Benvenuto GDPR, addio (in parte) al Codice Privacy
Di Daniele Maggiolo
Dopo una attesa di due anni dalla sua entrata in vigore il 25 maggio 2016, il nuovo regolamento europeo (Regolamento Ue 2016/679), meglio conosciuto con l’acronimo inglese GDPR, “General Data Protection Regulation”, relativo alla protezione dei dati delle persone fisiche è operativo dal 25 maggio 2018 dopo aver fatto molto parlare di sé. Tanto si è detto, tanto si è scritto e altrettanto si è letto sull’argomento nell’attesa della sua entrata in vigore e, finalmente, l’attesa è terminata… Ma in cosa consiste, davvero, il GDPR? Cosa regolamenta? Porta vantaggi o oneri e complicazioni alle imprese?
Quale l’impatto sulle aziende commerciali e sugli agenti di commercio?
L’impatto è più ampio di quanto si possa pensare, perché il GDPR coinvolge tutte le aziende che gestiscono qualsiasi tipo di dato personale; dalle informazioni sui propri dipendenti, ai dati personali dei clienti e dei prospect. Sono dati personali, ad esempio, un indirizzo e-mail personale (nome.cognome@azienda.it) o l’immagine fotografica di una persona, il codice fiscale o un numero telefonico diretto o di un cellulare, un indirizzo IP e tutto ciò che può identificare inequivocabilmente una persona fisica.
Quali sono i principali obblighi cui fare fronte?
Sono numerosi gli obblighi da tenere in considerazione, alcuni nuovi altri “ereditati” dal D.Lg. 196/2003; ad esempio la nuova e più precisa modalità di richiesta di consenso in forma chiara, leggibile e poco “burocratica”, l’istituzione di un registro delle attività e dei trattamenti, la notifica delle violazioni entro 72 ore di un qualsiasi evento negativo accaduto ai dati (furto, cancellazione accidentale, manomissione o alterazione intenzionale), nuove e più moderne informative da inserire nei siti web e nei contratti, chiari e circostanziati incarichi al trattamento dei dati assegnati a professionisti esterni o altri fornitori di servizi.
Per quanto riguarda il consenso, l’azienda lo deve chiedere ed ottenere «in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro».
L’azienda dovrà essere altrettanto precisa nello spiegare agli interessati le modalità di raccolta e finalità dell’uso dei loro dati personali, e dovrà accettare il fatto che silenzio e inazione non rappresentano più un consenso. Senza la prova di consensi chiari non si potrà più trattare dati personali di clienti e, soprattutto, di potenziali clienti.
Altro aspetto innovativo ed importante del GDPR è il principio di accountability (responsabilizzazione) che prevede l’adozione di misure adeguate per garantire la raccolta, il corretto trattamento dei dati e la protezione degli stessi, dimostrando che il trattamento dei dati personali è effettuato conformemente a quanto previsto dal Regolamento.
Quale impatto avrà il GDPR sul modo di fare marketing?
Chi si occupa di marketing potrà inviare e-mail solo agli utenti che abbiano manifestato consapevolmente l’intenzione e volontà di ricevere messaggi ed email commerciali; per questo da ora, è necessario raccogliere un consenso affermativo che sia “liberamente dato, specifico, informato e non ambiguo” per essere “in regola”. Non si possono più utilizzare i dati personali (nome, cognome, indirizzo email, cellulare…) di potenziali clienti di cui non si possa dimostrare di aver ottenuto il consenso al trattamento, nei modi previsti dal GDPR. Oltre a questo, una eventuale raccolta di dati personali attraverso un sito web deve, ad esempio, fornire all’interessato informazioni precise sulla cosiddetta finalità nella raccolta e trattamento dei dati personali richiesti.
La richiesta del consenso al trattamento deve essere differenziata e finalizzata; non è più consentito richiedere ed ottenere un generico “consenso al trattamento”; se, ad esempio, intendiamo chiedere ad un potenziale cliente (l’interessato) di comunicarci il suo indirizzo e-mail diretto per scaricare un catalogo o una brochure aziendale, (finalità del trattamento), non possiamo usare quell’indirizzo email per inviare anche altro materiale commerciale oppure inserire tale indirizzo in una banca dati per una successiva azione di mailing se non abbiamo ottenuto il consenso anche per tale uso dell’indirizzo.
Il GDPR non intende sancire la fine del marketing anzi, aiuta ad essere più efficaci e meno dispersivi nelle azioni di qualificazione dei leads, poiché si avrà sempre più a che fare con persone che hanno acconsentito consapevolmente all’utilizzo dei loro dati personali per avviare nuove relazioni commerciali.
Si arriverà a costruire nuove relazioni tra l’azienda e le persone che rappresentano i potenziali clienti, attraverso contatti caratterizzati da una accettazione consapevole di tale contatto, manifestando volontariamente l’intenzione di avviare un contatto valido e interessato verso i prodotti o servizi della azienda, certi di poter trarre un beneficio da questo.
La prima azione da eseguire sulle banche dati di marketing sarà la “pulizia” dei database riducendo la quantità di nominativi con i quali poter interagire sia online sia offline ai soli interessati che hanno offerto spontaneamente il loro consenso.
Il doppio opt-in
Il metodo più efficace per ottenere il consenso a ricevere materiale di marketing dal proprio sito web è certamente quello del “doppio opt-in”.
Il primo “opt-in” avviene attraverso la trasmissione di dati personali dell’interessato all’azienda, con la compilazione di un form web in cui si dichiara esplicitamente che si sta optando per la concessione al trattamento. Quando ricevuta la prima richiesta di opt-in, l’azienda invia una email per permettere all’interessato di confermare la richiesta di attivazione; ecco il secondo opt-in. Fino alla ricezione della conferma definitiva (il secondo opt-in), i dati personali non possono essere utilizzati comunicazioni commerciali o di marketing. Attenzione: opt-in e Consenso al Trattamento non sono la stessa cosa. Quando viene dato il consenso al trattamento significa che si ottiene l’autorizzazione alla gestione dei dati personali per quanto dichiarato nella propria privacy policy. E’ solo con l’opt-in che si ottiene il permesso di avviare attività di marketing perché l’interessato potrebbe aver dato il consenso a trattare i propri dati personali per un a finalità precisa (il download di un whitepaper, o di un catalogo), ma non per ricevere anche comunicazioni di marketing.
La serietà paga sempre
Nel marketing è indispensabile mantenere alta la propria reputazione per generare la necessaria fiducia nel potenziali clienti e portarlo a concludere un acquisto con la certezza di aver trattato con un azienda della quale ci si può fidare. Con il GDPR, il potere decisionale nel processo di acquisto è ritornato nelle mani dei clienti (gli interessati) perché viene offerto loro un maggiore controllo sul modo in cui i loro dati vengono raccolti e utilizzati, inclusa la possibilità di accedervi o richiederne la rimozione. Con il passare del tempo il GDPR porterà le aziende a diventare più creative e più orientate a costruire nuovi e più efficaci modi di interazione con i clienti.
