Come scrivere un’informativa privacy per clienti

A partire dal 25 maggio 2018 – come è noto – è entrato in vigore il nuovo Regolamento EU 679/16 sulla privacy denominato GDPR che letteralmente sta per General Data Protection Regulation.

Tra le varie novità previste dalla nuova normativa vi è l’obbligo per ogni titolare di trattamento dati di predisporre un’idonea informativa privacy da sottoporre alla persona fisica o giuridica che conferisce concretamente i propri dati personali.

Chi è il titolare del trattamento e cosa s’intende per trattamento dati?

Prima di rispondere alla domanda che tutti si staranno ponendo, ossia “come faccio a predisporre l’informativa di cui si parla?” appare opportuno spiegare chi è il titolare del trattamento dati e soprattutto cosa s’intende per trattamento dati.
Al riguardo possiamo in maniera semplicistica affermare che può essere considerato titolare del trattamento dati qualsiasi persona (sia fisica che giuridica) che effettua un qualsivoglia trattamento di dati personali.
Per trattamento di dati personali s’intende qualunque operazione o complesso di operazioni, effettuate anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca dati.
Ad esempio, deve essere considerato come trattamento dati l’attività posta in essere in un’azienda attraverso la quale vengono raccolti nomi, cognomi, e-mail, fax o altre informazioni personali di clienti, dipendenti/collaboratori o fornitori. In altre parole, ogni informazione che rende in qualche modo identificabile una specifica persona deve essere considerato come dato personale.

In sintesi, chiunque pone in essere un’attività – lavorativa e non – nell’ambito della quale avviene una qualsiasi operazione su dati personali riconducibili ad una persona fisica deve adeguarsi alla nuova normativa sulla privacy. Non è quindi necessario che la raccolta dati sia il fine ultimo dell’azienda, ma è sufficiente che questa sia un’operazione necessaria ed intermedia per porre in essere la normale attività lavorativa: si pensi, ad esempio, ad un negozio di abbigliamento che al fine di rilasciare delle fidelity card si faccia rilasciare i dati personali del cliente per poter emettere la tesserina.

Che forma e che contenuti deve avere l’informativa privacy per clienti?

Tanto premesso, occorre ora focalizzare l’attenzione sull’informativa privacy, e più nello specifico, in quella da predisporre per i clienti .
Nello specifico, questa deve avere forma concisa, trasparente, intelligibile per l’interessato e facilmente accessibile; occorre, quindi, utilizzare un linguaggio chiaro e semplice.
Nel caso in cui questa sia rivolta ai minori, deve essere ancor più semplice e comprensibile anche per quest’ultimi.

I contenuti dell’informativa privacy sono elencati in modo tassativo dagli articoli 13 e 14 del GDPR e sono certamente più ampi e complessi rispetto a quelli precedentemente previsti dalla legge sulla privacy italiana.
In particolare, dovranno sempre essere indicate:
1. Le finalità di trattamento, deve essere spiegato al cliente per quali ragioni legali è necessario che fornisca i suoi dati personali e che questi vengano trattati dal Titolare (ad esempio, inviare comunicazioni commerciali o adempiere ad obblighi di legge).
2. Le modalità di trattamento, deve essere specificato in che modo avviene il trattamento dei dati (ad esempio mediante archiviazione in appositi armadi protetti da un sistema di chiavi fisiche in possesso esclusivo dei soggetti autorizzati dal Titolare).
3. L’obbligatorietà o meno del conferimento dei dati; nel caso in cui il consenso sia facoltativo devono essere specificate quali conseguenze ci sono in caso di diniego dello stesso.
4. La/le basi giuridiche sottese al trattamento dati: ad esempio, qualora l’utilizzo risulti necessario per dare esecuzione ad uno o più contratti di cui il cliente è parte o per adottare le misure precontrattuali richieste dallo stesso oppure qualora l’utilizzo costituisca un legittimo interesse della Società o di un soggetto con cui quest’ultima ha condiviso i dati personali del cliente.
5. Le persone fisiche o giuridiche nei confronti delle quali può avvenire la comunicazione, la diffusione dei dati e l’eventuale trasferimento oltre i confini italiani.
6. Le persone all’interno dell’azienda alle quali verrà concesso l’accesso ai dati raccolti.
7. I dati del Titolare del trattamento e se presente del DPO (Data Protection Officer)
8. I diritti dell’interessato e le modalità attraverso cui è possibile esercitarli. Ad esempio, diritto: a) di chiedere la conferma dell’esistenza o meno di propri dati personali; b) di ottenere le indicazioni circa le finalità del trattamento, le categorie dei dati personali, i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati e, quando possibile, il periodo di conservazione; c) di ottenere la rettifica e la cancellazione dei dati; d) di ottenere la limitazione del trattamento; e) di ottenere la portabilità dei dati, etc. etc.

Inoltre, il Regolamento UE prevede ulteriori informazioni in quanto “necessarie per garantire un trattamento corretto e trasparente”: in particolare, il titolare deve specificare il periodo di conservazione dei dati o i criteri seguiti per stabilire tale periodo di conservazione, ed il diritto di presentare un reclamo all´autorità di controllo.
L´informativa deve essere fornita per iscritto o in formato elettronico (soprattutto nel contesto di servizi online: si vedano art. 12 Regolamento EU 679/16, paragrafo 1, e considerando 58), anche se sono ammessi “altri mezzi”. Teoricamente, quindi, potrebbe essere fornita anche oralmente, ma nel rispetto delle caratteristiche di cui sopra (art. 12, paragrafo 1); ciò significa che per ogni tipologia di trattamento dati il titolare del trattamento dati o il soggetto da quest’ultimo autorizzato dovrebbe leggere l’intera informativa (molto spesso luna diverse pagine) al cliente ed accertarsi che questo ne abbia compreso i contenuti; cosa da ritenersi impossibile nell’ambito di una qualsiasi attività lavorativa.

Che cos’è il consenso informato? Dove va inserito?

A questo punto della trattazione appare opportuno approfondire il concetto di consenso informato.
Cos’è e in che rapporto deve essere con l’informativa?
Il consenso informato altro non è che una formula attraverso il quale il soggetto che conferisce i propri dati personali dichiara di aver compreso l’informativa privacy e di accettare che i propri dati vengano trattati secondo le modalità espresse.
Affinché questo sia valido è necessario che venga prestato per ogni singola finalità per cui i dati sono raccolti attraverso il “flag” di appositi spazi predisposti come ad esempio nell’immagine sottostante.

Non sono ammessi quindi moduli del consenso cosiddetti “preflaggati”. E’ assolutamente necessario, inoltre, che dopo aver barrato le caselle relative alle singole finalità di trattamento il cliente sottoscriva con firma autentica il modulo.
Il modulo del consenso solitamente viene integrato direttamente nell’informativa privacy ma nulla vieta che questo sia consegnato al cliente separatamente come allegato della stessa.

In conclusione, appare evidente che non è possibile scaricare da internet un modello fac simile di informativa privacy valido per essere esenti da ogni tipo di sanzione. Diversamente, occorre predisporre un’informativa privacy specifica per la propria attività.
Per tale ragione, se non si ritiene di aver le conoscenze adeguate per scrivere la suddetta informativa, si consiglia vivamente di rivolgersi ad un esperto del settore per non incorrere in salatissime sanzioni (basti pensare che l’eventuale sanzione può arrivare fino al 4% del fatturato dell’azienda!).