Informativa sulla privacy per un piccolo sito: che cosa contiene

Una falegnameria a Mendrisio ha un piccolo sito: cinque pagine, foto di cucine e scale, un modulo di contatto, una mappa integrata per raggiungere il laboratorio e una statistica delle visite attivata dal webdesigner al momento della pubblicazione. In fondo alla pagina c’è un link «Protezione dei dati». Dietro, un lungo testo che la titolare non ha mai letto per intero. Viene da un generatore e parla di un negozio online che non esiste.

Un’informativa sulla protezione dei dati sembra spesso un testo obbligatorio da inserire una volta e poi dimenticare. La legge la intende diversamente: come un’informazione per le persone che usano il sito. Per svolgere questo compito, deve corrispondere al proprio sito.

A che cosa serve l’informativa

La legge federale sulla protezione dei dati (LPD) chiede che il titolare informi adeguatamente la persona interessata sulla raccolta di dati personali (art. 19 cpv. 1 LPD). L’informazione deve permetterle di far valere i propri diritti e garantire un trattamento trasparente (art. 19 cpv. 2 LPD).

Nella sua pagina sulle informative in Internet, l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) descrive l’informativa come il mezzo con cui un sito adempie questo obbligo d’informare. Gli utenti devono essere informati in modo da poter decidere liberamente se e come lasciar trattare i propri dati.

La legge non prescrive né titolo né forma. Descrive uno scopo. Un testo che nessuno capisce non lo raggiunge, anche se è completo.

Prima di scrivere: fare l’inventario

L’IFPDT raccomanda di chiarire, prima della redazione, che cosa succede davvero sul sito. Le sue domande si percorrono in mezz’ora:

• Quali dati vengono raccolti, e da dove provengono?
• Per quali scopi vengono usati?
• Chi vi ha accesso, e per quanto tempo sono conservati?
• Vengono comunicati dati a terzi o all’estero?
• Quali strumenti di terzi sono integrati — statistiche, mappe, pulsanti dei social, caratteri, video?

L’ultima domanda è quella che riserva più sorprese. Una mappa integrata, un video o un carattere caricato dall’esterno possono far sì che il browser trasmetta dati a un altro fornitore durante la visita. La titolare della falegnameria forse non sa che il suo sito lo fa. L’informativa può descriverlo solo dopo che qualcuno ha verificato.

Che cosa contiene

La LPD indica che cosa apprende come minimo la persona interessata (art. 19 cpv. 2 LPD):

1. l’identità e i dati di contatto del titolare;
2. lo scopo del trattamento;
3. se del caso, i destinatari o le categorie di destinatari.

Se dati personali sono comunicati all’estero, ne fanno parte anche lo Stato e, se del caso, le garanzie secondo l’art. 16 cpv. 2 LPD o l’eccezione secondo l’art. 17 LPD (art. 19 cpv. 4 LPD). Nella sua pagina, l’IFPDT aggiunge altre indicazioni che un’informativa chiara contiene di solito: quali dati sono raccolti, per quanto tempo sono conservati, quali scelte hanno gli utenti e a chi rivolgersi per i propri diritti.

Applicato agli elementi del sito tipico di una PMI:

Elemento del sito	Che cosa descrive l’informativa
Hosting	Presso quale fornitore gira il sito, e in quale Paese
Modulo di contatto	Quali indicazioni sono raccolte, a che scopo, dove sono salvate, per quanto
Statistica delle visite	Quale servizio, quali dati, se usa cookie o tecnologie simili
Mappa integrata	Quale fornitore riceve dati al caricamento
Newsletter	Quale servizio d’invio, su quale base, come disiscriversi
Diritti delle persone	A chi rivolgersi per accesso, rettifica o cancellazione

Come è strutturata

L’IFPDT raccomanda una struttura a più livelli:

• Primo livello: informazioni brevi e facili da capire, che danno una visione d’insieme dell’essenziale.
• Secondo livello: l’informativa completa, raggiungibile dal primo livello.
• Terzo livello: se necessario, informazioni di approfondimento.

Altre due indicazioni della sua pagina riguardano proprio i siti svizzeri. L’informativa deve essere facilmente raggiungibile da ogni pagina. E se il sito è offerto in più lingue, anche l’informativa dovrebbe esserlo. Un sito in italiano e tedesco con un’informativa solo in tedesco non raggiunge una parte dei visitatori.

Per la falegnameria significa concretamente: in cima all’informativa, cinque frasi che dicono chi gestisce il sito, che il modulo invia nome, e-mail e messaggio al laboratorio, quale statistica è attiva, quale mappa è integrata e dove porre domande. Sotto segue la versione completa.

Quando l’obbligo d’informare decade

La LPD prevede eccezioni. L’obbligo d’informare decade per esempio se la persona interessata dispone già delle informazioni o se il trattamento è previsto dalla legge (art. 20 cpv. 1 LPD). Per un normale sito di una PMI queste eccezioni contano raramente, perché di regola i visitatori vedono il sito per la prima volta e non sanno che cosa succede dietro le quinte.

Che cosa l’informativa non sostituisce

Un’informativa informa. Non è un consenso, anche se certi moduli lo lasciano intendere con una casella «letto e accettato». Quando la legge richiede un consenso, questo è valido solo se dato liberamente, per uno o più trattamenti determinati, dopo un’informazione adeguata (art. 6 cpv. 6 LPD). Un rinvio generico a un lungo testo non lo soddisfa necessariamente.

Al contrario, non ogni informazione va confermata. L’informazione deve esserci ed essere facilmente accessibile; leggerla o no spetta alla persona. Per questo l’informativa funziona meglio là dove i dati nascono: come breve nota direttamente accanto al modulo, con un link alla versione completa.

L’informativa deve corrispondere al sito

Ciò che svaluta di più un’informativa non è un paragrafo mancante, ma uno scarto tra testo e realtà. Un testo da generatore che descrive un negozio inesistente informa in modo errato. Lo stesso vale per un’informativa che tace una statistica integrata.

Alcune occasioni per rileggere l’informativa:

• un nuovo strumento sul sito, come una finestra di prenotazione o di chat;
• un cambio di fornitore di hosting o di newsletter;
• un nuovo modulo che raccoglie indicazioni diverse dal precedente;
• una versione linguistica aggiuntiva del sito.

Abbiamo costruito la nostra informativa secondo questo schema. Spiega che questo sito è distribuito tramite Cloudflare, un fornitore con sede negli Stati Uniti, che le iscrizioni e i messaggi sono salvati in un centro dati a Zurigo, e che cosa il sito espressamente non fa. Non è breve, ma ogni sezione corrisponde a qualcosa che accade davvero.

Le indicazioni necessarie per un sito dipendono dalla sua struttura e dai servizi integrati. La pagina dell’IFPDT sulle informative in Internet è una buona base per rivedere la propria; per le questioni giuridiche di un caso concreto, può aiutare una persona specializzata.