In breve: Chi gestisce un sito con dati personali è titolare del trattamento. Servono: elenco dei trattamenti, informativa chiara, banner dei cookie corretto, consensi per il marketing con prova, accordi con i fornitori, procedura per i diritti dei clienti (risposta entro un mese), misure di sicurezza e notifica al Garante entro 72 ore in caso di violazione con rischi.
Chi gestisce un sito che raccoglie dati personali è titolare del trattamento. Un modulo di contatto lo è. Un negozio con clienti registrati lo è ancora di più. Il Regolamento europeo (GDPR) non chiede di essere giuristi. Chiede di sapere quali dati tratti e perché e di poterlo dimostrare.
Questa è una guida pratica e non una consulenza legale. Per i casi particolari rivolgiti a un professionista della privacy.
1. Sapere quali dati raccogli
Il primo passo è un elenco. Dove entrano dati personali? Moduli di contatto, registrazione, ordini, newsletter e assistenza. Strumenti di analisi, pixel pubblicitari e chat. Per ognuno annota quali dati, a che scopo, per quanto tempo e chi li riceve. È il nucleo del registro dei trattamenti.
2. Informativa privacy chiara
Deve dire chi sei e quali dati raccogli e per quali finalità. Deve indicare le basi giuridiche e i tempi di conservazione, a chi vengono comunicati i dati e come esercitare i diritti. Deve essere raggiungibile da ogni punto in cui raccogli dati. Un link in fondo al modulo basta.
3. Cookie e strumenti di tracciamento
Servono due cose:
- Un banner che consenta di proseguire senza essere tracciati e di scegliere le singole finalità, con comandi di pari evidenza. Gli strumenti non tecnici (statistiche non anonimizzate, pubblicità) partono solo dopo il consenso.
- Una cookie policy che elenchi gli strumenti e i fornitori.
Controlla di persona: apri il sito in una finestra privata e verifica nel browser che nulla parta prima del tuo consenso. Il rispetto del consenso è la parte in cui si sbaglia più spesso.
4. Consensi per newsletter e marketing
Il consenso al marketing va chiesto in modo separato e senza caselle già spuntate. Conserva la prova: quando e come è stato dato. Ogni email deve avere il modo di disiscriversi con un clic.
5. Fornitori e trasferimenti di dati
Chi tratta dati per tuo conto (hosting, gestionale, email, assistenza) è un responsabile del trattamento. Serve un accordo scritto che di solito è già offerto dal fornitore nelle sue condizioni. Chiediti anche dove finiscono i dati: i trasferimenti fuori dall'Unione europea richiedono garanzie specifiche.
6. Diritti dei clienti
Ogni persona può chiedere di accedere ai suoi dati e di correggerli o cancellarli. Deve poterlo fare scrivendo a un indirizzo indicato. La risposta va data entro un mese. Prepara una procedura minima: chi riceve la richiesta e chi la evade.
7. Sicurezza e violazioni
Devi proteggere i dati con misure adeguate: aggiornamenti, accessi limitati e backup. Se avviene una violazione che comporta rischi per le persone la notifica al Garante va fatta entro 72 ore dalla scoperta. Tieni un registro degli incidenti anche per quelli che non notifichi.
8. Conservazione e cancellazione
Non tenere i dati per sempre. Stabilisci i tempi (per esempio i dati fiscali degli ordini secondo la legge e i contatti commerciali inattivi dopo un certo periodo) e cancella ciò che è scaduto.
Una verifica annuale in sei domande
- L'elenco dei trattamenti è aggiornato?
- Informativa e cookie policy corrispondono a ciò che fa il sito?
- Il banner rispetta il rifiuto?
- Gli accordi con i fornitori sono archiviati?
- Sappiamo cosa fare in caso di violazione?
- Hai cancellato ciò che non serve più?
Approfondimenti: cookie banner a norma · tracciamento server-side · informazioni obbligatorie in un e-commerce
Domande frequenti
Entro quanto va notificata una violazione dei dati?
Al Garante entro 72 ore da quando se ne ha conoscenza se la violazione comporta un rischio per le persone (articolo 33 del GDPR). Gli incidenti non notificati vanno comunque registrati.
Entro quanto si risponde a un cliente che chiede i suoi dati?
Entro un mese dalla richiesta, prorogabile in casi complessi (articolo 12 del GDPR).
Basta il banner dei cookie per essere a norma?
No. Servono anche informativa, consensi documentati per il marketing, accordi con i fornitori, procedure per i diritti degli interessati, misure di sicurezza e un elenco dei trattamenti.