Informativa sulla privacy (art. 13 GDPR): ecco cosa deve contenere

Un’informativa privacy – anche detta privacy policy – è un documento legale che informa gli utenti del sito web del modo in cui il sito raccoglie, tratta, divulga e protegge i loro dati personali. Un’informativa privacy è richiesta da molte leggi sulla privacy internazionali. Ad esempio, il GDPR espone la necessità di una privacy policy nell’Articolo 13 (“Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato”). Ma non si tratta solo di un obbligo imposto dalle normative: infatti, i servizi e le piattaforme di terza parte che probabilmente utilizzi sul tuo sito richiedono ugualmente di predisporre un’informativa valida. Questo perché lo scopo di questo documento è quello di aumentare la trasparenza nel trattamento dei dati personali.

Se sei il titolare di un sito o un’app e tratti i dati personali dei tuoi utenti, allora devi predisporre una privacy policy. Oggi quasi tutti i siti trattano i dati personali, perché la definizione che viene fatta è molto ampia e include informazioni di vario genere. Ad esempio, anche gli indirizzi IP sono dati personali.

• Quando i dati personali sono acquisiti direttamente dall’utente, l’entità responsabile del trattamento deve fornire l’informativa sulla privacy al momento della raccolta dei dati. L’informativa deve essere chiara, facilmente accessibile e contenere tutte le informazioni richieste dalla legge.
• Se i dati personali sono ottenuti da terze parti, come ad esempio quando un’azienda acquista un elenco di contatti da un fornitore di dati, l’obbligo di informativa non scompare. In questo caso, il GDPR stabilisce che l’organizzazione o l’individuo che riceve i dati personali è tenuto a fornire l’informativa all’interessato entro un termine ragionevole, ma in ogni caso, al più tardi entro un mese dalla ricezione dei dati.

L’informativa sulla privacy non è necessaria se l’uso dei dati è puramente personale – quindi non esiste alcuno scopo commerciale – oppure se i dati coinvolti nel trattamento sono completamente anonimi e non possono essere ricondotti a individui specifici.

Ai sensi dell’Articolo 13 del GDPR, una informativa privacy deve contenere almeno:

• Chi è il proprietario del sito/app?
• Quali dati vengono trattati, e come?
• Qual è la base giuridica del trattamento (ad es. consenso, contratto, legittimo interesse ecc.)?
• Con quali finalità tratti i dati (ad es. analytics, marketing via email ecc.)?
• Quali terze parti hanno accesso alle informazioni? C’è qualche terza parte che raccoglie dati tramite widget o integrazioni, come pulsanti social?
• Se applicabile, informazioni dettagliate sul trasferimento di dati all’estero e sulle misure prese affinché questo avvenga in modo sicuro e conforme.
• Che diritti hanno gli utenti? Possono chiedere di vedere i loro dati in tuo possesso, rettificarli, cancellarli o bloccarli?
• Descrizione del processo per la notifica di utenti e visitatori di modifiche o aggiornamenti alla privacy policy.
• Data effettiva.

Ci sono diversi modi di creare un’informativa privacy.

• Uno dei migliori è sicuramente rivolgersi a un esperto legale, che creerà un documento specifico alle tue esigenze.
• Puoi anche seguire un modello di privacy policy, ma non è nei tuoi migliori interessi. Infatti, sebbene conveniente, un modello statico non potrà mai essere affidabile.
• Un’alternativa ai due è utilizzare dei generatori online, come il Generatore di Privacy e Cookie Policy di iubenda. Il Generatore di Privacy e Cookie Policy ti aiuta a creare un’informativa privacy personalizzabile, in linea con le normative e a costi ridotti.