L’informativa privacy sito web è quasi sempre il primo documento che qualcuno va a leggere quando decide di presentare un reclamo. Non serve un’ispezione: basta un utente che si è visto arrivare una comunicazione commerciale non richiesta, un candidato che ha inviato un curriculum attraverso un modulo, un cliente che chiede di sapere dove sono finiti i suoi dati. Apre il link in fondo alla pagina, legge, e nella stragrande maggioranza dei casi trova un testo scaricato anni prima da un generatore gratuito, aggiornato l’ultima volta quando il sito è stato rifatto.
Da lì parte tutto il resto. Perché l’informativa non è un documento isolato: è la dichiarazione con cui il titolare racconta al mondo che cosa fa con i dati. Se quello che c’è scritto non corrisponde a quello che accade davvero, la discrepanza diventa il primo appiglio di chi contesta.
Che cosa viene contestato in concreto
Gli artt. 13 e 14 del Regolamento elencano in modo puntuale le informazioni da fornire all’interessato. L’elenco è lungo e, soprattutto, non ammette formule di stile. I rilievi che ricorrono con più frequenza sono sempre gli stessi.
- Finalità indicate in modo generico. «Per finalità connesse all’attività del titolare» non dice nulla. Le finalità devono essere determinate, esplicite e legittime, e vanno distinte l’una dall’altra: il trattamento per eseguire un contratto non è il trattamento per inviare newsletter.
- Base giuridica mancante o sbagliata. È il punto più delicato. Il consenso viene invocato dove servirebbe il contratto, il legittimo interesse viene evocato senza che di quel bilanciamento esista traccia da nessuna parte, l’obbligo di legge viene citato senza indicare quale.
- Periodo di conservazione assente. Scrivere «per il tempo necessario» è, in sostanza, non scrivere nulla. Il Regolamento chiede il periodo o, se non determinabile, i criteri per determinarlo.
- Destinatari non indicati. Hosting, gestionali in cloud, piattaforme di e-mail marketing, sistemi di analytics, consulenti esterni: se ricevono dati e non compaiono, l’informativa è incompleta.
- Trasferimenti extra UE taciuti. Moltissimi servizi comunemente integrati in un sito comportano un trasferimento verso Paesi terzi. L’art. 13, paragrafo 1, lettera f), impone di dirlo e di indicare su quale garanzia si fonda.
- Informativa unica per situazioni diverse. Il visitatore del sito, il cliente, il candidato che invia un curriculum e il destinatario della newsletter sono categorie di interessati distinte. Un unico testo che pretende di coprirle tutte finisce per non essere adeguato per nessuna.
Il modulo di contatto è il punto in cui l’informativa privacy del sito web cede
Nella pratica il problema più ricorrente non è il testo in sé, ma il punto di raccolta. L’art. 13 richiede che le informazioni siano fornite nel momento in cui i dati sono ottenuti. Un link generico nel piè di pagina, che porta a un documento di cinquemila parole valido per tutto, difficilmente soddisfa questo requisito quando l’utente sta compilando un modulo specifico.
Si aggiungono poi le caselle di spunta. Consensi pre-selezionati, consensi unici che accorpano finalità diverse, invio del modulo subordinato al rilascio di un consenso non necessario: sono tutte situazioni in cui il consenso non risponde ai requisiti dell’art. 7 e, se il consenso era la base giuridica dichiarata, il trattamento resta privo di fondamento. Da questa constatazione discende molto di quello che segue, perché la base giuridica illegittima è esattamente la contestazione che fa scattare la fascia sanzionatoria più alta.
Le sanzioni e il motivo per cui si sommano
La violazione degli obblighi di informazione degli artt. 12, 13 e 14 e la violazione dei principi di cui all’art. 5 rientrano nell’art. 83, paragrafo 5, del GDPR: fino a venti milioni di euro oppure, per le imprese, fino al quattro per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. È la fascia più elevata prevista dal Regolamento, e non è un caso: il diritto di sapere che cosa accade ai propri dati è il presupposto di tutti gli altri diritti dell’interessato.
Nella determinazione dell’importo l’Autorità considera la natura, la gravità e la durata della violazione, il numero di interessati coinvolti, il carattere doloso o colposo, le misure adottate per attenuare il danno e il grado di cooperazione. Abbiamo dedicato un approfondimento specifico a quanto costa davvero una violazione del GDPR.
Il punto però è un altro, ed è quello che vale la pena tenere a mente: l’informativa carente non viene quasi mai sanzionata da sola. È il filo che si tira. Il reclamo riguarda una comunicazione commerciale, si guarda l’informativa, si scopre che la base giuridica dichiarata non regge; a quel punto si chiede il registro delle attività di trattamento, che non corrisponde a quello che l’informativa dice, e si arriva agli accordi con i fornitori, alla nomina dei responsabili del trattamento, alla sicurezza. Ogni anello che cede ne scopre un altro.
Perché i modelli scaricati non reggono
Un’informativa corretta non è un testo: è la fotografia di un’organizzazione. Per scriverla bisogna sapere quali dati raccoglie davvero quel sito, attraverso quali strumenti, per quali finalità, chi vi accede, dove sono ospitati, per quanto tempo restano. Un modello generico non può contenere queste informazioni, perché non le conosce. Può soltanto riprodurre le formule del Regolamento, ed è esattamente quello che in un procedimento non serve a niente: l’Autorità non verifica se l’informativa assomiglia alla legge, verifica se corrisponde alla realtà.
È la stessa ragione per cui l’adeguamento fatto per moduli tende a saltare alla prima verifica, un tema che abbiamo già affrontato parlando di che cosa viene contestato alle aziende.
Come lavora lo studio
Lo studio dell’avv. Elio Errichiello assiste aziende, professionisti ed enti pubblici nella revisione della documentazione privacy e nei procedimenti davanti al Garante, e svolge incarichi di Responsabile della protezione dei dati. Ha sede a Napoli e assiste in tutta Italia. Le modalità dell’attività sono descritte nella pagina dedicata al servizio di consulenza privacy e protezione dei dati personali; per il contenzioso amministrativo e le altre materie è disponibile il sito dell’avv. Elio Errichiello.
Se avete ricevuto un reclamo, una richiesta di informazioni dell’Autorità o semplicemente il dubbio che quello che c’è scritto sul vostro sito non corrisponda più a quello che fate, il primo passo è un esame preliminare della documentazione e degli eventuali termini già in corso. Scrivete allo studio indicando il tipo di attività e gli strumenti utilizzati sul sito.
