TL;DR per il DPO
L'informativa e' il documento che tutti hanno e quasi nessuno rilegge. Nel 2026 e' il documento su cui punteranno contemporaneamente tutte le autorita' europee. Se hai un portafoglio di clienti, questo e' l'anno in cui conviene rileggerle tutte, e non a settembre.
Come funziona l'azione coordinata
Dal 2022 l'EDPB sceglie ogni anno un tema e le autorita' nazionali lo verificano in parallelo: alcune inviano questionari, altre aprono ispezioni formali, altre ancora avviano procedimenti. I risultati confluiscono in un rapporto europeo che diventa il riferimento interpretativo per gli anni successivi. Gli anni scorsi sono toccati il ruolo del DPO, il diritto di accesso e la cancellazione. Nel 2026 tocca alla trasparenza.
La conseguenza pratica e' che non serve essere sotto i riflettori per finire nel campione: le autorita' selezionano titolari di ogni dimensione, e per molti la prima notizia arriva sotto forma di un questionario con un termine di risposta.
Cosa guardano davvero
L'art. 12 non chiede che l'informativa esista: chiede che sia concisa, trasparente, intelligibile, facilmente accessibile e in un linguaggio semplice e chiaro. Sono cinque aggettivi, e ognuno e' una contestazione possibile. Un'informativa completa ma illeggibile viola l'art. 12 esattamente come una incompleta viola l'art. 13.
L'art. 14 e' il vero punto debole
Quando i dati non arrivano dall'interessato ma da un'altra fonte - una lista acquistata, un'anagrafica ereditata da un'acquisizione, un fornitore che li trasmette - l'informativa e' comunque dovuta, va resa entro un mese, e deve dire DA DOVE arrivano i dati. Nella pratica e' l'obbligo piu' disatteso in assoluto, perche' nessuno ha un processo che si attiva quando i dati entrano da un canale indiretto.
Le domande da farsi su ogni cliente
- L'informativa e' aggiornata rispetto ai trattamenti che il cliente svolge OGGI, o descrive l'azienda di tre anni fa?
- Cita finalita' e basi giuridiche che corrispondono a quelle scritte nel registro dell'art. 30? Le due cose divergono piu' spesso di quanto si creda, e l'autorita' le confronta.
- Dove i dati arrivano da terzi, esiste un'informativa art. 14 e qualcuno la invia davvero entro il mese?
- I tempi di conservazione sono indicati con un criterio, o con la formula 'per il tempo necessario', che non informa nessuno?
- L'informativa e' raggiungibile in meno di due clic dal punto in cui i dati vengono raccolti?
Cosa fare adesso, in pratica
1) Fai un inventario delle informative di tutti i clienti con la data dell'ultima revisione: quelle piu' vecchie di due anni sono la coda da smaltire per prime. 2) Per ogni cliente, incrocia le finalita' dell'informativa con quelle del registro art. 30 e annota le divergenze - e' il controllo che l'autorita' fa per primo perche' costa nulla. 3) Cerca i flussi di dati indiretti: liste, partner, acquisizioni, fornitori che trasmettono anagrafiche. Ognuno richiede un'informativa art. 14 con l'indicazione della fonte. 4) Metti la revisione delle informative nel piano dell'anno con una data, non come attivita' continuativa: le attivita' continuative non si fanno mai.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
