La tutela dei dati personali nella realtà del commercio online

Con dati personali si intendono tutte le in­for­ma­zio­ni relative a una persona fisica iden­ti­fi­ca­ta o iden­ti­fi­ca­bi­le che ne esprimono l’identità fisica, fi­sio­lo­gi­ca, genetica, psichica, economica culturale e sociale. Ciò include (ma non solo):

• nome, data di nascita, indirizzo, cit­ta­di­nan­za;
• codice fiscale;
• dati bancari;
• indirizzo IP, cookie, dati GPS sulla geo­lo­ca­liz­za­zio­ne;
• genere, colore della pelle, dei capelli, degli occhi;
• proprietà;
• dati cliente online;
• cer­ti­fi­ca­ti di for­ma­zio­ne e pro­fes­sio­na­li.

I dati personali sono quindi in­for­ma­zio­ni che possono essere di­ret­ta­men­te o in­di­ret­ta­men­te associate a una de­ter­mi­na­ta persona, per cui l'as­se­gna­zio­ne del nome è il criterio di iden­ti­fi­ca­zio­ne decisivo.

I dati non personali, invece, sono dati raccolti in forma anonima e non possono essere uti­liz­za­ti per iden­ti­fi­ca­re una persona specifica. Ciò può ad esempio includere, a con­di­zio­ne che la prima in­te­ra­zio­ne con l'utente sia com­ple­ta­men­te anonima, l'in­di­ca­zio­ne del sesso, i dati dei vi­si­ta­to­ri su de­ter­mi­na­ti siti web o altre in­for­ma­zio­ni non spe­ci­fi­che. Tali dati non personali non vengono in­fluen­za­ti dalla legge sulla pro­te­zio­ne dei dati. In qualità di im­pren­di­to­re o com­mer­cian­te, potete quindi uti­liz­za­re questo tipo di dati per compilare sta­ti­sti­che o profili di utenti senza previo consenso o au­to­riz­za­zio­ne ai sensi della legge sulla pro­te­zio­ne dei dati; tuttavia, dovete as­si­cu­rar­vi che non possano essere associati a una persona fisica.

Più pro­ble­ma­ti­ca è l'e­la­bo­ra­zio­ne dei co­sid­det­ti dati "pseu­do­ni­miz­za­ti" (art. 4 cpv. 5 RGPD), ossia dei dati che vengono me­mo­riz­za­ti con uno pseu­do­ni­mo per il ri­spet­ti­vo utente. Possono essere uti­liz­za­ti per creare profili utente molto più specifici. Qui si apre una zona d'ombra giuridica, in quanto spesso è difficile per i gestori dei siti web vedere im­me­dia­ta­men­te se de­ter­mi­na­ti dati possono essere di­ret­ta­men­te o in­di­ret­ta­men­te associati a una persona fisica. Per questo motivo anche in questo caso dovete informare i vostri clienti sulla raccolta dei dati e segnalare loro sin da subito il diritto di op­po­si­zio­ne.

Le di­spo­si­zio­ni del Re­go­la­men­to generale sono destinate a coprire l'intera gamma dei processi rilevanti ai fini del diritto in materia di pro­te­zio­ne dei dati. Il vantaggio è che il nuovo re­go­la­men­to di base tiene già conto dei futuri sviluppi tec­no­lo­gi­ci e non deve pertanto essere co­stan­te­men­te ag­gior­na­to. Tuttavia, le for­mu­la­zio­ni piuttosto astratte hanno anche un effetto col­la­te­ra­le negativo: possono essere in­ter­pre­ta­te in larga misura e sono quindi soggette a con­tro­ver­sie; molte questioni (ad esempio in materia di web tracking) saranno chiarite dai tribunali com­pe­ten­ti solo nel corso del tempo.

Questa in­cer­tez­za giuridica ha finora causato molta con­fu­sio­ne e acceso diversi dibattiti nelle imprese in­te­res­sa­te. Ma siccome i cam­bia­men­ti apportati dal re­go­la­men­to europeo ri­guar­da­no prin­ci­pal­men­te i dettagli, molte delle norme vigenti in materia di pro­te­zio­ne dei dati nel commercio elet­tro­ni­co rimangono valide, il che rende il passaggio meno im­prov­vi­so e difficile per le aziende.

In merito alla tutela dei dati personali, la posizione del tool di analisi web Google Analytics è molto con­tro­ver­sa. Fra le altre cose il tool gratuito fornisce in­for­ma­zio­ni sulla pro­ve­nien­za dei vi­si­ta­to­ri, il loro tempo di per­ma­nen­za sui singoli siti web e infine quali pagine hanno visitato con maggiore frequenza. Google non solo rileva i dati relativi all’utente come l’indirizzo IP, il tipo di browser, e anche la data e l’ora della visita al sito web senza il previo consenso del soggetto in­te­res­sa­to, ma ad­di­rit­tu­ra li salva. In questo modo la mul­ti­na­zio­na­le sta­tu­ni­ten­se è in grado di ri­co­strui­re un profilo utente completo che sia quindi as­so­cia­bi­le a una persona specifica.

La giu­sti­fi­ca­zio­ne per un simile modus operandi si riscontra nella le­gi­sla­zio­ne degli Stati Uniti d’America: al contrario dell’Unione Europea, la legge per la tutela della privacy sta­tu­ni­ten­se è molto più fles­si­bi­le. Siccome però in Italia vige un Codice della privacy ben definito, è in­di­spen­sa­bi­le adat­tar­vi­si per non incorrere in com­por­ta­men­ti illeciti. A questo scopo se vi servite di Google Analytics, saprete che il tool installa dei cookie di pro­fi­la­zio­ne: questi me­mo­riz­za­no gli indirizzi IP dei vi­si­ta­to­ri, con­si­de­ra­ti dati sensibili dal Garante della privacy.

Per questo motivo per garantire un certo livello di tutela della privacy, dovrete adottare le seguenti misure.

Accettare il DPA

Sul vostro profilo di Google Analytics andate alla voce “Im­po­sta­zio­ne dell’account”: qui dovete con­fer­ma­re di accettare i “Google Ads Data Pro­ces­sing Terms”, re­cen­te­men­te ag­gior­na­ti in con­for­mi­tà al Re­go­la­men­to generale europeo.

Pub­bli­ca­re una nuova in­for­ma­ti­va sul vostro sito web

Va da sé che con l’in­tro­du­zio­ne della nuova normativa sulla pro­te­zio­ne dei dati sono da ag­gior­na­re tutti gli aspetti ad essa legati, come ad esempio l’in­for­ma­ti­va presente sul vostro sito web. Eseguite i seguenti passaggi:

1. Ag­gior­na­te l’in­for­ma­ti­va indicando che fate uso di Google Analytics, il quale raccoglie ed elabora i dati.
2. Inserite il link al contenuto di Google “Modalità di utilizzo dei dati da parte di Google quando si uti­liz­za­no siti o app dei nostri partner”.
3. Informate gli utenti che il vostro sito utilizza cookie per la raccolta di dati, per cui dovete ottenere il consenso esplicito di Google.
4. Spe­ci­fi­ca­te che fate uso di cookie di terze parti per rendere migliori l’espe­rien­za di na­vi­ga­zio­ne e le fun­zio­na­li­tà del sito stesso.
5. Se il vostro account di Google Analytics è collegato ad AdWords, dovete informare l’utente. Spiegate che vi servite di cookie non solo per finalità tecniche, ma anche per attività di pro­fi­la­zio­ne.

Consenso esplicito

Prima di avviare qualsiasi azione di trac­cia­men­to è in­di­spen­sa­bi­le disporre del consenso esplicito dell’utente. Se l’utente non intende darlo, deve poterlo fare in maniera chiara e semplice tramite le modalità messe a di­spo­si­zio­ne nella policy. Segnalate inoltre all’utente il suo diritto a revocare il consenso anche dopo averlo dato.

Ano­ni­miz­za­zio­ne di indirizzo IP e indirizzo e-mail

Anche l’indirizzo IP è con­si­de­ra­to un “personal iden­ti­fia­ble indicator” e serve a Google durante l’ela­bo­ra­zio­ne dei dati. Per tutelare quindi la privacy dell’utente connesso ad esso, è in­di­spen­sa­bi­le renderlo anonimo senza che vada a perdersi la lo­ca­liz­za­zio­ne. A tal fine dovete attivare la funzione di ano­ni­miz­za­zio­ne dell’indirizzo IP fornita da Google Analytics sce­glien­do una delle due opzioni possibili:

1. Se uti­liz­za­te Google Tag Manager andate su “Altre im­po­sta­zio­ni”, poi su “Campi da impostare” e ag­giun­ge­te un campo dal nome “ano­ny­mi­zelp” con un valore di “true”.
2. Se non vi servite di Google Tag Manager, ve­ri­fi­ca­te che il sistema di gestione dei tag contenga questa funzione. In caso contrario dovrete lavorare di­ret­ta­men­te sul codice.

Prima che venga me­mo­riz­za­to o elaborato l’indirizzo IP Google ne eliminerà l’ultimo ottetto, ovvero una suc­ces­sio­ne di tre cifre, e lo so­sti­tui­rà con degli 0. A questo punto l’indirizzo IP è anonimo.

Allo stesso modo anche l’indirizzo e-mail dell’utente deve essere criptato, in questo caso con­ser­van­do­ne il prezioso customer journey cross device.

Ri­ca­pi­to­lan­do dovrete inserire:

• il banner sem­pli­fi­ca­to all’apertura del sito con­te­nen­te:
  • un avviso sul fatto che il vostro sito web utilizza cookie,
  • un avviso sul fatto che il vostro sito web permette l’invio di cookie a terze parti,
  • un link all’in­for­ma­ti­va completa,
  • l’in­di­ca­zio­ne che sussiste la pos­si­bi­li­tà di non ri­la­scia­re l’au­to­riz­za­zio­ne ai cookie di analisi da terze parti;
     
• l’in­for­ma­ti­va completa delle in­for­ma­zio­ni sul Codice della privacy relative ai cookie tecnici e del link all’in­for­ma­ti­va della privacy di Google Analytics;
• la notifica a pagamento (150 euro) al Garante della privacy.

Tuttavia non dovete sentirvi obbligati a uti­liz­za­re Google Analytics, poiché per fortuna esistono anche valide al­ter­na­ti­ve strut­tu­ra­te in maniera del tutto conforme al Codice di tutela della privacy. Potete ad esempio ricorrere a Piwik o a Chartbeat, per ef­fet­tua­re le vostro analisi web.

Il re­go­la­men­to europeo prevede multe elevate fino a 20 milioni di euro o il 4% del fatturato annuo mondiale di un'a­zien­da (art. 83 c. 5). Gli illeciti am­mi­ni­stra­ti­vi sono, in par­ti­co­la­re, quelli commessi in­ten­zio­nal­men­te o per ne­gli­gen­za come:

• ma­sche­ra­re o occultare il mittente o la natura com­mer­cia­le di un messaggio;
• informare l'utente in modo in­com­ple­to o per nulla circa il tipo di raccolta dei dati;
• rac­co­glie­re, elaborare, me­mo­riz­za­re o non can­cel­la­re tem­pe­sti­va­men­te i dati personali violando le di­spo­si­zio­ni di legge;
• riportare un profilo utente ai dati relativi al portatore dello pseu­do­ni­mo.

Oltre alle richieste di ri­sar­ci­men­to danni (art. 82) le persone in­te­res­sa­te hanno anche diritto a un ri­sar­ci­men­to sotto forma di:

• In­for­ma­zio­ni sui dati personali me­mo­riz­za­ti, la loro origine, lo scopo della me­mo­riz­za­zio­ne e i de­sti­na­ta­ri (art. 15).
• Cor­re­zio­ne, can­cel­la­zio­ne e blocco dei dati personali (art. 15 par. 1e).

L’universo di Internet per via della sua struttura di in­for­ma­zio­ni ra­mi­fi­ca­ta che gode di una copertura globale e di un’ele­va­tis­si­ma velocità di tra­smis­sio­ne fa sì che qualsiasi tipo di dato possa rag­giun­ge­re ogni angolo del pianeta nel giro di una frazione di secondo. Per quanto possa essere un vantaggio in termini di co­mu­ni­ca­zio­ne, quando si tratta però di vio­la­zio­ne della privacy può invece rap­pre­sen­ta­re un gran­dis­si­mo problema per la persona in­te­res­sa­ta. Il diritto ha quindi il dovere di stare al passo coi tempi per garantire la massima tutela dei dati personali, anche se la velocità con la quale si evolvono le tec­no­lo­gie non facilita di certo il compito.

Ideal­men­te si dovrebbe puntare a una col­la­bo­ra­zio­ne tra marketing e diritto. Sulle spalle delle aziende ricade infatti il dovere morale di non abusare dei propri poteri: ri­spet­tan­do la privacy dei vostri clienti sarete anche in grado di ottenere la loro fiducia a lungo termine. Al contrario se imponete all’utente una scelta di acquisto per cui magari non si interessa nemmeno, verrete bollati per sempre come fa­sti­dio­si e poco pro­fes­sio­na­li. È dunque in­di­spen­sa­bi­le che siate al corrente delle di­spo­si­zio­ni in merito alla tutela dei dati personali perché possiate anche sapere come muovervi entro i limiti legali e sfruttare quindi al meglio ciò che la normativa vi concede di fare.

L’universo di Internet per via della sua struttura di in­for­ma­zio­ni ra­mi­fi­ca­ta che gode di una copertura globale e di un’ele­va­tis­si­ma velocità di tra­smis­sio­ne fa sì che qualsiasi tipo di dato possa rag­giun­ge­re ogni angolo del pianeta nel giro di una frazione di secondo. Per quanto possa essere un vantaggio in termini di co­mu­ni­ca­zio­ne, quando si tratta però di vio­la­zio­ne della privacy può invece rap­pre­sen­ta­re un gran­dis­si­mo problema per la persona in­te­res­sa­ta. Il diritto ha quindi il dovere di stare al passo coi tempi per garantire la massima tutela dei dati personali, anche se la velocità con la quale si evolvono le tec­no­lo­gie non facilita di certo il compito.

Ideal­men­te si dovrebbe puntare a una col­la­bo­ra­zio­ne tra marketing e diritto. Sulle spalle delle aziende ricade infatti il dovere morale di non abusare dei propri poteri: ri­spet­tan­do la privacy dei vostri clienti sarete anche in grado di ottenere la loro fiducia a lungo termine. Al contrario se imponete all’utente una scelta di acquisto per cui magari non si interessa nemmeno, verrete bollati per sempre come fa­sti­dio­si e poco pro­fes­sio­na­li. È dunque in­di­spen­sa­bi­le che siate al corrente delle di­spo­si­zio­ni in merito alla tutela dei dati personali perché possiate anche sapere come muovervi entro i limiti legali e sfruttare quindi al meglio ciò che la normativa vi concede di fare.

Vi preghiamo di osservare la nota legale relativa a questo articolo.