Copia-incolla o conformità? Come costruire un’informativa privacy davvero coerente con il GDPR!

Introduzione

Per molte PMI l'informativa privacy nasce così: si cerca un modello online, magari quello di un'azienda simile, si cambiano nome e indirizzo, e il documento finisce pubblicato sul sito o consegnato ai clienti.

Sembra un adempimento risolto in pochi minuti, una casella da spuntare, non un documento da costruire.

Il problema è che un'informativa "presa in prestito" descrive quasi sempre processi, finalità e tempi di conservazione che appartengono a un'altra organizzazione, non alla propria.

E questo emerge proprio nel momento peggiore: quando un cliente, un dipendente o un'autorità di controllo chiede conto di come i dati vengono davvero trattati.

Il caso che segue è volutamente comune, perché la dinamica che descrive riguarda molte PMI italiane, a prescindere dal settore.

L'informativa che sembrava a posto

Un'azienda di piccole dimensioni pubblica sul proprio sito un'informativa privacy adattata da un modello trovato online: si cambiano ragione sociale e contatti, si lascia il resto invariato.

Nessuno, in azienda, la rilegge davvero. È considerata un documento “tecnico”, pensato più per essere presente che per descrivere correttamente i trattamenti effettuati.

Per mesi, o anni, nessuno la mette in discussione. Poi arriva una richiesta che l'azienda non si aspettava: qualcuno chiede di sapere per quanto tempo i propri dati sono stati conservati, a chi sono stati comunicati, o come esercitare un diritto specifico previsto dal GDPR.

A quel punto, chi va a rileggere l’informativa scopre che il documento contiene finalità generiche, non indica tempi di conservazione effettivi e, magari, cita ancora un referente o un ruolo che non esiste più.

Il documento “copiato” non descrive quello che l’azienda fa davvero con i dati: descrive ciò che faceva un’altra organizzazione, in un altro contesto e in un altro momento.

Non è un caso isolato. È la situazione in cui si trovano, senza saperlo, moltissime PMI, qualunque sia la loro attività.

Perché conta, e perché conta adesso

L'informativa privacy è spesso trattata come un adempimento formale: un testo da avere, non da costruire. Ma il GDPR non chiede semplicemente "di avere un'informativa": chiede che il titolare del trattamento fornisca le informazioni necessarie a descrivere come l'organizzazione tratta realmente i dati, con un linguaggio chiaro e accessibile per chi la legge.

Questo significa che un’informativa copiata da un altro sito, anche quando è formalmente ben scritta, presenta un elevato rischio di non essere conforme nella sostanza. Potrebbe infatti descrivere finalità, destinatari, basi giuridiche e tempi di conservazione che appartengono a un’altra organizzazione e non corrispondono ai trattamenti realmente effettuati dall’impresa.

Le autorità di controllo, quando ricevono un reclamo, non si limitano a verificare che l'informativa esista: verificano che sia coerente con la realtà operativa dell'azienda. Ed è proprio in questa verifica che le informative "copia-incolla" mostrano tutte le loro crepe.

Prima ancora di scrivere il documento, occorre capire quale informativa sia necessaria. Se i dati sono raccolti direttamente dalla persona, trova applicazione l’articolo 13 del GDPR. Se, invece, provengono da terzi, banche dati, partner commerciali o fonti pubblicamente accessibili, occorre considerare l’articolo 14, che richiede informazioni ulteriori, tra cui le categorie di dati trattati e la loro provenienza.

Gli elementi che un'informativa deve davvero contenere

Costruire un'informativa conforme non significa scrivere un testo più lungo o più complicato. Un’informativa deve innanzitutto identificare il titolare del trattamento e indicarne i recapiti, nonché i dati di contatto del DPO, quando nominato. Deve inoltre specificare i destinatari o le categorie di destinatari dei dati, chiarire se il conferimento sia obbligatorio o facoltativo e descrivere le conseguenze dell’eventuale rifiuto. Quando applicabile, deve anche informare sull’esistenza di processi decisionali automatizzati, compresa la profilazione. A questi elementi si aggiungono alcuni aspetti che richiedono particolare attenzione.

La base giuridica di ogni trattamento

Ogni trattamento di dati personali deve poggiare su una base giuridica precisa. Tra quelle più frequentemente utilizzate dalle imprese rientrano il consenso, l’esecuzione di un contratto o di misure precontrattuali, l’adempimento di un obbligo legale e il perseguimento di un legittimo interesse, quando ne ricorrono le condizioni.

Un'informativa generica spesso mescola tutte le finalità sotto un'unica base giuridica vaga, senza distinguere, ad esempio, tra il trattamento necessario per erogare un servizio e quello facoltativo per finalità di marketing.

Pensiamo alla base giuridica come alle fondamenta di una casa: invisibili nel risultato finale, ma è da lì che dipende se la struttura regge un controllo. Un'informativa che non distingue le basi giuridiche costruisce, in pratica, una casa senza sapere su cosa poggia.

Finalità specifiche, non generiche

Formule come “marketing” o “miglioramento del servizio”, se utilizzate senza ulteriori precisazioni, rischiano di essere semplici etichette. L’informativa deve permettere all’interessato di capire quali attività verranno concretamente svolte: invio di newsletter, comunicazioni promozionali, profilazione, personalizzazione delle offerte, analisi della soddisfazione o sviluppo di nuove funzionalità.

Tempi di conservazione reali

Il GDPR richiede di indicare per quanto tempo i dati saranno conservati oppure, quando non sia possibile stabilire anticipatamente un termine preciso, quali criteri saranno utilizzati per determinarlo.

Uno degli errori più comuni consiste nell’indicare formule generiche, come “per il tempo necessario”, senza spiegare quando tale necessità venga meno. Se non è possibile stabilire un termine preciso, l’informativa deve indicare criteri sufficientemente chiari, come la durata del rapporto contrattuale, i termini di prescrizione o gli obblighi legali di conservazione.

I diritti dell'interessato, spiegati in modo utilizzabile

Elencare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione non basta se l’interessato non sa concretamente come esercitarli. L’informativa deve indicare un canale di contatto reale, attivo e presidiato e ricordare, quando applicabile, la possibilità di revocare il consenso e di proporre reclamo all’autorità di controllo.

Trasferimenti extra-UE e soggetti terzi

L’informativa deve indicare i destinatari o le categorie di destinatari ai quali i dati possono essere comunicati. Se l’utilizzo di fornitori, piattaforme cloud, sistemi AI, CRM o servizi di marketing comporta trasferimenti verso Paesi esterni allo Spazio economico europeo, o accessi ai dati da tali Paesi, devono essere indicate anche le garanzie applicabili e le modalità per ottenere informazioni o copia delle stesse.

Gli errori più comuni (e più pericolosi)

Al di là dei singoli elementi mancanti, ci sono alcuni errori strutturali che ricorrono con particolare frequenza nelle informative "copiate":

• Riferimenti a soggetti o ruoli non corrispondenti alla realtà aziendale, come un DPO mai nominato, recapiti non più attivi o categorie di destinatari che non riflettono i fornitori effettivamente utilizzati.
• Finalità elencate ma mai realmente attivate, o al contrario attività reali non menzionate.
• Linguaggio eccessivamente tecnico-legale, che tecnicamente "dice tutto" ma di fatto non informa nessuno — il GDPR richiede un linguaggio chiaro e semplice, non solo completo.
• Nessun collegamento tra l'informativa e i processi interni: nessuno, in azienda, sa che quell'informativa esiste o cosa promette ai clienti.

Cosa puoi fare da domani

Costruire (o correggere) un'informativa privacy realmente conforme non richiede necessariamente di ripartire da zero, ma richiede un metodo:

• Mappa i trattamenti reali prima di scrivere qualsiasi riga: quali dati raccogli, per cosa, tramite quali strumenti.
• Verifica che ogni finalità dichiarata corrisponda a un trattamento effettivamente svolto e, viceversa, che ogni trattamento effettuato sia correttamente descritto.
• Controlla l’identità e i contatti del titolare, i recapiti destinati all’esercizio dei diritti e, quando nominato, i dati di contatto del DPO. Verifica inoltre che destinatari, categorie di fornitori e trasferimenti internazionali corrispondano alla situazione reale.
• Riscrivi in linguaggio chiaro le sezioni più tecniche, senza perdere precisione giuridica.
• Collega l'informativa ai processi aziendali: chi prende in carico una richiesta? Chi recupera le informazioni necessarie? Come viene rispettato il termine previsto dal GDPR?

Tornando al punto di partenza

Ricostruire davvero cosa succede ai dati dei propri clienti richiede tempo - non tanto per riscrivere un testo, quanto per capire i propri processi interni prima di poterli descrivere correttamente. Un'informativa scritta partendo dalla realtà dell'azienda, anche se più breve di quella copiata, per la prima volta dice esattamente quello che l'azienda fa.

La domanda che fa emergere il problema non riguarda mai il testo pubblicato sul sito. Riguarda quanto, davvero, l'azienda sa spiegare se stessa.

Un'informativa privacy non è un modulo da avere in fondo alla pagina. È la prima occasione in cui un'azienda dimostra, nero su bianco, di sapere cosa fa con i dati che le vengono affidati.

Oggi, però, l’informativa privacy non è l’unico strumento attraverso il quale un’azienda è chiamata a rendere trasparenti le proprie scelte tecnologiche.

Quando nei processi aziendali vengono utilizzati sistemi di intelligenza artificiale, possono trovare applicazione anche specifici obblighi di trasparenza previsti dall’AI Act. La loro portata dipende dal tipo di sistema, dalla finalità per cui viene utilizzato e dagli effetti che può produrre sulle persone.

In alcuni casi è necessario informare l’utente che sta interagendo con un sistema di IA. In altri casi, quando determinati sistemi di IA ad alto rischio vengono utilizzati per assumere o supportare decisioni riguardanti persone fisiche, l’impresa che utilizza il sistema deve informare le persone interessate del suo impiego. Possono inoltre trovare applicazione ulteriori garanzie previste dal Regolamento.

GDPR e AI Act non impongono obblighi identici, ma condividono un principio di fondo: l’uso delle tecnologie non deve rimanere opaco per le persone che ne subiscono gli effetti.

Un’informativa privacy coerente con i trattamenti effettivi e una corretta trasparenza sull’utilizzo dei sistemi di AI non sono semplici testi da pubblicare. Sono il risultato di un’organizzazione che conosce i propri processi, sa spiegare le proprie scelte ed è in grado di assumersene la responsabilità.

Vuoi imparare a costruire un'informativa privacy realmente su misura per la tua azienda, non copiata, non generica e in grado di reggere un controllo?

Il nostro corso su GDPR e gestione documentale della privacy ti accompagna passo passo dalla mappatura dei trattamenti alla stesura del testo finale.

Scopri i corsi formativi

Avv. Andrea Battistella

Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativo. 

Avv. Andrea Battistella

Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativ