Informativa privacy: cosa deve contenere e quando va consegnata

Come scrivere un’informativa che regge, in sei passi

1. Parti da chi riceve l’informativa

   Clienti, dipendenti, candidati, fornitori, visitatori del sito: un’informativa per ciascun gruppo, perché dati e finalità cambiano.

2. Elenca le finalità vere

   Cosa fai davvero con quei dati: vendere, fatturare, gestire la garanzia, mandare la newsletter. Niente finalità «per sicurezza» che non usi.

3. Abbina a ogni finalità base giuridica e conservazione

   Una riga per finalità, con la base giuridica e un tempo preciso o un criterio. Se c’è già il registro dei trattamenti, copia da lì.

4. Aggiungi destinatari, trasferimenti e diritti

   Le categorie di fornitori e di enti a cui passano i dati, se escono dall’Unione europea, i diritti e come esercitarli, il reclamo al Garante.

5. Rileggila come la leggerebbe un cliente

   Frasi brevi, niente latino giuridico, niente «potremmo». Se un tuo cliente non capisce cosa fai con i suoi dati, va riscritta.

6. Decidi dove e quando la mostri

   Cartello alla cassa, modulo, pagina del sito, link nella conferma di prenotazione, allegato al contratto di lavoro. E conserva le versioni con la data.

Le voci obbligatorie, una per una

Se i dati non li hai raccolti dall’interessato, ma da altri, aggiungi due voci: quali categorie di dati hai e da dove vengono, per esempio da un elenco pubblico o dal datore di lavoro della persona.

Il legittimo interesse: come spiegarlo senza sbagliare

Il legittimo interesse è la base giuridica più usata a sproposito. Permette di trattare dati senza consenso quando hai un interesse concreto, e i diritti della persona non prevalgono. Esempi tipici in una piccola attività: le telecamere antifurto, il recupero dei crediti, la difesa in caso di contestazione, le email promozionali a chi ha già comprato prodotti simili, alle condizioni del cosiddetto soft spam.

Nell’informativa non basta scrivere «legittimo interesse del titolare». Va detto quale interesse e va ricordato che la persona può opporsi. Il diritto di opposizione va presentato in modo chiaro e separato dalle altre informazioni. Prima di usarlo, è buona pratica fare per iscritto una breve valutazione: perché ti serve, se c’è un modo meno invasivo, cosa si aspetta ragionevolmente la persona.

Quando va consegnata

Non devi ripeterla a chi ha già ricevuto le stesse informazioni. Per i dati ricevuti da altri ci sono poche eccezioni, come quando informare sarebbe impossibile o richiederebbe uno sforzo sproporzionato, o quando i dati sono coperti dal segreto professionale: sono casi da valutare uno per uno, non scappatoie.

In che forma: a strati, e dove le persone la vedono

Il GDPR chiede un testo conciso, trasparente, comprensibile e facilmente accessibile, con un linguaggio semplice. Le linee guida europee sulla trasparenza suggeriscono l’informativa a strati:

• primo strato, dove raccogli i dati: chi sei, per cosa usi i dati, i diritti e dove leggere il resto. Deve contenere anche ciò che la persona non si aspetta;
• secondo strato: l’informativa completa con tutte le voci, a un clic, su un foglio o su richiesta.

Le forme possibili, a seconda di dove raccogli i dati:

• in negozio o in studio: cartello ben visibile alla cassa o in sala d’attesa, con il testo completo disponibile su un foglio o con un codice QR;
• su carta: nel modulo d’ordine, nel preventivo, nel contratto o nella scheda cliente;
• online: link accanto al pulsante del modulo, nel messaggio di conferma della prenotazione, nella firma delle email;
• a voce, per esempio al telefono: le informazioni essenziali in poche frasi e il rinvio al testo completo, che poi mandi per email o via messaggio.

Non serve la firma dell’interessato, ma devi poter dimostrare di averla data: conserva le versioni datate e annota dove e come la mostri.

Clienti, dipendenti, candidati, fornitori: cosa cambia

Per le telecamere servono il cartello e un’informativa specifica, che per i lavoratori ha regole proprie: vedi telecamere sul posto di lavoro.

Informativa e consenso non sono la stessa cosa

L’informativa si dà sempre. Il consenso si chiede solo quando è la base giuridica giusta, come per il marketing o le foto dei clienti sui social. Un modulo che unisce le due cose («ho letto l’informativa e acconsento al trattamento») è un errore frequente: il consenso a ciò che è necessario per il contratto non serve e confonde. Quando il consenso serve e quando no lo spiega l’articolo sul GDPR per piccole aziende.

Un esempio concreto: il negozio di abbigliamento

Sara ha un negozio di abbigliamento con una commessa, vendite anche online, una carta fedeltà a punti, una newsletter e una telecamera antifurto. Nel registro dei trattamenti ha già le righe; per l’informativa clienti le trasforma in una tabella:

Sotto la tabella Sara aggiunge i destinatari (commercialista, piattaforma del negozio online, corriere, servizio newsletter con server negli Stati Uniti e adesione al Data Privacy Framework), i diritti con un indirizzo email dedicato e il reclamo al Garante. Alla cassa mette un cartello di primo strato con un codice QR; sul sito, il link sotto ogni modulo.

Gli errori più comuni

• Modelli copiati che citano trattamenti che non fai e dimenticano quelli che fai. È tra le cause più frequenti di sanzione: un caso recente è nell’articolo sul GDPR per piccole aziende.
• Una sola base giuridica per tutto, o un elenco di basi senza dire quale vale per cosa.
• Tempi vaghi: «per il tempo strettamente necessario» non è un tempo.
• Citare leggi abrogate, come il vecchio articolo 13 del Codice privacy, o il DPS: segno che il testo non è aggiornato.
• Informativa nascosta: un link a fondo pagina sul sito non basta se raccogli i dati in negozio.
• Non aggiornarla quando cambi gestionale, apri una newsletter o installi le telecamere.

Un’informativa mancante o incompleta viola gli obblighi di trasparenza, puniti con le sanzioni più alte previste dal GDPR, oltre a rendere più difficile difendersi in caso di reclamo.

Cosa fa il consulente privacy su Intervento

Descrivi la tua attività e come raccogli i dati, e allega le informative che hai. L’orientamento gratuito ti dice cosa sembra mancare. Con l’Analisi ottieni una lettura automatica del testo, voce per voce. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: quali voci mancano, se le basi giuridiche sono corrette, quali tempi di conservazione indicare e dove mostrare l’informativa. Con il livello Soluzione, su preventivo, scrive le informative su misura per clienti, dipendenti, candidati e sito.