Cos’è la normativa GDPR e a cosa serve? Ecco le soluzioni che devono adottare i gestori di siti online e quali sono i diritti/doveri degli utenti.
Cos’è
La sigla della normativa GDPR sta per Regolamento Generale sulla Protezione dei dati. La legge è partita nel 2016 ed è stata adottata poi dal Garante della Privacy italiano. Adesso, si fa un salto di qualità in più in questo senso.
La legge tiene conto di quattro elementi fondamentali per garantire la tutela dei dati personali degli utenti:
- Come richiedere il consenso. Prima di tutto, va richiesto (con un banner e il link alla normativa, come si è fatto finora) e poi l’utente deve essere in grado di capire cosa sta accettando.
- Come gestire i dati personali. Servono organizzazione e tracciabilità sui dati raccolti.
- Tutelare i diritti degli utenti. L’utente ha diritto all’oblio, cioè a cancellare i dati e alla portabilità, cioè a passarli da un sito a un altro su richiesta.
- Gestire la privacy. Si dovrà evitare di ottenere dati inutili per la propria attività e verificare tutti i passaggi dalla raccolta alla cancellazione dei dati.
Cosa si deve fare per evitare le sanzioni
La normativa GDPR impone che il gestore del sito sappia e organizzi i dati raccolti, anche a fini marketing, quali sono gli utenti in target e come utilizzare i dati. In più, l’informativa all’interno dei siti deve far capire come funziona e come tutelarsi.
Per fare un check di quello che c’è da fare, si può usare il DPIA, scaricabile da sito del Garante della Privacy. Infine, se ci sono fughe di dati, il gestore deve informare subito il Garante.
Come organizzarsi con le campagne di email marketing
Da questo momento, quindi, è necessario fare maggiore attenzione al trattamento dei dati personali. Prima di tutto, serve una mail dopo l’iscrizione che confermi la stessa. L’utente dovrà essere informato qui su come saranno usati i suoi dati.
Il consenso al trattamento dei dati sarà fondamentale da oggi in poi. in più, va spiegato chi userà i dati e come con un’adeguata informativa. Infine, si deve assolutamente rendere veloce l’eventuale richiesta di diritto all’oblio e gestire in modo trasparente i dati, in modo da ottenere un’organizzazione realmente efficace.
Per i dati ottenuti in precedenza, questi dovranno essere messi in ordine secondo la nuova normativa, altrimenti le sanzioni saranno molto care. L’obbligo scatta solo per le aziende con più di 250 dipendenti, ma è bene adeguarsi tutti per non essere colti di sorpresa.
I provvedimenti cominceranno a essere messi in atto dal 25 maggio 2018.
Una nuova figura professionale
Date tutte le regolamentazioni da seguire, nasce così una nuova figura professionale. Si tratta del Data Privacy Officer. Questa figura, nominata dal Garante, è una sorta di curatore dei dati, che deve verificare eventuali anomalie post- segnalazione.
Naturalmente, una figura del genere è importante anche per le aziende di medie-grandi dimensioni, che possono far gestire i dati a questa persona per garantirsi poi sull’adempimento dei provvedimenti di legge.
Quali sono i diritti/doveri dell’utente
L’utente deve avere il dovere di leggere quali sono i suoi diritti. Una volta dato il consenso, dovrà essere consapevole. In più, dovrà perdere qualche minuto di vita per firmare le informative dove necessario.
Infine, l’utente deve informare subito il gestore se vuole cancellare i propri dati, così da provvedere a un’immediata rimozione. L’utente non è tenuto a denunciare eventuali irregolarità al Garante ma, se lo fa, deve avere le prove, perché il DPO farà senz’altro dei controlli prima che si avvii qualsiasi procedimento legale.
Alla fine, che si fa?
Prima di tutto, la normativa GDPR non deve far mettere nel panico. Infatti, basta pochissimo per adeguarsi alla normativa. Per cominciare, è bene mettere a posto gli indirizzi e-mail e informare gli utenti sulla novità.
Chi si vuole cancellare, potrà farlo senza problemi. Non ci sarà un addio all’email marketing e neanche qualche altra catastrofe naturale. Serve solo farci l’abitudine. Con un linguaggio chiaro e semplice, non ci saranno problemi, anzi.
L’utente potrebbe apprezzare questo rispetto nei suoi confronti. A questo punto, è importante verificare tutti i dati. Una volta che tutto è sistemato, si ripartirà con un nuovo slancio.
Molta attenzione dovranno farla le aziende che vendono dati degli utenti, ovvero le liste di utenti potenzialmente interessati. In questo caso, è importante che l’utente sappia a chi potrebbe essere venduto il suo dato e dare il proprio consenso.
Per piccoli progetti, come e-commerce e blog, si hanno già delle liste di utenti iscritti alla propria newsletter. Quindi, niente di preoccupante, ma solo una nuova consapevolezza che finalmente viene alla luce.
Per fortuna, c’è anche il DPIA che si può seguire passo passo per vedere se è tutto in regola. Le aziende non meno di 250 dipendenti non sono obbligate, ma è importante dare sempre un carattere di serietà professionale al proprio progetto. Perché rischiare?
