In questi giorni blog, social, newsletter invitano le organizzazioni ad adeguarsi alla nuova normativa GDPR.

Il motivo è che a breve entrerà in vigore il nuovo regolamento comunitario GDPR (General Data Protection Regulation) che riguarda la raccolta e il trattamento dei nostri dati. Chiunque opera all’interno dell’Unione Europea ci si dovrà attenere.

Cosa sta cambiando?

Dal 25 maggio saranno considerati dati personali non solo i dati sensibili ma anche i dati identificativi online come ad esempio gli indirizzi IP, i cookie o le email.
In pratica saranno considerati dati personali qualsiasi informazione direttamente o indirettamente ricollegabile ad un individuo.

Per raccogliere i dati, le aziende dovranno chiedere il consenso da parte dell’utente e dovrà essere specificato in maniera chiara il loro trattamento e chi li utilizzerà: non sarà possibile essere generici ed utilizzare termini di non facile comprensione.

Inoltre all’utente dovranno essere messi a disposizione strumenti per modificare, cancellare, scaricare i propri dati.
Le aziende diventano quindi le prime responsabili della conformità al regolamento e devono garantire la sicurezza e l’archiviazione adottando metodi di crittografia di dati.

Le sanzioni per chi non ottempera agli obblighi del nuovo regolamento possono raggiungere un ammontare pari al 4% del fatturato dell’azienda.

Cosa occorre fare per adeguarsi e non incorrere nelle sanzioni?

Redigere una corretta privacy policy (e cookie policy) e renderla disponibile facilmente sul sito (o sulla app).
Essa dovrà contenere:

• i diritti che sono tutelati dal GDPR
• se e quali servizi di terze parti vengono utilizzati per la profilazione degli utenti e le modalità del loro utilizzo
• la durata della conservazione dei dati
• collegamento a cookie policy
• i contatti del responsabile dei dati

Nel caso il sito disponga di un form di contatti non sarà più possibile preimpostare il consenso sul “si” e dovranno essere presenti caselle spuntabili dall’utente stesso.

Ogni modo ti utilizzo dei dati dovrà essere accettato separatamente quindi sarà necessario fornire diversi consensi specifici, uno per argomento come ad esempio per:

• i termini e condizioni d’uso
• l’iscrizione ad una mailing list
• la profilazione dell’utente
• servizi di terze parti

Area riservata: è opportuno specificare quali dati vengono elaborati per la profilazione dell’utente.

Nel caso di un e-commerce sarà necessario il certificato di sicurezza ssl che permette di criptare le informazioni tra browser ed utente.

L’omessa applicazione del nuovo regolamento prevede che le sanzioni siano applicate a seconda del singolo caso tenendo in considerazione diversi fattori come ad esempio la gravità e la durata della violazione, delle finalità del trattamento e che misure preventive sono state adottate.

Camilla Bonali e Alessandro Rocchi