Privacy & Dati
Una buona Privacy Policy non è un testo da avere nel footer. È il racconto trasparente di ciò che il tuo sito fa davvero.
Privacy Policy e Cookie Policy sono spesso le pagine più dimenticate di un sito.
Si scrivono una volta, si pubblicano nel footer e poi rimangono lì per anni.
Nel frattempo cambiano gli strumenti di analytics, vengono aggiunti nuovi pixel, qualcuno installa un chatbot, si integra una piattaforma di email marketing, cambia il sistema di pagamento, si aggiunge un'applicazione per il customer care o si inserisce un nuovo tool per analizzare le conversioni.
E la privacy policy? Rimane quella di tre anni prima.
È uno dei problemi che incontro più spesso quando analizzo un sito o un e-commerce: la documentazione racconta un sito che non esiste più.
E questo è molto più importante della semplice presenza o assenza di una privacy policy.
Il principio è piuttosto semplice.
Se un utente arriva sul tuo sito, dovrebbe poter capire, attraverso l'informativa, quali dati vengono raccolti, perché vengono raccolti, come vengono utilizzati, per quanto tempo vengono conservati e, quando rilevante, a chi possono essere comunicati.
Il Garante stesso, nella propria informativa aggiornata, descrive il trattamento dei dati personali in relazione agli specifici siti e servizi utilizzati e chiarisce che l'informativa riguarda quei trattamenti, non genericamente qualsiasi servizio raggiungibile dal sito.
Questo significa che una privacy policy generica, acquistata online o copiata da un altro sito, non risolve necessariamente il problema. Anzi, può crearne uno nuovo.
Perché una policy che dichiara qualcosa di diverso da ciò che il sito effettivamente fa crea una distanza tra documentazione e realtà. Ed è proprio quella distanza che dovrebbe preoccuparci.
Capita ancora molto spesso di vedere privacy policy costruite partendo da un modello standard.
Il risultato può contenere formule corrette dal punto di vista linguistico e giuridico, ma non essere realmente coerente con il sito. Per esempio, la policy può non riflettere:
Il problema, quindi, non è che il testo sia necessariamente "sbagliato". Il problema è che potrebbe non descrivere quello che succede realmente. E per un'azienda questa è una differenza sostanziale.
Un'altra confusione frequente riguarda i cookie.
Privacy Policy e Cookie Policy possono essere collegate, ma rispondono a esigenze informative differenti.
I cookie sono solo una delle possibili tecnologie utilizzate per memorizzare informazioni o effettuare attività di tracciamento. Il Garante considera infatti anche altri strumenti e tecniche di tracciamento, compreso il fingerprinting.
Questo è importante perché concentrarsi esclusivamente sulla domanda:
"Quali cookie ci sono?"
può essere riduttivo. La domanda più utile è:
"Quali strumenti stanno raccogliendo o utilizzando informazioni sull'utente e con quali finalità?"
Da qui cambia completamente il modo in cui si dovrebbe fare un audit.
Un altro errore frequente è pensare che installare un cookie banner equivalga ad aver risolto il problema.
Non è così.
Il sistema di consenso deve essere coerente con gli strumenti effettivamente presenti e deve rispettare le regole applicabili alla raccolta del consenso.
Le Linee guida del Garante del 10 giugno 2021 prevedono, tra l'altro, che al primo accesso non vengano installati cookie o altri strumenti di tracciamento diversi da quelli tecnici prima del consenso, nei casi in cui questo sia necessario. Il Garante ha inoltre affrontato specificamente modalità di acquisizione del consenso come scrolling e cookie wall.
Per questo un controllo serio non dovrebbe fermarsi alla schermata che vede l'utente. Bisogna chiedersi anche:
cosa succede dietro quella schermata?
Quali script partono? Quali richieste vengono effettuate? Quali strumenti vengono caricati? Quali dati vengono trasmessi? E cosa cambia quando l'utente rifiuta?
Questa è forse la parte che trovo più interessante dal punto di vista consulenziale.
Molte aziende sanno perfettamente di utilizzare Google Analytics, Meta Ads o una piattaforma di newsletter. Molto meno spesso hanno una mappa completa di tutto ciò che viene caricato dal loro sito.
Un nuovo tool può essere stato aggiunto perché "serviva al marketing". Un plugin perché "lo consigliava l'agenzia". Un'integrazione perché "era già inclusa nella piattaforma". Un servizio esterno perché "ci permette di fare quella cosa".
Ma ogni nuova tecnologia può introdurre nuovi soggetti, nuovi trattamenti e nuovi flussi di dati. E quindi una domanda che faccio spesso è:
"Dove finiscono i dati che stiamo raccogliendo?"
Non è una domanda esclusivamente legale. È una domanda di architettura digitale.
Questo diventa ancora più importante quando si utilizzano servizi di terze parti.
Un'azienda può pensare di aver semplicemente installato uno strumento per ottenere una determinata funzionalità. In realtà, quello strumento potrebbe comportare l'invio di informazioni a un soggetto esterno.
E il soggetto esterno potrebbe utilizzare infrastrutture, subfornitori o sistemi collocati in Paesi diversi da quello dell'azienda.
Il tema dei trasferimenti verso Paesi terzi non è un dettaglio secondario: il Garante richiama espressamente la necessità di considerare le garanzie applicabili ai trasferimenti di dati personali verso Paesi terzi.
È uno dei motivi per cui non considero sufficiente chiedere:
"Questo tool è GDPR compliant?"
La domanda è troppo generica. Bisogna capire che cosa fa quel tool, quali dati riceve, per quale finalità, chi li tratta e secondo quali condizioni.
Il discorso diventa ancora più interessante con l'intelligenza artificiale.
Le aziende stanno introducendo strumenti AI per scrivere, analizzare, classificare, assistere il customer care, elaborare documenti e velocizzare processi. Ma prima di utilizzare un nuovo strumento bisognerebbe chiedersi: quali dati gli stiamo fornendo? E soprattutto: quei dati dove vengono elaborati?
Questo non significa che utilizzare l'AI sia necessariamente un problema. Significa che, come per qualsiasi altro fornitore tecnologico, bisogna sapere che cosa stiamo utilizzando prima di inserirlo in un processo aziendale.
È lo stesso principio che applico quando parlo di AI: prima del tool viene la comprensione.
Questo è un punto che considero fondamentale.
Possiamo riscrivere perfettamente la Cookie Policy. Possiamo aggiungere tutte le categorie corrette. Possiamo aggiornare il banner.
Ma se il sito continua a caricare uno strumento prima del consenso quando quel consenso è necessario, il problema non è stato risolto scrivendo meglio il documento.
La documentazione deve essere coerente con l'implementazione. Per questo una revisione seria dovrebbe considerare almeno due livelli:
documentale — cosa dichiariamo all'utente;
tecnico-operativo — cosa fa effettivamente il sito.
Il Garante stesso collega l'informativa all'effettivo utilizzo di cookie e altri strumenti di tracciamento e richiama la necessità di garantire la fruibilità del sito anche quando l'utente non presta il consenso, nei casi previsti.
Il mio approccio parte dal sito, non dal documento.
Analytics, advertising, CRM, newsletter, chatbot, form, plugin, pagamenti, embedded content.
Non basta il nome dello strumento: bisogna capire quali dati tratta e con quale finalità.
Fornitori, responsabili, subfornitori e possibili trasferimenti verso Paesi terzi.
Cosa viene caricato prima e dopo il consenso, e cosa succede quando l'utente rifiuta.
Solo a questo punto ha senso leggere le policy come documenti da confrontare con la realtà.
Quando la valutazione richiede un'interpretazione giuridica, serve un professionista legale.
Ci sono verifiche che posso gestire direttamente sulla parte digitale e operativa: individuare strumenti, ricostruire flussi, evidenziare incoerenze, coordinare l'adeguamento e lavorare insieme a chi gestisce il sito.
Ci sono invece situazioni nelle quali la valutazione giuridica deve essere fatta da uno specialista. In quei casi sono la prima a suggerire al cliente di coinvolgere un professionista legale competente in materia di protezione dei dati.
Non perché il digitale non sia importante. Esattamente per il motivo opposto: perché capire dove finisce la consulenza digitale e dove comincia quella giuridica fa parte di una buona consulenza digitale.
A volte privacy e marketing vengono presentati come due forze contrapposte. Non dovrebbe essere così.
Un buon sistema di raccolta dati può essere utile all'azienda e contemporaneamente rispettoso dell'utente.
Il problema nasce quando si raccolgono dati senza sapere esattamente perché, oppure quando si installano strumenti perché "servono alle performance" senza interrogarsi abbastanza su come funzionano.
La privacy, in questo senso, non è semplicemente un adempimento. È anche una questione di progettazione del digitale.
Significa progettare il modo in cui raccogliamo, utilizziamo e condividiamo i dati partendo dal presupposto che dall'altra parte dello schermo c'è una persona.
Non credo nelle policy perfette costruite a prescindere da ciò che c'è dietro.
Credo invece in documenti che siano coerenti con il funzionamento reale del sito e con i processi dell'azienda. Per questo, quando faccio una revisione, non parto dalla domanda:
"Quale testo dobbiamo mettere nel footer?"
Parto da:
"Che cosa succede quando una persona entra nel tuo sito?"
Quali dati vengono raccolti? Quali strumenti intervengono? Chi li riceve? Perché li riceve? Cosa succede se l'utente dice no?
Solo dopo ha senso parlare di documentazione. Perché una Privacy Policy non dovrebbe essere una dichiarazione astratta di conformità.
Dovrebbe essere il racconto trasparente di ciò che accade davvero ai dati di una persona quando utilizza un servizio digitale.
E se quel racconto non corrisponde alla realtà, forse l'azienda non sa ancora fino in fondo come funziona il proprio ecosistema digitale.
La Privacy Policy dovrebbe essere verificata quando cambiano le modalità di trattamento dei dati, gli strumenti utilizzati, i fornitori o altri elementi rilevanti del servizio digitale.
Quando cambiano cookie, strumenti di tracciamento, servizi di terze parti o configurazioni del sito che incidono sui dati raccolti e sulle modalità di consenso.
No. Sono documenti distinti che descrivono aspetti diversi del trattamento dei dati e dell'utilizzo di cookie e altri strumenti di tracciamento.
No. Il banner è soltanto una componente del sistema di gestione del consenso. È necessario verificare anche quali strumenti vengono caricati, quando vengono attivati e come viene gestito il consenso.
È necessario analizzare il sito e i suoi strumenti di terze parti, verificando tecnologie di analytics, advertising, embedded content, chatbot, plugin e altri sistemi di tracking.
Si crea un'incoerenza tra la documentazione fornita all'utente e il trattamento effettivamente effettuato. Questo può generare rischi di natura normativa, operativa e reputazionale.
Sì. Un nuovo strumento può introdurre nuovi dati, nuovi fornitori, nuove finalità o trasferimenti verso soggetti e Paesi diversi. Per questo dovrebbe essere valutato prima dell'integrazione.
Sì. In particolare quando vengono utilizzati per trattare dati personali, informazioni aziendali o contenuti che vengono inviati a servizi esterni.
Quando la revisione richiede un'interpretazione giuridica della normativa, soprattutto nei casi più complessi o ad alto rischio. La consulenza digitale può individuare strumenti, flussi e criticità e coordinarsi con lo specialista legale.
Possiamo verificare insieme quali strumenti sono davvero installati, dove vanno i dati e se la documentazione è coerente con la realtà.
Parliamone →