Cosa deve contenere una dichiarazione sulla privacy?

I componenti fissi di un'informativa sulla privacy

Un'informativa sulla privacy indica nella maggior parte dei casi chi tratta i dati, perché, e quali diritti spettano all'interessato in relazione a tali dati. Concretamente, si tratta dell'identità e dei dati di contatto dell'organizzazione che tratta i dati, nonché dei dati di contatto di un incaricato della protezione dei dati qualora sia stato designato. Inoltre, vi è indicato per quali finalità i dati sono utilizzati e su quale base legale ciò avviene — si pensi all'esecuzione di un contratto, a un obbligo legale, o a un interesse legittimo, nel qual caso quest'ultimo interesse deve anche essere denominato.

Inoltre, l'informativa deve indicare a chi i dati sono comunicati, se vanno verso un paese al di fuori dell'UE, e per quanto tempo sono conservati — oppure, se non è possibile indicare un termine fisso, quali criteri vengono utilizzati a tal fine. Anche i diritti dell'interessato sono riportati: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità, e la possibilità di revocare il consenso prestato. Infine, l'informativa menziona il diritto di presentare un reclamo presso l'autorità di controllo, e — se pertinente — se la comunicazione dei dati è un obbligo legale o contrattuale e quali sono le conseguenze se qualcuno non lo fa, oltre a se vi è un processo decisionale automatizzato o profilazione.

Questo è previsto dall'articolo 13 del Regolamento (UE) 2016/679

Questo elenco deriva direttamente dall'articolo 13 del Regolamento (UE) 2016/679, che prescrive quali informazioni un'organizzazione fornisce nel momento in cui raccoglie dati personali dall'interessato stesso. Il Regolamento (UE) 2016/679 è un regolamento e questi requisiti si applicano quindi sostanzialmente allo stesso modo in ogni Stato membro; ciò che varia è presso quale autorità di controllo il diritto di reclamo menzionato viene esercitato nella pratica — nei Paesi Bassi presso l'Autoriteit Persoonsgegevens, in Germania presso l'autorità di controllo dello Stato federato dove ha sede lo stabilimento. Per il testo completo della disposizione e per ulteriori chiarimenti, è possibile consultare il regolamento stesso, e per la pratica italiana il sito web dell'Autorità Garante per la protezione dei dati personali.