GDPR – Diritto di essere informati

C’è bisogno di trasparenza riguardo alla raccolta e all’uso dei dati per permettere ai cittadini dell’UE di esercitare il loro diritto alla protezione dei dati personali. Pertanto, il Regolamento Generale sulla Protezione dei Dati (GDPR) conferisce agli individui il diritto di essere informati sulla raccolta e sull’uso dei loro dati personali, il che porta a una serie di obblighi informativi da parte del titolare del trattamento.
La legge differenzia due casi: da un lato, se i dati personali sono ottenuti direttamente dalla persona interessata (Art. 13 del GDPR) e, dall’altro lato, se questo non è il caso (Art. 14 del GDPR).

Quando i dati vengono ottenuti direttamente, la persona deve essere immediatamente informata, ovvero al momento in cui i dati vengono ottenuti. In termini di contenuto, l’obbligo del titolare di informare include la sua identità, i dati di contatto del Responsabile della Protezione dei Dati (se disponibile), le finalità del trattamento e la base giuridica, eventuali interessi legittimi perseguiti, i destinatari durante la trasmissione dei dati personali, e qualsiasi intenzione di trasferire dati personali verso paesi terzi. Inoltre, il diritto ad essere informati include anche informazioni sulla durata della conservazione, i diritti dell’interessato, la possibilità di revocare il consenso, il diritto di presentare un reclamo alle autorità e se la fornitura dei dati personali è un obbligo legale o contrattuale. Inoltre, l’interessato deve essere informato di eventuali attività di decisione automatizzata, compreso il profiling. Solo se l’interessato è già a conoscenza delle suddette informazioni non è necessario fornirle.

Se i dati personali non sono ottenuti dal soggetto dei dati, quest’ultimo deve essere fornito delle informazioni entro un periodo di tempo ragionevole, ma al più tardi entro un mese. Nei casi in cui le informazioni raccolte sono utilizzate per contattare direttamente il soggetto dei dati, quest’ultimo ha il diritto di essere informato immediatamente al momento dell’approccio. Per quanto riguarda il contenuto, il titolare del trattamento deve fornire le stesse informazioni specifiche come se i dati personali fossero stati direttamente ottenuti dal soggetto dei dati. L’unica eccezione è l’informazione su eventuali obblighi di fornire i dati personali, poiché il titolare del trattamento non ha l’autorità decisionale in questo caso. Inoltre, il titolare del trattamento ha l’obbligo di informare da quali fonti hanno avuto origine i dati personali e se erano pubblicamente disponibili. Il soggetto dei dati ha diritto ad essere informato in una forma precisa, trasparente, comprensibile e facilmente accessibile. L’obbligo di informare può essere soddisfatto in forma scritta o elettronica. È esplicitamente dichiarato che i cosiddetti ‘simboli di immagine standardizzati’ possono essere utilizzati per fornire una panoramica significativa del trattamento previsto in una forma facilmente compresa, comprensibile e chiara.

Nel caso in cui i dati personali non siano raccolti dall’interessato, in casi eccezionali non vi è obbligo di informare. Ciò si applica se fornire l’informazione è impossibile o eccessivamente costoso, se la raccolta e/o la trasmissione è richiesta da legge, o se i dati devono rimanere riservati a causa del segreto professionale o di altri obblighi di segretezza previsti dalla legge.