Il GDPR per un sito web non riguarda semplicemente la presenza di una Privacy Policy o di un banner cookie. La protezione dei dati personali deve essere considerata nell'intero progetto digitale, analizzando quali informazioni vengono raccolte, perché vengono utilizzate, attraverso quali strumenti e per quanto tempo vengono conservate.
Il Regolamento UE 2016/679, conosciuto come GDPR, è applicabile dal 25 maggio 2018 e ha profondamente influenzato il modo in cui aziende e organizzazioni devono gestire i dati personali.
Per chi gestisce un sito istituzionale, un ecommerce o una piattaforma digitale, privacy e trattamento dei dati devono quindi essere considerati fin dalla fase di progettazione e successivamente monitorati quando vengono introdotti nuovi strumenti, integrazioni o funzionalità.
Cos'è il GDPR?
Il GDPR, General Data Protection Regulation, è il regolamento europeo relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati.
Il suo obiettivo è rafforzare la tutela dei dati personali e responsabilizzare i soggetti che li trattano.
Uno dei concetti centrali è infatti quello di accountability: chi tratta dati personali deve valutare i trattamenti effettuati e adottare misure adeguate per rispettare la normativa.
Quando il GDPR riguarda un sito web?
Un sito web può effettuare trattamenti di dati personali in molti modi differenti.
Tra gli esempi più comuni troviamo:
- form di contatto;
- form di richiesta preventivo;
- registrazione di account;
- iscrizione alla newsletter;
- ecommerce e gestione degli ordini;
- strumenti di analytics;
- strumenti pubblicitari e di remarketing;
- CRM e sistemi di Marketing Automation;
- chat e sistemi di assistenza;
- plugin e servizi di terze parti;
- cookie e altri strumenti di tracciamento.
Non è quindi il semplice utilizzo di un determinato CMS o servizio a stabilire automaticamente gli adempimenti necessari: bisogna analizzare quali dati vengono effettivamente trattati e per quali finalità.
GDPR e Privacy by Design
Uno dei principi più importanti per chi progetta servizi digitali è quello della Privacy by Design.
La protezione dei dati non dovrebbe essere aggiunta soltanto alla fine dello sviluppo, ma considerata già durante la progettazione del sito, della piattaforma o del servizio.
Quando viene sviluppato un nuovo form, introdotto uno strumento di analytics o collegato un servizio esterno, è quindi importante valutare anche le conseguenze relative al trattamento dei dati.
GDPR e Privacy by Default
Accanto alla Privacy by Design troviamo il principio della Privacy by Default.
In termini generali, le impostazioni predefinite dovrebbero prevedere il trattamento dei soli dati personali necessari rispetto alle specifiche finalità perseguite.
Questo principio riguarda aspetti come quantità dei dati raccolti, durata della conservazione e accessibilità delle informazioni.
Privacy Policy del sito web: cosa deve indicare?
La Privacy Policy deve fornire agli utenti le informazioni previste dalla normativa in relazione ai trattamenti effettuati.
Le informazioni devono essere presentate in maniera chiara, comprensibile e accessibile.
A seconda del trattamento, possono essere necessarie informazioni relative, tra le altre cose, a:
- identità e contatti del titolare del trattamento;
- finalità del trattamento;
- basi giuridiche utilizzate;
- categorie di dati trattati;
- eventuali destinatari dei dati;
- periodi o criteri di conservazione;
- eventuali trasferimenti di dati;
- diritti degli interessati;
- modalità attraverso cui esercitare tali diritti.
La Privacy Policy deve quindi riflettere ciò che accade realmente sul sito e non dovrebbe essere considerata un semplice testo standard da pubblicare nel footer.
Cookie Policy: cos'è e a cosa serve?
La Cookie Policy informa gli utenti sull'utilizzo di cookie e altri strumenti di tracciamento presenti sul sito.
I cookie possono essere utilizzati per finalità differenti: alcuni sono necessari al funzionamento del sito o all'erogazione di un servizio richiesto dall'utente, mentre altri possono essere impiegati, ad esempio, per analytics, personalizzazione o profilazione.
Per questo non è sufficiente sapere genericamente che il sito "utilizza cookie": è necessario conoscere quali strumenti sono effettivamente presenti e come vengono utilizzati.
Cookie tecnici e cookie di profilazione: qual è la differenza?
I cookie tecnici sono utilizzati per effettuare la navigazione o fornire un servizio richiesto dall'utente. Possono essere necessari, ad esempio, per mantenere una sessione, ricordare alcune preferenze o consentire il corretto funzionamento di determinate funzionalità.
I cookie di profilazione e altri strumenti di tracciamento possono invece essere utilizzati per osservare il comportamento dell'utente e creare profili o utilizzare le informazioni raccolte per finalità ulteriori, come la pubblicità personalizzata.
La distinzione è importante perché determina anche modalità differenti di gestione dell'informativa e, quando previsto, del consenso.
GDPR e cookie: quando serve il consenso?
Non tutti i cookie richiedono necessariamente il consenso dell'utente.
Per i cookie tecnici utilizzati esclusivamente per effettuare la trasmissione di una comunicazione o fornire un servizio richiesto dall'utente non è richiesto il consenso preventivo.
Quando invece vengono utilizzati cookie o altri strumenti di tracciamento per finalità che richiedono il consenso, questi non dovrebbero essere attivati prima che l'utente abbia espresso una scelta valida.
Il consenso deve essere libero, specifico, informato e inequivocabile e deve derivare da un'azione positiva dell'utente.
Come deve funzionare un cookie banner?
Il cookie banner non dovrebbe essere progettato esclusivamente come un avviso da chiudere il prima possibile.
Quando il sito utilizza strumenti di tracciamento soggetti a consenso, l'utente deve poter comprendere le proprie opzioni e manifestare una scelta.
In particolare, la semplice prosecuzione della navigazione o lo scrolling della pagina non rappresentano, da soli, una modalità valida per ottenere il consenso.
Il sito dovrebbe inoltre permettere all'utente di accedere alle informazioni necessarie e, quando previsto, scegliere in maniera granulare quali categorie o strumenti autorizzare.
Cosa succede se l'utente rifiuta i cookie?
Se l'utente non presta il consenso, gli strumenti di tracciamento che richiedono tale consenso non dovrebbero essere attivati.
Le impostazioni predefinite dovrebbero quindi consentire la navigazione senza l'attivazione di cookie o strumenti di tracciamento non necessari, salvo le specifiche eccezioni previste dalla normativa.
Il consenso ai cookie deve essere registrato?
Quando il trattamento si basa sul consenso, il titolare deve essere in grado di dimostrare che l'interessato lo ha prestato.
Per questo le piattaforme utilizzate per la gestione del consenso devono consentire di gestire correttamente le preferenze e documentare le scelte quando necessario.
L'utente deve inoltre poter modificare o revocare successivamente il consenso con modalità accessibili.
Google Analytics e GDPR
Gli strumenti di web analytics meritano una valutazione specifica all'interno della configurazione privacy di un sito.
Non è corretto affermare genericamente che la semplice presenza di Google Analytics renda automaticamente un sito non conforme o che esista una configurazione valida in qualsiasi situazione.
È necessario valutare concretamente la configurazione adottata, i dati trattati, le finalità, gli strumenti di tracciamento utilizzati, le impostazioni disponibili e gli eventuali trasferimenti o soggetti coinvolti.
WordPress e GDPR
Anche nel caso di WordPress non è il CMS in sé a determinare automaticamente quali adempimenti siano necessari.
Bisogna considerare l'intero ecosistema del sito: plugin, form, sistemi antispam, strumenti analytics, video incorporati, mappe, newsletter, ecommerce, advertising e integrazioni con piattaforme esterne possono comportare differenti trattamenti.
Per questo due siti realizzati entrambi in WordPress possono avere esigenze privacy completamente differenti.
Ecommerce e GDPR
Un ecommerce tratta normalmente diverse informazioni necessarie alla gestione degli acquisti e del rapporto con il cliente.
Dati anagrafici, informazioni relative agli ordini, indirizzi di spedizione e fatturazione e altri dati collegati alla transazione devono essere gestiti in funzione delle finalità e delle relative basi giuridiche.
Bisogna inoltre considerare eventuali servizi esterni collegati al negozio online, come piattaforme di pagamento, sistemi di spedizione, CRM, newsletter, advertising e strumenti di analisi.
Form di contatto e consenso privacy
Anche i form devono essere progettati considerando la protezione dei dati.
È importante raccogliere soltanto le informazioni realmente necessarie e fornire all'utente le informazioni relative al trattamento.
Un punto importante è evitare di considerare il consenso come la base giuridica da utilizzare automaticamente per qualsiasi trattamento: la base corretta dipende dalla finalità e dal contesto.
Ad esempio, la gestione di una richiesta inviata spontaneamente attraverso un form e l'iscrizione a comunicazioni promozionali sono attività differenti e devono essere valutate separatamente.
GDPR e newsletter
Quando un sito permette di iscriversi a una newsletter o utilizza i dati per attività di marketing, è necessario valutare attentamente le modalità di raccolta e utilizzo dei contatti.
L'utente deve ricevere informazioni chiare sulla finalità del trattamento e, quando il trattamento si basa sul consenso, deve poter effettuare una scelta libera e consapevole.
Deve inoltre essere possibile revocare il consenso e interrompere facilmente le comunicazioni.
GDPR, Meta Pixel e strumenti di advertising
Un altro elemento da verificare riguarda gli strumenti utilizzati per advertising, remarketing e misurazione delle campagne.
Tecnologie come pixel, tag e altri strumenti di tracciamento possono comportare la raccolta o trasmissione di informazioni relative agli utenti e devono quindi essere considerate all'interno dell'analisi privacy del sito.
Non basta inserire il relativo servizio nella Cookie Policy: la configurazione tecnica del sito deve essere coerente con le scelte effettuate dall'utente.
Consent Management Platform: a cosa serve?
Per gestire cookie e preferenze degli utenti vengono spesso utilizzate Consent Management Platform (CMP).
Questi strumenti possono aiutare a mostrare il banner, organizzare le categorie di cookie, raccogliere le preferenze e bloccare determinati strumenti prima del consenso quando necessario.
L'utilizzo di una CMP, però, non rende automaticamente un sito conforme: deve essere configurata sulla base degli strumenti realmente presenti e dei trattamenti effettuati.
Come verificare il GDPR di un sito web?
Non esiste una checklist universale valida per qualsiasi progetto, ma una verifica può partire da alcuni elementi fondamentali:
- mappare i dati personali raccolti dal sito;
- individuare finalità e basi giuridiche dei trattamenti;
- verificare form e modalità di raccolta dei dati;
- analizzare cookie e altri strumenti di tracciamento;
- controllare servizi e piattaforme di terze parti;
- verificare Privacy Policy e Cookie Policy;
- controllare il funzionamento del cookie banner;
- verificare che gli strumenti soggetti a consenso siano gestiti correttamente;
- valutare modalità di conservazione e sicurezza dei dati;
- prevedere procedure per la gestione dei diritti degli interessati;
- riesaminare la configurazione quando vengono introdotti nuovi servizi.
GDPR e siti web: non basta installare un plugin
Uno degli errori più comuni è considerare la conformità privacy come un'attività puramente tecnica da risolvere installando un plugin o inserendo un banner.
Gli strumenti tecnologici possono facilitare la gestione di alcuni aspetti, ma devono essere configurati all'interno di un processo più ampio che parte dall'analisi dei trattamenti effettivamente svolti.
Per questo sviluppo web, configurazione tecnica e valutazione privacy devono procedere in maniera coordinata, coinvolgendo quando necessario le competenze legali appropriate.
Privacy e sviluppo di un sito web
La privacy dovrebbe quindi essere considerata già durante lo sviluppo di un sito web, insieme a UX, sicurezza, SEO, performance e tracciamento.
Ogni nuova integrazione può infatti modificare il modo in cui vengono raccolti o utilizzati i dati e richiedere una nuova verifica della configurazione.
Vuoi approfondire anche gli altri aspetti da considerare durante un progetto web? Leggi il nostro articolo sullo sviluppo di siti web.
Hai bisogno di supporto per il tuo sito web?
Addlab può supportare aziende e organizzazioni negli aspetti tecnici legati alla gestione privacy di siti web ed ecommerce, dall'implementazione di cookie banner e CMP alla configurazione degli strumenti di tracciamento e delle integrazioni presenti sul sito.
Gli aspetti strettamente legali e la definizione degli adempimenti applicabili devono invece essere valutati sulla base della specifica organizzazione e, quando necessario, insieme al proprio consulente privacy o legale.
Vuoi verificare o aggiornare la configurazione tecnica del tuo sito? Contatta Addlab e raccontaci il tuo progetto.