GDPR e sito web: siamo sicuri che il tuo sito sia in ordine? Un riassunto di cosa si tratta, e di come verificare se stai rischiando una sanzione.

Gdpr e Sito Web

Il GDPR (General Data Protection Regulation, in italiano “Regolamento Generale sulla Protezione dei Dati“) è entrato in vigore nel maggio 2018, provocando un grande cambiamento nel web.

In sintesi, il GDPR ha modificato la disciplina del trattamento dei dati degli utenti da parte delle imprese, rendendola molto più restrittiva rispetto alle normative precedenti.

La nuova normativa ruota intorno a due principi fondamentali:

1) il controllo dei propri dati da parte dell’utente;
2) la garanzia della sicurezza nel trattamento dei dati stessi da parte delle aziende che li rilevano.

Dall’entrata in vigore del GDPR le aziende hanno quindi dovuto adeguarsi alle nuove regole riguardanti la gestione e la tutela dei dati personali ovunque essi vengano raccolti, compreso quindi il sito web aziendale.

La normativa

É importante chiarire che non tutti i siti web sono per natura soggetti alla nuova normative. Se un sito non raccoglie in alcun modo dati personali, come per esempio un sito vetrina che semplicemente renda disponibili le informazioni sulla propria attività senza raccogliere alcun tipo di dato (compresa la rilevazione delle visite al sito tramite Google Analytics o altri tool equivalenti), dal punto di vista del GDPR non deve adempiere ad alcuna regola specifica.

Questa situazione però si verifica raramente, in quanto basta che il sito contenga un modulo di contatto, rilevi visite e comportamento dei visitatori, contenga un qualsiasi social widget, o installi un qualsiasi tipo di cookie sul browser dell’utente, perché si debba necessariamente uniformare alla normativa GDPR.

Prima dell’entrata in vigore della nuova normativa, le regole erano più semplici. Era comunque necessario avere una privacy policy, ma il livello di dettaglio richiesto era piuttosto superficiale, e quindi bastava copiare e incollare la privacy policy di qualche sito simile, integrarla con i propri dati, e il lavoro era fatto.

Oggi invece ogni sito internet deve esibire una privacy policy che identifichi ogni dettaglio della raccolta dei dati, e dell’utilizzo che intende farne dal momento della raccolta a quello della cancellazione.

L’informativa

L’informativa privacy è il documento che ogni azienda deve rendere disponibile ai suoi clienti per presentargli nel dettaglio il trattamento dei propri dati personali, fondamento per l’esercizio dei propri diritti in tal senso. Il GDPR stabilisce dei requisiti ben precisi sulla composizione dell’informativa privacy, sia per quanto riguarda i contenuti che riguardo il linguaggio utilizzato per redigere il documento.

L’informativa privacy è un documento generale, relativo a tutti gli atti aziendali che possano richiedere l’acquisizione e la conservazione di dati personali. In questo articolo prenderemo in considerazione la parte relativa ai siti web, conosciuta come Privacy Policy.

Il GDPR è molto specifico rispetto alle informazioni minime che la Privacy Policy di un sito deve rendere disponibili ai propri utenti. Vediamoli insieme:

1. Breve introduzione sui contenuti del sito – Un riassunto dell’attività specifica dell’azienda e dei contenuti complessivi del sito web;
2. Dati personali del titolare del trattamento dati – Il titolare dei dati personali è l’azienda che li rileva, quindi vanno indicati i suoi dati compresi nome ed indirizzo, oltre all’indirizzo email;
3. Link a provider terze parti – Software di terze parti che rilevano dati tramite il sito aziendale, quali ad esempio il Facebook Pixel, Google Analytics, altri servizi di tracciamento on-line;
4. Link a software, applicazioni o plug-in che tracciano i dati dell’utente – Software come, ad esempio, Woocommerce;
5. Le informazioni sui dati trattati – Le informazioni su come si intende comportarsi con i dati trattati, come la modalità di trattamento, le finalità del trattamento, la modalità di conservazione dei dati e l’eventuale comunicazione e diffusioni a terze parti.
6. Diritti degli interessati – Le persone fisiche i cui dati vengono raccolti, secondo la nuova normativa hanno diversi diritti che possono far valere nei confronti dell’azienda titolare del sito. Nello specifico, hanno il diritto di chiedere in qualsiasi momento la conferma dell’esistenza dei dati, di conoscerne l’origine e il contenuto, chiederne la trasformazione in forma anonima, la cancellazione o il blocco. Devono quindi essere specificati gli indirizzi email ai quali rivolgere le eventuali richieste in tal senso.
7. Le informazioni raccolte tramite modulo di contatto (form) – La specifica dettagliata di quali dati vengono raccolti, e del metodo di conservazione dei dati stessi;
8. Newsletter – In caso vengano richiesti i dati per l’adesione ad una Newsletter, è necessario inserire il link alla privacy policy del provider di posta elettronica, e un’ulteriore descrizione dettagliata di quali dati vengono raccolti a questo scopo;
9. Pagina di check-out – Questa pagina è presente nei siti web e-commerce, e quando è presente è necessario specificare quali dati vengono raccolti nella pagina, ed il modo in cui sono conservati;
10. Informazioni relative al server – Vanno indicati i metodi di protezione e di sicurezza che il server ospitante il sito utilizza a protezione dei dati sensibili contenuti nel sito e nel database;
11. Informativa estesa sui cookie – Questa informativa nella sua versione estesa (la versione sintetica è il banner che deve apparire alla prima connessione al sito, dando la possibilità all’utente di settare il comportamento del sito rispetto ai cookie e quindi di accettarli, rifiutarli o selezionarli) deve definire con precisione le finalità di utilizzo dei dati raccolti, i tipi di cookie che sono attivi sul sito e le modalità di accettazione ed eventuale cancellazione dei cookie stessi;
12. Terze parti che processano i dati – Se nel sito sono presenti collegamenti a servizi di terze parti, come ad esempio Mailchimp o PayPal, deve essere anche presente il link alla privacy policy dei servizi utilizzati;
13. Trasferimento dei dati a siti terzi – La modalità e lo scopo del trasferimento dati devono essere specificati nel sito web;
14. Data breach – Il GDPR prevede che entro 72 ore da una violazione incidentale dei dati devono essere prese delle contromisure. Nel sito va specificato quali contromisure saranno adottate, e come saranno svolte;
15. DPO (Data Protection Officer, in italiano Responsabile della Protezione dei Dati) – Nel sito vanno indicati i dati della persona che adempie a questo compito, compresi i recapiti per contattarlo.

La privacy policy deve essere immediatamente raggiungibile in qualsiasi punto del sito, ed è quindi diventata convenzione indicarlo nel menu del footer, anche se niente impedirebbe di indicarlo anche nel menu principale del sito.

I cookie

I cookie sono dei piccoli file che i siti possono scrivere nei browser dei visitatori impostati in modo da accettarli, e possono tenere traccia di gran parte delle operazioni svolte dagli utenti. Anche per quanto riguarda loro il GDPR è estremamente preciso nell’indicare i comportamenti da tenere.

Prima di vedere come il GDPR ne definisce la regolamentazione, dobbiamo prima identificarne le tipologie di base, proprio perché normate in modo diverso le une dalle altre.

1) Cookie tecnici – Sono i cookie che forniscono all’utente delle funzionalità tecniche, volte a migliorarne l’esperienza di navigazione. Ad esempio, quelli che memorizzano la scelta della lingua da visualizzare nel sito e la ripropongono subito alla visita successiva;
2) Cookie statistici – Raccolgono dati relativi all’interazione degli utenti con il sito e le memorizzano in forma anonima, come per esempio i movimenti interni al sito dell’utente, i tempi di permanenza su una pagina, eccetera;
3) Cookie profilanti – Sono i cookie più strettamente legati al marketing, quelli che permettono di raccogliere dati personali su gusti e comportamenti degli utenti e quindi di creare eventuali promo profilate su di loro. Il Pixel di Facebook, ad esempio, rientra a pieno titolo in questa categoria.

I cookie sono ancora disciplinati dalla Cookie Law, in vigore dal 2015. Questa legge prevede che l’utente autorizzi l’utilizzo dei cookie prima di iniziare la navigazione del sito web. Dal GDPR in avanti, per consentire all’utente di esprimere o meno il proprio consenso si deve seguire una procedura che è stata definita nel dettaglio:

• attivazione di un banner ben visibile durante la prima visita al sito, che proponga agli utenti le scelte necessarie;
• all’interno del banner, la presenza delle informazioni relative alla modalità e alla finalità del trattamento dei dati (sopra definita come “informativa breve”);
• caselle dei consensi non precedentemente spuntate, in modo che l’utente debba necessariamente operare una scelta cliccando le caselle che gli interessano, decidendo quindi quali accettare tra i cookie tecnici, quelli statistici e quelli profilanti;
• link alla privacy policy nella sua versione estesa.

Conclusioni

Come abbiamo appena visto, il GDPR norma in modo estremamente definito tutti i comportamenti che un sito web deve adottare per essere perfettamente in regola.

Molti siti web aziendali, specialmente in Italia, non si sono ancora adeguati pienamente alla normativa vigente, ma questo comporta dei rischi per le aziende che rappresentano. Le sanzioni economiche previste dal GDPR sono molto pesanti in caso di mancato adempimento alle sue norme, e possono mettere in seria difficoltà un’azienda di piccole/medie dimensioni.

Per questo motivo è fondamentale affidarsi a professionisti che mettano a punto il tuo sito web aziendale, in modo che adempia completamente alla normativa vigente e ti consenta di sviluppare il tuo business on line senza correre inutili rischi.