L'anno in cui le autorità leggono l'informativa: la CEF 2026 sulla trasparenza

Il motivo per cui questa azione è più scomoda delle precedenti non ha niente a che vedere con la severità delle autorità. Ha a che vedere con il fatto che la trasparenza è l'unico obbligo del regolamento che si valuta leggendo, dalla parte del lettore. Un registro dei trattamenti si giudica sulla completezza dei campi; una misura di sicurezza si giudica su quello che impedisce; un'informativa si giudica su se una persona qualsiasi, dopo averla letta, sa che cosa succede ai suoi dati. È una verifica che non richiede un'ispezione in sede: il testo è già pubblico, ed è pubblico da anni.

Conviene tenere distinti i tre articoli, perché vengono citati insieme e trattati come uno. L'art. 12 riguarda la forma: informazioni concise, trasparenti, intelligibili, facilmente accessibili, in un linguaggio semplice e chiaro. L'art. 13 riguarda il contenuto quando i dati li raccogli dalla persona. L'art. 14 riguarda il contenuto quando i dati ti arrivano da qualcun altro. Nella pratica italiana i primi due esistono quasi sempre, in qualche forma; il terzo, nella grande maggioranza dei casi, non esiste affatto.

• «Per il tempo necessario alle finalità indicate» non è un termine di conservazione: è la ripetizione della domanda sotto forma di risposta. L'art. 13, par. 2, lett. a) chiede il periodo, o i criteri per determinarlo.
• «I nostri partner», «fornitori selezionati», «società del gruppo» non sono categorie di destinatari. Una categoria si riconosce perché il lettore capisce di chi si tratta.
• La base giuridica va indicata per ciascuna finalità, non una volta in fondo per tutte. Quando le finalità sono cinque e le basi sono tre, l'abbinamento deve essere leggibile.
• Il trasferimento fuori dall'Unione va dichiarato con lo strumento che lo regge, e con l'indicazione di dove ottenerne copia.
• L'informativa dell'art. 14 va fornita entro un mese dall'ottenimento dei dati, o alla prima comunicazione con l'interessato se precedente.

Come prepararsi, senza aspettare il rapporto. Il primo esercizio è leggere la propria informativa come la leggerebbe un cliente, cioè una volta sola e senza voglia. Il secondo è metterla accanto al registro dei trattamenti e confrontare riga per riga: finalità, basi, destinatari, termini, trasferimenti. Se l'informativa dichiara quattro finalità e il registro ne elenca nove, una delle due è falsa, e non importa quale — l'incoerenza tra i due documenti è essa stessa il rilievo, perché dimostra che uno dei due non descrive la realtà.

Sul questionario, se arriva, un'avvertenza di metodo. La tentazione è rispondere descrivendo l'organizzazione come vorremmo che fosse. È un errore che si paga due volte: l'autorità confronta le risposte con i documenti, e la divergenza fra quello che hai scritto nel questionario e quello che c'è nel registro è un rilievo autonomo, aggiuntivo rispetto a quello di partenza. La risposta utile dice che cosa c'è, che cosa manca e con quale data sarà colmato. La seconda parte non è una debolezza: l'art. 24 chiede misure adeguate e aggiornate, non la perfezione raggiunta.

Una nota sul calendario, perché determina che cosa è ragionevole fare adesso. L'aggregazione dei risultati nazionali è prevista per la seconda metà del 2026 e il rapporto di sintesi arriverà dopo. Aspettarlo per muoversi è la scelta meno sensata di tutte: il rapporto dirà quali difetti le autorità hanno trovato nelle informative già pubblicate, cioè anche nella tua. Rileggerla prima costa un pomeriggio; rileggerla dopo un questionario costa la stessa cosa, con una data di scadenza addosso.