L’informativa da fornire agli interessati
Un documento essenziale per il Regolamento Generale sulla Protezione dei Dati Personali ( GDPR ), il n. 679/2016, è quello della informativa che deve essere fornita agli interessati prima che il trattamento dei “dati personali” prenda avvio.
Non si tratta di un documento nuovo; lo conosciamo già dal 2003, quando col decreto legislativo 196, fu definito il “Codice in materia di protezione dei dati personali”.
La nuova informativa, tuttavia, deve contenere un nuovo dato: quello della « durata del trattamento ».
Nel nuovo GDPR, sono gli articoli 12, 13, 14 e 15 a fornire le principali indicazioni in merito.
Le caratteristiche e la forma della informativa agli interessati
Preliminarmente, la normativa obbliga il titolare ad adottare « misure appropriate per fornire all’interessato tutte le informazioni » sul trattamento.
Quindi stabilisce che l’informativa debba possedere determinate caratteristiche: « concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori ».
Le “Guidelines on consent under Regulation 2016/679” ribadiscono esplicitamente che « l’informativa dovrebbe essere facilmente comprensibile per la persona media e non solo per gli avvocati ».
Diversamente, in merito alla forma, il GDPR non ne prevede una specifica: può essere scritta, ovvero in forma elettronica, persino orale.
Il problema è tuttavia sempre lo stesso: dimostrare d’averla fornita.
Quale comunicazioni deve contenere l’informativa privacy
L’informativa agli interessati dovrà comunque contenere, oltre alla durata del trattamento dei “dati personali” :
- « le finalità »;
- « la base giuridica »;
- « gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali »;
- l’eventuale « intenzione del titolare del trattamento di trasferire dati personali a un paese terzo »;
- la comunicazione della « esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi »:
- se « l’interessato ha l’obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati »;
- la comunicazione del « diritto di proporre reclamo a un’autorità di controllo ».
Ancora, qualora i dati non siano stati raccolti presso l’interessato, occorre indicare « la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico ».
In quest’ultimi casi, l’informativa sarà resa « entro un termine ragionevole […] ma al più tardi entro un mese ».
Infine, al fine di poter consentire di richiedere l’accesso ai propri dati, l’informativa dovrà contenere « l’identità e i dati di contatto del titolare del trattamento » e « i dati di contatto del [eventuale] responsabile della protezione dei dati ».
–
Credits: Photo by Giulia May on Unsplash
