L’articolo 14 GDPR disciplina l’informativa quando il titolare ottiene dati personali da una fonte diversa dall’interessato: partner, intermediario, registro pubblico, acquisizione societaria o servizio di arricchimento dei contatti. Il fatto che un indirizzo sia professionale o reperibile online non elimina l’obbligo di informazione. Chi riceve i dati deve verificare il proprio trattamento e il momento in cui deve spiegare alle persone che cosa sta facendo.
Il termine non coincide automaticamente con il primo acquisto o con l’avvio della relazione commerciale. L’articolo 14, paragrafo 3, del GDPR prevede un periodo ragionevole, comunque non superiore a un mese, con anticipazione al più tardi alla prima comunicazione all’interessato o alla prima comunicazione a un altro destinatario nei casi previsti. Una lista lasciata inutilizzata nel CRM è già una raccolta da valutare.
Riconoscere la raccolta indiretta nel flusso reale
Chiedere da dove proviene ciascuna categoria di dati, non soltanto come si chiama il fornitore. Un modulo può raccogliere nome e email direttamente dalla persona e aggiungere successivamente ruolo, datore di lavoro e valutazioni da altre fonti. I due percorsi richiedono di considerare rispettivamente gli articoli 13 e 14.
La mappatura dei sistemi e dei flussi deve riportare data di acquisizione, soggetto che fornisce i dati, provenienza dichiarata e passaggi successivi. In un’importazione periodica, distinguere nuovi nominativi e aggiornamenti, evitando di riavviare artificialmente il termine ogni volta che lo stesso contatto viene copiato.
La fonte pubblica non rende i dati privi di protezione. Anche una scheda aziendale può contenere dati personali identificabili, come il nome di un referente. La liceità della raccolta e quella dell’uso previsto richiedono una verifica propria, separata dalla correttezza dell’informativa.
Preparare il contenuto obbligatorio
L’informativa deve descrivere il trattamento del titolare che riceve i dati. Riutilizzare quella del fornitore senza verificare identità, finalità e destinatari può lasciare la persona senza informazioni sull’organizzazione che ora la contatta.
| Gruppo di informazioni | Contenuto da verificare |
|---|---|
| Identità e contatti | Titolare, rappresentante ove applicabile, contatto del DPO se designato |
| Uso e fondamento | Finalità, base giuridica e interessi legittimi quando pertinenti |
| Dati e provenienza | Categorie trattate e fonte, precisando se pubblicamente accessibile |
| Circolazione | Destinatari o categorie, trasferimenti e garanzie pertinenti |
| Durata | Periodo di conservazione o criteri utilizzati per determinarlo |
| Diritti | Diritti applicabili, revoca del consenso ove pertinente, reclamo |
| Decisioni automatizzate | Informazioni richieste per i casi contemplati dall’articolo 22 |
Categorie e provenienza sono particolarmente importanti nella raccolta indiretta: aiutano la persona a capire perché un soggetto sconosciuto possieda informazioni su di lei. «Fonti disponibili» è spesso troppo vago per spiegare un acquisto da un intermediario nominato e identificabile.
Per eventuali decisioni automatizzate dell’articolo 22, verificare le informazioni significative sulla logica, l’importanza e le conseguenze previste richieste dalla norma. Una generica frase sull’uso di algoritmi non risponde necessariamente a questa esigenza.
Calcolare il momento dell’informazione
Il responsabile del flusso deve conoscere tre date: acquisizione, prima comunicazione all’interessato e prima comunicazione a un altro destinatario, se prevista. Da queste date dipende il percorso informativo. Il limite mensile non autorizza ad aspettare un mese quando la persona viene contattata prima.
La guida EDPB ai diritti riepiloga queste anticipazioni. Distinguere inoltre l’obbligo iniziale dall’informazione da fornire prima di un ulteriore trattamento per una finalità diversa, ai sensi dell’articolo 14, paragrafo 4.
In un esempio ipotetico, una società riceve dati da un partner il 3 settembre e prevede di contattare le persone il 10 settembre. Deve organizzare l’informazione al più tardi in quella prima comunicazione, senza attendere ottobre. Se comunica prima i dati a un ulteriore destinatario, deve valutare il termine anticipato collegato a quel passaggio. La scheda del progetto deve mostrare il flusso effettivo, non soltanto la data della campagna.
Valutare le quattro eccezioni senza trasformarle in formule
L’articolo 14, paragrafo 5, contiene quattro lettere. La lettera a riguarda la persona che dispone già delle informazioni; la b riguarda impossibilità, sforzo sproporzionato o grave ostacolo agli obiettivi nei termini previsti; la c riguarda ottenimento o comunicazione espressamente disciplinati dal diritto applicabile con misure di tutela; la d riguarda dati che devono restare riservati per un obbligo di segreto professionale disciplinato dalla legge.
Per la lettera a, identificare quali informazioni la persona abbia ricevuto e come sia dimostrabile. Un accordo con il partner che dice «abbiamo informato tutti» non prova necessariamente che siano state comunicate le finalità e l’identità del nuovo titolare.
Per la lettera b, documentare le condizioni concrete e le misure appropriate di tutela, compresa la disponibilità pubblica delle informazioni quando richiesta dal quadro della disposizione. Il numero elevato dei nominativi o il costo commerciale dell’invio non costituiscono da soli una dispensa automatica. Le linee guida sulla trasparenza WP260 rev.01 aiutano a esaminare il ricorso alle eccezioni.
Per le lettere c e d, citare la norma specifica e spiegare come si applichi al dato e all’operazione. Un vincolo di riservatezza liberamente inserito in un contratto non equivale automaticamente al segreto professionale regolato dalla legge richiesto dalla disposizione.
Tenere distinta informazione e autorizzazione al marketing
L’informativa non rende lecito un canale promozionale che richiede condizioni ulteriori. Valutare base giuridica, regole italiane sul mezzo utilizzato e provenienza del contatto. Un’email che contiene una proposta commerciale resta tale anche se viene presentata come semplice comunicazione privacy.
La gestione dell’opposizione al marketing deve funzionare fin dal primo contatto. Per le campagne telefoniche soggette alla disciplina italiana, verificare anche il Registro pubblico delle opposizioni. Il controllo di una lista e l’informazione dell’articolo 14 assolvono compiti differenti.
Se la liceità della lista non è dimostrata, l’azione corretta può essere sospenderne l’uso e richiedere evidenze o cancellarla secondo la decisione adottata. Preparare un testo informativo elegante non risolve una raccolta incompatibile con le regole applicabili.
Un fascicolo di acquisizione realmente compilato
Una società ipotetica riceve un elenco di referenti per gestire un servizio già concordato con un partner. Nel fascicolo annota: fonte nominata, acquisizione del 3 settembre, categorie limitate a nome, funzione ed email professionale, uso per il coordinamento del servizio, primo contatto previsto il 5 settembre. Il responsabile verifica il fondamento del trattamento e prepara l’informativa del nuovo titolare.
Il controllo su un campione trova anche numeri personali non necessari. Prima dell’importazione definitiva vengono esclusi, applicando la minimizzazione dei dati. Il progetto registra versione dell’informativa, canale di consegna, gestione dei messaggi respinti e responsabile delle richieste. Non dichiara «eccezione applicata» senza un’analisi specifica.
La verifica finale segue un contatto simulato dall’importazione alla cancellazione o aggiornamento. Controlla che l’origine sia recuperabile, che le preferenze raggiungano gli strumenti collegati e che un operatore possa rispondere alla domanda «da chi avete ricevuto i miei dati?» senza ricostruzioni improvvisate.
Conservare la prova senza conservare tutto per sempre
L’accountability richiede di collegare versione del testo, destinatari interessati, data e modalità di informazione. Non serve archiviare indefinitamente ogni copia completa della lista per dimostrare che un processo è stato eseguito. Valutare registrazioni proporzionate e tempi coerenti con lo scopo probatorio.
Quando cambia fonte, finalità o destinatario, riaprire l’analisi. Una verifica positiva del fornitore iniziale non copre automaticamente un nuovo servizio di arricchimento. La procedura rimane efficace quando gli acquisti e il reparto che importa i dati sanno che il controllo deve precedere il nuovo flusso, non arrivare dopo la prima contestazione.