La tutela dei dati personali nella realtà del commercio online

Con dati personali si intendono tutte le informazioni relative a una persona fisica identificata o identificabile che ne esprimono l’identità fisica, fisiologica, genetica, psichica, economica culturale e sociale. Ciò include (ma non solo):

• nome, data di nascita, indirizzo, cittadinanza;
• codice fiscale;
• dati bancari;
• indirizzo IP, cookie, dati GPS sulla geolocalizzazione;
• genere, colore della pelle, dei capelli, degli occhi;
• proprietà;
• dati cliente online;
• certificati di formazione e professionali.

I dati personali sono quindi informazioni che possono essere direttamente o indirettamente associate a una determinata persona, per cui l'assegnazione del nome è il criterio di identificazione decisivo.

I dati non personali, invece, sono dati raccolti in forma anonima e non possono essere utilizzati per identificare una persona specifica. Ciò può ad esempio includere, a condizione che la prima interazione con l'utente sia completamente anonima, l'indicazione del sesso, i dati dei visitatori su determinati siti web o altre informazioni non specifiche. Tali dati non personali non vengono influenzati dalla legge sulla protezione dei dati. In qualità di imprenditore o commerciante, potete quindi utilizzare questo tipo di dati per compilare statistiche o profili di utenti senza previo consenso o autorizzazione ai sensi della legge sulla protezione dei dati; tuttavia, dovete assicurarvi che non possano essere associati a una persona fisica.

Più problematica è l'elaborazione dei cosiddetti dati "pseudonimizzati" (art. 4 cpv. 5 RGPD), ossia dei dati che vengono memorizzati con uno pseudonimo per il rispettivo utente. Possono essere utilizzati per creare profili utente molto più specifici. Qui si apre una zona d'ombra giuridica, in quanto spesso è difficile per i gestori dei siti web vedere immediatamente se determinati dati possono essere direttamente o indirettamente associati a una persona fisica. Per questo motivo anche in questo caso dovete informare i vostri clienti sulla raccolta dei dati e segnalare loro sin da subito il diritto di opposizione.

Le disposizioni del Regolamento generale sono destinate a coprire l'intera gamma dei processi rilevanti ai fini del diritto in materia di protezione dei dati. Il vantaggio è che il nuovo regolamento di base tiene già conto dei futuri sviluppi tecnologici e non deve pertanto essere costantemente aggiornato. Tuttavia, le formulazioni piuttosto astratte hanno anche un effetto collaterale negativo: possono essere interpretate in larga misura e sono quindi soggette a controversie; molte questioni (ad esempio in materia di web tracking) saranno chiarite dai tribunali competenti solo nel corso del tempo.

Questa incertezza giuridica ha finora causato molta confusione e acceso diversi dibattiti nelle imprese interessate. Ma siccome i cambiamenti apportati dal regolamento europeo riguardano principalmente i dettagli, molte delle norme vigenti in materia di protezione dei dati nel commercio elettronico rimangono valide, il che rende il passaggio meno improvviso e difficile per le aziende.

In merito alla tutela dei dati personali, la posizione del tool di analisi web Google Analytics è molto controversa. Fra le altre cose il tool gratuito fornisce informazioni sulla provenienza dei visitatori, il loro tempo di permanenza sui singoli siti web e infine quali pagine hanno visitato con maggiore frequenza. Google non solo rileva i dati relativi all’utente come l’indirizzo IP, il tipo di browser, e anche la data e l’ora della visita al sito web senza il previo consenso del soggetto interessato, ma addirittura li salva. In questo modo la multinazionale statunitense è in grado di ricostruire un profilo utente completo che sia quindi associabile a una persona specifica.

La giustificazione per un simile modus operandi si riscontra nella legislazione degli Stati Uniti d’America: al contrario dell’Unione Europea, la legge per la tutela della privacy statunitense è molto più flessibile. Siccome però in Italia vige un Codice della privacy ben definito, è indispensabile adattarvisi per non incorrere in comportamenti illeciti. A questo scopo se vi servite di Google Analytics, saprete che il tool installa dei cookie di profilazione: questi memorizzano gli indirizzi IP dei visitatori, considerati dati sensibili dal Garante della privacy.

Per questo motivo per garantire un certo livello di tutela della privacy, dovrete adottare le seguenti misure.

Accettare il DPA

Sul vostro profilo di Google Analytics andate alla voce “Impostazione dell’account”: qui dovete confermare di accettare i “Google Ads Data Processing Terms”, recentemente aggiornati in conformità al Regolamento generale europeo.

Pubblicare una nuova informativa sul vostro sito web

Va da sé che con l’introduzione della nuova normativa sulla protezione dei dati sono da aggiornare tutti gli aspetti ad essa legati, come ad esempio l’informativa presente sul vostro sito web. Eseguite i seguenti passaggi:

1. Aggiornate l’informativa indicando che fate uso di Google Analytics, il quale raccoglie ed elabora i dati.
2. Inserite il link al contenuto di Google “Modalità di utilizzo dei dati da parte di Google quando si utilizzano siti o app dei nostri partner”.
3. Informate gli utenti che il vostro sito utilizza cookie per la raccolta di dati, per cui dovete ottenere il consenso esplicito di Google.
4. Specificate che fate uso di cookie di terze parti per rendere migliori l’esperienza di navigazione e le funzionalità del sito stesso.
5. Se il vostro account di Google Analytics è collegato ad AdWords, dovete informare l’utente. Spiegate che vi servite di cookie non solo per finalità tecniche, ma anche per attività di profilazione.

Consenso esplicito

Prima di avviare qualsiasi azione di tracciamento è indispensabile disporre del consenso esplicito dell’utente. Se l’utente non intende darlo, deve poterlo fare in maniera chiara e semplice tramite le modalità messe a disposizione nella policy. Segnalate inoltre all’utente il suo diritto a revocare il consenso anche dopo averlo dato.

Anonimizzazione di indirizzo IP e indirizzo e-mail

Anche l’indirizzo IP è considerato un “personal identifiable indicator” e serve a Google durante l’elaborazione dei dati. Per tutelare quindi la privacy dell’utente connesso ad esso, è indispensabile renderlo anonimo senza che vada a perdersi la localizzazione. A tal fine dovete attivare la funzione di anonimizzazione dell’indirizzo IP fornita da Google Analytics scegliendo una delle due opzioni possibili:

1. Se utilizzate Google Tag Manager andate su “Altre impostazioni”, poi su “Campi da impostare” e aggiungete un campo dal nome “anonymizelp” con un valore di “true”.
2. Se non vi servite di Google Tag Manager, verificate che il sistema di gestione dei tag contenga questa funzione. In caso contrario dovrete lavorare direttamente sul codice.

Prima che venga memorizzato o elaborato l’indirizzo IP Google ne eliminerà l’ultimo ottetto, ovvero una successione di tre cifre, e lo sostituirà con degli 0. A questo punto l’indirizzo IP è anonimo.

Allo stesso modo anche l’indirizzo e-mail dell’utente deve essere criptato, in questo caso conservandone il prezioso customer journey cross device.

Ricapitolando dovrete inserire:

• il banner semplificato all’apertura del sito contenente:
  • un avviso sul fatto che il vostro sito web utilizza cookie,
  • un avviso sul fatto che il vostro sito web permette l’invio di cookie a terze parti,
  • un link all’informativa completa,
  • l’indicazione che sussiste la possibilità di non rilasciare l’autorizzazione ai cookie di analisi da terze parti;
     
• l’informativa completa delle informazioni sul Codice della privacy relative ai cookie tecnici e del link all’informativa della privacy di Google Analytics;
• la notifica a pagamento (150 euro) al Garante della privacy.

Tuttavia non dovete sentirvi obbligati a utilizzare Google Analytics, poiché per fortuna esistono anche valide alternative strutturate in maniera del tutto conforme al Codice di tutela della privacy. Potete ad esempio ricorrere a Piwik o a Chartbeat, per effettuare le vostro analisi web.

Il regolamento europeo prevede multe elevate fino a 20 milioni di euro o il 4% del fatturato annuo mondiale di un'azienda (art. 83 c. 5). Gli illeciti amministrativi sono, in particolare, quelli commessi intenzionalmente o per negligenza come:

• mascherare o occultare il mittente o la natura commerciale di un messaggio;
• informare l'utente in modo incompleto o per nulla circa il tipo di raccolta dei dati;
• raccogliere, elaborare, memorizzare o non cancellare tempestivamente i dati personali violando le disposizioni di legge;
• riportare un profilo utente ai dati relativi al portatore dello pseudonimo.

Oltre alle richieste di risarcimento danni (art. 82) le persone interessate hanno anche diritto a un risarcimento sotto forma di:

• Informazioni sui dati personali memorizzati, la loro origine, lo scopo della memorizzazione e i destinatari (art. 15).
• Correzione, cancellazione e blocco dei dati personali (art. 15 par. 1e).

L’universo di Internet per via della sua struttura di informazioni ramificata che gode di una copertura globale e di un’elevatissima velocità di trasmissione fa sì che qualsiasi tipo di dato possa raggiungere ogni angolo del pianeta nel giro di una frazione di secondo. Per quanto possa essere un vantaggio in termini di comunicazione, quando si tratta però di violazione della privacy può invece rappresentare un grandissimo problema per la persona interessata. Il diritto ha quindi il dovere di stare al passo coi tempi per garantire la massima tutela dei dati personali, anche se la velocità con la quale si evolvono le tecnologie non facilita di certo il compito.

Idealmente si dovrebbe puntare a una collaborazione tra marketing e diritto. Sulle spalle delle aziende ricade infatti il dovere morale di non abusare dei propri poteri: rispettando la privacy dei vostri clienti sarete anche in grado di ottenere la loro fiducia a lungo termine. Al contrario se imponete all’utente una scelta di acquisto per cui magari non si interessa nemmeno, verrete bollati per sempre come fastidiosi e poco professionali. È dunque indispensabile che siate al corrente delle disposizioni in merito alla tutela dei dati personali perché possiate anche sapere come muovervi entro i limiti legali e sfruttare quindi al meglio ciò che la normativa vi concede di fare.

L’universo di Internet per via della sua struttura di informazioni ramificata che gode di una copertura globale e di un’elevatissima velocità di trasmissione fa sì che qualsiasi tipo di dato possa raggiungere ogni angolo del pianeta nel giro di una frazione di secondo. Per quanto possa essere un vantaggio in termini di comunicazione, quando si tratta però di violazione della privacy può invece rappresentare un grandissimo problema per la persona interessata. Il diritto ha quindi il dovere di stare al passo coi tempi per garantire la massima tutela dei dati personali, anche se la velocità con la quale si evolvono le tecnologie non facilita di certo il compito.

Idealmente si dovrebbe puntare a una collaborazione tra marketing e diritto. Sulle spalle delle aziende ricade infatti il dovere morale di non abusare dei propri poteri: rispettando la privacy dei vostri clienti sarete anche in grado di ottenere la loro fiducia a lungo termine. Al contrario se imponete all’utente una scelta di acquisto per cui magari non si interessa nemmeno, verrete bollati per sempre come fastidiosi e poco professionali. È dunque indispensabile che siate al corrente delle disposizioni in merito alla tutela dei dati personali perché possiate anche sapere come muovervi entro i limiti legali e sfruttare quindi al meglio ciò che la normativa vi concede di fare.

Vi preghiamo di osservare la nota legale relativa a questo articolo.