GDPR: interessato, titolare e chi sta in mezzo
- Gestione Privacy
Ci siamo passati tutti
Hai un sito web. Finalmente è online.
Hai fatto il fatidico lancio, hai mandato il link a tutti, hai sommerso i social con il classico “siamo lieti di presentarvi…”. E sono arrivati i commenti che aspettavi. Che bello, che bravo, si vede il lavoro che ci hai messo. Hai sorriso. Hai ringraziato. Mentre dentro di te pensavi una cosa sola: meno male che è finita.
Perché sai solo tu le fatiche che hai passato: quel titolo che non suonava mai bene, quella descrizione del servizio che riscrivevi e non rendeva mai abbastanza. Cosa ne sa il mondo dei tuoi rapporti intensi con il fornitore, dell’impegno che ci è voluto a rompere le scatole all’agenzia in modo sistematico e scientifico. Offerta, controfferta, chiarimento, modifica, modifica della modifica, chiarimento sul chiarimento, chat, call, briefing, workflow, deadline, recap, disclaimer, feedback, follow-up, to-do, sign-off. Loro hanno tenuto duro. Tu anche. Alla fine il sito è andato online e il mondo è tornato a girare.
Ti ricordi solo vagamente che in mezzo a tutto quel casino, qualcuno aveva tirato fuori la questione delle pagine obbligatorie per legge. Ti sono passate di sfuggita parole come GDPR, cookie policy. Insomma quelle robe lì, in fondo, con le lettere piccole. Roba da tecnici. Scartoffie burocratiche. A te interessava la foto sulla home. Chi mai legge sta roba. Ci si pensa dopo.
Ecco. Quel “dopo” è adesso.
Dipende da come è fatto il sito. Ma nella maggior parte dei casi, anche quelli all’apparenza “semplici”, ci sono almeno quattro fonti di raccolta dati che lavorano in parallelo, spesso senza che il proprietario del sito lo sappia con precisione.
Google Analytics è il più diffuso. Qualche tecnico magari ti ha parlato anche di Matomo, Hotjar, Microsoft Clarity. Poco cambia. Quello che voglio spiegarti è che ognuno di questi strumenti funziona in modo leggermente diverso, ma tutti registrano le stesse cose: da dove viene il visitatore, cosa clicca, quanto tempo resta su ogni pagina, da che dispositivo naviga, se ha abbandonato il carrello a metà.
Hotjar e Clarity fanno anche di più: registrano i movimenti del mouse, le zone dove gli utenti si fermano, le sessioni di navigazione vere e proprie. Sono dati tecnici, sì. Ma appena possono essere ricondotti a una persona fisica, diventano dati personali a tutti gli effetti.
L’agenzia te li ha proposti, ti ha detto che servono e tu hai dato OK, anche se il preventivo si gonfiava. Normale. Il problema è che spesso finisce lì. Nessuno spiega cosa succede davvero con quei dati. E gli analytics sono solo il primo strato.
Poi ti hanno detto che se mai vorrai fare campagne su Meta, su Google Ads o su TikTok, sul tuo sito ci vuole un pixel. Non sai bene cos’è, ma suona come una cosa che serve. E già che ci sei, lo metti.
Quello che forse non ti hanno spiegato è che quel pixel non si limita a misurare i risultati della campagna: traccia il comportamento dell’utente, lo segue anche dopo che ha lasciato il sito, e in alcuni casi costruisce profili usati per il retargeting. Il pixel di Meta, per esempio, può associare la visita al profilo Facebook o Instagram dell’utente, anche se l’utente non ha cliccato nulla, non ha comprato nulla, non ha lasciato nessun dato. È entrato e basta. E il pixel lo sa già.
Che bello, ti sei detto. Mettiamo pure questo, già che ci siamo.
E hai fatto bene a metterlo: i pixel servono davvero. Il punto è sapere cosa stai installando. Perché sul tuo sito, a questo punto, non c’è solo il tuo contenuto. C’è anche quello di Meta, di Google, forse di TikTok. Ognuno con le sue regole.
Questa è la categoria più sottovalutata. Ma tu non hai battuto ciglio.
Figurati se ti fai mancare la chat live, il widget per le recensioni, il plugin per la newsletter, il sistema di prenotazione. E il CRM collegato ai form, che raccoglie nome, cognome, email, indirizzo di spedizione, numero di telefono, a volte data di nascita. Così hai tutto pronto e ordinato. Te l’hanno detto così. E hanno ragione.
Voglio tranquillizzarti: è tutto vero, funziona esattamente così. Sono strumenti utili che, se utilizzati e governati bene, ti porteranno tanto valore. Non rimpiangerai l’investimento.
Ma tutto questo ha anche un rovescio della medaglia. E no, non voglio spaventarti. Voglio solo farti capire l’importanza di sapere cosa c’è dietro. Perché ogni strumento che installi sul sito porta con sé le proprie logiche di raccolta dati. Spesso salva informazioni sui propri server, in paesi con normative diverse dall’Europa. Spesso ha accesso a più dati di quanti ne servano davvero. E spesso nessuno ha letto i termini di servizio. Né tu, né chi ti ha fatto il sito.
Non è colpa di nessuno. È che nessuno te l’ha mai spiegato.
Preciso per i più pignoli: ho semplificato la parte tecnica al massimo. Di proposito. L’obiettivo è capire il quadro generale, non configurare un CMP.
La domanda non è polemica. È genuina.
Molti imprenditori hanno fatto fare il sito a qualcuno — un’agenzia, un freelance, l’amatissimo cugino bravo con i computer. Non hanno mai avuto una conversazione seria su cosa succede con quei dati. Nessuno gliel’ha spiegato. Nessuno gliel’ha chiesto. E tu non potevi sapere quello che non ti hanno mai detto.
Il problema è che la legge non la vede così. Il titolare del trattamento sei tu. Non l’agenzia, non il freelance, non il cugino. Tu.
Il Regolamento Europeo 2016/679, meglio noto come GDPR, stabilisce la necessità di individuare un titolare del trattamento per ogni attività di raccolta e gestione dei dati personali. Quel titolare sei tu. Non l’agenzia, non il freelance, non il cugino.
Significa che sei tu il responsabile di come quei dati vengono raccolti, conservati, usati e, se necessario, cancellati.
Significa che se un utente ti chiede “quali dati avete su di me?”, devi saperlo rispondere. Significa che se c’è una violazione dei dati, devi saperlo segnalare. Significa che la cookie banner che hai messo sul sito non è solo un ornamento. Deve funzionare davvero, e deve essere conforme.
Non è roba da avvocati in senso astratto. È roba concreta, che riguarda te, il tuo sito, e le persone che ci atterrano sopra ogni giorno.
Da una cosa semplice: sapere cosa c’è sul tuo sito. Quali strumenti, quali plugin, quali form, quali servizi di terze parti. Non devi diventare un tecnico. Devi solo smettere di fare finta che non esista.
Poi viene il resto: verificare che la tua informativa privacy sia aggiornata e rispecchi quello che davvero succede — non un copia-incolla trovato online nel 2018. E che il consenso venga raccolto prima che i cookie vengano installati. Non dopo. Prima.
Sembra tanto. E forse lo è, se parti da zero.
Ma c’è una domanda che vale la pena farti adesso, prima di rimandare ancora:
Se domani un tuo cliente ti chiedesse “cosa fai con i miei dati?”, sapresti rispondergli?
