Vendere online e garantire la protezione dei dati delle persone sono concetti strettamente connessi nel territorio dell’UE, soprattutto a partire dall’introduzione del Regolamento Generale sulla Protezione dei Dati (GDPR).
Questo vale, in particolar modo, quando il business si basa sul modello del marketplace online e i dati degli utenti sono potenzialmente trattati da una moltitudine di venditori che operano all’interno di una singola piattaforma.
Per i gestori dei marketplace, una privacy policy solida e conforme non è solo un obbligo legale, necessario per evitare sanzioni pesanti, ma anche uno degli strumenti principali per guadagnare e mantenere la fiducia dei clienti.
Per questo, in questa guida legale, esploriamo come strutturare una privacy policy efficace, analizzando gli elementi fondamentali dell’informativa privacy e le implicazioni legali, tecniche e le responsabilità “in gioco” nel caso specifico dei marketplace online.
Se vuoi avviare un marketplace, contattaci per una consulenza legale, ti spiegheremo come fare.
Indice
Informativa privacy e GDPR: la ratio
Come accennato, il GDPR è il quadro normativo principale che regola il trattamento dei dati personali in Europa. A questo, non possiamo dimenticarcene, in Italia si aggiunge anche il Codice Privacy che si applica alle organizzazioni italiane. Il Regolamento Europeo sulla protezione dei dati personali, invece, si applica a tutte le organizzazioni che trattano dati di chi si trova nell’UE, indipendentemente da dove si collochi la loro sede legale.
Questo significa che anche un business che ha l’headquarter al di fuori dei confini dell’Unione, laddove si rivolga a utenti europei o che si trovano in Europa, è obbligato a rispettare quanto previsto dalla normativa del GDPR.
Difatti, l’introduzione di un Regolamento in tutti gli Stati membri dell’UE, ha prodotto il vantaggio di uniformare il quadro normativo internazionale portando tutti allo stesso livello, per ottenere il massimo della concorrenza a parità di condizioni giuridiche.
Sia chiaro, lo scopo del GDPR non è quello di impedire tout court che le aziende utilizzino le informazioni delle persone per migliorare i propri risultati di business. La ratio principale è che questa tipologia di operazioni sia quanto più trasparente e lecita possibile, e che i consumatori siano a conoscenza e consapevoli di quanto condividono e come questo può essere sfruttato.
Uno degli strumenti fondamentali per raggiungere questo obiettivo è proprio l’informativa privacy o privacy policy. Questo è il documento obbligatorio per informare in modo chiaro e trasparente gli utenti su come i loro dati personali vengono trattati. Ossia raccolti, utilizzati, conservati e protetti da un’organizzazione e questo rientra tra i principali adempimenti legali per l’attività di e-commerce.
A tal proposito, ti invitiamo ad approfondire la nostra guida generale sulla privacy policy per e-commerce, in cui spieghiamo anche cosa si intende per “dato personale” e per “trattamento del dato personale”
Privacy policy per marketplace: gli elementi essenziali
L’informativa privacy deve essere redatta in un linguaggio chiaro e comprensibile, evitando tecnicismi o clausole vaghe che possano confondere l’utente.
L’articolo 13 e l’articolo 14 del Regolamento stabiliscono i requisiti minimi che devono essere inclusi nell’informativa e questi, chiaramente, valgono per ogni tipologia di business, compresi i marketplace.
1. Identità e dati di contatto del titolare del trattamento
L’informativa deve specificare chiaramente chi è il titolare del trattamento dei dati, ossia l’entità responsabile della gestione dei dati personali. Nel caso di un marketplace, può essere il gestore stesso o il venditore terzo, a seconda del contesto. Oppure può esserci una situazione di contitolari del trattamento, o titolari per finalità diverse. Approfondiamo più avanti.
2. Tipologie di dati trattati
L’informativa deve elencare le categorie di dati personali raccolti dagli utenti, ad esempio dati di contatto (nome, email), dati finanziari (dettagli di pagamento) e dati di navigazione (cookie di profilazione, indirizzi IP).
3. Finalità del trattamento
È obbligatorio indicare con precisione le finalità per cui i dati vengono trattati, come l’esecuzione di ordini, la gestione del rapporto commerciale, l’analisi statistica, o l’invio di comunicazioni promozionali, se autorizzato dall’utente. Il GDPR richiede che ogni trattamento sia limitato alle finalità dichiarate e legittime.
4. Base giuridica del trattamento
Il GDPR impone che venga chiaramente indicata la base giuridica che legittima il trattamento dei dati. Tra le basi più comuni vi sono il consenso esplicito dell’interessato, l’esecuzione di un contratto o il rispetto di obblighi legali. Per esempio, il consenso è obbligatorio per marketing e profilazione.
5. Diritti degli utenti
L’informativa privacy per un marketplace deve spiegare i diritti riconosciuti agli interessati. Tra cui il diritto di accesso, rettifica, cancellazione (diritto all’oblio), limitazione del trattamento, portabilità dei dati, e il diritto di opporsi al trattamento per determinate finalità, come il marketing diretto.
6. Trasferimento dei dati a terze parti
Se i dati vengono condivisi con terzi, come venditori, fornitori di servizi o partner commerciali, questo deve essere chiaramente specificato in una privacy policy per marketplace. Inoltre, va inclusa l’indicazione dei paesi extra-UE in cui potrebbero essere trasferiti i dati e le garanzie adottate per assicurare la loro protezione (ad esempio, clausole contrattuali standard o certificazioni).
7. Durata della conservazione dei dati
Dev’essere indicato per quanto tempo i dati personali verranno conservati, oppure i criteri utilizzati per determinare tale periodo.
8. Dati di contatto del responsabile della protezione dei dati (DPO)
In una informativa privacy per marketplace, non può mancare l’indicazione dei dati di contatto del Responsabile della Protezione dei Dati (DPO). Questa è una figura chiave per garantire che l’organizzazione rispetti le disposizioni del GDPR.
Tratti distintivi dell’informativa privacy nei marketplace
Nel redigere l’informativa privacy però, i gestori dei marketplace, in particolare, si troveranno di fronte ad alcune peculiarità tipiche di questo business.
Difatti, possono essere coinvolti in diversi ruoli privacy a seconda della situazione in cui trattano dati per finalità autonome oppure trattano dati per finalità del partner (ossia del venditore presente sul marketplace),oppure per finalità comuni ad entrambi. Vediamo i casi più comuni.
Titolare del trattamento (art. 24)
Il gestore del marketplace viene considerato titolare del trattamento quando ha il pieno controllo e la decisione su finalità e mezzi del trattamento dei dati personali, come definito nell’art. 4 del Regolamento.
Questo significa che il gestore decide autonomamente come e perché i dati personali degli utenti devono essere trattati. Ad esempio, quando un marketplace raccoglie dati per finalità di marketing (come lead generation o invio di email promozionali) o per migliorare l’esperienza utente attraverso analisi interne.
In quanto titolare del trattamento, il gestore del marketplace è direttamente responsabile della conformità al GDPR, e deve garantire quanto stabilito nell’art. 24, tra cui:
- La corretta informazione agli utenti sui trattamenti effettuati, mediante una privacy policy del marketplace chiara e trasparente;
- L’adozione di misure di sicurezza adeguate per proteggere i dati personali degli utenti del marketplace;
- La garanzia che gli utenti possano esercitare i loro diritti (diritto di accesso, rettifica, cancellazione, ecc.).
In sintesi, il titolare decide il perché e il come del trattamento dei dati personali, ha il controllo completo sui dati personali e ne è il principale responsabile dal punto di vista legale.
Responsabile del trattamento (art. 28)
Il responsabile del trattamento è una figura distinta dal titolare, incaricata di trattare i dati per conto di quest’ultimo, per via di un contratto in essere tra titolare e responsabile.
Il gestore di un marketplace è considerato responsabile del trattamento quando agisce su istruzioni precise del titolare. Ad esempio nel caso in cui il venditore terzo utilizza il marketplace per eseguire transazioni e il gestore del marketplace tratta dati personali, come i dati di pagamento e l’indirizzo di spedizione, solo per permettere che si concluda il contratto tra il merchant e l’acquirente. Questo, quando le condizioni di adesione al marketplace prevedono l’obbligo nei confronti del partner.
In qualità di responsabile del trattamento, il gestore deve:
- Eseguire i trattamenti esclusivamente secondo le istruzioni ricevute dal titolare.
- Adottare misure tecniche e organizzative adeguate per garantire la sicurezza dei dati.
- Formalizzare il rapporto con il titolare tramite un accordo di trattamento (art. 28 GDPR), in cui vengono dettagliate le responsabilità di ciascuna parte.
Il responsabile non ha autonomia decisionale sulle finalità del trattamento: agisce in un contesto subordinato alle istruzioni del titolare.
Contitolare del trattamento (art. 26)
Se queste prime due casistiche hanno tratti più o meno definiti, c’è una situazione maggiormente al limite che merita di essere analizzata in maniera più approfondita.
Ipotizziamo che il marketplace contemporaneamente tratti sia dati per conto del venditore, ad esempio per espletare la mera spedizione dell’ordine, sia per finalità proprie, ad esempio per profilare il cliente e proporre prodotti simili in futuro.
In questi casi si può parlare di contitolarità del trattamento.
L’articolo 26 del GDPR, infatti, riprende quella che è la definizione di titolare e stabilisce che
allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento”.
Quando il marketplace e un venditore sono contitolari, devono:
- Sottoscrivere un accordo di contitolarità (art. 26 GDPR), che chiarisca le rispettive responsabilità e il perimetro di ciascun trattamento.
- Gestire congiuntamente le richieste degli interessati (es. diritto di accesso o cancellazione).
- Garantire la piena trasparenza nei confronti degli utenti circa il ruolo di ciascuna parte nel trattamento dei dati.
In caso di violazioni, entrambi i contitolari sono responsabili in solido nei confronti degli interessati. Ciò significa che ogni parte può essere chiamata a rispondere per eventuali danni derivanti dal trattamento.
L’importanza di aggiornare regolarmente la privacy policy e le possibili sanzioni per i gestori dei marketplace
A prescindere da quale sia la responsabilità soggettiva del gestore del marketplace, quello che è certo è che la privacy policy di un marketplace deve essere aggiornata regolarmente per riflettere eventuali modifiche normative, tecniche o operative.
Ad esempio, un cambiamento nelle modalità di trattamento dei dati, l’introduzione di nuovi strumenti di analisi o l’espansione del marketplace in nuove giurisdizioni possono richiedere una revisione della policy.
Inoltre, il GDPR richiede che qualsiasi modifica significativa della privacy policy venga comunicata agli utenti, che devono essere messi nelle condizioni di comprendere e accettare in maniera esplicita le nuove condizioni.
Per questa e altre violazioni è bene conoscere anche le possibili sanzioni legate alla non conformità al GDPR: possono essere estremamente severe, specialmente per i gestori di marketplace che trattano grandi quantità di dati personali. Le violazioni più gravi possono comportare multe fino al 4% del fatturato annuo globale dell’azienda o fino a 20 milioni di euro, a seconda di quale sia l’importo maggiore.
Tra le violazioni più comuni ci sono:
- Mancanza di trasparenza sulle finalità del trattamento;
- Trattamento illecito dei dati senza adeguato consenso;
- Mancata adozione di misure di sicurezza adeguate.
Privacy policy marketplace: come può aiutarti Ecommerce Legale
Per evitare queste sanzioni e avere un marketplace legale, è fondamentale che i marketplace adottino un approccio proattivo alla conformità, implementando controlli periodici e aggiornamenti delle procedure interne.
In fondo, il GDPR, come la maggior parte delle norme di derivazione europea, si fonda sul principio di accountability (responsabilizzazione) del soggetto che deve applicarle, adeguando il proprio comportamento alla situazione specifica da affrontare.
Uno dei modi migliori per dimostrare questa proattività è affidarsi alla consulenza di uno studio legale specializzato in marketplace. Il team di avvocati di Ecommerce Legale può supportarti nella definizione dell’organizzazione tecnica e giuridica per rispettare le norme del GDPR. Inoltre, ci occupiamo di aggiornare la privacy policy adeguandola a situazioni più o meno complesse per permetterti di concentrarti al 100% sul fare business.
Hai bisogno di un supporto tecnico specializzato? Parliamone.
Floriana Capone
L’Avvocato dell’Ecommerce
