo e comunque entro un mese.
• Gratuità: l’esercizio dei diritti è di regola gratuito.
• Procedura: serve un processo interno per ricevere, verificare ed evadere le richieste.

I diritti previsti dal GDPR

Gli interessati (clienti, dipendenti, utenti) hanno una serie di diritti che il titolare deve garantire: diritto di accesso ai propri dati (art. 15), di rettifica (art. 16), di cancellazione o “oblio” (art. 17), di limitazione del trattamento (art. 18), alla portabilità dei dati (art. 20), di opposizione (art. 21) e di non essere sottoposti a decisioni automatizzate, compresa la profilazione, con effetti significativi (art. 22).

Il punto di vista dell’impresa

Per l’impresa questi diritti si traducono in un obbligo: ricevere le richieste, verificarle e dare seguito. Non è sufficiente conoscerli in astratto; serve un processo concreto. Per questo le informative devono indicare come esercitare i diritti e fornire un contatto dedicato (email o modulo), e il personale deve sapere come gestire le richieste.

I termini di risposta

Il titolare deve fornire riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta (art. 12 GDPR). Il termine può essere prorogato di due mesi per richieste complesse o numerose, informando l’interessato. Se non dà seguito, deve comunque informare l’interessato delle ragioni e della possibilità di reclamo al Garante.

Verifica dell’identità e gratuità

Prima di rispondere, il titolare deve accertarsi ragionevolmente dell’identità del richiedente, per non comunicare dati alla persona sbagliata. L’esercizio dei diritti è in linea di principio gratuito; solo per richieste manifestamente infondate o eccessive (ripetitive) si può chiedere un contributo o rifiutare, motivando.

Limiti ai diritti

I diritti non sono assoluti: ad esempio la cancellazione può essere rifiutata se i dati servono per adempiere a un obbligo legale (come la conservazione delle fatture) o per accertare/esercitare un diritto in giudizio. È importante saper distinguere quando il diritto va soddisfatto e quando, motivatamente, prevale un’altra esigenza.

Esempio pratico

Un ex cliente chiede a una SRL la cancellazione dei suoi dati. La SRL verifica l’identità, cancella i dati di marketing, ma conserva i dati fiscali e contabili che la legge le impone di mantenere, spiegando all’interessato il motivo. Risponde entro un mese e, in caso di rifiuto parziale, indica la possibilità di rivolgersi al Garante.

In sintesi

• Consenso valido: libero, specifico, informato e inequivocabile (art. 7 GDPR).
• Marketing: l’invio di comunicazioni promozionali richiede di regola il consenso preventivo.
• Soft spam: eccezione per email a propri clienti su prodotti analoghi, con possibilità di opporsi.
• Revoca: il consenso si revoca facilmente come lo si è dato; ogni email deve permettere la disiscrizione.

Il consenso valido

Per le attività di marketing il GDPR richiede, di regola, un consenso che sia libero, specifico, informato e inequivocabile, manifestato con una chiara azione positiva (art. 4, n. 11, e art. 7 GDPR). Niente caselle pre-spuntate, niente consenso “forzato” o accorpato ad altro: l’utente deve poter scegliere consapevolmente di ricevere comunicazioni promozionali.

Email marketing e newsletter

L’invio di email promozionali e newsletter rientra tra le comunicazioni indesiderate disciplinate anche dall’art. 130 del Codice Privacy: serve il consenso preventivo del destinatario. Il consenso al marketing va tenuto distinto da quello per altre finalità (es. profilazione), che richiede una base separata e specifica.

L’eccezione del soft spam

Esiste una deroga, il cosiddetto soft spam (art. 130, comma 4, Codice Privacy): l’impresa può inviare email promozionali su propri prodotti o servizi analoghi a quelli già acquistati, agli indirizzi forniti dal cliente in occasione della vendita, purché il cliente non si sia opposto e gli sia data, in ogni messaggio, la possibilità di opporsi facilmente. Vale solo per clienti propri e prodotti analoghi.

La revoca e la disiscrizione

Il consenso deve poter essere revocato in qualsiasi momento, con la stessa facilità con cui è stato prestato (art. 7, par. 3, GDPR). In concreto, ogni comunicazione di marketing deve contenere un meccanismo semplice di disiscrizione (link di unsubscribe). La revoca non pregiudica la liceità del trattamento prima effettuato.

La prova del consenso

Il titolare deve poter dimostrare che l’interessato ha prestato il consenso (art. 7, par. 1). È quindi necessario conservare prova di quando e come è stato raccolto (es. log dell’iscrizione, doppio opt-in). Anche qui vale l’accountability: senza prova del consenso, il trattamento di marketing è a rischio di sanzione.

Esempio pratico

Una SRL raccoglie iscrizioni alla newsletter con consenso specifico e doppio opt-in, conservando la prova. Ai clienti che hanno già acquistato invia, in soft spam, offerte su prodotti analoghi, con il link di disiscrizione in ogni email. Chi si oppone viene immediatamente rimosso dalle liste.

In sintesi

• Regola: trasferire dati fuori dall’UE è ammesso solo con adeguate garanzie (artt. 44 ss. GDPR).
• Adeguatezza: verso Paesi che la Commissione UE ritiene garantiscano un livello adeguato.
• SCC: in mancanza, si usano le clausole contrattuali standard approvate dalla Commissione.
• Attenzione: anche usare fornitori cloud extra-UE è un trasferimento da disciplinare.

Quando c’è un trasferimento extra-UE

Si ha un trasferimento verso un Paese terzo ogni volta che dati personali vengono inviati, resi accessibili o conservati fuori dallo Spazio economico europeo. Accade più spesso di quanto si pensi: usare un fornitore di cloud, di email o di servizi con server o società madre extra-UE comporta, di regola, un trasferimento da disciplinare.

La decisione di adeguatezza

Il trasferimento è libero verso i Paesi per i quali la Commissione europea ha adottato una decisione di adeguatezza, cioè ha riconosciuto un livello di protezione dei dati adeguato (art. 45 GDPR). In questi casi non servono garanzie ulteriori. L’elenco dei Paesi adeguati è aggiornato dalla Commissione.

Le garanzie adeguate (SCC)

In assenza di adeguatezza, il trasferimento è possibile solo se il titolare fornisce garanzie adeguate (art. 46 GDPR): le più usate sono le clausole contrattuali standard (Standard Contractual Clauses, SCC) approvate dalla Commissione, ma rientrano qui anche le norme vincolanti d’impresa (BCR) per i gruppi. Spesso è necessario affiancare alle SCC una valutazione del contesto del Paese di destinazione e misure supplementari.

Le deroghe (art. 49)

In casi specifici e residuali, il trasferimento è ammesso in deroga (art. 49 GDPR): ad esempio con il consenso esplicito e informato dell’interessato, o quando è necessario per l’esecuzione di un contratto con l’interessato. Sono eccezioni da usare con prudenza, non come regola per i flussi ordinari di dati.

Cosa deve fare l’impresa

In pratica: mappare quali fornitori comportano un trasferimento extra-UE; verificare se il Paese è “adeguato”; in caso contrario, assicurarsi che siano in essere le SCC o altre garanzie e, dove richiesto, le misure supplementari; documentare tutto (anche nel registro dei trattamenti e nelle informative). È un punto su cui il Garante e le autorità europee sono particolarmente attenti.

Esempio pratico

Una SRL usa un servizio di email marketing con sede negli Stati Uniti. Verifica se il fornitore aderisce a un meccanismo che lo rende “adeguato”; in mancanza, sottoscrive le clausole contrattuali standard e valuta misure aggiuntive. Indica il trasferimento nell’informativa e lo annota nel registro dei trattamenti.

In sintesi

• Cosa sono: i cookie e gli identificatori che memorizzano informazioni sul dispositivo dell’utente.
• Due categorie: cookie tecnici (no consenso) e cookie di profilazione/terze parti (consenso).
• Banner: deve consentire di accettare, rifiutare e scegliere, senza pratiche scorrette.
• Cookie policy: l’informativa specifica sui cookie, distinta dalla privacy policy generale.

La disciplina dei cookie

L’uso di cookie e identificatori sul sito è regolato dall’art. 122 del Codice Privacy (in attuazione della direttiva ePrivacy) e dalle Linee guida del Garante sui cookie. La regola di fondo: memorizzare informazioni sul dispositivo dell’utente o accedervi è ammesso solo con il suo consenso, salvo i cookie strettamente necessari.

Cookie tecnici e di profilazione

I cookie tecnici (necessari al funzionamento del sito, alla navigazione, a fornire un servizio richiesto, e i cookie analitici equiparati a determinate condizioni) non richiedono il consenso, ma vanno comunque indicati nell’informativa. I cookie di profilazione e quelli di terze parti (marketing, tracciamento pubblicitario) richiedono invece il consenso libero, specifico e informato dell’utente.

Il banner dei cookie

Al primo accesso il sito deve mostrare un banner che consenta all’utente di: accettare tutti i cookie, rifiutarli (chiudere il banner senza scelta non equivale al consenso) e gestire le preferenze. Sono vietate pratiche scorrette come i “dark pattern” che spingono ad accettare. Il consenso va conservato e deve essere revocabile facilmente.

La cookie policy

Oltre al banner, il sito deve avere una cookie policy: un’informativa specifica che elenca i cookie utilizzati, la loro finalità, la durata e le terze parti coinvolte, con le istruzioni per gestire o revocare il consenso. È distinta (anche se collegata) dalla privacy policy generale del sito.

Cosa rischia chi non è a norma

Un sito che installa cookie di profilazione senza valido consenso, o con banner non conformi, espone l’impresa a reclami e a sanzioni del Garante, che ha più volte sanzionato banner scorretti. Per un sito aziendale con analytics e marketing è quindi importante configurare correttamente il sistema di gestione del consenso.

Esempio pratico

Una SRL ha un sito con Google Analytics e pixel pubblicitari. Configura un banner che permette di accettare, rifiutare e personalizzare; i cookie di marketing si attivano solo dopo il consenso; pubblica una cookie policy che elenca i cookie e le terze parti, con il link per cambiare idea. Così il sito è a norma e il consenso è documentabile.

In sintesi

• Cos’è: l’analisi preventiva dei rischi di un trattamento ad alto rischio per gli interessati (art. 35 GDPR).
• Quando: obbligatoria quando il trattamento può presentare un rischio elevato.
• Contenuto: descrizione del trattamento, necessità e proporzionalità, rischi e misure.
• Privacy by design: la DPIA è parte della protezione dei dati fin dalla progettazione (art. 25).

Cos’è la DPIA

La valutazione d’impatto sulla protezione dei dati (DPIA, dall’inglese Data Protection Impact Assessment) è l’analisi preventiva con cui il titolare valuta i rischi di un trattamento per i diritti e le libertà delle persone e individua le misure per mitigarli (art. 35 GDPR). Va svolta prima di avviare il trattamento, quando questo può presentare un rischio elevato.

Quando è obbligatoria

La DPIA è richiesta in particolare nei casi di: valutazione sistematica e globale di aspetti personali basata su trattamento automatizzato (profilazione) con effetti significativi; trattamento su larga scala di dati particolari (salute, opinioni, ecc.) o relativi a condanne penali; monitoraggio sistematico su larga scala di zone accessibili al pubblico. Il Garante pubblica un elenco di trattamenti che la richiedono.

Come si svolge

La DPIA contiene almeno: una descrizione sistematica del trattamento e delle sue finalità; una valutazione della necessità e proporzionalità rispetto agli scopi; una valutazione dei rischi per gli interessati; le misure previste per affrontare i rischi e dimostrare la conformità. Dove è nominato, il DPO va consultato. È un documento vivo, da rivedere se il trattamento cambia.

Il legame con privacy by design

La DPIA è strettamente collegata ai principi di protezione dei dati fin dalla progettazione e per impostazione predefinita (privacy by design e by default, art. 25 GDPR): le misure di tutela vanno pensate quando si progetta un nuovo prodotto, servizio o software, non aggiunte dopo. La DPIA è lo strumento per farlo in modo strutturato sui trattamenti rischiosi.

La consultazione preventiva

Se, nonostante le misure individuate, la DPIA indica che il trattamento presenterebbe comunque un rischio elevato, il titolare deve consultare preventivamente il Garante prima di procedere (art. 36 GDPR). È un passaggio eccezionale, ma previsto per i casi di rischio residuo non gestibile autonomamente.

Esempio pratico

Una SRL vuole introdurre un sistema di profilazione dei clienti per offerte mirate su larga scala. Prima di attivarlo svolge una DPIA: descrive il trattamento, valuta necessità e rischi (es. decisioni automatizzate), definisce misure (trasparenza, minimizzazione, possibilità di opporsi). Coinvolge il DPO e, se il rischio resta elevato, consulta il Garante.

In sintesi

• Cos’è: una violazione di sicurezza che comporta distruzione, perdita, modifica o accesso non autorizzato ai dati.
• Notifica al Garante: entro 72 ore dalla conoscenza, salvo rischio improbabile per gli interessati (art. 33).
• Comunicazione agli interessati: se il rischio è elevato, vanno avvisati senza ritardo (art. 34).
• Registro: tutte le violazioni vanno documentate, anche quelle non notificate.

Cos’è un data breach

Il data breach è una violazione di sicurezza che comporta accidentalmente o illecitamente la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trattati (art. 4, n. 12, GDPR). Esempi: furto di un laptop o di credenziali, attacco ransomware, invio di una mail con dati alla persona sbagliata, smarrimento di documenti.

La valutazione del rischio

Di fronte a una violazione, il titolare deve valutarne le conseguenze per gli interessati: la natura dei dati, il numero di persone coinvolte, la gravità e la probabilità dei danni. Da questa valutazione dipendono gli obblighi: notifica al Garante e/o comunicazione agli interessati. La valutazione va fatta rapidamente e documentata.

La notifica al Garante (72 ore)

Se la violazione comporta un rischio per i diritti e le libertà delle persone, il titolare deve notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza (art. 33). Se la notifica avviene dopo le 72 ore, va motivato il ritardo. Solo se è improbabile che la violazione presenti un rischio si può evitare la notifica.

La comunicazione agli interessati

Quando la violazione comporta un rischio elevato per i diritti e le libertà delle persone, il titolare deve comunicarla anche agli interessati, senza ingiustificato ritardo e con un linguaggio chiaro (art. 34), indicando natura della violazione, possibili conseguenze e misure adottate. La comunicazione non è dovuta se i dati erano, ad esempio, cifrati in modo da renderli incomprensibili.

Il registro delle violazioni

Il titolare deve documentare tutte le violazioni, comprese quelle che ha deciso di non notificare, indicando circostanze, effetti e provvedimenti adottati (art. 33, par. 5). Questo registro consente al Garante di verificare la correttezza delle valutazioni ed è parte dell’accountability. È bene avere una procedura interna pronta prima che il problema accada.

Esempio pratico

Una SRL subisce un attacco che cifra i dati dei clienti (ransomware). Il titolare valuta il rischio, notifica al Garante entro 72 ore, e poiché il rischio è elevato comunica l’accaduto ai clienti spiegando misure e raccomandazioni. Annota tutto nel registro delle violazioni, compresi i passi compiuti per ripristinare la sicurezza.

In sintesi

• Titolare: chi decide finalità e mezzi del trattamento (l’impresa).
• Responsabile del trattamento: chi tratta i dati per conto del titolare (art. 28), es. il fornitore IT.
• DPO: il Responsabile della protezione dei dati, figura di controllo e consulenza (artt. 37-39).
• Attenzione: responsabile del trattamento e DPO sono ruoli diversi, da non confondere.

I tre ruoli da non confondere

Il GDPR distingue tre figure spesso confuse: il titolare del trattamento (l’impresa, che decide finalità e mezzi), il responsabile del trattamento (chi tratta i dati per conto del titolare) e il DPO o Responsabile della protezione dei dati (figura indipendente di controllo). Chiarire i ruoli è essenziale per impostare correttamente la compliance.

Il responsabile del trattamento (art. 28)

Il responsabile del trattamento è il soggetto esterno che tratta dati personali per conto del titolare: ad esempio il fornitore del gestionale, il provider di posta o cloud, il consulente paghe, l’agenzia di marketing. Il rapporto deve essere regolato da un contratto o atto giuridico (art. 28 GDPR) che disciplini oggetto, durata, finalità, obblighi di sicurezza e riservatezza, e il destino dei dati a fine rapporto.

Il DPO (artt. 37-39)

Il DPO (Data Protection Officer) è una figura di sorveglianza e consulenza: informa e assicura la conformità, fa da punto di contatto con il Garante e con gli interessati, sorveglia il rispetto del GDPR. Deve essere indipendente, non in conflitto di interessi, e dotato di competenze specialistiche. Può essere interno o esterno.

Quando il DPO è obbligatorio

La nomina del DPO è obbligatoria (art. 37) quando: il trattamento è svolto da un’autorità o un organismo pubblico; le attività principali del titolare consistono in trattamenti che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala; oppure consistono nel trattamento su larga scala di dati particolari (salute, ecc.) o relativi a condanne penali. Fuori da questi casi è facoltativo, ma può essere consigliabile.

Le nomine

L’impresa deve quindi: nominare per iscritto i responsabili del trattamento (i fornitori che trattano dati), con il contratto ex art. 28; designare le persone autorizzate al trattamento (i dipendenti che usano i dati), con istruzioni; e, se obbligata o se lo ritiene opportuno, nominare il DPO comunicandone i dati al Garante. Le nomine fanno parte della documentazione di accountability.

Esempio pratico

Una SRL (titolare) usa un gestionale in cloud e un consulente paghe: entrambi sono responsabili del trattamento e vanno nominati con contratto ex art. 28. I dipendenti che accedono ai dati sono “autorizzati” con istruzioni. Se la SRL non rientra nei casi obbligatori, può scegliere se nominare comunque un DPO esterno per presidiare la conformità.

In sintesi

• Cos’è: il documento con cui il titolare informa l’interessato su come tratta i suoi dati (artt. 13-14 GDPR).
• Quando: al momento della raccolta dei dati, in forma chiara e accessibile.
• Contenuto: titolare, finalità, base giuridica, destinatari, conservazione e diritti dell’interessato.
• Due tipi: art. 13 (dati raccolti dall’interessato) e art. 14 (dati raccolti presso terzi).

Cos’è l’informativa privacy

L’informativa è il documento con cui il titolare, in attuazione del principio di trasparenza, comunica all’interessato come e perché tratta i suoi dati personali (artt. 13 e 14 GDPR). Non è una formalità: è il modo in cui l’impresa rende l’interessato consapevole e, dove serve, può raccogliere un consenso valido.

Quando va resa

L’informativa va fornita al momento della raccolta dei dati: quando il cliente compila un modulo, quando si assume un dipendente, quando l’utente naviga sul sito. Deve essere facilmente accessibile, scritta in modo conciso, trasparente e comprensibile, con un linguaggio chiaro e semplice (non solo “legalese”).

Cosa deve contenere

Gli elementi essenziali sono: identità e contatti del titolare (ed eventuale DPO); finalità e base giuridica del trattamento; eventuale interesse legittimo perseguito; destinatari o categorie di destinatari; eventuali trasferimenti extra-UE; periodo di conservazione; i diritti dell’interessato (accesso, rettifica, cancellazione, ecc.) e come esercitarli; il diritto di reclamo al Garante; se il conferimento è obbligatorio o facoltativo e le conseguenze del rifiuto.

Informativa art. 13 e art. 14

L’art. 13 riguarda i dati raccolti direttamente presso l’interessato (es. il modulo che compila lui stesso). L’art. 14 riguarda i dati raccolti presso terzi (es. liste, banche dati): in questo caso l’informativa va resa entro termini definiti e deve indicare anche la fonte da cui provengono i dati. Cambia il momento e qualche contenuto, non la logica.

Errori da evitare

Informative generiche copiate da altri siti, finalità vaghe, mancata indicazione dei tempi di conservazione o dei diritti, consenso “annegato” nell’informativa. L’informativa deve rispecchiare i trattamenti reali (quelli mappati nel registro) ed essere distinta dall’eventuale richiesta di consenso, che va raccolta separatamente e in modo specifico.

Esempio pratico

Una SRL predispone un’informativa per i clienti (gestione ordini e fatturazione, base contrattuale), una per i dipendenti (gestione del rapporto, obblighi di legge) e una per il sito (navigazione, cookie, eventuale newsletter con consenso). Ognuna indica finalità reali, tempi di conservazione e i diritti, con i contatti per esercitarli.

In sintesi

• Cos’è: il documento che mappa tutti i trattamenti di dati personali svolti dall’impresa (art. 30 GDPR).
• Chi è obbligato: di fatto quasi tutte le imprese, salvo limitate eccezioni per le piccole realtà.
• Contenuto: finalità, categorie di dati e interessati, destinatari, tempi di conservazione, misure di sicurezza.
• A cosa serve: è la base dell’accountability e va esibito al Garante su richiesta.

Cos’è il registro dei trattamenti

Il registro delle attività di trattamento (art. 30 GDPR) è il documento che descrive in modo sistematico tutti i trattamenti di dati personali effettuati dall’impresa. È, in concreto, la “mappa” di quali dati si trattano, per quali scopi, come e per quanto tempo. È il punto di partenza di ogni adempimento privacy.

Chi è obbligato a tenerlo

L’art. 30 esonera, in linea teorica, le organizzazioni con meno di 250 dipendenti, ma con eccezioni così ampie (trattamenti non occasionali, dati particolari, rischi per gli interessati) che di fatto quasi tutte le imprese rientrano nell’obbligo. Il Garante ne raccomanda la tenuta a chiunque: è comunque lo strumento principale per dimostrare la conformità.

Cosa deve contenere

Il registro del titolare indica: i dati di contatto del titolare (ed eventuale DPO); le finalità del trattamento; le categorie di interessati e di dati personali; le categorie di destinatari; eventuali trasferimenti verso Paesi terzi; i termini previsti per la cancellazione; una descrizione generale delle misure di sicurezza. Chi tratta dati per conto altrui (responsabile) tiene un registro con contenuti adattati.

Perché è importante

Il registro è la spina dorsale dell’accountability: tenendolo aggiornato, l’impresa ha sotto controllo tutti i flussi di dati e può rispondere rapidamente alle richieste degli interessati, gestire i data breach e dimostrare la propria diligenza in caso di ispezione. Va aggiornato ogni volta che cambia un trattamento (nuovo software, nuovo servizio, nuovo fornitore).

Come si costruisce

In pratica si parte da una ricognizione: quali dati raccoglie l’impresa (clienti, dipendenti, fornitori, sito, videosorveglianza, marketing), con quali strumenti e fornitori, dove sono conservati. Ogni trattamento diventa una “scheda” del registro. Esistono modelli, ma il registro va calato sulla realtà concreta dell’impresa, non copiato.

Esempio pratico

Una SRL mappa i suoi trattamenti: gestione clienti e fatturazione, gestione dipendenti e buste paga, newsletter, sito e cookie, videosorveglianza del magazzino. Per ciascuno indica finalità, base giuridica, dati trattati, fornitori coinvolti e tempi di conservazione. Il registro così composto diventa la base per informative, nomine e misure di sicurezza.

Vedi anche: Registro delle Imprese, Chiudere l’impresa, Sistema del prezzo-valore, Imposta di registro e ipocatastali sulla donazione, Imposta di registro sulla divisione di eredità e immobili e Imposta di registro su decreti ingiuntivi e sentenze.

In sintesi

• Cos’è: il Regolamento UE 2016/679 (GDPR) che disciplina il trattamento dei dati personali.
• Chi riguarda: ogni impresa che tratta dati di clienti, fornitori e dipendenti (titolare del trattamento).
• Principi: liceità, minimizzazione, limitazione delle finalità, sicurezza e responsabilizzazione.
• Accountability: il titolare deve poter dimostrare di essere conforme.

Cos’è il GDPR e a chi si applica

Il GDPR (Regolamento UE 2016/679), integrato in Italia dal Codice Privacy (D.Lgs 196/2003 come modificato dal D.Lgs 101/2018), disciplina il trattamento dei dati personali. Riguarda praticamente ogni impresa: chi gestisce dati di clienti, fornitori, dipendenti o utenti del sito è “titolare del trattamento” e deve rispettarne le regole, a prescindere dalle dimensioni.

I principi fondamentali

Il trattamento deve rispettare i principi dell’art. 5 GDPR: liceità, correttezza e trasparenza; limitazione delle finalità (i dati raccolti per uno scopo non si usano per altri incompatibili); minimizzazione (solo i dati necessari); esattezza; limitazione della conservazione (non oltre il necessario); integrità e riservatezza (sicurezza). A questi si aggiunge il principio di responsabilizzazione.

La base giuridica

Ogni trattamento deve poggiare su una base giuridica (art. 6 GDPR): il consenso dell’interessato, l’esecuzione di un contratto, un obbligo legale, un interesse legittimo del titolare, e altre. Individuare la base corretta è il primo passo: ad esempio i dati dei dipendenti si trattano per il contratto e per obblighi di legge, non con il consenso.

Gli adempimenti minimi

In pratica un’impresa deve almeno: predisporre le informative (clienti, dipendenti, sito); tenere il registro dei trattamenti; raccogliere correttamente i consensi dove servono; adottare misure di sicurezza adeguate; regolare i rapporti con i fornitori che trattano dati per suo conto (responsabili del trattamento); gestire le richieste degli interessati e le eventuali violazioni dei dati (data breach).

Il principio di responsabilizzazione

Il cuore del GDPR è l’accountability (art. 5, par. 2): non basta essere conformi, bisogna poterlo dimostrare con documentazione (registro, informative, valutazioni, policy, nomine). In caso di controllo del Garante, è il titolare a dover provare di aver adottato misure adeguate. Le sanzioni per le violazioni possono essere molto elevate.

Esempio pratico

Una SRL con sito, newsletter e dipendenti: predispone l’informativa per i clienti e per i dipendenti, una cookie e privacy policy sul sito, raccoglie il consenso per la newsletter, tiene il registro dei trattamenti, firma accordi con i fornitori IT che trattano dati per suo conto e definisce una procedura per i data breach. Così è in grado di dimostrare la propria conformità.