L’informativa sul trattamento dei dati personali è, nella percezione comune, un modulo da far sottoscrivere o una pagina da pubblicare per mera formalità. È un fraintendimento. L’informativa costituisce la prima e più immediata attuazione del principio di trasparenza, sul quale il Regolamento (UE) 2016/679 (GDPR) edifica l’intera disciplina: la persona cui i dati si riferiscono deve poter sapere chi tratta i suoi dati, per quali finalità, su quali basi giuridiche e con quali diritti. Un’informativa assente, incompleta o oscura non integra una mancanza veniale, bensì una violazione collocata — come si dirà — nella fascia sanzionatoria più severa. Conviene dunque chiarire che cosa l’informativa debba contenere, in che cosa differiscano gli articoli 13 e 14, come e quando vada resa e quando, in via di eccezione, possa essere omessa.
Trasparenza e informativa: il fondamento
Il principio di trasparenza è enunciato dall’articolo 5, paragrafo 1, lettera a), del Regolamento e trova attuazione operativa negli articoli da 12 a 14. All’articolo 12 spetta la disciplina delle modalità: le informazioni vanno fornite in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio chiaro e semplice, a titolo gratuito. Agli articoli 13 e 14 spetta invece la definizione del contenuto, ossia di ciò che l’informativa deve recare. Trasparenza, in questa prospettiva, non è sinonimo di prolissità: un’informativa di molte pagine, redatta in termini tecnici e dispersivi, può risultare meno conforme di una sintetica ma effettivamente comprensibile.
Due informative: l’articolo 13 e l’articolo 14
Il Regolamento distingue a seconda della provenienza dei dati.
- L’articolo 13 si applica quando i dati sono raccolti presso l’interessato, ossia forniti direttamente da quest’ultimo: la compilazione di un form, la sottoscrizione di un contratto, l’invio di un curriculum.
- L’articolo 14 si applica quando i dati non sono ottenuti presso l’interessato, ma provengono da terzi o da fonti pubbliche: elenchi, banche dati, fornitori, registri accessibili, informazioni pubblicate online.
Il contenuto delle due informative coincide in larga parte; l’articolo 14 esige, in più, l’indicazione delle categorie di dati trattati e della fonte da cui essi provengono (precisando, se del caso, che si tratta di fonti accessibili al pubblico). La distinzione non è teorica: chi acquisisce dati da terzi tende a dimenticare di essere comunque tenuto a informare l’interessato, salvo le eccezioni di cui si dirà.
Cosa deve contenere l’informativa
Il contenuto è puntualmente tipizzato dagli articoli 13 e 14. L’informativa deve indicare:
- l’identità e i dati di contatto del titolare del trattamento (ed eventualmente del suo rappresentante);
- i dati di contatto del responsabile della protezione dei dati (DPO), ove nominato;
- le finalità del trattamento e la base giuridica che lo legittima (art. 6); quando la base è il legittimo interesse, esso va specificamente esplicitato;
- le categorie di dati e, per i dati non raccolti presso l’interessato, la fonte da cui provengono (art. 14);
- i destinatari o le categorie di destinatari cui i dati possono essere comunicati;
- gli eventuali trasferimenti verso Paesi terzi e le garanzie adottate;
- il periodo di conservazione dei dati ovvero, se non determinabile, i criteri per stabilirlo;
- i diritti dell’interessato: accesso, rettifica, cancellazione, limitazione, opposizione e portabilità;
- il diritto di revocare il consenso in ogni momento, quando il trattamento si fondi su di esso;
- il diritto di proporre reclamo al Garante;
- se il conferimento dei dati sia obbligatorio (per legge o per contratto) e le conseguenze di un eventuale rifiuto;
- l’esistenza di un eventuale processo decisionale automatizzato, compresa la profilazione (art. 22), con la logica utilizzata e le conseguenze per l’interessato.
Va sottolineato un profilo spesso trascurato: l’incompletezza dell’informativa è essa stessa una violazione. Un documento che ometta la base del legittimo interesse, i termini di conservazione o i diritti esercitabili non è «quasi conforme»: è non conforme.
Come e quando va resa
Sul piano delle modalità, l’articolo 12 ammette qualsiasi forma idonea — scritta, anche elettronica — purché l’informazione risulti effettivamente accessibile e comprensibile. È legittimo, ed anzi raccomandato, l’approccio multilivello: una prima informativa sintetica, immediatamente leggibile, che rinvia a una versione estesa per chi desideri approfondire. È il modello che ricorre, ad esempio, in materia di videosorveglianza e privacy, dove il cartello reca le informazioni essenziali e rinvia all’informativa estesa.
Sul piano dei tempi:
- nel caso dell’articolo 13, l’informativa va resa al momento della raccolta dei dati;
- nel caso dell’articolo 14, va resa entro un termine ragionevole e comunque non oltre un mese, ovvero, se i dati sono destinati alla comunicazione con l’interessato o a terzi, al più tardi al momento della prima comunicazione.
Quando l’informativa può essere omessa
Gli obblighi informativi conoscono eccezioni, da interpretarsi in senso restrittivo. L’articolo 13, paragrafo 4, esonera quando l’interessato disponga già delle informazioni. L’articolo 14, paragrafo 5 — relativo ai dati raccolti da terzi — aggiunge tre ulteriori ipotesi: quando la comunicazione si riveli impossibile o implichi uno sforzo sproporzionato (segnatamente nei trattamenti a fini di archiviazione nel pubblico interesse, di ricerca o statistici), nel qual caso vanno comunque adottate misure appropriate, quale un’informativa resa pubblica; quando l’acquisizione o la comunicazione sia espressamente prevista dal diritto dell’Unione o dello Stato; quando i dati debbano rimanere riservati in forza di un obbligo di segreto professionale. Fuori da tali ipotesi, l’obbligo permane integro.
Cosa dice la giurisprudenza
Che la trasparenza non tolleri approssimazioni lo conferma uno dei provvedimenti più noti in materia. Va premesso che, a differenza degli obblighi sul data breach, la violazione degli obblighi informativi (artt. 12-14) è ricondotta alla fascia più grave dell’articolo 83, paragrafo 5, del Regolamento: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo.
Con provvedimento del 10 febbraio 2022 (doc. web n. 9751362) il Garante ha irrogato alla società statunitense Clearview AI una sanzione complessiva di 20 milioni di euro per un trattamento di dati biometrici di persone che si trovano in Italia, condotto senza idonea base giuridica. Tra le violazioni accertate, particolare rilievo assume quella degli obblighi informativi: gli interessati i cui volti erano raccolti da fonti online non ricevevano alcuna informazione; e l’informativa pubblicata sul sito è stata giudicata «parziale in quanto carente di elementi nevralgici», quali l’indicazione del legittimo interesse perseguito e dei termini di conservazione. Il Garante ha espressamente richiamato la distinzione tra l’informativa dovuta per i dati raccolti presso l’interessato (art. 13) e quella per i dati acquisiti da altre fonti (art. 14), commisurando in 2 milioni di euro per ciascuna delle violazioni degli artt. 12, 13, 14 e 15. È la dimostrazione che gli obblighi informativi non costituiscono un adempimento di facciata, ma un nucleo essenziale della conformità, presidiato dalla sanzione più severa.
L’informativa, in conclusione, è il documento con cui un’organizzazione rende conto, verso l’esterno, del modo in cui tratta i dati. Redigerla con precisione — completa, aggiornata, comprensibile — è il presupposto di ogni altro adempimento: dalla privacy policy del sito al registro dei trattamenti, fino al complessivo adeguamento al GDPR di imprese e professionisti. Affianchiamo i titolari nella redazione e nella revisione delle informative nell’ambito della consulenza GDPR per aziende e professionisti.
Domande frequenti
L’informativa privacy va firmata? No: va resa, ossia messa a disposizione dell’interessato. La firma può servire come prova della consegna, ma non è l’oggetto dell’obbligo.
Che differenza c’è tra informativa e consenso? L’informativa è sempre dovuta, a prescindere dalla base giuridica; il consenso è soltanto una delle sei basi dell’art. 6 e va richiesto solo quando è effettivamente quella prescelta.
Se acquisto una lista di contatti devo informare le persone? Sì: si applica l’art. 14. Occorre rendere l’informativa entro un mese o, comunque, alla prima comunicazione, dopo aver verificato la liceità della raccolta a monte.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 17 giugno 2026.