Fac simile GDPR: cosa deve contenere un'informativa privacy (e perché il copia-incolla non basta)

Cerchi un modello da copiare, e va bene così: mettiamo le cose in chiaro

Prima di toglierti l’idea che ti ha portato qui, mettiamo le cose in chiaro: cercare un fac simile di informativa privacy è una mossa sensata. Vuoi capire com’è fatto il documento, cosa ci va dentro, da dove si parte. Nessuno nasce sapendo cosa deve contenere un’informativa, e cominciare guardando un modello è il modo più naturale per farsi un’idea. Fin qui hai fatto la cosa giusta.

Tradotto da imprenditore a imprenditore, un’informativa privacy è il foglio che dichiari a chi ti lascia i suoi dati: chi sei, perché tratti quei dati, dove vanno a finire, per quanto tempo li tieni e cosa può chiederti la persona. È un documento serio, lo prevede il GDPR, e averlo non è facoltativo. Un fac simile ti fa vedere lo scheletro di tutto questo, e in pochi minuti capisci che non è uno scartoffia astratta: sono risposte concrete su come gira la tua azienda.

Il punto, però, è un altro, ed è il motivo per cui questa pagina non ti dà un testo da incollare e via. Un modello di informativa privacy descrive l’azienda di chi l’ha scritto, non la tua. E soprattutto descrive un ordine, promette che i dati stanno in un posto, che li tocca solo chi deve, che si cancellano quando glielo chiedi. La domanda vera non è “ho copiato il modello giusto?”. È: quello che il modello promette, la tua azienda lo mantiene davvero?

Allora facciamo le due cose nello stesso pezzo. Prima ti do la roba utile per cui sei venuto: la checklist onesta di cosa deve contenere un’informativa, così sai cosa stai guardando e cosa stai firmando. Poi ti spiego perché il copia-incolla, da solo, ti lascia una carta che parla di un’azienda immaginaria, e cosa serve perché torni a dire la verità. Non sono un avvocato e non ti scrivo il documento, quello lo fa chi di dovere. Ti do la struttura e il metro per giudicarla.

Cosa deve contenere un’informativa privacy: la checklist onesta

Questa è la parte per cui sei arrivato, e te la do dritta. Un’informativa fatta come si deve, quando raccogli i dati direttamente dalla persona, contiene un blocco di risposte preciso. Te lo elenco in lingua da imprenditore, non da codice civile, così quando guardi un fac simile sai riconoscere se è completo o se ti hanno dato mezzo foglio.

• Chi sei tu. Il titolare del trattamento, cioè l’azienda che decide cosa fare di quei dati, con nome, dati e un recapito per essere contattata. È la prima cosa che il modello scaricato ha sbagliata di sicuro: il nome è di qualcun altro.
• Perché tratti quei dati. Le finalità: gestire un ordine, rispondere a una richiesta arrivata dal form, mandare la newsletter, emettere fattura. Ogni motivo va detto, perché la persona ha diritto di sapere a cosa serve il suo “sì”.
• Su quale base lo fai. La base giuridica: un contratto da eseguire, un consenso che la persona ti dà, un obbligo di legge. Sembra un dettaglio da avvocati, ma è la differenza tra trattare un dato a buon diritto e tenerlo senza titolo.
• A chi passi i dati. I destinatari: il corriere, il commercialista, chi ti gestisce le email, chi ti tiene il sito. Tutti i posti e le persone a cui quel dato finisce vanno dichiarati, e qui quasi nessuno è onesto fino in fondo, perché spesso non sa nemmeno a quanti ne è finito.
• Per quanto tempo li tieni. Il periodo di conservazione: non “per sempre”, ma un tempo dichiarato, dopo il quale il dato si butta. È una promessa che impegna, e su un backend disordinato è la prima che salta.
• Cosa può chiederti la persona. I diritti dell’interessato: vedere i propri dati, correggerli, farseli cancellare, averne una copia. Devi dichiararli, e soprattutto devi poterli soddisfare davvero quando arriva la richiesta.
• Come la persona ti contatta per esercitarli. Un canale chiaro a cui scrivere per far valere quei diritti, non un indirizzo morto.

Se un fac simile contiene tutte queste voci, sulla carta è completo. Tieni a mente quest’ultima parola, sulla carta: una checklist piena non vuol dire un’azienda in ordine. Vuol dire che hai scritto bene le promesse. Se le promesse poi le mantieni è un altro discorso, ed è quello che separa un documento vero da una bella facciata. Per la versione norma per norma di queste voci, c’è l’articolo dedicato a cosa ti obbliga a dichiarare l’articolo 13; qui resto sul lato pratico del modello.

Il fac simile descrive l’azienda di un altro, e tu ci incolli sopra il tuo nome

Cominciamo dalla parte che fa la differenza. Nel momento in cui pubblichi un’informativa sul sito, quel foglio smette di essere un esercizio e diventa una promessa pubblica. Stai dichiarando a chiunque ti legga: i tuoi dati stanno qui, li tratto per questi motivi, li tengo per questo tempo, li tocca solo chi deve. La firmi tu, e ti impegna esattamente come una garanzia data a voce a un cliente.

Ed è qui che casca l’asino del copia-incolla. Un modello scaricato da internet non è la fotografia della tua azienda: è la fotografia di quella di chi l’ha scritto, o peggio, di un’azienda che non esiste, costruita per andare bene “in generale”. Dentro ci sono finalità che magari tu non hai, ne mancano altre che invece tratti ogni giorno, e i destinatari elencati sono quelli di un altro mestiere. Cambi il nome in cima, e hai una carta che descrive un ordine immaginario, attaccato a un’azienda reale che funziona in tutt’altro modo. Non stai mentendo per malizia: stai dichiarando come vorresti che fosse, copiato da come è per qualcun altro.

Un fac simile copiato non è la tua informativa: è quella di un estraneo con il tuo nome sopra. Promette un ordine che non hai mai costruito, e il giorno della domanda è la prima cosa che ti si rivolta contro.

E qui c’è una distinzione che ti toglie metà delle preoccupazioni, se la conosci. Un avvocato o un consulente bravo non ti dà un modello: ti scrive un’informativa cucita sulla tua situazione, ti dice quali dati tratti davvero, con quale base, e mette nero su bianco le tue finalità e i tuoi destinatari. È un mestiere vero e lo fanno bene. Ma c’è una cosa che neanche il documento perfetto può fare: andare a guardare dove i dati vivono davvero. L’avvocato scrive su quello che gli racconti, e tu gli racconti l’azienda che hai in testa, non quella che hai sui portatili, nelle caselle email e nelle chat. Il diritto descrive, non sposta i dati. E con un modello scaricato non hai neanche quel lavoro di descrizione: hai la descrizione di un altro.

Quello che il modello promette, e quello che il tuo backend fa davvero

Mettiamo che tu prenda il fac simile più completo del web, con tutte le voci della checklist al posto giusto. Resta il fatto che i dati che quel foglio promette di custodire, nella tua azienda, non stanno fermi in un posto solo. Vivono sparsi sui programmi che hai comprato in dieci anni. Ed è qui che nasce il guaio vero, quello operativo, di cui il modello è solo una facciata.

Segui un solo cliente da quando ti lascia i dati. Compila il form sul sito. Il nome entra nel gestionale. L’email finisce nello strumento con cui mandi la newsletter. Il commerciale se la salva in un Excel, sul suo portatile. Lo storico delle conversazioni resta nella casella di posta. E qualche scambio è rimasto su WhatsApp. Lo stesso cliente, dopo un solo passaggio, vive in sei posti diversi, ed è la definizione di un Frankenstein operativo: pezzi cuciti a mano, ognuno con la sua copia di un dato che non torna mai uguale, nessuno che parla con gli altri. Il modello, intanto, su quel foglio promette “accesso limitato al personale autorizzato”.

Il risultato lo conosci anche se non l’hai mai chiamato così. Quel cliente ti scrive: “cancellate tutti i miei dati”, proprio il diritto che il tuo fac simile gli ha promesso. E tu non sai nemmeno in quanti posti li hai. Apri il gestionale, poi l’email, poi cerchi il foglio del commerciale che però è sul suo computer, poi la chat. Cancelli da una parte, resta acceso da un’altra. La carta dice “puoi farti cancellare scrivendo qui”, e nei fatti quel diritto lo soddisfi a metà, sperando di aver guardato dappertutto. Lo stesso vale quando ti chiede chi ha visto i suoi dati e a chi sono finiti: per i dati sparsi è il momento in cui ti accorgi che non lo sai.

E c’è il lato proprietà, il più scomodo. Nessuno di quei sei posti è davvero tuo. Il database dei tuoi clienti, la cosa più preziosa che l’azienda produce, vive in affitto su pannelli di altri, a cui accedi finché paghi l’abbonamento e finché quel servizio esiste. Il modello promette controllo su dati che controlli a metà. Il giorno in cui chi gestiva quel foglio se ne va con il suo portatile, una parte di quei dati se ne va con lui, mentre la carta continua a promettere ordine.

Il modo più rapido per dirlo: un’informativa onesta non è quella copiata meglio, è quella che descrive un posto solo dove i dati vivono davvero, tuo, dove può aprirli solo chi deve e resta scritto chi li ha toccati. Lo si ottiene facendo confluire i dati di tutti i contatti in un archivio unico dove ogni cliente vive una volta sola: un database tuo, sotto il tuo controllo, da cui gli altri strumenti pescano invece di tenere ciascuno la sua copia scollegata. È lo stesso principio che vale per cosa significa davvero il GDPR per la tua azienda: non una carta più bella, un sottosuolo dove la carta diventa vera.

Modello copiato contro informativa che descrive un sistema in ordine

Il fac simile e l’informativa vera sembrano lo stesso foglio. Sulla carta hanno le stesse voci. Messi a confronto su cosa succede il giorno della domanda, si vede subito dove uno regge e l’altro si sbriciola.

Letta così, sparisce la domanda sbagliata (“qual è il fac simile GDPR migliore da copiare?”) e resta quella giusta: l’informativa che pubblico descrive la mia azienda e un posto solo dove controllo i dati, o è la carta di un estraneo appoggiata su un disordine che la rende falsa?

Testa la tua azienda →

Prima di copiare l’ennesimo modello, scopri a che punto sei davvero: il voto di conformità della tua azienda in pochi minuti, gratis e senza carta di credito.

Copiare un modello ti costa due volte: in tempo perso e in falsa sicurezza

Prendere un fac simile, cambiargli il nome e appenderlo al sito ti presenta il conto da due lati nello stesso momento.

Dal lato della falsa sicurezza, che è il più subdolo: pensi di essere coperto perché hai il documento. È la sensazione più pericolosa, perché ti fa smettere di guardare il problema vero. L’informativa appesa al sito ti dice “sono a posto”, mentre sotto i dati continuano a colare dai buchi tra un programma e l’altro. È come avere il certificato antincendio appeso al muro di una stanza piena di stracci imbevuti di benzina: la carta è perfetta, e non spegne niente. Con un modello copiato la cosa è perfino peggiore, perché quella carta non descrive neanche la tua stanza: descrive quella del vicino.

Dal lato del rischio concreto: il giorno in cui qualcuno guarda, un cliente che chiede “cosa avete di mio e a chi l’avete dato”, o una verifica, la distanza tra quello che il modello promette e dove i dati vivono davvero diventa visibile tutta insieme. E lì non ti difende l’aver trovato il fac simile più bello: ti difende il poter mostrare dove stanno i dati, chi li ha toccati, quando li cancelli. Una carta che descrive l’azienda di un altro, su questo, è carta straccia. È lo spazio in cui il rischio di una sanzione GDPR trova terreno, perché il giorno della domanda non puoi dimostrare che la carta dice il vero su di te.

Qui l’informativa smette di essere una scartoffia da copiare e diventa un pezzo del tuo backend operativo, cioè della macchina che fa girare l’azienda sotto le carte. Il principio è lo stesso che applico ovunque: il dato vive in un posto solo, tuo, con un registro di chi accede. Da lì discendono in automatico le cose che il modello promette e che, sparso, non puoi mantenere: poter dimostrare le misure di sicurezza che hai adottato, tenere il registro che il regolamento pretende, e soddisfare davvero la richiesta di cancellare i dati di una persona quando arriva. Poi l’avvocato scrive un’informativa cucita su misura, che descrive un sistema in ordine invece di rincorrere un caos. Non una carta migliore: un sottosuolo dove la carta diventa vera.

La domanda non è “ho copiato il modello giusto”. È: quello che ho promesso su quel foglio lo posso fare davvero, oggi, o i dati sono ancora sparsi su sei pannelli che non sono miei e descrivono l’azienda di un altro?

Cinque domande oneste prima di copiare un fac simile

Non serve una consulenza da migliaia di euro per capire se l’informativa che stai per pubblicare descrive un ordine che esiste o uno che hai solo copiato. Bastano cinque domande.

1. Il fac simile che hai in mano parla della tua azienda, con le tue finalità e i tuoi destinatari, o è il modello di un altro con il nome cambiato?
2. Quando dichiari “accesso limitato al personale autorizzato”, sai dire di getto chi nella tua azienda può davvero aprire i dati di un cliente, o di fatto li vede chiunque abbia il file?
3. L’informativa elenca i destinatari a cui passi i dati: corrisponde davvero a tutti i posti e le persone a cui quei dati finiscono, o ne dimentica qualcuno?
4. Se un cliente domani esercita il diritto di cancellazione che gli prometti su quel foglio, lo puoi fare in tutti i posti dove i suoi dati vivono, o ne resterebbe qualche copia accesa?
5. I dati dei tuoi clienti stanno in un posto solo che è tuo, o sono sparsi tra gestionale, email, fogli Excel e chat, mentre la carta copiata promette ordine?

Se a queste domande hai risposto con un sospiro, non sei nei guai: sei nella situazione di quasi tutte le PMI italiane, che hanno una bella informativa copiata sopra un backend disordinato. La differenza non la fa trovare il modello scritto meglio, ma sapere con precisione dov’è la distanza tra la carta e la realtà. E questo lo puoi misurare adesso, da solo, in pochi minuti.

GDPR Quick Audit · il voto di conformità del tuo sito

Rispondi a poche domande sulla tua azienda (cosa dichiari nell’informativa, dove tieni davvero i dati dei clienti, chi vi accede, come gestisci consenso e richieste) e in pochi minuti hai un voto chiaro su quanto la tua carta corrisponde alla realtà e dove sei più scoperto. Niente gergo da avvocato, solo dove intervenire per primo.

Inserisci i dati e parti. Senza carta di credito. Il risultato lo salvi nella tua Officina con la sola email, se vuoi tenertelo.

Calcola il tuo voto GDPR · gratis →

Il voto è il punto di partenza. Dice quanta distanza c’è oggi tra la carta che copieresti e i dati veri; cosa farne, lo decidi tu.

Le domande che ti stai facendo adesso

Posso usare un fac simile di informativa privacy scaricato da internet?

Come bozza per capire la struttura, sì, e ti aiuta a vedere cosa deve contenere un’informativa. Come documento da pubblicare così com’è, no: un modello descrive l’azienda di chi l’ha scritto, non la tua. Il GDPR ti chiede di dichiarare le tue finalità, i tuoi destinatari, i tuoi tempi di conservazione, e un fac simile copiato non li conosce. Il rischio vero non è formale: è che la carta prometta un ordine che il tuo backend non mantiene. Prima sistemi dove vivono i dati, poi la carta che li descrive può diventare vera.

Cosa deve contenere come minimo un’informativa privacy?

Chi sei tu come titolare del trattamento e come ti si contatta; per quali finalità tratti i dati; su quale base giuridica lo fai (un contratto, un consenso, un obbligo di legge); a chi passi i dati, cioè i destinatari; per quanto tempo li conservi; quali sono i diritti della persona (vedere, correggere, cancellare, avere una copia); e come può scriverti per esercitarli. Sono le voci che trovi nella versione norma per norma dell’articolo 13 del GDPR, elencate nel testo ufficiale del regolamento. Averle tutte sulla carta è il minimo; poterle mantenere davvero è il punto.

Un modello copiato è valido legalmente?

Avere un foglio con le voci giuste non equivale a essere a posto. Un’informativa è valida quando descrive in modo veritiero come tratti i dati: se hai copiato finalità e destinatari di un altro, stai dichiarando cose false sulla tua azienda, anche senza volerlo. E una dichiarazione che non corrisponde alla realtà, il giorno in cui qualcuno controlla o un cliente fa una richiesta, è proprio ciò che ti mette in difficoltà. La validità non sta nella bellezza del modello, sta nella corrispondenza con quello che fai davvero.

Perché non mi date direttamente un testo da incollare?

Perché sarebbe la stessa trappola di tutti gli altri fac simile, e perché non è il mio mestiere. Non sono un avvocato: l’interpretazione legale e il documento cucito sulla tua situazione li cura chi di dovere, e fa un lavoro vero. Quello che posso darti è la struttura onesta (cosa deve contenere, cosa controllare) e il pezzo che nessun modello sistema: far vivere i dati in un posto solo, tuo, così che l’informativa che il legale ti scrive descriva un’azienda in ordine. Un testo da incollare ti darebbe la falsa sicurezza che volevo toglierti.

Mettere a posto dove stanno i dati mi rende conforme al GDPR?

Ti toglie la causa principale del problema: dati sparsi e impossibili da governare. Io non sono un avvocato e non ti vendo la conformità garantita: l’interpretazione legale e i documenti giusti li cura chi di dovere. Quello che faccio è far vivere i dati in un posto solo, tuo, con un registro di chi accede, così che l’informativa che il legale scrive descriva un ordine che esiste davvero. La carta diventa vera quando il sottosuolo è in ordine, non quando trovi un modello più bello. Se vuoi vedere il percorso intero, c’è la guida all’adeguamento GDPR per le PMI.

Da dove inizio, senza impegno?

Dagli strumenti diagnostici gratuiti: misuri in pochi minuti quanto la tua informativa corrisponde alla realtà (cosa dichiari, dove vivono i dati, chi vi accede), senza carta di credito e senza parlare con nessuno. Poi, se ha senso, ne parliamo.

Puoi continuare a copiare un modello che descrive l’azienda di un altro e appoggiarlo su dati sparsi in sei posti che non sono tuoi. Oppure puoi sapere, con un numero, quanta distanza c’è tra quello che la carta promette e dove vivono davvero.

Smetti di copiare la carta di un estraneo. Costruisci l’azienda che la carta descrive.

La maggior parte degli imprenditori che mi scrive non ha un problema con l’informativa come documento. Cerca un fac simile, lo copia, cambia il nome e tira un sospiro di sollievo. Il problema è che quella carta descrive l’azienda di chi l’ha scritta, mentre i dati dei suoi clienti vivono dove vivono quelli di tutti: sparsi tra gestionale, Excel del commerciale, casella email e chat. La carta promette un ordine che il backend non mantiene, e per giunta è l’ordine di un altro.

Trovare un modello migliore non lo risolve, perché il buco non è nella carta: è in dove finiscono a vivere i dati che la carta dichiara. Lo risolve far confluire tutto in un posto solo che è tuo, un archivio unico con un registro di chi accede a cosa, così che le finalità, i destinatari e i tempi di conservazione diventino cose che puoi davvero mantenere. Poi l’avvocato scrive un’informativa cucita su misura, che descrive un sistema in ordine. Se i dati che custodisci comprendono anche i più delicati, salute, certificati, appartenenze, vale ancora di più: ne parlo nel pezzo sui dati particolari dell’articolo 9.

Non ti chiedo di firmare niente e non ti chiedo di credermi. Non sono un avvocato e non ti vendo la conformità garantita: l’interpretazione legale la cura chi di dovere, e fa un mestiere vero. Io sigillo i buchi operativi sotto le carte: metto i dati in un posto solo, tuo, con un registro di chi li tocca, così che il lavoro legale diventi semplice e l’informativa torni a dire la verità su di te, non su un estraneo. Ti chiedo solo di guardare il voto della tua azienda, gratis, in pochi minuti. Se quello che vedi ti suona familiare, andiamo avanti. Se non fa per te, chiudiamo qui senza rancore.

Hai cercato un modello da copiare. Adesso scopri se la tua azienda assomiglia davvero a quello che la carta promette, o se stai per appendere al sito la fotografia di qualcun altro!

Testa la tua azienda →

Strumenti gratuiti. Senza carta di credito. Senza parlare con nessuno.