Articolo 13 GDPR
L'Articolo 13 della GDPR ha ad oggetto gli obblighi informativi minimi che i Titolari del trattamento devono rispettare al momento della raccolta dei dati personali presso l’Interessato (persona a cui i dati di riferiscono). Questo articolo è fondamentale per attuare il principio di trasparenza tipico del GDPR, informando chiaramente gli individui interessati (ad es. clienti, dipendenti, fornitori, utenti web, videosorvegliati) su quali loro informazioni saranno trattate, come e perché. La normativa ribadisce più volte la necessità di fornire informazioni accessibili e comprensibili ai soggetti interessati. Ciascun Titolare del trattamento, fatte salve rare eccezioni, deve fornire agli Interessati una serie di informazioni: ad es. i dati identificativi e di contatto del Titolare e del Responsabile della protezione dei dati, le finalità del trattamento, la base giuridica su cui si fonda il trattamento, i Destinatari o le categorie di Destinatari dei dati personali. Non solo: devono essere esplicitati i diritti degli Interessati, come il diritto di accesso, rettifica, cancellazione e limitazione del trattamento, nonché il diritto di proporre reclamo ad un'autorità di controllo. Le informazioni devono essere fornite in un formato chiaro e facilmente comprensibile, utilizzando un linguaggio semplice e accessibile.
Punti Chiave:
- L'Articolo 13 GDPR riguarda gli obblighi informativi al momento della raccolta dei dati (presso l’Interessato).
- Ingrediente essenziale perché sia rispettato il principio di trasparenza e sia preservata la fiducia tra aziende e individui.
- Richiede che vengano indicati. tra gli altri, informazioni sull'identità del Titolare, finalità del trattamento e diritti degli Interessati.
- Le informazioni devono essere chiare e comprensibili (no al “legalese”).
- Elemento chiave per la conformità alla GDPR.
Obblighi informativi minimi
L'Articolo 13 della GDPR stabilisce che al momento della raccolta diretta dei dati personali presso la persona a cui “appartengono” (Interessato), il Titolare del trattamento debba fornire agli stessi una serie di informazioni specifiche. Questi obblighi informativi minimi sono fondamentali per garantire che i soggetti interessati siano adeguatamente informati su come e perché i loro dati vengono trattati e devono essere chiaramente indicati. Tra i contenuti obbligatori vi sono l'identità e i dati di contatto del Titolare del trattamento e, se applicabile, del Responsabile della protezione dei dati. Devono poi essere indicate anche le finalità del trattamento e la base giuridica su cui si fonda ciascuno di essi, che può variare a seconda del contesto: alternativamente tra loro consenso dell'Interessato, adempimento di un contratto o di una misura pre-contrattuale, obbligo di legge, interessi vitali dell’Interessato, interesse pubblico, legittimo interesse del Titolare. Non è tutto: l'Articolo 13 richiede di informare gli Interessati su eventuali Destinatari o categorie di Destinatari dei dati personali, e se il Titolare intende trasferire i dati a un paese terzo o a un'organizzazione internazionale, deve indicare le garanzie adeguate o appropriate/opportune per garantire protezione ai dati in questione. Questo insieme di informazioni deve essere di regola fornito sempre, in modo trasparente, chiaro e comprensibile, per permettere agli individui di comprendere ed esercitare consapevolmente i propri diritti. Tramite l’informativa il Titolare del trattamento dichiara chi è e cosa fa con i dati personali della persona a cui si rivolge.
Punti Chiave:
- L’informativa è redatta ai sensi dell’art. 13 GDPR quando il Titolare del trattamento raccoglie i dati direttamente presso l’Interessato.
- Deve indicare, tra gli altri, dettagli importanti quali la finalità e la base giuridica del trattamento.
- Sono necessarie anche informazioni riguardanti i Destinatari dei dati e trasferimenti internazionali.
- Le informazioni devono essere complete, salvo che non si adotti la cd. versione “breve” o “sintetica” dell’informativa.
A cosa serve un’informativa privacy
Secondo l'Articolo 13 della GDPR, le informazioni obbligatorie che devono essere fornite agli Interessati comprendono una descrizione dettagliata delle finalità del trattamento per cui i dati personali sono destinati, nonché la base giuridica del trattamento. È essenziale specificare se i dati personali saranno utilizzati per il marketing diretto, profilazione, o altre attività che potrebbero avere un impatto significativo sugli Interessati. Inoltre, l'Articolo 13 richiede che il Titolare del trattamento informi gli Interessati sulla durata del periodo di conservazione dei dati personali o, se non è possibile, i criteri utilizzati per determinare tale periodo. Devono essere comunicati anche i diritti degli Interessati, come il diritto di chiedere al Titolare del trattamento l'accesso ai dati personali, la loro rettifica o cancellazione, la limitazione del trattamento che li riguarda, o di opporsi al trattamento, oltre al diritto alla portabilità dei dati. Un altro obbligo informativo riguarda la possibilità per l'Interessato di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca. Inoltre, deve essere menzionato il diritto di proporre reclamo ad un'autorità di controllo. Queste informazioni sono cruciali per garantire la trasparenza e la protezione dei diritti degli Interessati.
Punti Chiave:
- Informazioni obbligatorie comprendono finalità del trattamento e base giuridica.
- Deve essere specificata la durata del periodo di conservazione dei dati.
- I diritti degli Interessati includono accesso, rettifica, cancellazione e portabilità dei dati.
- Gli Interessati devono essere informati sulla possibilità di revocare il consenso.
- Diritto di proporre reclamo a un'autorità di controllo.
Trasparenza e conformità: risvolti pratici
La trasparenza è un principio cardine della GDPR e l'Articolo 13 ne rappresenta una manifestazione concreta, più di quanto la maggior parte delle aziende e dei professionisti spesso comprendano. Garantire che gli Interessati siano informati significa innanzitutto riversare nell’informativa il migliore esercizio di chiarezza di e di sintesi di cui si sia capaci. Dare informazioni in modo chiaro e completo è essenziale, non solo per la conformità normativa ma anche per costruire e mantenere la fiducia dei clienti e degli Interessati in generale: tuttavia non è cosa facile. Le aziende che rispettano gli obblighi informativi imposti dalla GDPR dichiarano, tramite l’informativa, gli estremi dei trattamenti (già) attuati: analizzati, “pesati” ed infine validati. Tuttavia, tra le richieste più frequenti effettuate ai consulenti privacy e ai DPO c’è sempre quella di predisporre l'informativa come prima attività. La redazione di un’informativa sul trattamento dei dati (sia questa ai sensi dell'articolo 13 GDPR o dell'articolo 14 GDPR, sia questa sintetica o estesa) presuppone un'analisi preventiva e compiuta dei dati personali trattati, dei soggetti a cui questi appartengono (Interessati), dei rischi collegati ai trattamenti, nella loro validazione e nel loro censimento nel registro dei trattamenti, nella definizione e formalizzazione di procedure interne atte a garantire il rispetto degli standard normativi e di quelli propri dell'organizzazione del Titolare. Ecco perché, anche una volta adottate, le informative privacy devono essere aggiornate regolarmente per riflettere eventuali cambiamenti nelle modalità di trattamento dei dati e per garantire che le informazioni fornite agli Interessati siano sempre accurate e pertinenti, ed ecco perché è investire nella formazione del personale e nello sviluppo di processi chiari per la gestione delle richieste degli Interessati, così da evitare sanzioni e promuovere una cultura aziendale orientata alla protezione dei dati.
Punti Chiave:
- Conformità richiede un approccio proattivo (adeguamento) e una revisione continua (mantenimento) delle pratiche di gestione dei dati.
- Le informative sulla privacy devono essere aggiornate regolarmente.
- Formazione del personale e gestione delle richieste degli Interessati sono aspetti cruciali per un’azienda o un professionista.
- Un’informativa ai sensi dell’art. 13 GDPR contiene informazioni che devono rispecchiare i caratteri dell'organizzazione che le adotta, nonché ogni adempimento privacy per questa previsto come obbligatorio.