GDPR: interessato, titolare e chi sta in mezzo

Ci siamo passati tutti

Hai letto l’informativa privacy di un sito ultimamente? Tutta, dico. Dall’inizio alla fine.

Nessuno lo fa. E non è colpa tua — spesso sono documenti lunghi, scritti in un italiano che sembra tradotto dal latino, pieni di riferimenti normativi e costruzioni sintattiche che farebbero impallidire un notaio. Eppure quella pagina esiste per un motivo preciso. E quel motivo riguarda anche te, come titolare di un sito.

Nell’articolo GDPR: cos’è e perché è nato abbiamo visto da dove viene questa legge. Adesso entriamo nel merito: chi sono i protagonisti, quali diritti hanno e quali doveri.

Chi fa cosa: il rapporto tra Interessato e Titolare

Il GDPR nasce per regolare un rapporto preciso: quello tra chi possiede i dati e chi li usa.

Lo so, sembra tutto al contrario. Verrebbe naturale pensare che il “titolare” sia l’utente — dopotutto sono suoi i dati. La confusione nasce anche dai termini stessi: uno si chiama semplicemente “Interessato”, una parola sola che non dice molto. L’altro si chiama “Titolare del trattamento”, una definizione che già contiene la spiegazione.

In realtà il termine “Interessato” ha una doppia logica: è chi ha interesse a proteggere le proprie informazioni personali, ma è anche chi è interessato a ciò che trova sul sito — ci va apposta, ci interagisce, e proprio per questo lascia tracce e dati. In inglese i termini sono più chiari: l’Interessato è il Data Subject, il soggetto a cui i dati appartengono. Il Titolare del trattamento è il Data Controller, chi controlla e decide come quei dati vengono raccolti e usati. Una volta capita, non si dimentica più.

L’Interessato (Data Subject): chi è e cosa può fare

L’Interessato è la persona fisica a cui si riferiscono i dati. Chi rientra in questa categoria? Praticamente chiunque navighi sul web. Tu quando leggi questo articolo. Il tuo cliente quando visita il tuo sito. Chiunque possa essere identificato, direttamente o indirettamente, attraverso quello che lascia navigando: un indirizzo email, un numero di telefono, un indirizzo IP, un cookie. Se il dato può essere ricondotto a una persona fisica, quella persona è un Interessato e il GDPR la tutela.

I diritti dell’Interessato

• Diritto di accesso (Art. 15): può chiedere al Titolare quali dati ha su di lui, perché li tratta e per quanto tempo li conserva. Il Titolare deve rispondere entro un mese;
• Diritto di rettifica (Art. 16): se un dato è errato o incompleto, può chiedere di correggerlo;
• Diritto alla cancellazione (Art. 17): il cosiddetto diritto all’oblio. Può chiedere di cancellare i suoi dati quando non sono più necessari o quando revoca il consenso;
• Diritto di opposizione (Art. 21): può dire stop a trattamenti specifici, come l’invio di comunicazioni commerciali;
• Diritto alla portabilità (Art. 20): può ricevere i suoi dati in un formato leggibile per trasferirli a un altro servizio.

I doveri dell’Interessato

Spesso dimenticati, ma esistono. L’Interessato ha il dovere di fornire informazioni veritiere quando compila un form o si registra a un servizio. Ha il dovere di identificarsi correttamente quando esercita i suoi diritti — il Titolare può chiedere le informazioni necessarie per verificare chi sta facendo la richiesta. E deve farlo secondo le modalità previste dal Titolare.

Il Titolare del trattamento (Data Controller): chi è e cosa può fare

Il Titolare del trattamento è chi decide perché e come i dati vengono raccolti e usati. Se hai un sito, sei tu. Non l’agenzia, non il provider, non l’amatissimo cugino. Tu. È chi raccoglie i dati per i propri scopi legittimi e se ne assume la piena responsabilità davanti alla legge.

Ma essere Titolare non significa avere carta bianca. Il Titolare può raccogliere i dati solo se ha una ragione legale precisa — il GDPR la chiama base giuridica. Consenso, contratto, obbligo di legge, legittimo interesse. Senza una di queste, il trattamento è illecito.

E la quantità di dati raccoglibili dipende da cosa riceve l’utente in cambio. Se qualcuno visita il tuo sito, legge un articolo e va via, i dati che puoi raccogliere sono minimi. Se invece si registra, compila un form, acquista o scarica qualcosa, stai erogando un servizio più articolato e hai bisogno di più informazioni per erogarlo. È giusto raccoglierle, a patto che siano quelle necessarie e non di più. Questo si chiama principio di proporzionalità: raccogli quello che ti serve per fare quello che hai promesso. Non di più.

I diritti del Titolare

• Diritto di identificazione: può chiedere all’Interessato le informazioni necessarie per verificare chi sta facendo la richiesta prima di rispondere;
• Diritto di valutazione: può stabilire se una richiesta è fondata o eccessiva. In casi di richieste manifestamente infondate o ripetitive può richiedere un contributo spese (Art. 12);
• Diritto di conservazione: può rifiutare la cancellazione dei dati se esiste un obbligo legale che impone di tenerli. Le fatture, per esempio, vanno conservate dieci anni per obbligo fiscale (Art. 17).

I doveri del Titolare

• Liceità del trattamento (Art. 6): raccogliere i dati solo in presenza di una base giuridica valida — consenso, contratto, obbligo di legge, legittimo interesse;
• Trasparenza (Art. 13-14): informare l’Interessato su cosa raccoglie, perché e per quanto tempo. È il ruolo dell’informativa privacy;
• Sicurezza (Art. 32): garantire che i dati siano conservati e trattati in modo sicuro, adottando misure tecniche e organizzative adeguate;
• Riscontro (Art. 12): rispondere alle richieste dell’Interessato entro un mese;
• Data breach (Art. 33): segnalare eventuali violazioni dei dati al Garante entro 72 ore dalla scoperta.

Chi sta in mezzo: Responsabile del trattamento e DPO

Il rapporto tra Interessato e Titolare non è sempre diretto. Spesso ci sono altre figure nel mezzo.

Il Responsabile del trattamento (Data Processor) è un soggetto esterno a cui il Titolare affida il trattamento dei dati per conto suo. La web agency, il provider di hosting, la piattaforma di email marketing. Ogni volta che i dati dei tuoi utenti passano nelle mani di un fornitore esterno, quel fornitore deve essere nominato formalmente con un contratto specifico, come prevede l’Art. 28 del GDPR. Non è un dettaglio burocratico — è una responsabilità precisa.

Il DPO (Data Protection Officer) è una figura diversa. Non tratta i dati, li supervisiona. È un responsabile della protezione dei dati interno, obbligatorio solo in certi casi: enti pubblici, aziende che trattano dati su larga scala o dati particolarmente sensibili. Per la maggior parte delle piccole imprese non è richiesto. Ma vale la pena sapere che esiste — e in un prossimo articolo vedremo nel dettaglio quando serve e cosa fa.

Sai già chi sono i Responsabili del trattamento del tuo sito? Hai mai firmato un contratto con la tua web agency o il tuo provider di hosting in questo senso?