Come verificare se le informative privacy sono aggiornate?

A cura diAndrea DicantoConsulente tecnico · Pubblicato il 11/08/2026

Un’informativa privacy può considerarsi aggiornata quando descrive in modo coerente ciò che l’attività fa oggi con i dati personali: quali dati raccoglie, per quali attività, attraverso quali canali, chi li utilizza e quali soggetti esterni intervengono. La data sul documento, da sola, non è una verifica sufficiente: un testo recente può essere incompleto, mentre un testo più datato può richiedere solo integrazioni mirate.

Per una PMI o uno studio professionale il controllo parte dal confronto tra informativa e operatività reale. Se sono cambiati moduli, sito, servizi, personale, fornitori, archivi o tempi con cui vengono gestite le informazioni, conviene riesaminare il documento prima di riutilizzarlo. Uno studio di commercialisti può svolgere una verifica organizzativa preliminare, raccogliere le informazioni utili e indicare le priorità documentali da affrontare.

In sintesi

• Un’informativa non va valutata solo dalla data: va confrontata con i trattamenti effettivamente svolti.
• Ogni pubblico può richiedere un testo coerente con il relativo contesto, ad esempio clienti, contatti del sito, candidati o personale.
• Nuovi moduli, piattaforme, fornitori o finalità operative sono segnali concreti per rivedere il documento.
• Il controllo dell’informativa va collegato a nomine, autorizzazioni interne, archivi e criteri di conservazione, senza confondere questo lavoro con la sicurezza informatica tecnica.
• Se mancano informazioni affidabili sui processi o sui fornitori, è prudente prima ricostruire il quadro e poi aggiornare i testi.

Il controllo decisivo: ciò che è scritto coincide con ciò che accade?

La domanda utile non è “abbiamo una privacy policy?”, ma “questa informativa permette di comprendere il percorso reale delle informazioni?”. Per rispondere, si prende una copia del documento in uso e la si mette accanto ai processi quotidiani: contatti commerciali, preventivi, contratti, fatture, selezione del personale, gestione delle assenze, assistenza, newsletter, moduli online e comunicazioni con fornitori.

Il primo elemento da verificare è l’origine dei dati. Un’informativa predisposta quando i contatti arrivavano solo tramite email può non riflettere l’uso attuale di form sul sito, prenotazioni online, messaggistica, campagne o raccolte effettuate durante eventi. Non occorre presumere che ogni novità renda inutilizzabile l’intero documento; occorre capire se quella novità cambia le informazioni che una persona riceve al momento della raccolta.

Il secondo elemento è la corrispondenza tra categorie di dati e attività dichiarate. È frequente trovare testi molto generici, mentre l’impresa utilizza documenti, recapiti, dati amministrativi, candidature, dati relativi al personale o informazioni ricevute per l’erogazione di un servizio. Il punto non è accumulare formule: è evitare che il documento descriva una realtà diversa da quella gestita dagli uffici.

Il terzo elemento riguarda i soggetti coinvolti. Se le informazioni sono consultate da personale, collaboratori, consulenti, gestionali, piattaforme di invio email, hosting, fornitori di paghe o altri soggetti esterni, l’informativa va letta insieme alla documentazione che disciplina ruoli e accessi. Questa ricostruzione non equivale a una verifica tecnica di reti o sistemi: riguarda la coerenza organizzativa e documentale del trattamento.

Segnali pratici di possibile disallineamento

Conviene aprire una verifica quando l’informativa contiene riferimenti a servizi non più offerti, indirizzi email non utilizzati, moduli che non esistono più o categorie di destinatari troppo vaghe rispetto ai fornitori realmente impiegati. Un altro segnale è la presenza di un unico testo copiato su sito, modulistica clienti e documenti del personale, pur trattandosi di situazioni diverse. Anche la difficoltà del personale nel rispondere a domande semplici — dove arrivano i dati, chi può consultarli, quanto restano negli archivi — suggerisce che la documentazione possa non essere allineata all’operatività.

Non è invece utile dichiarare “aggiornata” un’informativa solo perché è stata scaricata di recente, firmata una volta o pubblicata sul sito. Il controllo richiede una lettura comparata e una decisione: confermare il testo, correggere singoli passaggi, predisporre documenti distinti o ricostruire prima le informazioni mancanti.

Uno schema operativo per verificare ogni informativa

Per evitare una revisione puramente formale, è utile seguire il percorso del dato dall’ingresso alla sua gestione successiva. Si può partire da una singola informativa, per esempio quella consegnata ai clienti, e rispondere per iscritto alle domande che seguono.

1. Individuare il destinatario reale del documento

Chiedetevi a chi viene consegnata o mostrata l’informativa. Cliente, potenziale cliente, utente del sito, candidato, dipendente e fornitore possono entrare in relazione con l’attività in modi diversi. Se il documento è rivolto a più persone, va verificato che ciascuna trovi informazioni pertinenti al proprio rapporto e non una descrizione indistinta dell’azienda.

2. Ricostruire il punto di raccolta

Annotate dove i dati entrano: modulo cartaceo, form web, email, telefono, contratto, piattaforma, gestionale o segnalazione commerciale. Poi confrontate l’elenco con il testo disponibile. Un modulo introdotto in seguito, anche se apparentemente semplice, può rendere opportuno rivedere il contenuto informativo e la modalità con cui viene reso disponibile.

3. Confrontare finalità dichiarate e uso effettivo

Per ogni gruppo di dati, descrivete con parole concrete perché viene raccolto e quale ufficio o soggetto lo usa. Una formula generica può essere un campanello d’attenzione quando non consente di distinguere l’esecuzione del servizio, l’amministrazione, le comunicazioni commerciali o la gestione del personale. Il confronto serve soprattutto a far emergere utilizzi effettivi non riportati, attività indicate ma abbandonate e passaggi su cui le informazioni raccolte non sono ancora sufficienti.

4. Verificare destinatari, strumenti e passaggi esterni

Elencate i fornitori che ricevono, ospitano, elaborano o rendono accessibili dati nell’ambito del servizio: ad esempio chi gestisce software, paghe, invii, archivi o assistenza. Non è utile compilare un elenco astratto; serve associare ciascun soggetto al processo in cui interviene. Da qui può emergere l’esigenza di controllare nomine, lettere di incarico, autorizzazioni interne o altre evidenze organizzative.

5. Esaminare archivi, conservazione e richieste

Un’informativa coerente è collegata anche a ciò che accade dopo la raccolta. Conviene identificare dove sono conservati documenti e dati, chi può consultarli, quali criteri interni sono utilizzati per mantenere o eliminare gli archivi e come viene gestita una richiesta ricevuta da una persona. Se queste risposte non sono disponibili, il testo può non essere il primo elemento da riscrivere: può essere più utile ordinare prima il processo e documentare le decisioni prese.

Per una visione più ampia dei materiali da raccogliere, Approfondisci i documenti privacy da controllare in una PMI. Se dalla ricostruzione emerge il dubbio sul registro, leggi anche il controllo documentale preliminare sul registro dei trattamenti.

Il caso tipico: informativa del sito aggiornata, processo commerciale cambiato

Si pensi a una PMI che ha aggiornato la grafica del sito ma, nel frattempo, ha aggiunto un modulo per richieste di preventivo, una piattaforma per fissare appuntamenti e un fornitore che gestisce le comunicazioni. L’informativa online esistente potrebbe continuare a riportare solo il contatto via email. In questo caso la priorità non è scegliere subito un modello nuovo: è ricostruire quali informazioni arrivano da ciascun canale, dove vengono registrate, chi le riceve e come vengono seguite.

La stessa verifica può far emergere che i contatti raccolti dal sito vengono poi inseriti nel gestionale, trasferiti a un commerciale esterno o conservati in caselle condivise. Ogni passaggio va chiarito con chi gestisce concretamente il processo. Solo dopo questa ricognizione è possibile valutare se l’informativa esistente sia ancora comprensibile e coerente, se richieda un’integrazione oppure se vadano predisposti testi distinti per canali e destinatari diversi.

Questo approccio evita due errori opposti: rifare tutti i documenti senza capire il problema e mantenere documenti datati perché “finora hanno funzionato”. Il risultato atteso da una verifica prudente non è una promessa di conformità assoluta, ma un quadro iniziale più leggibile delle informazioni da confermare e delle priorità da sistemare.

Errori da evitare durante l’aggiornamento

Il primo errore è usare un testo standard senza adattarlo ai flussi dell’impresa. Può essere un punto di partenza, ma non sostituisce la raccolta delle informazioni sul caso concreto. Il secondo è aggiornare solo la pagina web, lasciando invariati moduli cartacei, informative per il personale, procedure interne o documenti rivolti ad altri interlocutori.

Un terzo errore è separare l’informativa dal resto della documentazione. Se il testo menziona fornitori, collaboratori o soggetti autorizzati, conviene verificare che l’organizzazione disponga di elementi coerenti per ricostruirne il ruolo. Il quarto è attribuire alla sola documentazione un effetto risolutivo: la documentazione può sostenere una gestione più ordinata, ma non sostituisce le decisioni operative, l’eventuale confronto legale sul caso specifico o gli interventi tecnici su sistemi e sicurezza quando servono.

Quando coinvolgere lo studio e cosa preparare

Un primo momento utile per coinvolgere lo studio di commercialisti è prima dell’avvio o della modifica di un processo: apertura di un nuovo canale di raccolta, introduzione di un fornitore, modifica dei servizi, riorganizzazione del personale o adozione di nuovi strumenti. Il confronto preventivo permette di individuare le informazioni da raccogliere prima che documenti e prassi si moltiplichino.

Un secondo momento è quando i documenti esistono ma non si riesce a stabilire se siano utilizzabili: informative diverse e non coordinate, nomine non facilmente reperibili, fornitori non ricostruiti, archivi gestiti da più persone o richieste ricevute senza una procedura chiara. In questi casi lo studio può esaminare il contesto, ordinare la raccolta documentale e indicare quali aspetti richiedono ulteriori competenze professionali in base al caso concreto.

Per una prima valutazione è utile inviare una breve descrizione dell’attività, le informative attualmente usate, l’elenco dei moduli e canali di raccolta, i principali fornitori o strumenti coinvolti, eventuali nomine e autorizzazioni disponibili, oltre a una nota sulle criticità riscontrate. Richiedi un check-up protezione dati descrivendo l’urgenza, i cambiamenti intervenuti e i documenti già disponibili: il confronto può partire da elementi verificabili e non da ipotesi generiche.