Come aggiornare il sito web aziendale al regolamento Europeo sulla protezione dei dati personali (GDPR) e alla direttiva ePrivacy (ePR).
1) Novità da applicare in UE e in Svizzera
Il nuovo regolamento sulla protezione dei dati GDPR ha creato non poco scompiglio alle aziende e sollevato un polverone di dubbi sul trattamento aziendale dei dati, mai successo prima. Questo invece è solo che un bene poiché “costringe” molte imprese a riorganizzarsi e rimodernarsi per comodità, per necessità legislativa e soprattutto per competitività.
In questo articolo non parleremo del GDPR nei suoi aspetti legali ma del GDPR applicato al Marketing, ovvero, Il GDPR applicato ai Siti Web Aziendali.
L’esperienza di Manthea in stretta collaborazione con grandi realtà internazionali nel campo della gestione dei processi e cyber security e studi legali specializzati, ci ha permesso di approfondire fin da subito l’applicazione delle nuove regolamentazioni nel marketing, digital marketing e promozione aziendale.
2) A chi è rivolto il nuovo regolamento GDPR per i Siti Web?
Tutti i siti web che raccolgono qualsiasi tipologia di dati provenienti da utenti che si trovano alla UE, sono soggetti alla GDPR, ePrivacy e alla nuova LPD che uscirà (circa) nel 2020.
La General Data Protection Regulation si applica a tutte le aziende che trattano dati o propongono servizi/prodotti a utenti che si trovano in UE. Che si trovano: questo significa, ad esempio, che se un cittadino Statunitense si trova in erasmus a Parigi, esso, per la GDPR, ha ugualmente i diritti degli altri parigini e noi dobbiamo garantire un trattamento, una comunicazione e delle procedure “GDPR Compliant”.
Atre tipologie di siti web che rientrano nella GDPR sono:
- tutti siti internet che raccolgono dati di navigazione da parte di terzi (compresi i semplici form di contatto dei siti web corporate)
- tutti i siti internet che utilizzano i dati degli utenti per fare profilazione e marketing.
- tutte le Aziende che hanno un E-commerce / Community Online con dati particolari dei loro utenti.
3) In quali aspetti si deve intervenire per essere conformi al GDPR/ePR sul Sito Web Aziendale?
Il GDPR e la ePR (ePrivacy) non forniscono delle direttive tecniche precise da seguire ma delle indicazioni su come “tutelare” i dati degli utenti dei nostri siti internet in base ai trattamenti che applichiamo.
Più precisamente si tratta di precise funzionalità che forniscono la possibilità di: selezionare e scegliere il livello di privacy e gestire i propri dati direttamente dal sito web. Questo può sembrare complicato all’inizio ma in realtà semplifica di molto il lavoro di “gestione dei dati” degli utenti da parte dell’azienda, poiché (con la struttura corretta) potete far gestire, modificare e cancellare autonomamente i dati personali direttamente dall’utente in modo chiaro, veloce, facile e intuitivo.
Elenchiamo in dettaglio solo i più importanti aspetti di intervento, in ordine di sviluppo tecnico:
- Numero dei cookies (quanti strumenti di terze parti abbiamo nel nostro sito web che tracciano informazioni degli utenti?)
- Tipologia dei cookies (quali sono le tipologie di questi cookies, cosa fanno concretamente e a che livello di privacy dobbiamo associarli?)
- CookieBar aggiornata (vediamo l’esempio sotto, si tratta di un nuovo banner con carattertistiche, comunicazioni e funzionalità appositamente studiate per essere conformi al GDPR e ePrivacy)
- Cookie Policy (deve essere redatta da un webmaster esperto in grado di scovare, elencare e descrivere precisamente tutti i servizi connessi al sito web in questione e cosa fanno)
- Privacy Policy (deve essere redatta da un ufficio legale o da un’azienda specializzata e deve contenere un elenco completo e personalizzato di tutti i trattamenti)
- Blocco preventivo (questa è un importante novità, si tratta del blocco preventivo di tutti i sistemi prima dell’accettazione attiva dell’utente)
- Aggiornamento e supporto (per essere sempre conformi è fondamentale tenere costantemente monitorato il corretto funzionamento del sito stesso e di tutti i sistemi implementati, aggiornando i servizi in caso i modifica o upgrade)
4) Il banner GDPR Compliant (Blocco preventivo e consenso attivo)
Il nuovo Banner deve utilizzare un testo chiaro e semplice per garantire un consenso informato all’utente, il quale ha il diritto in qualunque momento di modificare le preferenze e opporsi al trattamento.
(Esempio di CookieBar GDPR Compliant sviluppato da Manthea e presente sul nostro sito web secondo le ultime normative)
In breve: non esiste più il tacito consenso e l’utente deve accettare o rifiutare le risorse per continuare la navigazione libera dal banner. Altra caratteristica è che la privacy policy & cookie policy dev’essere sempre ben in vista e l’utente deve sempre accettare le sue condizioni prima di navigare.
Consigliamo di applicare queste “regole” a tutti i siti web, poiché a breve anche la Nuova LPD Svizzera (legge federale sulla protezione dei dati) integrerà molte caratteristiche dal GDPR europeo ed è importante già prepararsi. Non solo per un discorso legislativo ma anche (e soprattutto) per un concetto di competitività internazionale delle nostre aziende.
BLOCCO PREVENTIVO – Prima di tutto è fondamentale che tutti i sistemi di tracciamento siano disabilitati attraverso precisi script di codice fino alla scelta dell’utente.
ANONIMIZZAZIONE IP – Anche i sistemi statistici come Google Analytics sono soggetti e devono essere anonimizzati prima della scelta del navigatore.
5) Cookie Policy & Privacy Policy
La Cookie Policy dev’essere redatta da un webmaster esperto o da un’agenzia realmente specializzata nello sviluppo di siti web professionali/digital advertising. Solo così si è in grado di individuare ed elencare i servizi connessi e come disabilitarli per il blocco della privacy e il blocco preventivo.
La Privacy Policy invece, dev’essere redatta da un’azienda specializzata o da uno studio legale anch’esso specializzato per il web. La privacy policy per siti internet deve elencare in tutti gli strumenti attivi e utilizzati ma esporre in dettaglio ogni singolo trattamento e i fini di utilizzo.
6) Interfaccia grafica di navigazione e la corretta comunicazione
Il titolare del trattamento, in questo caso l’azienda proprietaria del sito web, deve fornire all’interessato tutte le informazioni relative al trattamento “in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.” (CIT. dal GDPR)
La scelta del livello di Privacy è uno degli aspetti tecnicamente più difficili da interpretare per poi crearlo fisicamente seguendo tutte le direttive di grafica e comunicazione (sotto un esempio concreto sviluppato dal team Tecnico di Manthea)
La comunicazione è fondamentale: dev’essere sempre chiara e diretta senza rischiare di creare alcun dubbio nella sua comprensione (utile soprattutto in caso di controversia legale), anche attraverso l’utilizzo di icone semplificate per elencare tutti i servizi e i trattamenti utilizzati.
Ultima caratteristica è fornire sempre all’utente la possibilità di modificare le impostazioni di privacy in ogni momento anche durante la navigazione di tutte le pagine del nostro sito web. Ad esempio noi su manthea.ch abbiamo implementato un “icona ingranaggio” che segue l’utente in tutte le sezioni/pagine del nostro sito web (immagine sopra).
7) I diritti dell’interessato – navigatore – utente
“…l’azienda deve garantire all’interessato i diritti all’accesso, rettifica, integrazione, oblio e portabilità dei propri dati…”
In diversi punti del GDPR si sottolinea l’importanza del rispetto dei “diritti” del navigatore-utente nella gestione dei suoi dati in qualunque momento.
Tradotto in termini tecnici di sviluppo di un sito web, il nostro Team ha interpretato una versione facile da comprendere, veloce e intuitiva dove il nostro utente può gestire i suoi dati: il Modulo ePR (ePrivacy).
8) La revoca del consenso e il modulo ePR
Il Modulo ePrivacy è uno strumento che fornisce al navigatore/utente la possibilità di gestire, cancellare o modificare i propri dati, anche di singoli servizi, in qualunque momento (come newsletter, form, etc.) in un sistema veloce e automatico. Questo semplifica anche la gestione dei processi aziendali mantenendo tutto tracciabile.
NB: come responsabili del trattamento, dobbiamo avere sempre traccia di quando un utente ha accettato i nostri termini e condizioni, ma anche quando “rinuncia” al trattamento e desidera essere cancellato. Dobbiamo tracciare tutto! Un Modulo ePR professionale è in grado di archiviare tutto in modo automatico e salvare tutte queste preferenze, data, orario, nominativo e dati collegati.
