Concepito per tutelare le persone nell’ambito del trattamento dei loro dati personali nel settore privato e nel settore pubblico, il Regolamento generale sulla protezione dei dati ha avuto un fortissimo impatto anche sul commercio elettronico. Il regolamento UE n. 2016/679 (in inglese GDPR, General Data Protection Regulation), operativo dal 25 maggio 2018, riguarda la protezione delle persone fisiche in relazione alla privacy, al trattamento e alla libera circolazione dei dati personali. Considerando l’enorme mole di dati che viene trattata nella vendita online – nomi, cognomi, date di nascita, informazioni di contatto, indirizzi di spedizione, sistemi di pagamento – è essenziale capire quali siano le implicazioni del GDPR per l’ecommerce.
In linea generale, devi sapere che la normativa privacy si applica agli ecommerce con sede nell’Unione europea o che offrono servizi/beni alle persone che si trovano in UE. Inoltre, va rispettato anche da quelle imprese straniere che monitorano i comportamenti dei consumatori nell’Unione europea.
Il mancato rispetto del GDPR può avere pesanti conseguenze per le aziende, sia dal punto legale che di immagine: la legge prevede sanzioni pecuniarie fino a 20 milioni di euro o il 4% del fatturato mondiale totale annuo dell’esercizio precedente; in caso di violazioni del GDPR, c’è l’eventualità che i consumatori perdano fiducia nel brand, decidendo di rivolgersi ad altri. In entrambi i casi le ripercussioni economiche possono essere fatali.
Ma quali sono le attività che richiedono il rispetto del GDPR nell’ecommerce?
Tutte le attività che prevedono la raccolta e il trattamento dei dati personali: il form dei contatti, il contratto d’acquisto, il marketing e le newsletter, la spedizione dei prodotti, la profilazione.
Con un sito ecommerce GDPR compliant eviti di sicuro i provvedimenti da parte del Garante della privacy ma soprattutto costruisci un rapporto di fiducia con i tuoi clienti.
Con questo articolo ti spiego cosa prevede il Regolamento sulla protezione dei dati per ecommerce e come si applica in maniera concreta la normativa privacy ad un ecommerce.
Indice
Che cos’è il GDPR e cosa prevede?
Acronimo di General Data Protection Regulation, il GDPR è il regolamento ufficiale dell’Unione europea sul trattamento dei dati personali e sulla privacy. Si tratta del regolamento (UE) n. 2016/679, in vigore dal 2018 per rafforzare la protezione dei dati personali delle persone fisiche residenti all’interno dell’UE, sia all’interno degli Stati membri che all’estero.
Di fatto, grazie al GDPR, è stata armonizzata la normativa privacy all’interno degli Stati aderenti all’Unione Europea, con obblighi comuni per tutti i titolari del trattamento dei dati e gli altri soggetti che assumono un ruolo privacy.
Si applica a tutte le imprese, enti e organizzazioni europee ed estere che trattano dati personali dei cittadini dell’Unione europea, a prescindere dal luogo in cui operano.
Approfondiamo alcuni concetti utili per comprendere l’impatto del GDPR sull’ecommerce.
Cosa si intende per dati personali?
La definizione di “dato personale” si trova nell’articolo 4 del GDPR: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”.
Dunque, i dati personali che rientrano nel GDPR sono le informazioni che rendono un individuo identificabile:
- nome e cognome;
- numero di telefono;
- numero identificativo online (come l’indirizzo IP del computer), numero di matricola;
- foto o elementi caratteristici della sua identità fisica, fisiologica, psichica o genetica;
- indirizzo;
- indirizzi email;
- dettagli bancari;
- commenti sui social o sui siti web;
- dati sulla salute;
- elementi come identità fisica, economica culturale e/o sociale.
Inoltre, se una serie di informazioni date insieme indirettamente portano all’identificazione di una persona fisica, anche queste vengono considerate dati personali.
Si parla di profilazione, invece, quando dall’analisi automatizzata dei dati personali è possibile desumere preferenze, rendimento professionale, situazione economica, salute, comportamenti e abitudini, spostamenti e ubicazione di una determinata persona.
Cosa si intende per trattamento di dati personali?
Anche per la definizione di “trattamento” è proprio il GDPR a venire in aiuto: “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione”.
La normativa non specifica il supporto utilizzato per il trattamento dei dati personali. Ciò significa che il GDPR si applica alla raccolta di dati in forma orale, scritta, materiale e digitale.
Cosa prevede il GDPR per ecommerce?
Prima di andare nel dettaglio e approfondire cosa prevede la normativa privacy per un ecommerce, è necessario innanzitutto comprendere quando si applica il GDPR all’ecommerce.
Quando si applica la normativa privacy nell’ecommerce?
Per capire quando si applica il GDPR nell’ecommerce e se il tuo sito di vendita online è soggetto al Regolamento europeo sulla protezione dei dati, basta considerare due aspetti:
- il tuo sito internet raccoglie e tratta i dati personali per la vendita online, l’email marketing o altre attività di marketing?
- il tuo ecommerce ha sede in Europa, tratta dati di persone che si trovano in Europa o di cittadini europei a prescindere dalla loro ubicazione?
Se hai risposto sì ad almeno una di queste domande, allora devi assicurarti che il tuo ecommerce sia GDPR compliant, ossia che i dati che tratti siano tutelati secondo le norme previste dal GDPR per ecommerce.
Cosa fare per adeguare un ecommerce al GDPR?
Per avere un sito di vendita online a norma bisogna innanzitutto valutare le attività dell’azienda, considerare i soggetti coinvolti, pensare alle modalità di trattamento dei dati e alle misure di sicurezza necessarie.
Per prima cosa, secondo il GDPR, l’interessato deve essere informato sulla tipologia di trattamenti a cui vengono sottoposti i suoi dati personali. A questo scopo, nel sito ecommerce bisogna predisporre documenti legali chiari, comprensibili e completi che spieghino la tipologia di dati trattati, le modalità di trattamento, la finalità del trattamento e i diritti dell’interessato.
Tipologia di trattamenti e basi giuridiche nel trattamento dei dati in un e-commerce
Per ogni trattamento dei dati personali, è necessario che si disponga di idonea base giuridica del trattamento.
Cosa sono le basi giuridiche del trattamento? Sono delle condizioni senza le quali il trattamento non può considerarsi lecito.
In alcuni casi, pensiamo alla finalità del marketing diretto, il trattamento dei dati è subordinato al consenso dell’utente, che va raccolto secondo le norme stabilite dal GDPR. In altri, come la spedizione del prodotto acquistato, il trattamento è basato su un’altra base giuridica: l’esecuzione del contratto. Per altre ancora, come le finalità fiscali o di adempimento di altri obblighi imposti dalla legge, la base giuridica è proprio quella dell’adempimento di un obbligo di legge.
Misure di sicurezza nella privacy per ecommerce
Il titolare del sito ecommerce, inoltre, ha l’obbligo di adottare tutte le misure di sicurezza per la tutela dei dati personali degli utenti, come la crittografia, la creazione dell’organigramma della privacy e la nomina del DPO (il responsabile della protezione dei dati), la formazione sulla normativa privacy per ecommerce del personale, la redazione del registro dei trattamenti, il registro e la documentazione dei data breach, l’analisi del rischio per le attività a rischio, compreso l’utilizzo dei sistemi di intelligenza artificiale.
Infine, bisogna assicurare all’utente i diritti previsti dal GDPR agli utenti dell’ecommerce come il diritto all’oblio e alla cancellazione dei dati. Li vediamo meglio più avanti.
Ruoli privacy nell’ecommerce
Nella gestione di un ecommerce sono tanti i soggetti coinvolti che possono entrare in contatto con i dati personali degli utenti.
Innanzitutto il titolare del trattamento: è colui che sceglie quali dati raccogliere, per quale finalità (marketing? profilazione?) e con quali mezzi.
A questo si accompagnano altre figure coinvolte nel trattamento dei dati personali nell’ecommerce: pensiamo al customer care. Si tratta spesso di soggetti interni all’azienda a cui è demandato il compito di assistenza post vendita. Quando sono dipendenti assumono il ruolo di incaricati / designati al trattamento e devono ricevere apposita autorizzazione.
Spesso, però, soprattutto per le attività di lead generation o di marketing, più in generale, ci si affida a web agency o consulenti esterni, che trattano dati personali dell’ecommerce proprio perché la loro funzione, il loro compito, implica il trattamento dei dati personali. Si tratta di soggetti che assumono il ruolo di responsabili del trattamento. Anche in questo caso devono ricevere un atto che giustifichi il trattamento: l’atto di nomina a responsabile del trattamento. Senza questo, il trattamento è illecito.
Documenti legali previsti dal GDPR per ecommerce: Privacy e Cookie policy
La Cookie policy e la Privacy policy rappresentano i documenti legali principali per la compliance al GDPR dell’ecommerce.
La Privacy policy per e-commerce va inserita nelle pagine del sito di vendita online. Siccome deve essere raggiungibile da qualsiasi parte del sito, è consigliabile mettere un link all’informativa completa nel footer.
L’informativa privacy deve necessariamente contenere alcuni tipi di informazioni, quali:
- l’identità del titolare del trattamento (data controller);
- il nome del responsabile della protezione dei dati personali (DPO): questa figura è prevista nel caso si esegua un monitoraggio regolare online su larga scala con strumenti di tracciatura e profilazione;
- la tipologia di dati raccolti (quali dati raccolgo);
- finalità (perché tratto i dati), modalità (come tratto i dati, con quali strumenti), e basi giuridiche del trattamento dei dati (cosa giustifica il mio trattamento);
- il periodo di data retention, cioè i tempi di conservazione dei dati. Viene stabilito dal proprietario del sito e-commerce in proporzione alle finalità del trattamento;
- il diritto di richiedere la cancellazione dei dati;
- il diritto di opporsi al trattamento.
L’utente deve anche essere a conoscenza del trattamento da parte di terze parti.
Per poter trattare i dati personali per finalità di marketing, profilazione e cessione dei dati a terzi, l’ecommerce deve ottenere il consenso al trattamento dei dati in maniera esplicita da parte dell’utente.
Anche l’installazione dei cookie, i file di testo che vengono archiviati sui device degli utenti quando navigano su internet, deve seguire le norme previste dal GDPR. In particolare, la presenza di cookie tecnici e di cookie analitici che raccolgono informazioni in forma anonima va indicata nella Cookie policy. Per installare i cookie di profilazione, invece, l’utente deve dare il proprio consenso tramite il cookie banner. Nel cookie banner bisogna inserire il link alla Cookie policy, indicare chi tratterà i dati (cookie di prima parte o di terze parti) e se il sito utilizza cookie di profilazione.
Marketing e GDPR ecommerce: come fare email marketing e lead generation
Ogni merchant deve tenere conto che il consenso è una delle basi giuridiche previste dal GDPR per ecommerce per le attività di marketing. L’utente, quindi, deve dare il proprio consenso per la lead generation e per l’invio di newsletter, due attività strettamente correlate tra loro.
Con la lead generation, infatti, vengono intercettati gli utenti e trasformati in potenziali clienti. I lead concedono le proprie informazioni di contatto in cambio di un lead magnet (qualsiasi tipo di risorsa utile, come un coupon, un buono sconto, una guida online). Con i dati raccolti si creano liste di contatti verso i quali indirizzare attività promozionali e di email marketing.
Per la lead generation e il marketing è obbligatorio creare dei form visibili per la raccolta delle informazioni, in cui vanno indicate le finalità della raccolta e il tipo di trattamenti previsti.
Il cliente deve rilasciare il suo consenso in maniera esplicita attraverso la procedura del double opt-in (dopo aver riempito il form, all’utente viene inviata un’email di conferma).
Il titolare del trattamento deve conservare la prova del consenso ottenuto.
Ricorda che l’utente ha diritto alla disiscrizione dalla lista, che va garantito dal link per l’opt-out presente in ogni email e con la stessa facilità con cui ha rilasciato il suo consenso.
Solo in un caso è possibile fare email marketing senza consenso (soft spam): quando il destinatario della comunicazione è già stato cliente del sito ecommerce. L’importante è che vengano soddisfatte alcune condizioni:
- la comunicazione deve essere coerente con i prodotti già acquistati e inviata esclusivamente via email;
- la finalità del soft spam va indicata nella privacy policy;
- il cliente deve essere a conoscenza della sua possibilità di revocare il consenso alla ricezione di questo tipo di comunicazioni.
L’invio di newsletter è soggetto alle stesse norme previste per l’email marketing, ossia: consenso, link per l’opt-out, link alla privacy policy.
GDPR ecommerce: i diritti dei clienti
Il rispetto della normativa privacy per ecommerce richiede il rispetto dei diritti dell’interessato previsti dal Regolamento europeo sulla protezione dei dati, di cui devono prendere atto sia il merchant che il cliente. I diritti descritti nell’intero capo III sono:
- trasparenza: il titolare del trattamento deve fornire informazioni relative al trattamento in maniera chiara, concisa, accessibile, intellegibile e trasparente;
- accesso ai dati personali: l’interessato ha il diritto di conoscere tutte le informazioni relative al trattamento, compresi i contatti del titolare dei dati. Inoltre, egli deve avere la possibilità di accedere ai dati per poterli controllare e rettificare;
- rettifica: è diritto del cliente di rettificare i propri dati o integrarli qualora sia necessario;
- diritto all’oblio o alla cancellazione: i dati possono essere trattati solo dopo aver ottenuto il consenso del cliente. Tuttavia, così come l’interessato può aver concesso il proprio consenso, gli viene riconosciuto anche il diritto alla cancellazione, ossia alla revoca del consenso;
- diritto di opposizione: l’interessato può opporsi al trattamento dei dati in qualsiasi momento.
Nel trattare i dati secondo il GDPR ecommerce bisogna sempre tenere a mente i diritti dell’interessato per non incorrere in pesanti sanzioni da parte del Garante della privacy.
Contatta Ecommerce Legale per adeguare il tuo sito al GDPR ecommerce
Cosa significa GDPR ecommerce per i merchant? Questa è una domanda che i nostri clienti ci fanno spesso quando si parla di adeguamento GDPR del sito ecommerce. La sensazione che hanno, infatti, è che si tratti di un onere ulteriore.
In realtà, cambiando prospettiva, il rispetto della normativa ecommerce può trasformarsi in una strategia di marketing di grande valore. Non si tratta esclusivamente di adeguamento legale del sito ma si riconosce la centralità del cliente e si dà valore alla sua privacy. Dunque si conquista la sua fiducia, aumenta la soddisfazione e la possibilità che diventi un cliente fedele.
Noi di Ecommerce legale, avvocati esperti in diritto dell’ecommerce, ti aiutiamo a crescere nella vendita online con un sito a norma. Con l’adeguamento al GDPR potrai fare campagne di retargeting e remarketing, soft spam, email marketing senza il rischio di sanzioni e, soprattutto, trasmettendo al cliente di essere un partner affidabile e sicuro.
Contattaci per l’adeguamento al GDPR dell’ecommerce, ci prenderemo cura di ogni singolo aspetto che impatti sul rispetto della normativa privacy dell’ecommerce. A partire da un check legale del sito e della tua attività, valuteremo i rischi e le misure necessarie per la tutela dei tuoi clienti in linea con la normativa in materia di privacy, e ti proporremo una strategia personalizzata per i documenti legali, i registri delle attività di trattamento, l’organigramma delle figure coinvolte in relazione alla privacy, le attività da svolgere in caso di data breach.
Ecommerce Legale è lo studio specializzato in privacy e GDPR per il web che ti prenderà per mano in ogni passaggio necessario per avere un sito ecommerce GDPR compliant.
Floriana Capone
L’Avvocato dell’Ecommerce
