Proprietà intellettuale e tutela del brand
sezione informativa
Il mancato adempimento degli obblighi informativi può comportare:
- Sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo (art. 83 GDPR)
- Diffide o segnalazioni al Garante
- Danni reputazionali in caso di contestazioni da utenti o clienti
- Invalidazione del consenso se non correttamente raccolto
La trasparenza è la prima forma di compliance: non può essere trascurata.
No, o almeno non senza adattarlo correttamente. Le informative “copiate” sono spesso generiche e non riflettono i trattamenti reali del tuo sito (come strumenti usati, finalità, basi giuridiche). Un’informativa non conforme può comportare sanzioni. È importante redigerla su misura, anche partendo da un modello strutturato.
Sì. I dati raccolti per finalità di selezione del personale (come curriculum, esperienze lavorative, ecc.) sono particolarmente delicati e devono essere accompagnati da un’informativa specifica. Inoltre, è buona prassi prevedere un flag di accettazione esplicita e indicare chiaramente i tempi di conservazione dei dati ricevuti.
Il GDPR incoraggia un linguaggio chiaro, semplice e accessibile. È quindi consigliabile:
- Usare paragrafi brevi e titoli
- Evidenziare gli aspetti chiave (finalità, base giuridica, diritti)
- Offrire una versione “breve” in formato domanda/risposta (es. mini-FAQ)
- Accompagnare l’informativa con icone o infografiche, quando possibile
- Semplificare sì, ma senza omettere le informazioni obbligatorie.
Sì. La privacy policy spiega come vengono trattati i dati personali degli utenti in generale. La cookie policy, invece, riguarda solo l’uso dei cookie e strumenti di tracciamento. Devono essere due documenti distinti, anche se collegati tra loro, e la cookie policy deve essere accompagnata da un banner conforme che consenta (o meno) il consenso preventivo all’uso dei cookie non tecnici.
Sì. Se un fornitore tratta dati personali per tuo conto (es. hosting, CRM, piattaforme newsletter, gestionali cloud), deve essere nominato responsabile esterno del trattamento ai sensi dell’art. 28 GDPR. La nomina avviene tramite contratto scritto o accordo di nomina che definisca compiti, misure di sicurezza e responsabilità.
Se il data breach può comportare rischi per i diritti e le libertà delle persone, devi notificarlo al Garante entro 72 ore e, in certi casi, anche informare gli interessati. È importante avere un piano di gestione degli incidenti, registrare ogni violazione e documentare le misure adottate per mitigarla.
Sì, ma solo se il Paese offre un livello di protezione adeguato secondo il GDPR, o se usi garanzie appropriate (es. Clausole Contrattuali Standard, decisioni di adeguatezza). L’uso di servizi cloud statunitensi o di altre giurisdizioni richiede un’analisi accurata e clausole specifiche nei contratti.
Sì. Anche i log di sistema, che registrano IP, orari e attività di accesso, contengono dati personali. Devono essere trattati nel rispetto dei principi del GDPR (finalità, minimizzazione, conservazione limitata). È consigliabile indicarne l’uso nell’informativa privacy e stabilire tempi di conservazione chiari.
Sì. Ogni trattamento di dati personali deve basarsi su una delle basi giuridiche previste dal GDPR (es. consenso, obbligo legale, esecuzione di un contratto, legittimo interesse, interesse pubblico, tutela di interessi vitali). La base giuridica deve essere chiara e documentata per ogni finalità di trattamento.
Sì, ma solo se esiste un’altra base giuridica valida (es. obbligo legale, contratto o legittimo interesse). Il consenso è necessario principalmente per trattamenti non strettamente necessari o per attività di marketing e profilazione. Non è mai corretto raccogliere dati senza una base giuridica documentata.
Non sempre. La nomina di un DPO è obbligatoria solo in determinati casi, come per enti pubblici, aziende che effettuano monitoraggi su larga scala o trattano dati sensibili in modo sistematico. Tuttavia, anche quando non obbligatorio, può essere utile nominare un consulente privacy per garantire la compliance.
Solo se il trattamento è ancora coerente con la finalità originaria e se il consenso (quando necessario) è ancora valido. In caso contrario, è opportuno cancellare, anonimizzare o richiedere nuovamente il consenso. Conservare dati obsoleti senza giustificazione può costituire una violazione del GDPR.
Sì. Se i dati sono anonimizzati in modo effettivo (cioè non più riconducibili a persone fisiche), non rientrano più nell’ambito di applicazione del GDPR e possono essere conservati più a lungo. Attenzione però: pseudonimizzazione e anonimizzazione non sono la stessa cosa, e la prima non elimina gli obblighi privacy.
Sì. Il Garante può attivare controlli d’ufficio oppure in seguito a semplici segnalazioni da parte di utenti o concorrenti. Una privacy policy non conforme può essere considerata una violazione del GDPR, anche in assenza di danno, con sanzioni fino a 20 milioni di euro o il 4% del fatturato globale.
Dipende dal canale di vendita. Se tutto avviene online, l’informativa pubblicata e il tracciamento del consenso (es. checkbox accettazione) possono essere sufficienti. Se usi anche altri canali (es. email, telefono, POS), serve prevedere informative specifiche e raccogliere il consenso anche offline se necessario.
È davvero obbligatoria l’informativa privacy anche se non ho un modulo di contatto o una newsletter?
Sì. L’informativa privacy è obbligatoria ogni volta che vengono raccolti o trattati dati personali, anche in modo indiretto. Ad esempio, l’indirizzo IP di un visitatore è considerato un dato personale. Se il sito è online e accessibile, è molto probabile che vengano trattati dati anche solo tramite log tecnici o strumenti di analytics.
Assolutamente sì. Strumenti come Google Analytics, Facebook Pixel, Hotjar o simili comportano la raccolta di dati personali (spesso anche da parte di terze parti). Il GDPR impone di informare gli utenti in modo trasparente su chi tratta i loro dati, per quali finalità e su quali basi giuridiche. L’informativa deve menzionare espressamente questi strumenti.
L’informativa deve essere facilmente accessibile in ogni momento (footer permanente) ma anche richiamata puntualmente nei momenti in cui si raccolgono dati (es. moduli di contatto, form di iscrizione, live chat). Non basta un link generico in fondo al sito: serve un’informativa breve o il rinvio all’informativa completa nel contesto in cui avviene il trattamento.
No. Esistono modelli generici, ma l’informativa deve essere personalizzata in base a:
- Finalità specifiche del trattamento
- Tipologie di dati raccolti
- Base giuridica utilizzata (consenso, obbligo legale, contratto, legittimo interesse, ecc.)
- Strumenti tecnici e provider coinvolti
- Modalità di gestione dei diritti degli utenti
Un “copia-incolla” può non solo risultare inutile, ma espone a rischi sanzionatori.
Il rischio principale è di non essere conformi alla legge, esponendosi a sanzioni da parte delle Autorità o a diffide di associazioni di consumatori. Inoltre, condizioni poco chiare o vessatorie possono portare a contestazioni, richieste di rimborso, recensioni negative e perdita di fiducia da parte dei clienti.
