Come rendere conforme il tuo sito web aziendale al GDPR

Per le PMI Italiane operanti nell'ambito digitale, il GDPR rappresenta un tema di cruciale importanza. Se hai un sito web, sarai sicuramente al corrente dell'aggiornamento a luglio 2021, con scadenza adeguamento 9 gennaio 2022.

Il GDPR non fa sconti neanche alle realtà più piccole. È fondamentale comprendere appieno le implicazioni, agire di conseguenza ed essere conformi. Valuta attentamente come trattate i dati.

Il GDPR è un'opportunità per costruire fiducia con i clienti attraverso la sicurezza dei loro dati. Garantite conformità, reputazione e sostenibilità agendo con responsabilità.

Ma esattamente, cosa significa GDPR? Quali siti sono interessati? Quali sono le sanzioni previste? Cosa serve per adeguarsi? Queste sono le domande a cui darò una risposta nei paragrafi successivi.

Introduzione al GDPR

Il termine GDPR vuol dire General Data Protection Regulation vale a dire un regolamento dell’Unione Europea entrato in vigore il 25 maggio 2018. Il suo principale obiettivo è quello di proteggere i dati personali dei cittadini europei, garantendo che siano trattati in modo sicuro e rispettando la loro privacy.

È uno di quegli argomenti che non ci si può permettere di ignorare nel mondo digitale di oggi; ma non preoccuparti, sono qui per aiutarti a navigare in acque sicure e evitare quelle fastidiose e salate multe.

Ecco la cosa interessante: il GDPR non riguarda solo le aziende dell’UE, ma qualsiasi organizzazione che tratta dati personali di cittadini dell’UE. Quindi, anche se la tua attività si trova al di fuori dell’Europa, se hai clienti o visitatori europei, il GDPR si applica anche a te.

Ma cosa succede se non rispetti il GDPR? Qui entrano in scena le temute sanzioni. E sì, può essere molto costoso non attenersi alle regole. Le multe possono arrivare fino al 4% del fatturato annuo globale dell’azienda o fino a 20 milioni di euro, a seconda del valore più alto. Non sto scherzando.

Ora, la buona notizia è che non devi temere il GDPR e le multe se agisci in modo proattivo e metti in atto le misure necessarie per conformarti alle regole, anzi potrebbe perfino esserti d’aiuto!

Requisiti del GDPR per il tuo sito web

Premessa, la normativa è molto complessa ma per farla estremamente semplice e riduttiva, si richiede ai cittadini dell’UE di dare esplicito consenso prima di raccogliere o utilizzare i propri dati personali.

Sono inclusi: indirizzi e-mail, tutti i dati di Google Analytics, indirizzi IP e altre informazioni personali.

Inoltre, è obbligo del titolare del sito web di segnalare immediatamente una qualunque violazione al sito e azioni di sottrazione dei dati, oltre che consentire agli utenti di eliminarli o esportarli tempestivamente.

Suggerimenti pratici per far si che il tuo sito web sia a norma GDPR

1. Consenso chiaro e preventivo: assicurati di ottenere il consenso esplicito dei tuoi utenti per trattare i loro dati personali. Sii trasparente sul perché li stai raccogliendo e quali utilizzi ne farai.
2. Sicurezza dei dati: proteggi i dati personali dei tuoi clienti con misure di sicurezza adeguate. Cripta i dati, richiedi e usa password complesse e tieni i tuoi sistemi aggiornati per evitare violazioni.
3. Privacy by design: dalla creazione di un nuovo prodotto o servizio, considera la privacy fin dall’inizio. Incorpora soluzioni che proteggano i dati personali e garantiscano la privacy dei tuoi utenti.
4. Gestione delle richieste di accesso: essendo il GDPR basato sui diritti delle persone, devi essere in grado di gestire le richieste degli utenti di accedere, modificare o cancellare i loro dati personali.
5. Aggiornamenti costanti: rimani informato sulle ultime novità sul GDPR e assicurati di apportare eventuali cambiamenti necessari alla tua attività per rimanere conformi alla legge.

Qui è dove entro in gioco. Sono qui per guidarti e aiutarti a comprendere il GDPR e adottare le misure tecniche necessarie per evitare multe costose. Se mai dovessimo lavorare insieme, potrai stare tranquillo sapendo che la tua attività è protetta e rispetta la privacy dei tuoi clienti.

Non rischiare di pagare multe salate, prendi l’iniziativa e sii parte della soluzione. Non è solo una questione di conformità legale, ma anche di guadagnare la fiducia dei tuoi clienti e costruire una solida reputazione.

Contattami se desideri ricevere ulteriori informazioni o hai bisogno di adeguare il tuo sito web al GDPR.

Diritti degli Interessati

Il regolamento GDPR stabilisce alcuni diritti primari per gli utenti che visitano un sito web, nello specifico:

• Diritto ad essere informato. Le persone devono sapere come vengono raccolti i dati e in che modo saranno utilizzati.
• Diritto di accesso ai dati. Se un utente chiede i suoi dati, si è obbligati a fornirli.
• Diritto di rettifica. L’utente ha il diritto di modificare o correggere qualunque informazioni sul proprio conto.
• Diritto all’oblio. L’utente può chiedere la cancellazione dei suoi dati e il gestore ha l’obbligo di accogliere la richiesta.
• Diritto di limitazione dell’elaborazione dei dati. L’utente può accettare la memorizzazioni dei dati ma non che questi vengano utilizzati per altre finalità.
• Diritto all’esportazione dei dati. Tutti i dati personali devono poter essere esportati in un formato comune come xls o csv.
• Diritto di opposizione. L’utente può opporsi all’uso dei propri dati per qualsiasi scopo.
• Diritti relativi al processo decisionale automatizzato (come la profilazione).

Sanzioni

Come accennato poco sopra, sono previste sanzioni per il mancato adeguamento alle norme del GPDR che dipendono dalle dimensioni dell’azienda, dal tipo di business e tanti altri fattori. In generale le multe possono andare dal 2% fino al 4% del fatturato annuo globale o fino a 20 milioni (20.000.000,00 €) di euro questo a seconda del valore più alto.

Come rendere il tuo sito web conforme al GDPR

In base alla tipologia di sito e a come lo utilizzi, saranno diversi i requisiti da rispettare. Ad esempio:

• Siti e-commerce: se lo richiedono, devi permette agli utenti di vedere i dati che raccogli su di loro. Inoltre, devi permettergli di eliminare i propri account e/o esportare i dati al suo interno.
• Newsletter via e-mail: puoi inviare e-mail solo agli iscritti che hanno dato un esplicito consenso a ricevere comunicazioni di marketing da parte tua.
• Siti che prevedono un abbonamento: devi permettere agli utenti di eliminare l’account e/o i dati tramite un semplice modulo “elimina il mio account” e permettergli di modificare i dati in caso di errori.
• Blog con commenti: devi permettere agli utenti di eliminare i commenti.
• Cookie: devi installare un plug-in apposito (o eseguire delle aizoni via codice) per la gestione dei cookies e consensi granulari

Inoltre, per tutti i siti bisogna disporre una pagina che riporti la politica sulla privacy e sull’utilizzo dei cookies.

Queste sono solo buone norme da seguire in ottica generale ma, ogni caso è a se, quindi contattami se desideri ricevere ulteriori informazioni o hai bisogno di adeguare il tuo sito web al GDPR.

Ricorda che: l’adeguamento al GDPR riguarda l’intera azienda e tutti i processi di trattamento dei dati interni; il sito web non è altro che uno dei trattamenti dati da adeguare.

Non cadere nel classico errore commesso da moltissime aziende Italiane, ovvero: pensare che adeguando il proprio sito al GDPR, senza adeguare l’intera azienda, sia tutto a posto!

Un buon adeguamento alla GDPR comprende le seguenti attività da svolgere:

• Consulenza Telefonica preliminare
• Auditing con analisi di tutti i processi aziendali interessati dal trattamento privacy
• Gestione Accountability con l’identificazione dell’organigramma di trattamenti e relativi flussi dati
• Identificazione dei Trattamenti effettuati dall’azienda
• Analisi dei rischi e identificazione delle misure di sicurezza adottate
• Produzione delle informative
• Redazione delle lettere di incarico (addetti e responsabili)
• Redazione del registro dei trattamenti
• Privacy By Design
• Adeguamento siti web sia come informativa che come cookie
• Disaster Recovery (identificazione delle procedure)

Contattami se desideri ricevere ulteriori informazioni o hai bisogno di adeguare il tuo sito web o processo aziendale al GDPR.

FAQs

Qual è il ruolo del responsabile della protezione dei dati (DPO) e quando è necessario nominarlo?

Il Responsabile della Protezione dei Dati (DPO) è una figura chiave all’interno di un’organizzazione che ha il compito di garantire il rispetto delle normative sulla protezione dei dati, in particolare per quanto riguarda il Regolamento Generale sulla Protezione dei Dati (GDPR) nell’Unione Europea. Ecco un’esplicazione del ruolo e delle situazioni in cui è necessario nominare un DPO:

• Supervisionare la Conformità al GDPR: Monitorare e garantire la conformità dell’organizzazione alle leggi e ai regolamenti sulla protezione dei dati.
• Formazione e Consulenza: Fornire formazione e consulenza al personale sull’applicazione del GDPR e sulla protezione dei dati.
• Cooperazione con l’Autorità di Controllo: Facilitare la cooperazione tra l’organizzazione e l’autorità di controllo per quanto riguarda le questioni relative alla protezione dei dati.
• Valutazione d’Impatto sulla Protezione dei Dati (DPIA):Condurre valutazioni d’impatto sulla protezione dei dati per determinare l’effetto delle operazioni di trattamento dati.
• Comunicazione con gli Interessati: Gestire le comunicazioni con gli interessati in merito alle questioni riguardanti la protezione dei dati e il GDPR.

Il GDPR richiede la nomina di un DPO in determinati casi: attività di trattamento su larga scala, enti pubblici, trattamento riguardi dati personali sensibili o dati relativi a condanne penali e reati, monitoraggio regolare e sistematico di dati.

Qual è la differenza tra un titolare del trattamento e un responsabile del trattamento dei dati personali?

Il titolare del trattamento è l’entità o la persona che decide come e perché i dati personali vengono trattati, mentre il responsabile del trattamento agisce su istruzioni del titolare e gestisce effettivamente i dati.

Cosa devo fare se subisco una violazione dei dati?

In caso di violazione dei dati, devi notificare immediatamente l’autorità di controllo competente e, in alcuni casi, anche gli interessati, entro 72 ore dalla scoperta della violazione, spiegando la natura della violazione e le azioni intraprese per mitigare il rischio.

Non penso di usare cookes, devo comunque adeguarmi al GDPR?

Anche se il tuo sito non utilizza cookies (o similari) e non raccoglie dati personali degli utenti, è comunque importante considerare l’adeguamento al GDPR, specialmente se il tuo sito è accessibile da utenti nell’Unione Europea. Il GDPR è un regolamento che riguarda la protezione dei dati personali e la privacy dei cittadini dell’UE, quindi può avere implicazioni anche per i siti web che non raccolgono dati in modo diretto ed esplicito.

Il GDPR si applica solo ai dati online o anche ai dati cartacei/offline?

Il GDPR si applica a qualsiasi forma di trattamento dei dati personali, indipendentemente dal supporto o dal mezzo utilizzato. Pertanto, copre sia i dati digitali che quelli cartacei/offline.

Esistono situazioni in cui non devo preoccuparmi dell’adeguamento al GDPR?

In linea teorica, tutti dovrebbero preoccuparsi di adeguare il proprio sito web al GDPR, tuttavia, chi ha certezza di non avere accessi da utenti UE “potrebbe” anche non farlo. Ma ne vale la pena? Ci sono siti stranieri che hanno risolto bloccando gli IP originari dell’UE, ma è evidente che non si tratta di un’ottima idea, in quanto impatta pesantemente sul traffico del sito web. È quindi importante provvedere all’adeguamento GDPR che ti ricordo, dal 9 gennaio 2022 è obbligatorio e quindi, in caso di non conformità, si è soggetti a multe.

Qual è la differenza tra un dato personale e un dato sensibile?

Un dato personale è qualsiasi informazione relativa a una persona fisica identificata o identificabile. Un dato sensibile è una categoria speciale di dati personali che riguarda aspetti come l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose, la salute, l’orientamento sessuale, ecc.

È necessario richiedere il consneso ai “già utenti”?

No, ma solo se si sono iscritti spontaneamente e hanno dato il consenso a ricevere messaggi di marketing e/o newsletter. In caso siano stati aggiunti iscritti senza ottenere il consenso, sarà necessario chiedergli di iscriversi di nuovo.

È possibile raccogliere indirizzi IP personali?

In realtà si può ancora fare ma bisogna mettere in sicurezza tutti i dati. È necessario comunicare in modo chiaro come vengono raccolti i dati, avere una politica sulla privacy e permettere agli utenti di eliminare i dati in qualunque momento. È necessario implementare un sistema apposito per permettere alle persone di fare richiesta di eliminazione, come ad esempio, un modulo di contatto.

È necessario inserire una checkbox per il consenso per i form di contatto e/o commenti?

Sì, spesso è consigliabile includere una checkbox per il consenso nei form di contatto o di commento sul tuo sito web. Questo è particolarmente importante se stai raccogliendo informazioni personali o se prevedi di utilizzare quelle informazioni per scopi specifici, come l’invio di newsletter o la raccolta di dati per analisi.

Cosa significa “privacy by design” e come posso implementarla sul mio sito web?

“Privacy by design” significa progettare fin dall’inizio la privacy nel processo di sviluppo di un sito web anziché aggiungerla successivamente. È come costruire una casa con la privacy incorporata fin dalle fondamenta, anziché aggiungere le tende dopo che la casa è già stata costruita.

Ecco come puoi implementarla sul tuo sito web in modo semplice:

• Raccogli solo ciò che serve: chiedi solo le informazioni necessarie agli utenti. Ad esempio, se non è fondamentale, evita di richiedere il numero di telefono.
• Chiedi il consenso in modo chiaro: spiega agli utenti perché chiedi determinati dati e otteni il loro consenso in modo trasparente e diretto.
• Sicurezza dei dati: assicurati di avere misure di sicurezza solide per proteggere i dati degli utenti da accessi non autorizzati.
• Trasparenza: fornisci informazioni chiare sulla tua politica sulla privacy, spiegando come vengono gestiti i dati.
• Facilita il controllo: permetti agli utenti di modificare o eliminare le proprie informazioni e preferenze in modo semplice e accessibile.
• Educazione degli Utenti: fornisci guide o spiegazioni per aiutare gli utenti a comprendere come gestisci la loro privacy.

Ogni quanto devo aggiornare la mia politica sulla privacy?

Dovresti aggiornare la tua politica sulla privacy regolarmente, almeno una volta all’anno o ogni volta che apporti modifiche significative al modo in cui raccogli, utilizzi o proteggi i dati personali degli utenti sul tuo sito web.

Cosa fare se ricevo una richiesta di accesso o cancellazione dai miei utenti?

Il Regolamento Generale sulla Protezione dei Dati (GDPR) dell’Unione Europea conferisce ai cittadini il diritto di richiedere l’accesso e la cancellazione dei propri dati personali. Ecco cosa fare se ricevi una richiesta di accesso o cancellazione dai tuoi utenti:

• Conferma dell’identità dell’utente: prima di procedere con la richiesta, verifica accuratamente l’identità dell’utente per garantire che la richiesta provenga dalla persona autorizzata. Puoi richiedere documenti di identificazione o informazioni aggiuntive per confermare l’identità.

• Risposta tempestiva: rispondi alla richiesta entro il termine massimo di un mese previsto dal GDPR. Comunica all’utente che la richiesta è stata ricevuta e fornisci informazioni sullo stato della richiesta, se necessario.

• Accertamento dei dati personali: identifica i dati personali dell’utente che detieni e determina se i dati richiesti rientrano nella definizione di dati personali secondo il GDPR.

• Accesso ai dati personali: se la richiesta è per l’accesso ai dati personali, fornisci all’utente una copia dei dati che detieni su di lui, insieme alle informazioni sul trattamento di tali dati.

• Cancellazione dei dati personali: se la richiesta è per la cancellazione dei dati personali, valuta attentamente se sei legalmente tenuto a cancellare i dati in base alle disposizioni del GDPR. Ad esempio, potresti non essere in grado di cancellare i dati se esiste un obbligo legale di conservarli.

• Motivazioni per il rifiuto: se non puoi soddisfare la richiesta di accesso o cancellazione, fornisci all’utente le motivazioni legali o contrattuali per cui non è possibile farlo. Assicurati di spiegare in modo chiaro e completo le ragioni del rifiuto.

• Documentazione: tieni traccia di tutte le richieste di accesso e cancellazione ricevute, delle azioni intraprese e delle motivazioni per le tue decisioni. Questa documentazione è importante per dimostrare la conformità al GDPR in caso di ispezioni o controlli.

• Monitoraggio e valutazione continua: rivedi periodicamente i processi e le procedure per garantire la conformità continua al GDPR e apporta eventuali miglioramenti necessari.