Il Regolamento UE 2016/679, noto come GDPR (General Data Protection Regulation), e' entrato in vigore il 25 maggio 2018 e si applica a chiunque tratti dati personali, compresi i ristoratori. In Italia, il GDPR e' stato recepito attraverso il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali), profondamente modificato dal D.Lgs. 101/2018 per armonizzarlo con la normativa europea.
Molti titolari di ristoranti sottovalutano la portata di questo regolamento, ritenendo erroneamente che riguardi solo le grandi aziende tecnologiche. In realta', ogni volta che un ristoratore raccoglie il numero di telefono di un cliente per una prenotazione, registra un indirizzo e-mail per una newsletter o gestisce una fidelity card, sta trattando dati personali ed e' soggetto agli obblighi del GDPR.
Per comprendere gli obblighi, occorre innanzitutto identificare le tipologie di dati personali che un ristorante raccoglie abitualmente:
L'art. 6 del GDPR individua sei basi giuridiche che legittimano il trattamento dei dati. Per un ristoratore, le piu' rilevanti sono:
Quando un cliente prenota un tavolo, si instaura un rapporto contrattuale. Il trattamento dei dati necessari alla prenotazione (nome, telefono, data, numero coperti) e' legittimato dall'art. 6, par. 1, lett. b) del GDPR, senza necessita' di consenso specifico.
Per finalita' di marketing (newsletter, promozioni, SMS) e' necessario ottenere il consenso esplicito, libero, specifico e informato del cliente ai sensi dell'art. 7 GDPR. Il consenso deve essere dimostrabile: non basta una casella pre-spuntata. Il cliente deve poter revocare il consenso in qualsiasi momento con la stessa facilita' con cui lo ha prestato.
Alcune attivita', come l'invio di comunicazioni ai clienti gia' acquisiti su prodotti o servizi analoghi a quelli gia' acquistati (soft spam), possono basarsi sull'interesse legittimo del titolare, a condizione che sia stata fornita l'informativa e la possibilita' di opporsi (art. 130, comma 4, D.Lgs. 196/2003).
L'art. 13 del GDPR impone al titolare del trattamento di fornire all'interessato, al momento della raccolta dei dati, un'informativa chiara e completa. Per un ristorante, l'informativa deve contenere:
L'informativa deve essere facilmente accessibile: puo' essere esposta nel locale, inserita nel sito web, allegata al modulo di prenotazione online o stampata sul retro della fidelity card.
L'art. 30 del GDPR prevede l'obbligo di tenere un registro delle attivita' di trattamento. Sebbene l'obbligo formale riguardi le imprese con piu' di 250 dipendenti, il Garante italiano ha chiarito che il registro e' comunque obbligatorio quando il trattamento presenta rischi per i diritti e le liberta' degli interessati, non e' occasionale o include categorie particolari di dati (come le allergie alimentari). Di fatto, e' fortemente consigliato per qualsiasi ristorante.
Il registro deve indicare:
L'art. 37 del GDPR prevede la nomina obbligatoria del DPO (Data Protection Officer) quando il trattamento e' effettuato su larga scala o riguarda categorie particolari di dati. Per la maggior parte dei ristoranti singoli, la nomina del DPO non e' obbligatoria. Tuttavia, catene di ristorazione con programmi fidelity su larga scala o piattaforme di prenotazione proprietarie potrebbero rientrare nell'obbligo.
Anche in assenza di obbligo, il ristoratore deve comunque designare un referente interno per la gestione delle richieste degli interessati e per il rispetto della normativa privacy.
Le piattaforme di prenotazione online (TheFork, Quandoo, Google, booking via sito web) introducono complessita' aggiuntive. Il ristoratore deve verificare:
L'art. 33 del GDPR impone al titolare di notificare una violazione dei dati personali (data breach) al Garante entro 72 ore dal momento in cui ne viene a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le liberta' delle persone fisiche.
Per un ristorante, un data breach puo' verificarsi in diversi scenari:
Se la violazione presenta un rischio elevato, l'art. 34 impone anche la comunicazione diretta agli interessati coinvolti.
L'art. 32 del GDPR richiede l'adozione di misure tecniche e organizzative adeguate al rischio. Per un ristorante, le misure minime consigliate includono:
Le sanzioni previste dal GDPR sono particolarmente severe e possono raggiungere:
Il Garante italiano ha gia' comminato sanzioni significative anche a piccole imprese. Oltre alle sanzioni amministrative, l'interessato puo' chiedere il risarcimento del danno ai sensi dell'art. 82 GDPR.
Per mettersi in regola con il GDPR, il ristoratore dovrebbe seguire questi passaggi:
Un aspetto spesso trascurato riguarda il sito web del ristorante. Se il sito utilizza cookie di profilazione (Google Analytics, Facebook Pixel, strumenti di remarketing), il ristoratore deve adeguarsi alle Linee Guida del Garante Privacy del 10 giugno 2021 sui cookie e altri strumenti di tracciamento. Gli adempimenti principali includono:
Il GDPR riconosce ai clienti una serie di diritti che il ristoratore deve essere pronto a soddisfare:
Il ristoratore deve rispondere a queste richieste entro 30 giorni dalla ricezione, senza addebitare costi al richiedente. E' consigliabile predisporre una procedura interna e un indirizzo e-mail dedicato (ad esempio privacy@nomeristorante.it) per la gestione delle richieste.
Nella maggior parte dei casi no. L'obbligo di nominare un Data Protection Officer sussiste solo quando il trattamento dei dati avviene su larga scala o riguarda categorie particolari di dati in modo sistematico. Un ristorante singolo generalmente non rientra in questa casistica. Tuttavia, catene con programmi fidelity estesi o piattaforme di prenotazione proprietarie potrebbero essere tenute alla nomina. E' comunque consigliabile individuare un referente interno per la gestione privacy.
No, la raccolta del numero di telefono per gestire la prenotazione e' legittimata dall'esecuzione del contratto (art. 6, par. 1, lett. b, GDPR). Non serve un consenso separato. E' pero' necessario fornire l'informativa privacy al momento della raccolta del dato e non utilizzare quel numero per finalita' diverse dalla prenotazione (come marketing) senza ottenere un consenso specifico.
Le sanzioni amministrative possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. In Italia il Garante ha gia' sanzionato piccole imprese per mancanza di informativa, assenza di consenso per marketing o misure di sicurezza inadeguate. Oltre alle sanzioni pecuniarie, i clienti possono chiedere il risarcimento del danno, e il Garante puo' ordinare la cessazione del trattamento illecito.
Come ottenere l'autorizzazione per la somministrazione temporanea di alimenti e bevande in occasione di eventi, sagre, fiere e feste. Requisiti, procedura, obblighi HACCP e vendita di alcolici per attivita' temporanee di ristorazione.
La responsabilita' penale del ristoratore: quali reati puo' configurare la gestione di un ristorante, dalle frodi alimentari alle lesioni colpose. Analisi dei principali rischi, della giurisprudenza e delle strategie di prevenzione per tutelare se stessi e i clienti.
Quale forma giuridica scegliere per aprire un ristorante? Confronto tra ditta individuale, SNC, SAS e SRL (ordinaria e semplificata): responsabilita' patrimoniale, costi di costituzione, regime fiscale e vantaggi per il settore della ristorazione.