Perché le informative dell'articolo 13 sbagliano sempre sugli stessi sette punti e come si correggono?

Le informative dell'articolo 13 sono spesso trattate come documenti standard da far firmare, anziché come una descrizione comprensibile dei trattamenti svolti quando i dati sono raccolti direttamente dall'interessato. Non serve sempre riscriverle: occorre confrontare ogni sezione con registro dei trattamenti, incarichi operativi, fornitori, procedure e canali di raccolta.

L'informativa deve indicare chi tratta i dati, finalità, base giuridica, conservazione e destinatari. L'articolo 13 GDPR richiede inoltre, secondo il caso, informazioni su trasferimenti verso Paesi terzi, diritti, reclamo al Garante, obbligatorietà del conferimento e processi decisionali automatizzati.

Un testo coerente evita firme prive di valore, promesse di cancellazione irrealistiche e formule generiche sui fornitori. È il metodo con cui TrattamentiInRegola costruisce registro dei trattamenti, nomine e informative passo passo, pronti da esibire con ordine.

Confondere l'informativa con la richiesta di consenso

L'informativa è un obbligo di trasparenza e va consegnata o resa disponibile alla raccolta dei dati, anche se il consenso non serve. Il consenso è una possibile base giuridica e deve essere libero, specifico, informato e inequivocabile. Una casella in fondo all'informativa non rende automaticamente lecito il trattamento.

Nella prestazione professionale, i dati necessari ad aprire la pratica, svolgere l'incarico, fatturare e gestire comunicazioni connesse sono normalmente trattati per eseguire il contratto o misure precontrattuali richieste dall'interessato. Per adempimenti fiscali, contabili, previdenziali o antiriciclaggio, se applicabili, può valere l'obbligo legale cui è soggetto il titolare.

Il consenso può servire per finalità ulteriori e separabili, come comunicazioni promozionali quando manca un'altra base giuridica adeguata. Non va chiesto per trattamenti indispensabili al servizio: se il conferimento è necessario al contratto o alla legge, l'informativa deve indicare le conseguenze del mancato conferimento, non simulare una scelta.

Il controllo pratico prima della pubblicazione

Ogni finalità va associata a una base giuridica effettiva. Consenso, contratto, obbligo legale e legittimo interesse non vanno elencati come alternative: chi legge deve capire quale presupposto vale per ciascuna attività.

• Indicare denominazione, recapiti e canale di contatto del titolare del trattamento.
• Inserire i contatti del responsabile della protezione dei dati, se designato o dovuto.
• Separare finalità necessarie e facoltative e, per queste ultime, predisporre una scelta separata quando serve il consenso.
• Verificare che moduli, CRM, sito e istruzioni al personale raccolgano solo i consensi necessari.

Basi giuridiche copiate da un modello di un altro settore

Un modello preso da e-commerce, struttura sanitaria o altro studio può citare profilazione, newsletter, geolocalizzazione, dati sanitari o trasferimenti internazionali inesistenti, omettendo invece pratiche, archiviazione, adempimenti fiscali o comunicazioni necessarie all'incarico.

La base giuridica va individuata attività per attività: un preventivo richiesto può collegarsi a misure precontrattuali, l'incarico al contratto, la conservazione documentale imposta dalla normativa all'obbligo legale. Il legittimo interesse richiede una valutazione concreta, inclusa la verifica che diritti e libertà dell'interessato non prevalgano, e non può diventare il contenitore residuale di ogni attività.

Attenzione anche ai ruoli. Un professionista può essere titolare per organizzazione interna e rapporti diretti, ma operare secondo istruzioni per un cliente e qualificarsi diversamente in base al servizio. La guida Che differenza c'è tra titolare, responsabile e autorizzato al trattamento dentro uno studio professionale? aiuta a evitare ruoli incompatibili con contratti e operatività.

Conservazione dei dati dichiarata senza criterio

Dire che i dati saranno conservati "per il tempo necessario" non basta se non consente di capire il criterio applicato. L'articolo 13 richiede il periodo di conservazione oppure, se non indicabile, i criteri per determinarlo. Il testo deve distinguere categorie documentali e ragioni della tenuta.

La durata non va inventata né uniformata. Alcuni documenti sono conservati per obblighi fiscali, civilistici o di altra natura; altri fino alla chiusura della pratica, alla prescrizione di possibili pretese o alla definizione di un contenzioso. Per marketing o candidature il criterio è diverso e va riesaminato rispetto alla finalità.

Area di trattamento	Criterio da descrivere	Errore da evitare
Pratica o incarico professionale	Durata del rapporto e necessità connesse alla gestione o tutela della posizione	Promettere la cancellazione immediata alla chiusura senza considerare documenti e obblighi residui
Documentazione amministrativa	Termini previsti dalla disciplina applicabile e verifiche di competenza	Indicare un periodo casuale copiato da un fac simile
Candidature	Tempo proporzionato alla selezione e a eventuali posizioni compatibili	Archiviare curriculum senza una regola di riesame

La procedura interna deve sostenere quanto dichiarato. Se il gestionale conserva copie, backup o allegati, il titolare deve sapere dove sono, chi li gestisce e come avvengono cancellazione o limitazione. L'informativa non sostituisce questa verifica, ma ne rende trasparente il risultato.

Destinatari indicati in modo generico o taciuti

"I dati non saranno diffusi" non risponde alla domanda sui destinatari. La diffusione rende i dati conoscibili a soggetti indeterminati; la comunicazione a destinatari determinati è diversa e può essere necessaria. L'articolo 13 richiede destinatari o categorie di destinatari, se esistono.

Non occorre pubblicare l'elenco dei fornitori o ogni subfornitore, ma descrivere categorie pertinenti: fornitori informatici e cloud, consulenti amministrativi o legali, banche, soggetti pubblici competenti, soggetti che ricevono dati per obblighi di legge, società di assistenza tecnica o gestione documentale.

La categoria deve riflettere un flusso reale. Se un software cloud ospita dati o il fornitore accede per assistenza, occorre valutarne il ruolo e disciplinarlo quando agisce per conto del titolare. Per gli studi che trattano dati nei servizi resi ai clienti, occorre separare flussi interni e trattamenti per conto altrui: In che modo uno studio di commercialisti mappa i trattamenti svolti per conto dei clienti? chiarisce i passaggi.

Se avvengono trasferimenti verso Paesi terzi o organizzazioni internazionali, l'informativa deve indicarne l'esistenza e le garanzie previste dal GDPR. Vanno descritte verifiche effettivamente svolte, non formule assolute sull'ubicazione dei dati senza controllare contratti e configurazioni.

Diritti elencati senza dire come si esercitano

Elencare accesso, rettifica, cancellazione, limitazione, portabilità e opposizione non basta: l'interessato deve sapere a chi inviare la richiesta e con quale canale. Un indirizzo email dedicato, un recapito postale o un riferimento organizzativo chiaro rendono il diritto esercitabile.

Va ricordato il diritto di reclamo all'Autorità Garante per la protezione dei dati personali. Se il trattamento si fonda sul consenso, occorre indicare che può essere revocato in ogni momento, senza pregiudicare la liceità del trattamento precedente. Non vanno promesse cancellazioni incompatibili con obblighi legali di conservazione.

Occorre indicare se il conferimento è obbligo contrattuale o legale, oppure requisito necessario a concludere il contratto, e le conseguenze del mancato conferimento. Se non esistono decisioni esclusivamente automatizzate con gli effetti dell'articolo 22 GDPR, è preferibile dichiararlo senza inserire testi oscuri sulla profilazione.

Un'informativa sola per clienti, dipendenti e candidati

Il titolare può essere lo stesso, ma relazione, finalità, categorie di dati, basi giuridiche, destinatari, conservazione e obblighi informativi cambiano. Il cliente conferisce dati per una prestazione, il dipendente nel rapporto di lavoro, il candidato per una selezione. Riunire tutto in un solo testo lo rende vago.

Per i dipendenti vanno rappresentati trattamenti relativi a rapporto, presenze, strumenti di lavoro, sicurezza e adempimenti, senza introdurre controlli non descritti o non leciti. Per i candidati servono finalità e conservazione della selezione. Per i visitatori del sito rilevano moduli di contatto, log tecnici, cookie e servizi terzi, con un'informativa calibrata sul sito effettivo.

Separare non significa moltiplicare documenti inutili, ma predisporre versioni dedicate e coordinate, rese disponibili nel punto corretto: onboarding cliente, assunzione, candidatura, form online o sito. Per dati raccolti indirettamente si applica l'articolo 14 GDPR: non basta riutilizzare il testo dell'articolo 13.

Il testo mai aggiornato dopo il cambio di fornitori o di gestionale

L'informativa non è un adempimento da archiviare. Nuovo gestionale, cloud, firma, fornitore paghe, CRM, videoconferenza o processo di selezione possono modificare destinatari, luoghi del trattamento, misure organizzative, categorie di dati e conservazione. Se cambia il flusso, il testo va riesaminato.

Il controllo più affidabile è il registro dei trattamenti. Ogni scheda dovrebbe descrivere finalità, interessati, categorie di dati, destinatari, trasferimenti, tempi e misure in modo operativo. Quando cambia una di queste informazioni, va verificato l'aggiornamento dell'informativa. La procedura è illustrata in Come si compila il registro dei trattamenti dell'articolo 30 scheda per scheda senza copiare modelli?.

Versione, distribuzione e prova dell'aggiornamento

Data o numero di versione permettono di dimostrare quale testo era in uso e sostituire copie obsolete. Consentono di allineare modulo cartaceo, area riservata, sito, gestionale e comunicazioni al personale. Per modifiche rilevanti, il titolare valuta come informare gli interessati già coinvolti, in modo proporzionato al rapporto e al canale.

1. Rilevare il cambiamento prima dell'attivazione del nuovo servizio o processo.
2. Aggiornare registro, analisi dei ruoli, nomine o istruzioni necessarie.
3. Confrontare la scheda modificata con l'informativa della categoria interessata.
4. Attribuire una nuova versione, sostituire le copie precedenti e conservare evidenza della revisione.
5. Verificare che chi raccoglie i dati usi il testo corretto e sappia indirizzare le richieste sui diritti.

Una buona informativa dell'articolo 13 è verificabile, coerente con il registro e comprensibile a chi consegna i dati. Correggere i sette errori significa distinguere basi giuridiche e consenso, definire tempi e destinatari, rendere esercitabili i diritti, separare gli interessati e allineare le versioni. Per impostare o revisionare documenti aderenti alla vostra organizzazione, potete scrivere dal modulo di contatto e approfondire l'approccio di Jimenez Julien.