L’informativa privacy per questionario è il documento con cui il titolare spiega ai partecipanti come vengono trattati i dati personali raccolti attraverso le domande. Serve a rendere comprensibili, prima della compilazione o al momento della raccolta, le finalità del trattamento, i soggetti che vi partecipano e le scelte disponibili all’interessato.
Può essere utilizzata per questionari online o cartacei, per indagini di soddisfazione, attività di ricerca, formazione o raccolte di risposte connesse a un servizio. Il testo va adattato alle modalità concrete di raccolta: un questionario associato a un account o a un indirizzo e-mail, per esempio, richiede valutazioni diverse da una raccolta che non permette di identificare i partecipanti.
Informazioni utili su informativa privacy per questionario
L’informativa accompagna un trattamento di dati personali realizzato mediante un questionario. La sua funzione è consentire a chi risponde di capire, in modo trasparente e accessibile, chi decide le finalità e le modalità del trattamento, quali informazioni vengono raccolte, per quali scopi saranno utilizzate e quali diritti possono essere esercitati. Non è un modello normativo unico valido per ogni indagine: deve descrivere il trattamento effettivamente svolto, non quello ipotizzato in astratto.
Il documento interessa il partecipante al questionario e, in situazioni specifiche, può riguardare anche chi compila per conto di un’altra persona, oppure genitori, tutori e rappresentanti quando sono coinvolti minori o soggetti rappresentati. Il destinatario principale è quindi la persona cui i dati si riferiscono. Il titolare deve mettere l’informativa a disposizione in modo facilmente accessibile e comprensibile, tenendo conto anche del pubblico a cui è rivolto il questionario.
Il riferimento principale è costituito dagli articoli 13 e 14 del Regolamento (UE) 2016/679, insieme al Codice in materia di protezione dei dati personali. L’articolo 13 riguarda i dati raccolti direttamente presso l’interessato, come avviene normalmente quando una persona inserisce le proprie risposte. L’articolo 14 viene in rilievo quando i dati non sono ottenuti direttamente dalla persona cui si riferiscono. Per la raccolta diretta, l’informativa deve essere resa prima o al momento della raccolta. In un questionario online, è quindi opportuno renderla visibile prima che le risposte vengano inviate; per una versione cartacea, va consegnata o resa disponibile prima della compilazione.
Prima di predisporre il testo occorre chiarire chi è il titolare del trattamento e quali sono le finalità effettive dell’indagine. Se operano più titolari, vanno valutati gli eventuali rapporti di contitolarità; se una piattaforma o un fornitore svolge attività per conto del titolare, va chiarito il ruolo che ricopre nel trattamento. Se è stato nominato un responsabile della protezione dei dati, l’informativa può indicarne i contatti. L’identità del fornitore della piattaforma è particolarmente rilevante quando il questionario si appoggia a un servizio esterno.
Le finalità vanno descritte in termini concreti, spiegando a che cosa servono le risposte e come verranno utilizzate. Per ciascuna finalità occorre indicare la relativa base giuridica, individuata in base al trattamento reale. Non è sufficiente un riferimento generico a obblighi di legge se non spiega lo scopo specifico. Inoltre, le attività necessarie alla gestione del questionario vanno tenute distinte da eventuali usi ulteriori, come il ricontatto o l’invio di comunicazioni. Se per una di queste attività il consenso costituisce la base giuridica, la richiesta deve riferirsi chiaramente alla specifica finalità e non essere confusa con la semplice informativa.
La descrizione dei dati deve corrispondere alle domande e agli strumenti effettivamente utilizzati. Oltre alle risposte, possono essere raccolti dati identificativi o di contatto e informazioni tecniche connesse alla piattaforma. Occorre quindi valutare se le risposte siano associate a un account, a un codice, a un indirizzo e-mail o ad altri elementi che consentano di identificare la persona, anche indirettamente. Se il questionario prevede dati di contatto separati dalle risposte, è utile chiarire questa distinzione e spiegare per quali scopi sono raccolti.
La parola “anonimo” va utilizzata con cautela. La compilazione è anonima soltanto se le risposte non possono essere ricondotte all’interessato, direttamente o indirettamente, anche attraverso identificativi tecnici o combinazioni di informazioni. La pseudonimizzazione, da sola, non equivale all’anonimizzazione. Perciò, prima di descrivere il questionario come anonimo, bisogna verificare le impostazioni della piattaforma, la raccolta di indirizzi IP o altri identificativi e la possibilità di collegare le risposte a informazioni ulteriori.
Se le domande riguardano categorie particolari di dati personali, per esempio informazioni che possono rivelare aspetti delicati della persona, l’informativa deve rendere comprensibili le categorie coinvolte e le finalità del relativo trattamento. La presenza di simili domande richiede una valutazione specifica della base giuridica e delle regole applicabili; non va presunta né la liceità della raccolta né l’applicabilità di una determinata condizione sulla base di un modello standard. Anche questionari rivolti a minori, pazienti, lavoratori o utenti di servizi pubblici possono richiedere verifiche ulteriori in ragione del contesto.
Il partecipante deve poter comprendere quali risposte sono necessarie e quali facoltative. Per i dati richiesti come necessari, il testo dovrebbe spiegare perché servono e che cosa accade se non vengono forniti. Per quelli facoltativi, va indicato che cosa comporta la mancata risposta. La stessa chiarezza è utile per i destinatari: l’informativa deve indicare le categorie di soggetti che possono ricevere i dati, nei limiti delle finalità dichiarate, compresi i soggetti autorizzati e i fornitori coinvolti nella gestione del questionario, quando pertinente.
Vanno inoltre specificati il periodo di conservazione dei dati e, se non è possibile indicare una durata precisa, i criteri utilizzati per determinarlo. La spiegazione dovrebbe riferirsi ai dati raccolti e ai risultati del questionario, senza lasciare indeterminata la conservazione. Se i dati sono trasferiti verso Paesi terzi o organizzazioni internazionali, occorre indicare i Paesi o le organizzazioni interessati e le garanzie applicabili. Se non vi sono trasferimenti, la sezione va compilata coerentemente con la situazione concreta.
Quando il trattamento comporta profilazione o una decisione basata unicamente su processi automatizzati, l’informativa deve darne conto e descrivere la logica utilizzata, la rilevanza e le conseguenze previste per l’interessato. Se il questionario non comporta tali attività, la risposta deve riflettere questa circostanza. Analogamente, non si deve descrivere come automatizzato un trattamento che non lo è, né omettere una valutazione solo perché le risposte sono raccolte tramite una piattaforma digitale.
La sezione sui diritti deve spiegare quali richieste l’interessato può presentare nei casi previsti e indicare recapiti effettivi per farlo. Il testo può inoltre ricordare la possibilità di proporre reclamo al Garante per la protezione dei dati personali. Quando il trattamento si fonda sul consenso, va chiarito che la revoca può essere esercitata in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto prima della revoca. I recapiti indicati devono essere controllati e adeguati alle modalità con cui il titolare intende ricevere le richieste.
Non esiste, secondo le informazioni disponibili, una forma vincolata dell’informativa né un obbligo generale di farla sottoscrivere. Può essere presentata su carta, mostrata nella pagina iniziale del questionario o resa accessibile tramite un collegamento chiaro a un testo esteso, purché il partecipante possa consultarla tempestivamente prima di fornire i dati. Una firma o una casella di presa visione non devono essere presentate automaticamente come consenso: informare sul trattamento e raccogliere il consenso, quando necessario, sono operazioni distinte. Non risultano obblighi generali di autentica, asseverazione, deposito o notificazione al Garante per la singola informativa.
Il fac simile non richiede allegati in via generale. La necessità di ulteriori documenti dipende dal contesto e dagli strumenti usati, aspetti che vanno verificati caso per caso. È utile indicare la data di aggiornamento e la versione del testo, così da poter identificare l’informativa resa disponibile. Come cautela organizzativa, il titolare può conservare una prova ragionevole della versione pubblicata e della data in cui è stata messa a disposizione; questa indicazione non costituisce, sulla base delle informazioni disponibili, un obbligo generale.
La compilazione del modello richiede quindi di sostituire i campi vuoti con informazioni verificate sul titolare, sulla piattaforma, sulle finalità, sui dati raccolti e sui tempi di conservazione. Un testo standard non rende automaticamente adeguato il trattamento: dichiarare un anonimato non verificato, omettere destinatari o usare una base giuridica non coerente con lo scopo può compromettere la trasparenza. Prima di avviare la raccolta, occorre inoltre accertarsi che l’informativa sia accessibile nel momento corretto e che eventuali finalità ulteriori siano illustrate separatamente, senza trasformare l’informativa stessa in una richiesta indistinta di consenso.
Esempio informativa privacy per questionario
INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI MEDIANTE QUESTIONARIO
ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 e del decreto legislativo 30 giugno 2003, n. 196
1. Titolare del trattamento
Il titolare del trattamento è:
Denominazione o nome e cognome: _____________
Sede o indirizzo: _____________
Recapito telefonico: _____________
Indirizzo e-mail: _____________
Eventuali contitolari del trattamento e relativi recapiti: _____________
2. Responsabile della protezione dei dati
Il responsabile della protezione dei dati è:
Nome o denominazione: _____________
Recapito: _____________
Indirizzo e-mail: _____________
3. Finalità e basi giuridiche del trattamento
I dati personali raccolti mediante il questionario sono trattati per le seguenti finalità:
Finalità: _____________
Base giuridica: _____________
Finalità: _____________
Base giuridica: _____________
Finalità: _____________
Base giuridica: _____________
Le finalità ulteriori rispetto a quelle necessarie allo svolgimento del questionario sono:
Finalità: _____________
Base giuridica: _____________
4. Dati trattati e modalità di raccolta
Il questionario è raccolto tramite: _____________
I dati personali raccolti comprendono: _____________
Le risposte sono trattate in forma: _____________
Le risposte sono associate a dati identificativi o di contatto: _____________
I dati di contatto eventualmente raccolti sono: _____________
I dati personali sono raccolti direttamente presso l’interessato e/o provengono da: _____________
Il questionario comprende domande relative a categorie particolari di dati personali: _____________
Categorie di dati interessate e finalità del relativo trattamento: _____________
La compilazione del questionario è anonima soltanto se le risposte non possono essere ricondotte all’interessato, direttamente o indirettamente, anche attraverso identificativi tecnici o combinazioni di informazioni.
5. Conferimento dei dati
Il conferimento dei dati è: _____________
Il conferimento dei dati indicati come necessari è richiesto per: _____________
Il mancato conferimento dei dati necessari comporta: _____________
Il conferimento dei dati indicati come facoltativi è: _____________
Il mancato conferimento dei dati facoltativi comporta: _____________
6. Destinatari dei dati
I dati personali possono essere comunicati alle seguenti categorie di destinatari, nei limiti delle finalità indicate:
Destinatari o categorie di destinatari: _____________
Il questionario è gestito tramite la piattaforma: _____________
Il fornitore della piattaforma tratta i dati in qualità di: _____________
I dati possono essere trattati da soggetti autorizzati dal titolare e da fornitori di servizi coinvolti nella gestione del questionario, nei limiti delle rispettive attività.
7. Trasferimento dei dati verso Paesi terzi
I dati personali sono trasferiti verso Paesi terzi o organizzazioni internazionali: _____________
Paesi o organizzazioni interessati e garanzie applicabili: _____________
8. Conservazione dei dati
I dati personali sono conservati per il seguente periodo: _____________
Criteri utilizzati per determinare il periodo di conservazione: _____________
9. Processo decisionale automatizzato e profilazione
Il trattamento comporta un processo decisionale basato unicamente sul trattamento automatizzato, compresa la profilazione: _____________
Descrizione della logica utilizzata, della rilevanza e delle conseguenze previste per l’interessato: _____________
10. Diritti dell’interessato
L’interessato può esercitare, nei casi e nei limiti previsti dalla normativa applicabile, i diritti di accesso ai dati personali, rettifica, cancellazione, limitazione del trattamento, opposizione al trattamento e, ove previsto, portabilità dei dati.
Quando il trattamento si basa sul consenso, l’interessato può revocarlo in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.
Le richieste per l’esercizio dei diritti possono essere inviate a:
Recapito postale: _____________
Indirizzo e-mail: _____________
L’interessato può inoltre proporre reclamo al Garante per la protezione dei dati personali.
11. Informativa e consenso
La presente informativa descrive il trattamento dei dati personali connesso al questionario e non costituisce, di per sé, una richiesta di consenso. Quando il consenso costituisce la base giuridica del trattamento, viene richiesto con una manifestazione di volontà separata e riferita alla specifica finalità.
12. Aggiornamento dell’informativa
Data di aggiornamento: _____________
Versione: _____________
Fac simile informativa privacy per questionario Word
Il modello informativa privacy per questionario è disponibile in formato Word, può essere scaricato e modificato inserendo i dati necessari prima dell’utilizzo.
