Le informative privacy hanno la fama di testi lunghi e incomprensibili, accettati senza leggerli. In parte è una fama meritata. Ma un'informativa, se sai dove guardare, risponde in pochi minuti alle domande che contano: chi usa i miei dati, per fare che cosa, con chi li condivide e per quanto tempo. Imparare a leggerla è l'abilità di base per esercitare tutti gli altri diritti.
Che cosa deve contenere
Gli articoli 13 e 14 del Regolamento (UE) 2016/679 stabiliscono le informazioni che il titolare deve fornire: l'articolo 13 quando raccoglie i dati direttamente da te, l'articolo 14 quando li ottiene da altre fonti. L'articolo 12 aggiunge che le informazioni vanno fornite in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.
Gli elementi obbligatori principali sono:
- identità e dati di contatto del titolare e, se nominato, del responsabile della protezione dei dati;
- finalità del trattamento e relativa base giuridica;
- legittimi interessi perseguiti, se il trattamento si basa su di essi;
- destinatari o categorie di destinatari;
- eventuali trasferimenti verso Paesi extra UE e garanzie adottate;
- periodo di conservazione o criteri per determinarlo;
- diritti dell'interessato e diritto di reclamo all'autorità di controllo;
- possibilità di revocare il consenso, quando il trattamento si basa su di esso;
- se il conferimento dei dati è obbligatorio e quali conseguenze ha il rifiuto;
- l'esistenza di decisioni automatizzate, compresa la profilazione, con informazioni sulla logica utilizzata.
Quando i dati non sono raccolti presso di te, l'informativa deve indicare anche la fonte da cui provengono e le categorie di dati.
Le cinque sezioni da leggere per prime
1. Finalità e basi giuridiche
È il cuore del documento. Un'informativa ben fatta associa a ogni finalità la sua base giuridica, spesso in una tabella. Presta attenzione a quali finalità richiedono il tuo consenso e quali no: le prime sono facoltative, e puoi rifiutarle senza perdere il servizio principale.
2. Legittimo interesse
Se trovi molte finalità basate sul legittimo interesse, leggi come viene descritto. "Migliorare i nostri servizi" è vago; "prevenire frodi nei pagamenti" è specifico. Ricorda che contro questi trattamenti puoi esercitare il diritto di opposizione dell'articolo 21.
3. Destinatari
Cerca categorie come "partner commerciali", "società del gruppo", "inserzionisti". Se i dati vengono comunicati a terzi per loro finalità di marketing, dovrebbe esserci un consenso separato.
4. Conservazione
Un'informativa che dice soltanto "per il tempo necessario" senza criteri non è soddisfacente. Un buon esempio: "i dati dell'account vengono cancellati 24 mesi dopo l'ultimo accesso; le fatture sono conservate per il periodo previsto dalla normativa fiscale".
5. Trasferimenti extra UE
Se i dati vengono trasferiti fuori dallo Spazio economico europeo, l'informativa deve dire verso quali Paesi o con quali garanzie, per esempio una decisione di adeguatezza della Commissione europea o clausole contrattuali tipo.
Segnali di scarsa trasparenza
| Segnale | Perché è un problema |
|---|---|
| Nessuna distinzione tra finalità | Non capisci a che cosa stai acconsentendo |
| Consenso unico per tutto | Il consenso deve essere specifico per finalità diverse |
| "Possiamo condividere i dati con terzi" senza dettagli | Non sai chi riceve i dati |
| Conservazione indefinita | Contrasta con il principio di limitazione della conservazione |
| Contatti del titolare assenti o generici | Non sai a chi rivolgere le richieste |
| Testo solo in lingua straniera per un servizio rivolto al pubblico italiano | Difficilmente rispetta il requisito di intelligibilità |
Informative a strati
Molti servizi adottano un'informativa a più livelli: una sintesi breve e visibile, con collegamenti alle sezioni dettagliate. È una buona pratica, a patto che la sintesi non ometta le informazioni essenziali, come le finalità basate sul consenso o la condivisione con terzi.
Un esempio concreto
Stai per installare un'app per prenotare visite in palestra. Nell'informativa trovi tre finalità: gestione delle prenotazioni (contratto), invio di offerte promozionali (consenso), analisi dell'utilizzo per migliorare l'app (legittimo interesse). Sai così che puoi negare il consenso alle offerte senza perdere le prenotazioni e che, se lo desideri, puoi opporti all'analisi dell'utilizzo. In due minuti hai capito che cosa accetti davvero.
Quando l'informativa non risponde
Se l'informativa è incompleta o ambigua, puoi chiedere chiarimenti al titolare o al responsabile della protezione dei dati, oppure esercitare il diritto di accesso dell'articolo 15, che ti dà diritto a molte delle stesse informazioni riferite al tuo caso specifico.
In sintesi
- Gli artt. 13 e 14 GDPR elencano le informazioni che ogni informativa deve contenere.
- Leggi per prime finalità e basi giuridiche, legittimo interesse, destinatari, conservazione e trasferimenti.
- Le finalità basate sul consenso sono facoltative e rifiutabili senza perdere il servizio principale.
- Consenso unico, destinatari vaghi e conservazione indefinita sono segnali di scarsa trasparenza.
- Se l'informativa non basta, chiedi chiarimenti o esercita il diritto di accesso.