Troppo spesso, nelle pubbliche amministrazioni e nelle organizzazioni private, l’informativa sul trattamento dei dati personali viene considerata un semplice adempimento burocratico. Un documento da pubblicare sul sito, magari valido indistintamente per tutti i servizi, per tutti gli uffici e per qualsiasi trattamento.
Ma informare non significa semplicemente pubblicare un documento. Significa mettere le persone nelle condizioni di comprendere realmente che cosa accade ai loro dati personali.
Il GDPR, agli articoli 12, 13 e 14, richiede informazioni trasparenti, comprensibili, facilmente accessibili e riferite concretamente ai trattamenti effettuati.
Non basta scrivere che i dati sono trattati per «finalità istituzionali» o per «adempimenti di legge».
Occorre spiegare quali dati vengono raccolti, per quali specifiche finalità, su quale base giuridica, a chi possono essere comunicati, per quanto tempo vengono conservati e quali diritti possono essere esercitati.
Un’informativa unica, generica e indifferenziata per servizi profondamente diversi rischia di non soddisfare questi requisiti.
Un servizio sociale, un procedimento tributario, un sistema di videosorveglianza, un servizio scolastico e la gestione del personale non comportano gli stessi trattamenti, le stesse finalità e gli stessi rischi.
Neppure all’interno dei servizi sociai o dei servizi scolastici ci puo esaere un’unica indormativa.
Il Garante per la protezione dei dati personali ha più volte richiamato l’attenzione sull’insufficienza di informative generiche, incomplete o non coerenti con i trattamenti concretamente effettuati.
La trasparenza non è un dettaglio formale: è uno dei principi fondamentali della protezione dei dati personali.
E allora, soprattutto nei Comuni, è necessario superare la logica dell’informativa standard buona per tutto e costruire informative realmente aderenti ai singoli servizi, anche attraverso documenti articolati per categorie omogenee di trattamenti.
Perché un’informativa che non permette al cittadino di capire come vengono utilizzati i suoi dati non realizza la trasparenza richiesta dal GDPR.
La privacy non si tutela moltiplicando moduli e firme. Si tutela rendendo i trattamenti comprensibili, corretti e verificabili.
Informare bene non è burocrazia. È rispetto per le persone.
Provvedimento del 23 settembre 2026, doc. web n. 10304881: il Garante contesta a un Comune un’informativa con finalità generiche, tempi di conservazione non adeguatamente distinti e indicazioni inesatte sui diritti degli interessati.
Provvedimento del 19 dicembre 2024, doc. web n. 10107263: nel caso del Comune di Levanto, il Garante rileva l’insufficienza di un’informativa che non descrive specifiche finalità del sistema di videosorveglianza e non distingue correttamente i periodi di conservazione.
Provvedimento del 17 luglio 2025, doc. web n. 10182336: il Garante richiama la necessità di eliminare dalle informative informazioni ridondanti o estranee al trattamento effettivo e di specificare adeguatamente i destinatari dei dati.
È particolarmente utile anche il documento del Garante del 2025 dedicato al legal design, che propone espressamente, per le pubbliche amministrazioni, informative specifiche per servizi e trattamenti anziché un’unica informativa generica.
Una precisazione giuridica importante: il GDPR non vieta in assoluto un’informativa unica per più trattamenti. Ciò che conta è che ciascun trattamento sia descritto con sufficiente specificità, chiarezza e completezza.
Lascia un commento