Un modulo di registrazione può chiedere soltanto un nome e un indirizzo email, ma rimandare a un’informativa privacy lunga diverse pagine, scritta con formule giuridiche difficili da interpretare. Il risultato è una distanza evidente tra la semplicità dell’operazione richiesta e la complessità delle informazioni che dovrebbero accompagnarla. L’utente può completare la registrazione senza aver compreso chi utilizzerà i suoi dati, per quali finalità e per quanto tempo saranno conservati.
Il Regolamento generale sulla protezione dei dati, conosciuto come GDPR, affronta espressamente questo problema. L’articolo 12 stabilisce che le informazioni sul trattamento devono essere fornite in forma concisa, trasparente, intelligibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro.
La scrittura delle informative privacy deve quindi rispondere a due esigenze strettamente collegate: rispettare gli obblighi previsti dalla normativa e permettere alle persone di comprendere concretamente cosa accade ai propri dati personali. Una comunicazione formalmente completa, ma difficile da capire, può risultare inadeguata rispetto al principio di trasparenza.
Il GDPR richiede informazioni comprensibili, non documenti inutilmente complessi
Gli articoli 13 e 14 del GDPR individuano le informazioni che il titolare del trattamento deve comunicare agli interessati. La distinzione riguarda principalmente l'origine dei dati: l'articolo 13 si applica quando vengono raccolti direttamente dalla persona, mentre l'articolo 14 disciplina i casi in cui provengono da altre fonti.
In entrambi i casi, l'informativa deve permettere di identificare il titolare del trattamento, conoscere le finalità per cui vengono utilizzati i dati e comprendere la base giuridica che rende lecito ciascun trattamento.
Devono inoltre essere indicate, secondo le circostanze, le categorie di destinatari, gli eventuali trasferimenti verso Paesi terzi, il periodo di conservazione oppure i criteri utilizzati per determinarlo. Occorre spiegare quali diritti spettano all'interessato, come esercitarli e come presentare un reclamo all'autorità di controllo.
Altre informazioni diventano necessarie in situazioni specifiche. È il caso dell'eventuale obbligo di fornire i dati, delle conseguenze del loro mancato conferimento oppure dell'esistenza di processi decisionali automatizzati, compresa la profilazione, quando ricorrono le condizioni previste dal Regolamento.
La quantità delle informazioni dipende dunque dalle caratteristiche effettive del trattamento. Non esiste un unico modello di informativa valido indistintamente per ogni organizzazione.
Un piccolo studio professionale che utilizza i dati dei clienti per gestire appuntamenti e fatturazione presenta esigenze informative differenti rispetto a una piattaforma digitale che analizza il comportamento degli utenti per personalizzare contenuti e pubblicità.
La differenza deve emergere anche nel testo. Riprodurre indistintamente tutte le possibili finalità di trattamento, comprese quelle non effettivamente perseguite, può rendere l'informativa meno accurata.
Prima della scrittura occorre conoscere il percorso dei dati
Uno degli errori più frequenti nella preparazione delle informative consiste nel partire da un modello già pronto senza aver ricostruito le attività svolte dall'organizzazione.
La scrittura delle informative privacy richiede invece una conoscenza sufficientemente precisa dei dati raccolti, delle operazioni effettuate, dei soggetti coinvolti e delle finalità perseguite.
Si consideri, a titolo puramente ipotetico, un sito che permette di prenotare una consulenza. Il modulo raccoglie nome, indirizzo email, numero telefonico e disponibilità oraria. Queste informazioni possono servire per organizzare l'appuntamento e inviare una conferma.
Se il sito utilizza anche un servizio esterno per la gestione delle prenotazioni, occorre conoscere il ruolo effettivamente svolto dal fornitore e le eventuali comunicazioni di dati. Se vengono inviati messaggi promozionali, bisogna distinguere tale utilizzo dalla gestione della prenotazione, individuando la pertinente base giuridica.
L'informativa dovrà rappresentare queste attività senza confonderle.
Un'espressione generica come «i dati potranno essere trattati per finalità amministrative, commerciali e organizzative» comunica poco. Non permette di stabilire quali operazioni siano necessarie per ottenere il servizio e quali riguardino attività ulteriori.
Una formulazione più precisa potrebbe essere: «Utilizziamo il nome e l'indirizzo email per registrare la prenotazione e inviare le comunicazioni relative all'appuntamento».
L'esempio non costituisce un testo giuridico utilizzabile automaticamente. La formulazione definitiva dipende dalle operazioni realmente effettuate e dalle condizioni applicabili.
Linguaggio semplice significa eliminare le ambiguità
La chiarezza di un'informativa non dipende esclusivamente dalla lunghezza delle frasi. Un testo breve può risultare incomprensibile quando contiene termini astratti, riferimenti normativi privi di spiegazione o espressioni che non descrivono concretamente le attività svolte.
La comunicazione giuridica utilizza spesso formule come «espletamento delle attività connesse all'erogazione della prestazione» oppure «adempimento delle obbligazioni derivanti dal rapporto contrattuale».
Queste espressioni possono essere sostituite, quando il significato rimane equivalente, con descrizioni più vicine alle operazioni effettive.
Se un'impresa tratta i dati per elaborare un ordine, organizzare la spedizione ed emettere una fattura, può dichiararlo direttamente. La descrizione risulta più informativa rispetto a un riferimento indistinto alle esigenze amministrative e contrattuali.
Esistono però termini che non possono essere eliminati senza perdere precisione. Concetti come titolare del trattamento, base giuridica, legittimo interesse e diritto di opposizione possiedono un significato specifico nel GDPR.
In questi casi la soluzione consiste nell'accompagnare il termine tecnico con una spiegazione comprensibile.
Il legittimo interesse, ad esempio, non equivale a un'autorizzazione generale a utilizzare i dati per qualsiasi esigenza aziendale. È una delle basi giuridiche previste dall'articolo 6 del GDPR e richiede una valutazione delle condizioni applicabili, compreso il bilanciamento con gli interessi e i diritti della persona.
Quando viene utilizzato, l'informativa deve indicare quale interesse legittimo viene perseguito.
Anche la distinzione tra informativa e consenso merita attenzione. Informare una persona sul trattamento dei dati non significa necessariamente chiederle il consenso. Il consenso è soltanto una delle possibili basi giuridiche e deve rispettare requisiti specifici quando viene utilizzato.
Presentare tutte le operazioni come subordinate all'accettazione dell'informativa può generare confusione e non rispecchiare le effettive condizioni di liceità del trattamento.
Informative a più livelli: le informazioni essenziali prima dei dettagli
La quantità di informazioni richiesta dalla normativa può rendere difficile concentrare tutto in un unico blocco di testo, soprattutto quando il documento viene consultato da smartphone.
Le linee guida europee sulla trasparenza riconoscono l'utilità delle informative organizzate su più livelli. Il primo presenta le informazioni principali e permette di raggiungere le sezioni contenenti gli approfondimenti.
L'impostazione non deve trasformare le informazioni obbligatorie in contenuti difficili da trovare. Il primo livello deve offrire una rappresentazione significativa del trattamento, mentre quelli successivi devono risultare facilmente accessibili.
Un esempio concreto riguarda la compilazione di un modulo per richiedere informazioni commerciali.
Accanto ai campi del modulo può comparire una spiegazione sintetica: «I dati inseriti saranno utilizzati per rispondere alla richiesta. Le informazioni complete sul trattamento, sui tempi di conservazione e sui diritti esercitabili sono disponibili nell'informativa privacy».
L'indicazione dovrà essere adattata alle caratteristiche effettive del servizio e accompagnata da un accesso immediato alle informazioni complete.
La scrittura delle informative privacy può quindi essere progettata insieme all'interfaccia del sito, evitando di considerare il documento come un elemento separato dall'esperienza di utilizzo.
Nei servizi digitali, inoltre, alcune spiegazioni possono essere presentate nel momento in cui diventano pertinenti. È il principio delle informazioni contestuali, spesso definite just-in-time notices.
Se un'applicazione richiede l'accesso alla posizione geografica soltanto per individuare un servizio nelle vicinanze, una comunicazione mostrata al momento della richiesta può spiegare lo scopo dell'accesso. Resta comunque necessario fornire tutte le informazioni previste dal GDPR secondo le modalità applicabili.
L'approccio è utile soprattutto quando le funzionalità vengono attivate progressivamente e il trattamento dei dati cambia in base alle scelte dell'utente.
Tempi di conservazione e destinatari: dove la precisione conta
Alcune sezioni delle informative sono particolarmente esposte all'uso di formule generiche.
Una delle più ricorrenti riguarda il periodo di conservazione. Scrivere che i dati vengono mantenuti «per il tempo strettamente necessario al perseguimento delle finalità» riproduce un principio generale, ma spesso non fornisce una spiegazione sufficientemente concreta.
Il GDPR richiede di indicare il periodo di conservazione oppure, quando non sia possibile determinarlo anticipatamente, i criteri utilizzati per stabilirlo.
In un caso ipotetico, se un'organizzazione conserva le richieste di contatto non seguite da un rapporto commerciale per dodici mesi, può indicare espressamente quel periodo, purché corrisponda alla gestione effettiva dei dati e sia giustificato.
Per altri trattamenti possono intervenire obblighi normativi che richiedono tempi differenti. I dati necessari alla gestione contabile, per esempio, possono essere soggetti a regole di conservazione diverse da quelle applicabili a una semplice richiesta informativa.
Anche la descrizione dei destinatari deve essere significativa.
La formula «i dati potranno essere comunicati a soggetti terzi autorizzati» può risultare poco utile quando non permette di comprendere quali categorie di soggetti ricevano le informazioni.
Se pertinenti al trattamento, indicazioni come fornitori di servizi informatici, professionisti incaricati della contabilità oppure operatori logistici rendono più comprensibile il percorso dei dati.
Occorre naturalmente distinguere i destinatari effettivi dalle categorie inserite soltanto per precauzione.
La trasparenza richiede inoltre di considerare gli eventuali trasferimenti internazionali. Dichiarare genericamente che i dati sono gestiti tramite servizi digitali non è sufficiente quando si verificano trasferimenti verso Paesi terzi per i quali il GDPR impone informazioni specifiche.
Livelli di lettura: un'informativa deve essere adatta al suo pubblico
La comprensibilità cambia in funzione delle persone alle quali il testo è destinato.
Un'informativa rivolta ai dipendenti di un'organizzazione può contenere informazioni diverse da quella utilizzata da un servizio destinato ai consumatori. Un documento pensato per i minori richiede attenzioni ulteriori.
Il considerando 58 del GDPR richiama espressamente la necessità di utilizzare un linguaggio particolarmente chiaro e semplice quando le informazioni sono rivolte ai bambini.
Nella scrittura delle informative privacy, il livello di lettura dovrebbe essere valutato considerando il destinatario, il contesto e la natura del trattamento.
L'impiego di periodi più brevi può facilitare la comprensione, ma non rappresenta una soluzione automatica. Una frase articolata, costruita correttamente, può risultare più chiara di una sequenza di enunciati brevi che omettono informazioni essenziali.
Occorre prestare attenzione soprattutto alla densità dei concetti.
Un paragrafo che affronta contemporaneamente finalità, basi giuridiche, destinatari e periodi di conservazione costringe il lettore a ricostruire rapporti che potrebbero essere spiegati separatamente.
Titoli descrittivi come «Perché utilizziamo i dati», «Per quanto tempo li conserviamo» e «Come esercitare i propri diritti» consentono di individuare rapidamente le informazioni pertinenti.
Anche la leggibilità visiva contribuisce all'accessibilità. Dimensioni adeguate dei caratteri, contrasto sufficiente, spaziatura e organizzazione dei contenuti rendono più agevole la consultazione, specialmente sui dispositivi mobili.
Questi accorgimenti devono accompagnare la precisione delle informazioni, senza sostituirla.
Verificare la comprensione prima della pubblicazione
La revisione di un'informativa non dovrebbe limitarsi alla correttezza grammaticale e alla presenza dei contenuti obbligatori.
È utile verificare se una persona estranea all'organizzazione riesca a individuare le informazioni principali senza conoscere preventivamente il funzionamento del servizio.
Le indicazioni dell'Information Commissioner's Office britannico, pur riferite al quadro normativo del Regno Unito, suggeriscono tra le buone pratiche anche la verifica dell'efficacia delle informative mediante prove con gli utenti.
Il metodo può essere applicato attraverso un controllo redazionale basato su domande concrete.
Dopo aver letto il documento, una persona dovrebbe riuscire a comprendere quale organizzazione tratta i dati, perché li utilizza, quali informazioni sono obbligatorie per ottenere il servizio, se sono previste comunicazioni ad altri soggetti e come esercitare i propri diritti.
Quando queste risposte non emergono chiaramente, il problema può dipendere dall'organizzazione dei contenuti oppure dall'impiego di formulazioni troppo generiche.
La scrittura delle informative privacy beneficia anche di una revisione congiunta tra chi conosce le attività operative e chi possiede competenze giuridiche in materia di protezione dei dati. La verifica redazionale può individuare passaggi difficili da comprendere, mentre quella giuridica serve a evitare che la semplificazione modifichi il significato degli obblighi.
La responsabilità di fornire informazioni conformi al Regolamento rimane comunque in capo al titolare del trattamento.
Aggiornare il testo quando cambiano le attività
Un'informativa corretta al momento della pubblicazione può diventare incompleta quando l'organizzazione modifica il proprio funzionamento.
L'introduzione di un nuovo servizio, l'utilizzo di ulteriori fornitori, l'attivazione di strumenti di analisi dei comportamenti oppure una diversa politica di conservazione possono richiedere una revisione delle informazioni fornite agli interessati.
Il principio di trasparenza riguarda infatti le operazioni effettivamente svolte, non la semplice disponibilità di un documento sul sito.
L'articolo 13, paragrafo 3, del GDPR prevede inoltre che, quando il titolare intende utilizzare i dati per una finalità diversa da quella per cui sono stati raccolti, debba fornire prima dell'ulteriore trattamento le informazioni relative alla nuova finalità e ogni altra informazione pertinente.
La comunicazione di una modifica non rende automaticamente lecita una nuova attività: occorre comunque verificare la base giuridica e gli altri requisiti applicabili.
Una gestione accurata dovrebbe prevedere anche il controllo delle versioni pubblicate, delle date di revisione e della corrispondenza tra quanto dichiarato e i processi aziendali.
Un esempio riguarda l'introduzione di un servizio esterno per l'invio delle comunicazioni. Prima di aggiornare l'informativa è necessario chiarire quali dati vengano trasmessi, quale ruolo assuma il fornitore, dove avvengano le operazioni rilevanti e se cambino le condizioni del trattamento.
Soltanto dopo questa verifica è possibile descrivere correttamente la modifica.
La qualità della scrittura delle informative privacy dipende anche da questa continuità tra documentazione e attività operative. Se un sito dichiara che i dati raccolti attraverso un modulo vengono utilizzati esclusivamente per rispondere alle richieste, ma gli stessi indirizzi alimentano anche un sistema di comunicazioni promozionali, il problema non è risolvibile con una frase più elegante: occorre correggere l'informativa e verificare la liceità del trattamento effettivamente svolto.
