Se è vero come è vero che il nuovo Regolamento generale sulla protezione dei dati (GDPR) è entrato in vigore a tutti gli effetti dal 25 Maggio 2018, è altrettanto vero che il decreto legislativo del Governo italiano, con cui dovrebbero essere definite esplicitamente e chiaramente le modalità di attuazione negli ambiti in cui è prevista autonomia nazionale, è ancora in cantiere (l'emanazione è prevista entro il 22 agosto).
La conseguente mancanza di direttive chiare e univoche, non può che generare tanta confusione in chi vuole adeguarsi e, nella fattispecie, in chi vuole adeguare il proprio sito web alla normativa.
C'è chi opta per modalità restrittive che danno le massime garanzie possibili, chi, invece, per soluzioni poco invasive (ad esempio modificando solo l'informativa privacy) e chi, invece, ha deciso di attendere, consapevole che in questa prima fase non ci saranno di controlli i controlli da parte delle autorità competenti. In attesa che tutto sia più chiaro e non più soggetto a interpretazioni, di seguito forniamo alcuni consigli, che come tali devono essere intesi, riguardo le azioni da compiere nella pratica per adeguare il proprio sito web o il proprio e-commerce alla GDPR.
Tali consigli non sono da ritenersi comunque in alcun modo sostitutivi alla consulenza di un legale, meglio se specializzato in materia.
Per maggiori informazioni si rimanda a cos'è il GDPR
Con la prima si sostiene che nulla è da farsi. Il form può mantenere le caratteristiche che aveva in precedenza a condizione che sia presente il flag, non selezionato, per l'accettazione di quanto riportato nell'informativa, che quest'ultima sia conforme alle nuove disposizioni, che vi sia un link all'informativa completa e che sia precluso l'invio del modulo di contatto nel caso in cui l'utente non flagghi, accettando, l'apposita casella.
Con la seconda corrente di pensiero, invece, più restrittiva, si ritiene necessario tracciare e conservare i dati indicati nel form dall'utente unitamente al suo indirizzo IP, la data e l'ora del consenso espresso.
Anche in questo caso, la condizione essenziale è che sia presente e non selezionato la casella per l'accettazione di quanto riportato nell'informativa, che quest'ultima sia conforme alle nuove disposizioni, che vi sia un link all'informativa completa e che sia precluso l'invio del modulo di contatto nel caso in cui l'utente non flagghi, accettando, l'apposita casella.
Il nostro consiglio è, se vi è possibile, di optare per la seconda modalità in quanto si ritiene che questa sia più rispondente a quanto previsto dal GDPR nonché più tutelativa.
Resta inteso che deve essere presente e consultabile la nuova informativa in linea con il GDPR e che all'utente deve essere obbligatoriamente richiesta un'azione specifica con la quale dichiarare di averne preso visione.
L'iscrizione non deve essere invece concretizzata nel caso in cui l'utente non flagghi l'apposita casella.
Anche in questo caso, però, non mancano le versioni discostanti.
Infatti, per alcuni, secondo noi a ragione, non è più sufficiente la semplice iscrizione, ma occorre procedere con il double opt in, ossia l'invio di una mail automatizzata all'indirizzo specificato contenente un link, sul quale l'utente dovrà cliccare per completare l'iscrizione e un link all'informativa.
In entrambi i casi pare, però, certo che il consenso debba essere necessariamente tracciato e conservato in modo tale da poter sempre documentare chi ha fatto l'iscrizione e quando.
Approfondisci l'argomento: iscrizione alla newsletter a norma GDPR
Pertanto, oltre che integrare la casella, non spuntata, per l'accettazione di quanto riportato nell'informativa (che deve essere in linea con il GDPR), precludere l'invio nel caso in cui non venga flaggata e prevedere il link all'informativa completa, riteniamo consigliabile oprate per il salvataggio del consenso (IP, data, ora).
Resta inteso che in molti siti, anche di una certa rilevanza, si è optato per il mantenimento delle modalità di espressione del commento precedenti all'entrata in vigore della nuova informativa.
Ecco, in questa circostanza, molti ritengono che, fatti salvi gli adempimenti diciamo "standard" (informativa GDPR, flag non spuntato per accettazione e preclusione dell'invio della richiesta se mancante), non sia necessario salvare il consenso.
Secondo noi, invece, è assolutamente consigliabile farlo in quanto tale soluzione sembrerebbe essere quella più in linea con quanto previsto dal nuovo regolamento oltre che, ovviamente, più tutelativa.
Diverso dovrebbe essere, sempre a nostro avviso, l'atteggiamento se, con la registrazione, si procede anche all'iscrizione del cliente ad altri servizi, come ad esempio la newsletter, nel qual caso si rimanda all'apposito paragrafo. (manca il link)
Ecco, in questa circostanza, molti ritengono che, fatti salvi gli adempimenti diciamo "standard" (informativa GDPR, flag non spuntato per accettazione e preclusione dell'invio della richiesta se mancante), non sia necessario salvare il consenso.
Secondo noi, invece, è assolutamente consigliabile farlo in quanto tale soluzione sembrerebbe essere quella più in linea con quanto previsto dal nuovo regolamento oltre che, ovviamente, più tutelativa.
In queste circostanze va, infatti, senza dubbio utilizzato il metodo più restrittivo possibile, oltre che poste in essere tutte le azioni finalizzate alla sicurezza dei dati di cui si è venuti in possesso.
La conseguente mancanza di direttive chiare e univoche, non può che generare tanta confusione in chi vuole adeguarsi e, nella fattispecie, in chi vuole adeguare il proprio sito web alla normativa.
C'è chi opta per modalità restrittive che danno le massime garanzie possibili, chi, invece, per soluzioni poco invasive (ad esempio modificando solo l'informativa privacy) e chi, invece, ha deciso di attendere, consapevole che in questa prima fase non ci saranno di controlli i controlli da parte delle autorità competenti. In attesa che tutto sia più chiaro e non più soggetto a interpretazioni, di seguito forniamo alcuni consigli, che come tali devono essere intesi, riguardo le azioni da compiere nella pratica per adeguare il proprio sito web o il proprio e-commerce alla GDPR.
Tali consigli non sono da ritenersi comunque in alcun modo sostitutivi alla consulenza di un legale, meglio se specializzato in materia.
Per maggiori informazioni si rimanda a cos'è il GDPR
Modulo di contatto
Sui form di contatto, presenti ormai in ogni sito web, ci sono sostanzialmente due correnti di pensiero.Con la prima si sostiene che nulla è da farsi. Il form può mantenere le caratteristiche che aveva in precedenza a condizione che sia presente il flag, non selezionato, per l'accettazione di quanto riportato nell'informativa, che quest'ultima sia conforme alle nuove disposizioni, che vi sia un link all'informativa completa e che sia precluso l'invio del modulo di contatto nel caso in cui l'utente non flagghi, accettando, l'apposita casella.
Con la seconda corrente di pensiero, invece, più restrittiva, si ritiene necessario tracciare e conservare i dati indicati nel form dall'utente unitamente al suo indirizzo IP, la data e l'ora del consenso espresso.
Anche in questo caso, la condizione essenziale è che sia presente e non selezionato la casella per l'accettazione di quanto riportato nell'informativa, che quest'ultima sia conforme alle nuove disposizioni, che vi sia un link all'informativa completa e che sia precluso l'invio del modulo di contatto nel caso in cui l'utente non flagghi, accettando, l'apposita casella.
Il nostro consiglio è, se vi è possibile, di optare per la seconda modalità in quanto si ritiene che questa sia più rispondente a quanto previsto dal GDPR nonché più tutelativa.
Esempio di checkbox per l'accettazione della privacy policy
Newsletter
Per l'iscrizione alla newsletter vale il medesimo discorso fatto per il modulo di contatto con l'aggiunta che, in questo caso, il consenso va richiesto per ogni finalità perseguita.Resta inteso che deve essere presente e consultabile la nuova informativa in linea con il GDPR e che all'utente deve essere obbligatoriamente richiesta un'azione specifica con la quale dichiarare di averne preso visione.
L'iscrizione non deve essere invece concretizzata nel caso in cui l'utente non flagghi l'apposita casella.
Anche in questo caso, però, non mancano le versioni discostanti.
Infatti, per alcuni, secondo noi a ragione, non è più sufficiente la semplice iscrizione, ma occorre procedere con il double opt in, ossia l'invio di una mail automatizzata all'indirizzo specificato contenente un link, sul quale l'utente dovrà cliccare per completare l'iscrizione e un link all'informativa.
In entrambi i casi pare, però, certo che il consenso debba essere necessariamente tracciato e conservato in modo tale da poter sempre documentare chi ha fatto l'iscrizione e quando.
Approfondisci l'argomento: iscrizione alla newsletter a norma GDPR
Esempio della raccolta dei consensi per l'iscrizione ad una newsletter
Commenti
Il rilascio di un commento può sostanzialmente essere equiparato all'invio di un modulo di contatto.Pertanto, oltre che integrare la casella, non spuntata, per l'accettazione di quanto riportato nell'informativa (che deve essere in linea con il GDPR), precludere l'invio nel caso in cui non venga flaggata e prevedere il link all'informativa completa, riteniamo consigliabile oprate per il salvataggio del consenso (IP, data, ora).
Resta inteso che in molti siti, anche di una certa rilevanza, si è optato per il mantenimento delle modalità di espressione del commento precedenti all'entrata in vigore della nuova informativa.
Registrazione
Nella fase di registrazione, si sa, vengono spesso forniti dati, più o meno personali o più o meno pubblici, che poi servono a concretizzare un contratto, tutelato da apposite leggi e vincolato a determinati adempimenti.Ecco, in questa circostanza, molti ritengono che, fatti salvi gli adempimenti diciamo "standard" (informativa GDPR, flag non spuntato per accettazione e preclusione dell'invio della richiesta se mancante), non sia necessario salvare il consenso.
Secondo noi, invece, è assolutamente consigliabile farlo in quanto tale soluzione sembrerebbe essere quella più in linea con quanto previsto dal nuovo regolamento oltre che, ovviamente, più tutelativa.
E-Commerce
Anche nell'e-commerce, il cui motivo della fornitura da parte dell'utente dei propri dati personali è strettamente legato alla concretizzazione del contratto, tutelato da apposite leggi e vincolato a determinati adempimenti, consigliamo di procedere con il metodo più restrittivo, ossia con il salvataggio dei consensi (indirizzo IP, data, ora).Diverso dovrebbe essere, sempre a nostro avviso, l'atteggiamento se, con la registrazione, si procede anche all'iscrizione del cliente ad altri servizi, come ad esempio la newsletter, nel qual caso si rimanda all'apposito paragrafo. (manca il link)
Ecco, in questa circostanza, molti ritengono che, fatti salvi gli adempimenti diciamo "standard" (informativa GDPR, flag non spuntato per accettazione e preclusione dell'invio della richiesta se mancante), non sia necessario salvare il consenso.
Secondo noi, invece, è assolutamente consigliabile farlo in quanto tale soluzione sembrerebbe essere quella più in linea con quanto previsto dal nuovo regolamento oltre che, ovviamente, più tutelativa.
Altri casi
Il caso su cui va prestata particolare attenzione è quello in cui si tratti, ad esempio, di dati sanitari, genetici, biometrici o, come come ora sono definiti "categorie particolari di dati personali".In queste circostanze va, infatti, senza dubbio utilizzato il metodo più restrittivo possibile, oltre che poste in essere tutte le azioni finalizzate alla sicurezza dei dati di cui si è venuti in possesso.