[Privacy] Note legali sulla protezione dei dati personali per Ecommerce e siti web

La questione relativa alla protezione dei dati personali per chi apre un ecommerce o un sito web. Abbiamo chiesto all’avvocato Marco Bigarelli di rispondere ad alcune domande. L’avvocato Bigarelli si occupa specificatamente di consulenza legale nel ramo IT e Internet; abbiamo scoperto che spesso ignoriamo l’importanza di questi aspetti legali quando avviamo la nostra attività online, ecco le domande in merito agli aspetti legali di privacy che abbiamo posto con le relative risposte. Buona lettura.

[sf_button colour=“accent” type=“standard” size=“large” link=“https://www.gdmtech.it/dove-siamo/" target=”_self" icon=“ss-fastforward” dropshadow=“no” extraclass=""]Contattaci per una consulenza[/sf_button]

Quali sono le implicazioni a livello di privacy per chi decide di aprire un sito web?

Aprire un sito web implica un trattamento di dati personali. L’interazione degli utenti con il sito comporta l’acquisizione di dati e la trasmissione degli stessi a terzi.  Per dati personali si intendono quei dati che mi permettono sia direttamente che indirettamente, attraverso l’associazione con altri dati, di risalire senza troppe difficoltà all’identità di un soggetto. Pensiamo all’indirizzo IP (Internet Protocol) attraverso cui i fornitori di servizi internet possono identificare il titolare del dispositivo fornendomi anche il giorno e l’ora dell’avvenuto collegamento. In questo caso parliamo di dati acquisiti in automatico dalle procedure software sottese al funzionamento del sito web. In più ci sono i dati personali forniti volontariamente dagli utenti per portare a termine un’operazione di acquisto, o più in generale per concludere un contratto con il titolare del sito web, titolare del sito che di regola coincide con il titolare del trattamento dei dati acquisiti.

Come organizzarsi dunque per essere a norma?

Predisporre un’idonea informativa sulla privacy. L’informativa sul trattamento dei dati personali, conosciuta anche con il termine inglese “privacy policy”, è un documento imprescindibile per chi intende avviare un’attività di e-commerce o semplicemente aprire un sito web. La privacy policy serve a spiegare agli utenti del proprio sito internet come verranno trattati i dati personali raccolti ed in particolare:

• La tipologia dei dati raccolti;
• La finalità e le modalità del trattamento;
• Se il conferimento dei dati personali da parte degli utenti è obbligatorio o facoltativo;
• I tempi di conservazione dei dati personali;
• Possibili trasferimenti dei dati personali all’estero
• Come l’utente può esercitare i propri diritti nei confronti del titolare del trattamento;

La mancanza della privacy policy o la sua inidoneità è punita con il pagamento di una sanzione amministrativa.

Chi decide di aprire un sito web o un e-commerce deve predisporre un’adeguata informativa per la privacy, ma quali finalità del trattamento indicare?

Per chi apre un e-commerce la principale ed a volta unica finalità del trattamento è quella di permettere la conclusione del contratto e l’erogazione dei servizi o l’acquisto dei beni. Ad esempio, il gestore di un portale di e-commerce chiede all’utente il permesso di trattare i suoi dati perché tale trattamento è necessario alla conclusione del contratto di acquisto e per tutte quelle finalità strumentali rispetto alla conclusione dell’operazione di vendita. Ad esempio avrò bisogno dei dati personali per adempiere agli obblighi di contabilità, devo sapere a quale indirizzo spedire i beni o erogare i servizi. Questa finalità del trattamento non richiede il consenso dell’interessato, infatti l’art. 24 del Codice della Privacy specifica che il consenso non è richiesto quando il trattamento dei dati personali è “necessario per eseguire obblighi derivanti da un contratto del quale è parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato”.

E se volessi inviare delle email promozionali?

Partiamo da un principio, per poter trattare i dati personali degli utenti ho bisogno del loro consenso. Ciascuna finalità richiede un consenso separato ed espresso. A questa regola generale ci sono alcune eccezioni ben definite, come quella del trattamento ai fini contrattuali, che come abbiamo visto sopra non richiede il consenso dell’interessato. Se invece il titolare di un e-commerce intende anche inviare comunicazioni commerciali agli utenti dovrà specificarlo nell’informativa ed acquisire il consenso dell’utente attraverso un apposito check box. In questo caso la finalità sarà quella di utilizzare i dati personali per l’invio di materiale pubblicitario o di vendita diretta ed eventualmente anche per il compimento di analisi e ricerche di mercato. Tutte queste operazioni in realtà possono rientrare all’interno di un’unica finalità, cosiddetta “finalità di marketing diretto” e richiedere un unico consenso.

Quindi per poter inviare comunicazioni commerciali devo acquisire un separato consenso?

In generale sì. C’è tuttavia un’interessante semplificazione a questa regola, prevista dal comma 4 dell’art. 130 del Codice Privacy e richiamata dal Garante nel suo provvedimento del 4 luglio 2013 n. 242 “L’eccezione del “soft spam” per l’invio di posta elettronica promozionale”.

“Per la sola posta elettronica, tuttavia, può ricorrere l’eccezione del c.d. “soft spam”, di cui all’art. 130, comma 4, in base al quale, se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell’interessato. Ciò, però, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e che l’interessato, adeguatamente informato, non rifiuti tale uso”.

Per avvalersi di tale eccezione occorre attenersi a queste regole:

1. a) informare l’utente circa l’utilizzo delle sue coordinate di posta per l’invio di email commerciali;
2. b) le email promozionali devono riguardare prodotti o servizi analoghi a quelli oggetto di un precedente acquisto;
3. c) l’utente deve avere la possibilità di rifiutare in qualsiasi momento tale uso.

Oltre che per l’invio di comunicazioni promozionali, come vengono impiegati i dati personali degli utenti acquisiti attraverso un sito di e-commerce?

Un’ulteriore frequente impiego dei dati personali degli utenti è quello della profilazione. Profilare la clientela analizzando i loro gusti ed abitudini al fine di offrire pubblicità mirata in linea con le loro preferenze. Questa finalità (o forse sarebbe più corretto parlare di modalità di trattamento), richiede anch’essa un consenso espresso e separato, oltre ad una serie di accorgimenti, tra cui la notifica al Garante per la Privacy, in conformità all’art. 37 lettera d) del Codice della Privacy