Non sono un avvocato e questo articolo non costituisce consulenza legale. Sono un marketer che deve progettare campagne i cui flussi di dati possano essere spiegati a un cliente, a un utente e al responsabile della protezione dei dati. Quando una situazione è controversa, coinvolge dati sensibili, profilazione estesa o un rischio elevato per le persone, consulta un avvocato o un responsabile della protezione dei dati.
Il più grande equivoco è che GDPR equivalga al consenso. Il consenso è solo una delle basi giuridiche. Per ogni finalità mi chiedo innanzitutto: che cosa stiamo facendo esattamente, con quali dati, perché, per quanto tempo, a chi li trasferiamo e che cosa può ragionevolmente aspettarsi una persona?
Cinque passaggi prima di ogni funzione di marketing
- Finalità: separa la gestione di una richiesta, l'invio di una newsletter, la misurazione del traffico e il remarketing.
- Dati: raccogli solo ciò che la finalità richiede.
- Regola: determina la base giuridica del GDPR e la regola speciale per il canale, come le comunicazioni commerciali o i cookie.
- Informazioni: spiega chiaramente alla persona chi sei, che cosa fai, perché, a chi, per quanto tempo e quali diritti ha.
- Operatività: organizza prove, sicurezza, cancellazione, opposizione, revoca e gestione dei fornitori.
I principi fondamentali e le basi giuridiche sono negli articoli 5 e 6 del Regolamento generale sulla protezione dei dati. Includono liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione e sicurezza.
Il consenso deve essere una scelta autentica
Il consenso deve essere libero, specifico, informato e inequivocabile. Una casella preselezionata o il silenzio non bastano. Non mescolare finalità diverse in una frase vaga e fai in modo che revocare il consenso non sia più difficile che concederlo. Il Comitato europeo per la protezione dei dati discute condizioni ed esempi nelle sue Linee guida 05/2020 sul consenso.
Per un modulo, registra il testo del consenso, l'ora, la fonte e la versione. Il double opt-in aiuta a verificare un indirizzo e a documentare la registrazione, ma non corregge un consenso vago o forzato.
Comunicazioni commerciali nella Repubblica Ceca
Le regole per email e SMS non si basano solo sul GDPR. Secondo le attuali FAQ dell'Autorità ceca per la protezione dei dati sulla legge n. 480/2004 Gazz., le comunicazioni commerciali possono essere inviate con il consenso preventivo o in base all'eccezione prevista per i prodotti e servizi simili del mittente destinati ai propri clienti, purché il cliente abbia avuto un modo chiaro e libero di rifiutare quando l'indirizzo è stato raccolto e in ogni messaggio. Un indirizzo pubblicamente disponibile non è un invito automatico all'invio di email.
In pratica, distingui tra:
- un messaggio di servizio necessario per un ordine o un servizio,
- una comunicazione commerciale a un cliente nell'ambito dell'eccezione prevista dalla legge,
- una newsletter o un'altra comunicazione di marketing basata sul consenso.
Ogni messaggio deve corrispondere alla propria categoria per contenuto, destinatario e possibilità di annullamento. Approfondisco l'aspetto tecnico nell'articolo sul marketing via email.
Cookie e script di misurazione
Nella Repubblica Ceca, il consenso preventivo si applica ai cookie non tecnici dal 2022. L'Autorità ceca spiega che, senza consenso attivo, i cookie non tecnici devono rimanere disattivati, mentre i cookie tecnici necessari al servizio non richiedono consenso. Accettare e rifiutare deve essere altrettanto facile e sullo stesso livello; consulta le domande e risposte ufficiali sui cookie.
Dividi gli strumenti in base alla loro funzione reale, non al nome del fornitore:
- necessari per il servizio richiesto,
- analisi,
- personalizzazione,
- pubblicità e remarketing.
Un banner di consenso non è completo finché non blocca tecnicamente gli script pertinenti, trasmette la scelta e consente alle persone di modificarla. Controlla l'implementazione nel browser prima del consenso, dopo il rifiuto e dopo l'accettazione. Gli strumenti tramite Google Tag Manager devono rispettare la stessa scelta; il container da solo non rende lecito il trattamento.
Lead magnet, webinar e moduli
Se qualcuno richiede un e-book o l'iscrizione a un webinar, ti servono i suoi dati per fornire l'elemento promesso. Un'ulteriore newsletter è una finalità separata, salvo che sia parte essenziale del servizio. Descrivila separatamente e offri una scelta autentica. Non raccogliere un numero di telefono, una qualifica o le dimensioni dell'azienda solo perché uno strumento di marketing offre questi campi.
Dai al modulo un'informativa breve e un link alla policy completa. La registrazione di un webinar può catturare nomi, voci, immagini o chat; informa prima i partecipanti e stabilisci periodi di accesso e conservazione. Descrivo la produzione pratica di un webinar nella guida a WebinarJam.
Pubblici, remarketing e condivisione dei dati
Un pubblico personalizzato o la Conversion API non sono semplicemente un caricamento tecnico di una lista. Mappa la fonte dei dati, la finalità, la base giuridica, la trasparenza, i ruoli delle parti, i trasferimenti fuori dall'UE e il periodo di conservazione. Usa i termini contrattuali e la documentazione aggiornati della piattaforma. Un'email con hash rimane un dato personale se può essere collegata a una persona.
Non usare categorie particolari di dati o vulnerabilità dedotte senza una valutazione specialistica. Per un monitoraggio o una profilazione estesi, valuta se sia necessaria una valutazione d'impatto sulla protezione dei dati.
Fornitori e accessi interni
Elenca ogni sistema che riceve dati: moduli, CRM, servizio email, hosting, analisi, chat, piattaforma pubblicitaria e backup. Per ciascuno definisci ruolo, contratto, posizione dei dati, sub-responsabili, sicurezza, impostazioni di conservazione e procedura di uscita. Concedi l'accesso in base al lavoro, non automaticamente all'intera agenzia.
Diritti, cancellazione e backup
Un'azienda deve poter trovare i dati di una persona in tutti i sistemi e gestire, ove applicabile, accesso, rettifica, cancellazione, limitazione, opposizione o portabilità. Cancellare non significa riscrivere alla cieca ogni backup. Usa un regime di conservazione in cui un backup normalmente non viene utilizzato, scade nel tempo e, se ripristinato, applica nuovamente le richieste registrate.
Un indirizzo che ha annullato l'iscrizione potrebbe dover rimanere in una lista di soppressione limitata, così da non essere aggiunto di nuovo a una mailing list. Conserva il minimo necessario a tale scopo e limita gli accessi.
Checklist
- Ogni finalità ha una propria descrizione e base giuridica?
- La regola speciale per email, cookie o pubblicità è rispettata?
- Raccogliamo solo i dati necessari e abbiamo un periodo di conservazione?
- Le informazioni sono chiare al momento della raccolta?
- Possiamo documentare il consenso e revocarlo con la stessa facilità?
- Gli script sono davvero bloccati prima della scelta?
- Abbiamo contratti, controlli degli accessi e un elenco dei fornitori?
- Sappiamo gestire le richieste relative ai diritti e un incidente di sicurezza?
Non nascondere il GDPR nel footer. Una buona configurazione elimina il caos dei dati, migliora il marketing e rende più semplice cambiare fornitori. Per un audit tecnico e di marketing, usa la pagina dei contatti; in un caso complesso, un avvocato qualificato o un responsabile della protezione dei dati deve confermare la conclusione legale.