Il prossimo 25 Maggio 2018 entrerà in vigore il GDPR n. 679/2016, più conosciuto come nuovo Regolamento Europeo in materia di protezione dei dati personali e se non sei un professionista legale, adeguare il tuo sito web o la tua applicazione alle leggi internazionali sulla privacy può risultare noioso e difficile.
Cose da sapere
Requisiti legali
Nella maggior parte delle legislazioni, è obbligatorio fornire informazioni sul trattamento dei dati e adottare un metodo per ottenere il consenso degli utenti e per facilitarne la revoca. Il mancato rispetto di queste leggi può comportare ingenti sanzioni, esporti al rischio di controversie e compromettere la credibilità del tuo sito web o della tua applicazione.
Cosa prevede la legge
- Gli utenti devono essere informati sull’identità del titolare del sito/app, sui dati raccolti, sui loro diritti in relazione a tali dati, sulle modalità di notifica delle modifiche alla policy, sulla data a partire dalla quale la policy è entrata in vigore e su eventuali accessi di terzi ai loro dati (ad esempio tramite widget di terza parte, pulsanti sociali, servizi pubblicitari etc.). Gli utenti devono inoltre essere a conoscenza delle condizioni di utilizzo del servizio (comprese le eventuali condizioni di vendita)
- Gli utenti devono essere in grado di prestare, negare o revocare il loro consenso (a seconda della normativa applicabile). Negli Stati Uniti, la legge in genere obbliga il titolare ad offrire chiaramente agli utenti la possibilità di revocare il consenso (opt-out). Disposizioni diverse si applicano, tuttavia, nei casi che riguardano il trattamento dei cosiddetti “dati sensibili” (come dati sanitari, informazioni creditizie, dati relativi a studenti, informazioni personali relative ai minori di 13 anni). In questi casi deve essere richiesta un’azione di “opt-in” verificabile, come la spunta di una checkbox o un’altra azione positiva di consenso. Rispetto alle leggi statunitensi, la normativa europea (in particolare il GDPR) (leggi la pubblicazione sulla Gazzetta Ufficiale) è più restrittiva in materia di consenso. Secondo il GDPR, il consenso deve essere “esplicito e libero”. Ciò significa che le modalità di acquisizione del consenso devono essere inequivocabili e prevedere una chiara azione di “opt-in” (il regolamento vieta espressamente l’uso di checkbox preselezionate o di altri sistemi alternativi di “opt-out”). Il regolamento sancisce inoltre un diritto specifico alla revoca del consenso, che deve essere tanto facile quanto lo è il suo conferimento. Dal momento che ai sensi del GDPR il consenso è una questione di estrema importanza, è fondamentale registrare in modo chiaro tutti i consensi acquisiti
- Gli utenti devono essere informati sull’uso dei cookie e avere la possibilità di acconsentire o rifiutare. La direttiva ePrivacy o la Cookie Law impongono infatti la raccolta di un consenso informato dell’utente prima di installare cookie sul suo dispositivo e di iniziare il tracciamento
È utile ricordare che ai sensi del GDPR il consenso non è l’unica ragione per cui un’organizzazione può trattare i dati degli utenti, ma è solo una delle “Basi Giuridiche” del trattamento. Le aziende possono dunque avvalersi – nel contesto del GDPR – di altre basi giuridiche per il trattamento dei dati dei propri utenti. In ogni caso, per alcune attività di trattamento il consenso è la soluzione migliore, se non la sola strada percorribile.
In generale, queste leggi si applicano a qualsiasi servizio rivolto agli utenti di un dato Paese, il che significa che molto probabilmente queste disposizioni si applicheranno alla tua attività indipendentemente dalla sede dell’organizzazione o dall’ubicazione dei tuoi server.
Requisiti delle terze parti
Dal momento che anche le applicazioni ed i servizi di terza parte devono rispettare queste leggi, è possibile che siano le stesse terze parti ad imporre ai siti web e alle app che le utilizzano di rispettare determinati standard normativi.
Un esempio è Google. Per utilizzare determinati servizi e strumenti (come AdSense, Google Analytics, Google Play Store), Google impone al titolare del sito/app di disporre di una privacy policy completa e aggiornata. Segue un estratto delle condizioni di utilizzo di Google Analytics:
“L’Utente dovrà pubblicare norme sulla privacy che avvisino dell’utilizzo di cookie al fine di raccogliere dati”, e “L’Utente non potrà eludere le funzioni a tutela della privacy (ad es. la disattivazione) che sono parte del Servizio”.
Di tanto in tanto i requisiti delle terze parti cambiano in risposta a normative nazionali o internazionali. Per evitare l’interruzione del servizio, è spesso necessario che le policy rispondano ai requisiti più recenti.
Come fare per adeguarsi e mettersi in regola con le ultime normative.
Per risolvere il problema della Privacy Policy ed essere in regola con il nuovo regolamento europeo, la migliore alternativa è quella di chiedere il supporto di un consulente legale in special modo se la vostra è una casistica specifica da regolamentare.
Nel caso in cui il vostro sito web offra, invece, servizi relativi alla raccolta di dati piuttosto standard, e questa è forse la maggior parte dei casi per professionisti e piccole aziende, la soluzione meno onerosa è quella di optare per un servizio standardizzato e se questo è il vostro caso uno dei migliori tool online per generare la Privacy Policy del sito e consentire il pieno adeguamento è quello offerto da IUBENDA.
Ecco ciò di cui hai bisogno per essere pienamente conforme
Dotarsi di una privacy policy per informare gli utenti sul trattamento dei loro dati personali
Come anticipato, gli utenti devono essere informati su come vengono utilizzati i loro dati personali. Per questo motivo, le privacy policy sono richieste per legge quasi ovunque nel mondo. Questo documento legale deve indicare il modo in cui il tuo sito web o la tua app raccoglie, elabora, memorizza, condivide e protegge i dati degli utenti, le finalità del trattamento e i diritti degli utenti a tale riguardo.
Il Generatore di Privacy Policy Iubenda è uno degli strumenti migliori per fare questa operazione, disponibile in diverse lingue, progettato da un team di avvocati, personalizzabile e aggiornato automaticamente. Permette in modo guidato di creare una privacy policy precisa e perfettamente integrata con il tuo sito web o con la tua app. Basta aggiungere con un semplice click una qualsiasi delle tante clausole pre-configurate disponibili o scrivere facilmente le proprie clausole personalizzate. Hai inoltre la possibilità di includere una cookie policy (necessaria se il tuo sito web o la tua app utilizzano cookie). Le policy sono personalizzate e vengono gestite da remoto dal team legale Iubenda.
Adeguarsi con la Cookie Law Europea
Poiché l’uso dei cookie comporta sia l’elaborazione dei dati dell’utente che l’installazione di tecnologie di tracciamento, è un fattore di notevole importanza nell’ambito della protezione dei dati personali degli utenti. Per questo motivo, se operi nel territorio dell’Unione Europea o ti rivolgi ad utenti europei, devi rispettare la Cookie Law. Per adeguarsi con la Cookie Law, è necessario soddisfare due requisiti:
- dotarsi di una cookie policy, che si può attivare con l’opzione dedicata disponibile nel Generatore di Privacy Policy descritto in precedenza;
- mostrare un cookie banner, che puoi predisporre utilizzando la Iubenda Cookie Solution.
La Cookie Solution Iubenda è conforme alle disposizioni della legge europea sul trattamento mediante cookie. Consente di informare facilmente gli utenti e di ottenerne il consenso, compresa la possibilità di bloccare qualsiasi codice che installa cookie prima di aver raccolto il consenso dell’utente (così come richiesto in molti Paesi UE).
