Senza un'informativa sulla privacy sul vostro sito web manca il documento in cui spiegate quali dati personali raccogliete, per quale scopo e per quanto tempo. Il GDPR obbliga le organizzazioni a informare i visitatori e i clienti in anticipo su questi aspetti; questo è chiamato obbligo di informazione. Se questa informazione manca, non potete dimostrare di aver rispettato tale obbligo.
Le conseguenze concrete dipendono da chi se ne accorge. Un visitatore può presentare un reclamo all'Autorità Nazionale per la Protezione dei Dati, un cliente commerciale può porne domande durante una procedura di appalto, e un fornitore di pagamenti o una piattaforma pubblicitaria possono rifiutare il collegamento con il vostro sito finché non è presente un'informativa sulla privacy. Nessuna di queste situazioni è ipotetica; derivano da condizioni che terze parti già impongono da sole, indipendentemente da ciò che un'autorità di controllo potrebbe mai fare.
Perché un'informativa sulla privacy è più di una formalità
Un'informativa sulla privacy è la prova tangibile di qualcosa che dovreste già sapere: quali dati raccoglie il vostro sito web, attraverso quali moduli, cookie o strumenti di analisi, e per quale scopo. Se manca l'informativa, è probabile che anche l'inventario stesso non sia stato effettuato. Questo non riguarda solo il sito web, ma anche il quadro più ampio di come la vostra azienda gestisce i dati personali — qualcosa che emerge anche quando cercate una risposta a una domanda concreta sul GDPR.
L'EDPB e l'Autorità Nazionale per la Protezione dei Dati hanno pubblicato linee guida su cosa un'informativa sulla privacy deve contenere come minimo, ad esempio i dati di contatto del titolare del trattamento, i termini di conservazione e i diritti dell'interessato. Queste linee guida non sono legge, ma le autorità di controllo le utilizzano per valutare se l'obbligo di informazione è stato rispettato.
Cosa accade nella pratica quando l'informativa manca
Le conseguenze più dirette raramente si manifestano presso un'autorità di controllo, ma presso i soggetti con cui fate affari. Un assicuratore che valuta una polizza cyber spesso chiede informazioni sull'informativa sulla privacy come parte del fascicolo. Una stazione appaltante può fare lo stesso. E un visitatore che si chiede cosa accade al modulo di contatto compilato potrebbe, in assenza di chiarimenti, decidere di non fare affari con voi o presentare un reclamo.
Inoltre, un'informativa sulla privacy mancante è spesso un segnale che anche altri elementi non sono in ordine: nessun elenco di quali strumenti SaaS elaborano dati personali, nessun contratto di trattamento dei dati con i fornitori, nessun termine di conservazione documentato. Questo è esattamente il tipo di coerenza che una knowledge base con spiegazioni per ogni argomento del GDPR rende trasparente: l'informativa sulla privacy raramente esiste isolatamente.
Il ruolo dell'autorità di controllo
L'Autorità Nazionale per la Protezione dei Dati può intervenire quando l'obbligo di informazione non è rispettato, ma come e quando accada dipende dalle circostanze specifiche del caso e non è prevedibile in anticipo. Ciò che è certo è che l'assenza di un'informativa sulla privacy non è un'omissione che diventa meno visibile man mano che un sito web attrae più visitatori — semmai il contrario.
Se un reclamo si traduce effettivamente in un'indagine e quale sarebbe il risultato non è possibile dirlo in termini generali. Per la valutazione di una situazione specifica, un avvocato o l'Autorità Nazionale per la Protezione dei Dati stessa è il punto di contatto appropriato.
Come risolvere questo
La redazione di un informativa sulla privacy richiede una visione chiara di ciò che il vostro sito web effettivamente raccoglie: moduli di contatto, cookie, un negozio online con dati di ordine, una newsletter. Una volta ottenuta questa visione generale, l'informativa stessa è solitamente rapida da scrivere. Per la questione sottostante di quali dati elaboriate effettivamente e tramite quali strumenti, è utile esaminare il modo in cui quella visione generale viene costruita, ad esempio tramite il modo in cui i dati e i sistemi vengono mappati.
Un'informativa sulla privacy inoltre non è un testo una tantum. Nuovi moduli, nuovi strumenti o un nuovo servizio di newsletter cambiano ciò che viene raccolto, e quindi anche ciò che deve comparire nell'informativa. Chi vuole mantenere quella visione generale allineata con i cambiamenti del sito web può registrarlo in un account aziendale in modo che non rimanga un'azione una tantum.
Gdpria.eu offre il generatore per un'informativa sulla privacy gratuitamente, così come la banca di conoscenze e gli altri controlli di base. Se desiderate sapere a che punto si trova la vostra azienda al momento, la scansione rapida gratuita è un buon punto di partenza per vedere quali componenti sono già in ordine e quali richiedono attenzione.