L’informativa è un obbligo generale che va adempiuto prima o al massimo al momento di dare avvio alla raccolta per il trattamento di dati personali.

L’obbligo non scatta:

• quando il trattamento concerne dati che non sono personali bensì anonimi (es., dati aggregati o statistici);
• quando il trattamento riguarda i dati di enti / persone giuridiche;

Non vi sono variazioni rispetto a quanto riportato nel T.U.

• la persona fisica che effettui il trattamento dei dati per fini esclusivamente personali e i dati non siano destinati alla diffusione;

il titolare che riceva un curriculum vitae spontaneamente trasmesso dall’interessato, almeno fino al momento del primo contatto.

Non è tenuta a prestare l’informativa la persona fisica che effettui il trattamento dei dati per attività a carattere esclusivamente personale e domestico.

Nel caso di raccolta dei dati presso il terzo, l’informativa è data all’interessato:

• nel momento in cui i dati sono registrati;
• (quando è prevista la loro comunicazione) al momento della prima comunicazione.

L’informativa deve comprendere, oltre alle informazioni richieste in generale, anche l’indicazione delle categorie di dati trattati (solo dati personali comuni o anche dati sensibili e/o giudiziari).

Nel caso di raccolta dei dati presso il terzo, l’informativa è data all’interessato:

• entro un termine “ragionevole” e comunque entro 1 mese;
• (quando è prevista la loro comunicazione) non oltre la prima comunicazione all’interessato o ad altro destinatario.

L’informativa deve essere completa dei contenuti prescritti in via generale, con le seguenti aggiunte/differenze:

• l’indicazione delle categorie dei dati personali oggetto del trattamento;
• l’indicazione della fonte da cui hanno origine i dati personali (che può essere anche fonte accessibile al pubblico);
• si omette l’informazione circa la natura obbligatoria o meno della comunicazione di dati personali, perché nella fattispecie i dati non sono raccolti presso l’interessato.

Il TU individua tre fattispecie nelle quali il titolare non è tenuto a informare l’interessato, quando:

• il trattamento è da eseguire in base ad un obbligo di legge o di regolamento ovvero in base ad una norma comunitaria;
• i dati sono da trattare ai fini dello svolgimento delle investigazioni difensive ovvero per far valere/difendere un diritto in sede giudiziaria;
• l’informativa all’interessato comporti un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, sempre per il Garante, impossibile.

Il GDPR individua i casi in cui il titolare non è tenuto a informare l’interessato, quando:

• l’interessato dispone già delle informazioni;
• comunicare tali informazioni risulta impossibile o  implicherebbe uno sforzo sproporzionato;
• l’ottenimento o la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare;
• i dati personali debbano rimanere riservati per obbligo di segreto professionale disciplinato dal diritto dell’Unione o degli Stati membri.

Sono forme parimenti ammesse dalla legge ma è chiaro che una informativa scritta (riportata su supporto cartaceo/digitale e inviata/consegnata al destinatario con evidenza della ricezione da parte del medesimo) costituisce prova obiettiva dell’assolvimento dell’obbligo da parte del titolare.

L’informativa deve essere resa in forma:

• concisa
• trasparente
• intelligibile
• facilmente accessibile
• con un linguaggio semplice e chiaro (in particolare per il caso di minori).

L’informativa deve essere resa per iscritto o con altri mezzi (anche elettronici, come per es., la posta elettronica). Ove richiesto dall’interessato, l’informativa è da rendere oralmente (purché sia comprovata con altri mezzi l’identità dell’interessato).

Come segnalato per il TU, anche qui può essere opportuno che il titolare si procuri e conservi una evidenza del rilascio dell’informativa.

Può riscontrarsi in tal modo come all’interno di una presunta unica finalità ve ne siano, in realtà, più di una.

Occorre pertanto che:

• a ciascuna finalità del trattamento siano correlate tutte le informazioni imposte dall’art. 13 (l’informativa che contiene finalità plurime deve essere tale per finalità similari, altrimenti occorre redigere più informative);
• l’interessato (il soggetto, cioè, cui i dati si riferiscono) sia messo in condizione di scegliere liberamente, per es., di prestare il consenso al primo trattamento e non al secondo (libertà del consenso).

Non vi sono variazioni rispetto a quanto riportato nel T.U.

Quando il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi (es., trattamento finalizzato a prevenire delitti, ecc.) – a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore -, è necessario che il titolare espliciti detto interesse.

Il conferimento dei dati può essere dovuto:

• ad un obbligo di legge
• ad un obbligo contrattuale
• ad una richiesta dell’interessato.

L’informativa deve precisare se l’interessato possa o meno rifiutare di fornire i dati e quali siano le conseguenze dell’eventuale rifiuto.

Oltre alla comunicazione di dati a terzi, l’interessato deve altresì essere informato dell’eventuale diffusione di detti dati, ove prevista e coerente con le finalità del trattamento (la diffusione non potrà mai concernere dati idonei a rivelare lo stato di salute).

Lo scopo di questo requisito particolarmente importante dell’informativa è:

• rendere edotto l’interessato della destinazione dei dati a sé riferiti;
• metterlo in condizione di esercitare pienamente i diritti di controllo sull’utilizzo dei dati.

E’ requisito analogo a quello già previsto nell’informativa ex art. 13 TU. Anche qui la finalità della norma è rendere consapevole l’interessato della destinazione dei dati a sé riferiti e permettergli l’esercizio dei vari diritti connessi al trattamento.

Non è richiesta dal TU una informazione concernente il tempo o periodo di conservazione dei dati.

Si tratta di una informazione non sempre agevole. Implica una capillare autoanalisi dell’organizzazione del titolare, che deve preventivamente definire il tempo di conservazione dei dati, ovviamente, in relazione alla finalità del trattamento. E’ evidente che un trattamento di dati che si protragga oltre la scadenza temporale connessa, deve quanto meno essere preceduto da una nuova informativa ed essere sottoposto, ove richiesto, al consenso dell’interessato.

Se l’indicazione di tale periodo non è possibile, si debbono perlomeno esplicitare i criteri per determinarlo.

L’informativa deve contenere una pur succinta informazione dove si riepilogano i diritti dell’interessato:

• ad ottenere la conferma dell’esistenza o meno dei dati personali e, nel caso, la loro comunicazione in forma intelligibile; l’aggiornamento, la rettificazione ovvero, quando vi abbia interesse, l’integrazione dei dati; la cancellazione, la trasformazione in forma anonima o il blocco dei dati;
• di opporsi, in tutto o in parte, per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta, ovvero al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

L’interessato ha diritto:

• di accesso ai dati personali;
• di ottenere la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano;
• di opporsi al trattamento;
• alla portabilità dei dati;
• di revocare il consenso (l’informazione da rendere all’interessato circa il diritto di revoca del consenso non può ovviamente concernere i casi in cui il trattamento, ad esempio, necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
• di proporre reclamo all’autorità di controllo (Garante Privacy).

L’informazione su un eventuale processo automatizzato (ivi inclusa la profilazione) – per quanto non specificamente richiesta dal TU – può ritenersi compresa nella esplicitazione delle finalità e delle modalità del trattamento.

L’informativa deve contenere il nome e cognome o la ragione sociale/denominazione del titolare, con i necessari riferimenti per i contatti (sede legale, numero di telefono, indirizzo mail, ecc.).

L’art. 13 GDPR impone la esplicitazione:

• dell’identità del titolare (nome e cognome /ragione sociale/denominazione, domicilio/sede, ecc.);
• dei dati di contatto (telefono, e mail, ecc.).

La nomina di un responsabile del trattamento è facoltativaIl responsabile può essere:

• una persona fisica (come sovente accade)
• un organismo interno o anche un ente/persona giuridica.

Per conseguenza, i dati identificativi del responsabile e quelli di contatto con il medesimo – ove nominato – debbono figurare nell’informativa.

L’informativa deve contenere in tal caso (anche) i dati di contatto del detto responsabile (sempre se nominato).