Un’in­for­ma­ti­va sulla privacy per il proprio sito web

Un’in­for­ma­ti­va sulla privacy è una spie­ga­zio­ne per iscritto delle misure applicate da un’azienda o un’or­ga­niz­za­zio­ne, per garantire la sicurezza e l’utilizzo a norma di legge dei dati dei clienti e degli utenti rilevati e re­gi­stra­ti dal momento dell’accesso al sito. Inoltre tale in­for­ma­ti­va serve anche a mettere l’utente al corrente dei metodi di raccolta, ar­chi­via­zio­ne e del suc­ces­si­vo utilizzo dei dati, inclusa la fornitura a soggetti terzi.

Un’in­for­ma­ti­va sulla privacy è una spie­ga­zio­ne per iscritto delle misure applicate da un’azienda o un’or­ga­niz­za­zio­ne, per garantire la sicurezza e l’utilizzo a norma di legge dei dati dei clienti e degli utenti rilevati e re­gi­stra­ti dal momento dell’accesso al sito. Inoltre, tale in­for­ma­ti­va serve anche a mettere l’utente al corrente dei metodi di raccolta, ar­chi­via­zio­ne e del suc­ces­si­vo utilizzo dei dati, inclusa la fornitura a soggetti terzi.

La legge sulla privacy è ovunque piuttosto complessa. I gestori di siti e online shop, durante la pre­pa­ra­zio­ne di un’in­for­ma­ti­va sulla pro­te­zio­ne dei dati, devono tenere in conto il loro obbligo d’in­for­ma­zio­ne, in base al d.lgs. n. 196 sul “Codice in materia di pro­te­zio­ne dei dati personali”, che prevede vengano fornite ai soggetti in­te­res­sa­ti le in­for­ma­zio­ni in merito al trat­ta­men­to dei propri dati personali. Vale a dire che colui che eroga i servizi deve de­scri­ve­re in modo chiaro e preciso come avviene il processo di raccolta dati, se per esempio vengono me­mo­riz­za­ti solo nome utente e indirizzo e-mail o anche altri dati.

Al giorno d’oggi è pra­ti­ca­men­te im­pos­si­bi­le gestire un sito web senza raccolta di dati, perciò in ogni sito web dovrebbe anche essere presente un’in­for­ma­ti­va sulla privacy. Questo vi aiuterà aIn questo modo siete a norma di legge  prevenire gli av­ver­ti­men­ti e a for­ni­re­for­ni­te un im­por­tan­te servizio ai vostri vi­si­ta­to­ri.

Mentre la funzione della raccolta dati in un negozio online e la necessità dell’in­for­ma­ti­va sulla pro­te­zio­ne sono fa­cil­men­te com­pren­si­bi­li, in altri siti la si­tua­zio­ne sembra piuttosto diversa. Vengono raccolti e me­mo­riz­za­ti au­to­ma­ti­ca­men­te diversi dati, spesso ad­di­rit­tu­ra senza che il gestore ne sia con­sa­pe­vo­le: server web pro­to­col­la­no indirizzi IP nei file di log, i pulsanti social media collegati for­ni­sco­no in­for­ma­zio­ni personali ai social network e anche i cookie me­mo­riz­za­no in­for­ma­zio­ni sull’utente e sul suo com­por­ta­men­to sul web.

Un tema ancora scottante è quello che riguarda gli strumenti di analisi web come Google Analytics, che pro­to­col­la­no il traffico di dati. Questo strumento di Google è par­ti­co­lar­men­te pro­ble­ma­ti­co per quanto riguarda la legge sulla pro­te­zio­ne dei dati, in quanto gli indirizzi IP dell’utente vengono me­mo­riz­za­ti su server sta­tu­ni­ten­si.

Per non dover chiedere all’utente il consenso ne­ces­sa­rio, i gestori di siti web possono prov­ve­de­re all’ab­bre­via­zio­ne dell’indirizzo IP togliendo le ultime cifre, facendo in modo che non si possa risalire pre­ci­sa­men­te alla persona.

Prima dell’entrata in vigore del GDPR la pre­sen­ta­zio­ne di un’in­for­ma­ti­va sulla pro­te­zio­ne dei dati personali in­com­ple­ta o assente era punibile con sanzioni dai 6.000 ai 36.000 euro, come stabilito dal d.lgs 196/03, importo rad­dop­pia­bi­le in base alla gravità della vio­la­zio­ne della legge.

A partire dalla metà del 2018, come riportato dal Garante della Privacy, chi omette com­ple­ta­men­te l’in­for­ma­ti­va sulla privacy o ne fornisce una inidonea sarà punito con la sanzione am­mi­ni­stra­ti­va pe­cu­nia­ria stabilita dall’articolo 83, paragrafo 5, lett. b) del Re­go­la­men­to (UE) 2016/679, cor­ri­spon­den­te a un massimo di 20 milioni di euro o, per le imprese, fino al 4 % del fatturato mondiale totale annuo dell’esercizio pre­ce­den­te, se superiore.

In qualità di gestori di un sito siete obbligati a informare gli utenti sulla raccolta e sulla pro­te­zio­ne di dati personali a partire dal momento in cui gli utenti iniziano a uti­liz­za­re il vostro sito. In pratica però su un sito web diventa spesso difficile fornire in modo suf­fi­cien­te queste in­for­ma­zio­ni mentre si rac­col­go­no i dati. Per questo motivo è buona prassi quella di rendere l’in­for­ma­ti­va sulla privacy fa­cil­men­te ac­ces­si­bi­le da ogni pagina del vostro sito web, così come per l’impressum se presente.

Il modo migliore per farlo è quello di dedicarle una pagina, rag­giun­gi­bi­le da qualunque altra pagina del sito at­tra­ver­so un col­le­ga­men­to. Inoltre, bisogna prestare at­ten­zio­ne al fatto che tali link non vengano coperti o nascosti da banner vari e che l’in­for­ma­ti­va sia ben vi­sua­liz­za­bi­le e leggibile da diversi tipi di browser e di­spo­si­ti­vi (PC, tablet, smart­pho­ne, ecc.).

Un altro im­por­tan­te aspetto è che l’in­for­ma­ti­va sulla privacy sia formulata in maniera precisa, tra­spa­ren­te e com­pren­si­bi­le, evitando per esempio termini tecnici e giuridici. In base alla propria cerchia di clienti o utenti, è im­por­tan­te che le in­for­ma­zio­ni vengano messe a di­spo­si­zio­ne non solo in italiano, ma anche nelle lingue degli utenti in­te­res­sa­ti. Le di­chia­ra­zio­ni dell’articolo 12 del GDPR sono decisive su questo punto. Inoltre, è con­si­glia­bi­le dare una struttura chiara a questa in­for­ma­ti­va e usare elementi come elenchi o tabelle in modo che gli utenti possano scorrere ra­pi­da­men­te il contenuto.

Da un punto di vista con­te­nu­ti­sti­co è invece im­por­tan­te badare alla cor­ret­tez­za e alla com­ple­tez­za delle in­for­ma­zio­ni. Se fino adesso non era del tutto chiaro quali fossero le in­for­ma­zio­ni im­pre­scin­di­bi­li, l’articolo 13 del GDPR fornisce un catalogo generale degli obblighi e delle in­for­ma­zio­ni ag­giun­ti­ve che non possono mancare nell’in­for­ma­ti­va sulla privacy.

È im­por­tan­te includere i dati di contatto dell’azienda e delle persone re­spon­sa­bi­li dell’ela­bo­ra­zio­ne dei dati personali degli utenti. Oltre ai nomi è ne­ces­sa­rio riportare un indirizzo postale valido così come un indirizzo e-mail e un numero te­le­fo­ni­co. Se la sede dell’azienda o del re­spon­sa­bi­le del sito è al di fuori dell’Unione Europea è ne­ces­sa­rio indicare anche i dati di contatto dei re­spon­sa­bi­li. Il relativo paragrafo della vostra in­for­ma­ti­va sulla privacy potrebbe as­so­mi­glia­re all’esempio riportato qui di seguito.

Se all’interno della vostra azienda il numero di persone addette all’ela­bo­ra­zio­ne au­to­ma­tiz­za­ta dei dati è superiore alle venti unità o se l’attività prin­ci­pa­le dell’azienda stessa è legata alla tra­smis­sio­ne com­mer­cia­le di dati personali, allora siete obbligati a indicare un re­spon­sa­bi­le della pro­te­zio­ne dei dati. Lo stesso vale anche quando lavorate con par­ti­co­la­ri categorie di dati personali, come l’orien­ta­men­to politico, la fede religiosa o l’origine etnica. In ciascuno di questi casi è ne­ces­sa­rio indicare i dati di contatto della persona re­spon­sa­bi­le, che può essere sia interna che esterna all’azienda.

È vostro dovere informare gli utenti riguardo ai fon­da­men­ti giuridici per la ri­le­va­zio­ne e l’ela­bo­ra­zio­ne dei dati personali. A questo scopo è ne­ces­sa­rio che si verifichi una delle con­di­zio­ni dell’articolo 6 del GDPR:

• L’in­te­res­sa­to ha dato il proprio consenso.
• L’ela­bo­ra­zio­ne dati è ne­ces­sa­ria per adempiere a un contratto tra voi e la persona in­te­res­sa­ta o per l’ese­cu­zio­ne di azioni pre­con­trat­tua­li.
• Il re­spon­sa­bi­le adempie a un dovere legale al quale sottostà.
• L’ela­bo­ra­zio­ne serve alla pro­te­zio­ne di interessi di valore vitali dell’in­te­res­sa­to o di un’altra persona.
• L’ela­bo­ra­zio­ne serve l’interesse pubblico.
• L’ela­bo­ra­zio­ne è ne­ces­sa­ria per garantire interessi legittimi del re­spon­sa­bi­le o di un soggetto terzo (sempre ammesso che non vengano inficiati i diritti di base e di libertà dell’in­te­res­sa­to).ella persona in­te­res­sa­ta, allora la base giuridica è l’articolo 6 paragrafo 1 comma 1f del GDPR.

All’interno della vostra in­for­ma­ti­va sulla privacy, oltre ai fon­da­men­ti giuridici, dovete addurre anche gli obiettivi per l’ela­bo­ra­zio­ne delle relative in­for­ma­zio­ni personali. Dunque, per una maggiore tra­spa­ren­za, è con­si­glia­bi­le rendere di pubblica co­no­scen­za anche tutte le com­po­nen­ti del vostro progetto web che rac­col­go­no dati, ad esempio:

• Moduli di contatto
• Re­gi­stra­zio­ne alla new­slet­ter
• Campi di im­mis­sio­ne dati (ad esempio i dati bancari all’interno del carrello degli acquisti)
• Codici per il trac­cia­men­to
• Plug-in di terze parti (ad esempio i pulsanti social)
• Contenuti di terzi (ad esempio video YouTube)
• Giochi a premi
• Cookie

Nel caso in cui la base giuridica della raccolta e dell‘ela­bo­ra­zio­ne dati sia il già men­zio­na­to articolo 6 paragrafo 1 lettera f del GDPR, allora dovreste mettere per iscritto anche i vostri legittimi interessi. Suc­ces­si­va­men­te dovreste ac­cer­tar­vi di garantire nel miglior modo possibile gli interessi e i diritti dei vostri utenti. Obiettivi tipici possono essere l’analisi del com­por­ta­men­to dei vi­si­ta­to­ri fi­na­liz­za­ta all’ot­ti­miz­za­zio­ne del sito web, oppure orientata a fornire contenuti per­so­na­liz­za­ti o ad attuare misure di marketing.

Nell’in­for­ma­ti­va sulla privacy siete anche tenuti a informare i vostri utenti dell’eventuale inoltro a parti terze dei dati raccolti, come ad esempio i servizi di pagamento nel caso in cui gestiate un negozio online.

Allo stesso modo va fatto ri­fe­ri­men­to all’im­ple­men­ta­zio­ne di cookie di fornitori terzi e di esten­sio­ni di terze parti, nel caso in cui il loro utilizzo sia legato alle in­for­ma­zio­ni personali. A questo riguardo vanno men­zio­na­ti i codici per il trac­cia­men­to delle attività e i pulsanti social. In entrambi i casi potete fare ri­fe­ri­men­to a un interesse le­gal­men­te valido, per renderne lecito l’utilizzo. Tuttavia, è con­si­glia­bi­le ri­chie­de­re comunque il benestare del vi­si­ta­to­re e nel caso dei pulsanti social uti­liz­za­re as­so­lu­ta­men­te un pro­ce­di­men­to ri­spet­to­so della pro­te­zio­ne dei dati, come ad esempio la co­sid­det­ta two-click solution.

Inoltre vanno citati come riceventi anche i servizi pub­bli­ci­ta­ri come Google AdSense o AdWords, sempre che li uti­liz­zia­te per sup­por­ta­re e fi­nan­zia­re il vostro progetto.

Per rendere l’ela­bo­ra­zio­ne dei dati il più corretta e tra­spa­ren­te possibile, dovreste rendere nota la durata dell’ar­chi­via­zio­ne dei dati personali. Se non è possibile sarà suf­fi­cien­te indicare i parametri che in­fluen­za­no l’ar­chi­via­zio­ne dei dati. Quindi potete fare di­chia­ra­zio­ni concrete per quel che riguarda la me­mo­riz­za­zio­ne di indirizzi IP (anonimi) nei file di log, se ad esempio avete previsto una can­cel­la­zio­ne dopo un lasso di tempo pre­sta­bi­li­to. Se invece lavorate con cookie che rendono iden­ti­fi­ca­bi­li gli utenti solo per il tempo della loro visita al vostro sito, l’ar­chi­via­zio­ne dei dati dipende dalle singole visite da parte degli utenti.

Tutti gli utenti di cui vengono raccolti dati pos­sie­do­no una serie di diritti de­no­mi­na­ti anche diritti degli in­te­res­sa­ti. L’articolo 15 del GDPR “Diritto di accesso dell’in­te­res­sa­to” sta­bi­li­sce il diritto di ottenere in­for­ma­zio­ni det­ta­glia­te riguardo ai fini dell’ela­bo­ra­zio­ne dati, ai possibili de­sti­na­ta­ri dei dati, all’origine e alla durata di ar­chi­via­zio­ne. Oltre a questo gli utenti hanno anche il diritto di rettifica grazie all’articolo 16 e, nel caso si pre­sen­ti­no de­ter­mi­na­te cir­co­stan­ze, il diritto alla can­cel­la­zio­ne dei dati personali, anche de­no­mi­na­to “diritto all’oblio”.

I vostri utenti devono sempre essere messi al corrente nel caso in cui la fornitura dei dati personali è prevista giu­ri­di­ca­men­te o con­trat­tual­men­te o ne­ces­sa­ria per la chiusura di un contratto. Inoltre è ne­ces­sa­rio rendere noto le con­se­guen­ze dell’omissione dei dati.

Se uti­liz­za­te processi de­ci­sio­na­li au­to­ma­tiz­za­ti, incluso il profiling (in italiano: “pro­fi­la­zio­ne”), siete costretti a fare di­chia­ra­zio­ni chiare riguardo alla logica che ne sta alla base. Si tratta prin­ci­pal­men­te di iden­ti­fi­ca­re l’entità e l’impatto de­si­de­ra­ti che questi processi di ela­bo­ra­zio­ne dei dati hanno sulle persone in­te­res­sa­te. Alla base vi è il fatto che i vostri utenti hanno il diritto “di non essere sot­to­po­sti a una decisione basata uni­ca­men­te sul trat­ta­men­to au­to­ma­tiz­za­to, compresa la pro­fi­la­zio­ne, che produca effetti giuridici che lo ri­guar­da­no o che incida in modo analogo si­gni­fi­ca­ti­va­men­te sulla sua persona“ (Articolo 22 del GDPR).

Tuttavia questo diritto non vale se il processo au­to­ma­tiz­za­to è ne­ces­sa­rio per la chiusura del contratto o per la sua com­pi­la­zio­ne, se le normative europee o dei singoli Stati membri lo per­met­to­no o se avviene con il consenso della persona in­te­res­sa­ta.

Il Re­go­la­men­to generale sulla pro­te­zio­ne dei dati rende la privacy nei paesi dell’Unione europea più tra­spa­ren­te, più com­pren­si­bi­le e più sicura. La necessità di un’in­for­ma­ti­va completa e cor­ret­ta­men­te redatta rap­pre­sen­ta la parte centrale, in modo par­ti­co­la­re per i gestori di siti web che hanno spesso a che fare con una gran­dis­si­ma quantità di dati personali diversi tra loro. Se avete  redatto un’in­for­ma­ti­va sulla privacy ancora secondo il vecchio modello, a rap­pre­sen­ta­re le maggiori novità tra i punti sopra elencati saranno la ri­ve­la­zio­ne delle basi giu­ri­di­che e i ri­fe­ri­men­ti ai diritti degli utenti.

Na­tu­ral­men­te questi due aspetti non sono le uniche dif­fe­ren­ze rispetto ai vecchi modelli. In quanto re­spon­sa­bi­li avete più che mai il compito di chiarire il senso e l’obiettivo della vostra ela­bo­ra­zio­ne dati e farlo in maniera che ai vostri utenti non rimangano dubbi di alcun tipo. Nel caso in cui questo capiti, ovvero che i vostri utenti abbiano delle domande in merito, voi o il vostro re­spon­sa­bi­le della pro­te­zio­ne dei dati dovete essere pronti a fornire le risposte ne­ces­sa­rie. Il GDPR rende chiaro che gli utenti vanno informati il prima possibile e comunque sempre prima che i dati vengano rilevati.

La riforma unitaria sem­pli­fi­ca la gestione delle in­fra­zio­ni da parte dei tribunali. Con­si­de­ran­do poi la pos­si­bi­li­tà di sanzioni fino a 20 milioni di euro, è ne­ces­sa­rio fare estrema at­ten­zio­ne all’in­for­ma­ti­va sulla tutela dei dati.

Su Internet trovate numerosi modelli gratuiti che vi aiutano a creare in­for­ma­ti­ve sulla pro­te­zio­ne di dati personali per il vostro sito web. Ci sono modelli già pronti sia per le in­for­ma­ti­ve generali sulla raccolta e pro­te­zio­ne dei dati dell’utente sia per categorie speciali, come per esempio social network (Facebook, Twitter e altri), cookie, moduli di contatto o invio di new­slet­ter. È di­spo­ni­bi­le anche l’in­for­ma­ti­va per Google Analytics o altri strumenti di analisi in un modulo già compilato inclusivo di link per gli utenti che non sono d’accordo con la re­gi­stra­zio­ne e la cessione dei loro dati.

Insieme ai diversi modelli alcuni siti offrono anche ge­ne­ra­to­ri di in­for­ma­ti­ve per la raccolta di dati. Potete affidarvi al sito del Garante per la pro­te­zio­ne dei dati personali per as­si­cu­rar­vi di includere tutte le in­for­ma­zio­ni in maniera chiara e precisa.

Nel caso in cui non siate sicuri di avere inserito la giusta in­for­ma­ti­va sulla privacy o abbiate ancora domande spe­ci­fi­che è con­si­glia­bi­le ri­vol­ger­si a esperti legali.

Vi preghiamo di osservare la nota legale relativa a questo articolo.