Il regolamento europeo prevede che, in base alle finalità del trattamento, il titolare debba fornire agli interessati, prima del trattamento, le informazioni richieste dalle norme (art. 12 GDPR). Ciò avviene tramite l'informativa. L'informativa è una comunicazione rivolta all'interessato che ha lo scopo di rendere edotto il cittadino, anche prima che diventi interessato (cioè prima che inizi il trattamento), sulle finalità e le modalità dei trattamenti operati dal titolare del trattamento, Essa è condizione, non tanto del rispetto del diritto individuale ad essere informato, quanto del dovere del titolare del trattamento di assicurare la trasparenza e correttezza dei trattamenti fin dalla fase di progettazione dei trattamenti stessi, e di essere in grado di comprovarlo in qualunque momento (principio di accountability). L'informativa ha anche lo scopo di permettere che l'interessato possa rendere un valido consenso, se richiesto come base giuridica del trattamento. In questo caso l'informativa non è solo dovuta in base al principio di trasparenza e correttezza, ma è anche una condizione di legittimità del trattamento. Quando è dovuta. Occorre distinguere tra le ipotesi in cui i dati sono raccolti direttamente dall'interessato e quella in cui i dati sono acquisiti da terzi.L'informativa è dovuta ogni qual volta vi sia un trattamento di dati. L'obbligo di informare gli interessati va adempiuto prima o al massimo al momento di dare avvio alla raccolta dei dati. Non sussiste, invece, obbligo di fornire l'informativa se il trattamento riguarda dati anonimi (es. aggregati) o dati di enti o persone giuridiche (i cui dati non sono soggetti alla tutela prevista dal regolamento europeo). Inoltre la persona fisica che effettua il trattamento dei dati per attività a carattere esclusivamente personale e domestico, non è tenuta a fornire l'informativa. Nel caso in cui i dati non siano raccolti direttamente dall'interessato (art. 14 del Regolamento), l'informativa deve essere fornita entro un termine ragionevole, e comunque non oltre un mese dalla raccolta dei dati. Oppure va fatta al momento della comunicazione dei dati a terzi. Un caso particolare è quello del curriculum vitae, se spontaneamente inviato dal candidato, per il quale l'art. 111-bis del D.Lgs 196/2003 stabilisce che l'informativa deve essere fornita al momento del primo contatto utile, successivo all'invio del curriculum (quindi ad esempio in caso di convocazione). Non occorre informare l'interessato quando: - l'interessato dispone già delle informazioni (ad esempio ha già letto un documento online sul mio sito); - comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; - l'ottenimento o la comunicazione sono espressamente previsti dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare; - i dati personali debbano rimanere riservati per obbligo di segreto professionale disciplinato dal diritto dell'Unione o degli Stati membri. Il Garante privacy italiano, ha ricordato che in alcuni casi non è necessaria l'informativa, quando: - i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria (vedi basi giuridiche del trattamento); - il trattamento è connesso allo svolgimento delle "investigazioni difensive" in materia penale (art. 38 norme di attuazione del c.p.p.) o alla difesa di un diritto in sede giudiziaria (a meno che il trattamento si protragga per un periodo superiore a quello strettamente necessario al perseguimento di tali finalità o sia svolto per ulteriori scopi). Il Garante ha anche emanato alcuni provvedimenti in materia di esenzione all'informativa: - Esonero dall'obbligo dell'informativa nel caso siano necessari mezzi manifestamente sproporzionati - 26 novembre 1998; - Esonero per l'obbligo dell'informativa per il trattamento dei dati utilizzati nello svolgimento dell'attività d'impresa - 19 febbraio 2015.