Informativa privacy: tenere aggiornato l’elenco dei servizi

Cosa chiede il RGPD

Quando raccogli dati personali da una persona, l’articolo 13, paragrafo 1, del RGPD (regolamento generale sulla protezione dei dati, spesso chiamato GDPR) elenca cosa devi comunicarle in quel momento. La lettera e) indica “gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali”. Secondo l’articolo 4, punto 9, un destinatario è una persona, un’autorità, un servizio o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. La lettera f) aggiunge, ove applicabile, informazioni su un trasferimento verso un paese terzo. L’articolo 12, paragrafo 1, chiede queste informazioni in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.

Il RGPD ammette le categorie di destinatari. Se nel tuo caso basta una categoria come “fornitori di servizi di analisi” o se dovresti nominare ogni servizio è una questione legale che questa guida non decide. Se la tua informativa sulla privacy nomina singoli servizi, quell’elenco deve corrispondere al sito web.

Perché l’elenco si allontana

Il sito web cambia più spesso dell’informativa sulla privacy. Un nuovo plugin, un nuovo tema, un video in un articolo del blog, il passaggio a un altro strumento per la newsletter: ognuna di queste cose può aggiungere o togliere un destinatario. Spesso più persone lavorano su un sito web, e ogni modifica sembra piccola. Nessuno aggiorna l’informativa, perché la modifica non sembrava un tema di protezione dei dati. Dopo un anno l’informativa può descrivere un sito web che non esiste più.

Lacune tipiche

• Un plugin o un tema carica un font, una mappa o uno script da un server esterno, e nessuno se n’è accorto.
• Un tag manager aggiunge un nuovo strumento senza alcuna modifica al codice del sito web.
• Un redattore incorpora un video o un post dei social media in un singolo articolo.
• Uno strumento è stato tolto mesi fa ma è ancora nominato nell’informativa.
• Hai cambiato fornitore, per esempio per la newsletter o la chat, e l’informativa nomina ancora quello vecchio.
• Un modello o un generatore di testi ha aggiunto servizi che il tuo sito web non ha mai usato.

Come costruire l’elenco reale

1. 1Controlla cosa carica il sito web: apri le pagine principali in una finestra privata con gli strumenti per sviluppatori del browser, o usa una scansione. Annota ogni server esterno e il servizio che c’è dietro.
2. 2Controlla cosa è installato: i plugin e le estensioni nel tuo sistema di gestione dei contenuti, i tag nel tag manager e gli elementi incorporati nei tuoi contenuti.
3. 3Controlla chi altro riceve dati: passa in rassegna contratti e fatture dei tuoi fornitori di servizi, anche di quelli che non compaiono mai sul sito web.
4. 4Confronta questo elenco con l’informativa sulla privacy, servizio per servizio: è nominato, con la società giusta, lo scopo e, dove si applica, il trasferimento verso un paese terzo?
5. 5Confrontalo anche con il tuo banner dei cookie. Il banner ha un proprio elenco di servizi, e dovrebbe descrivere la stessa realtà.

Il banner dei cookie è un secondo elenco

Per memorizzare o leggere informazioni sul dispositivo del visitatore, come i cookie, in Germania il § 25 TDDDG richiede un consenso basato su informazioni chiare e complete. In Polonia l’articolo 399 della legge sulle comunicazioni elettroniche richiede che l’utente venga prima informato, tra l’altro sullo scopo, e poi dia il suo consenso. Entrambe le disposizioni prevedono eccezioni per ciò che è strettamente necessario o necessario per un servizio richiesto. Se un servizio manca nel banner, il visitatore non può decidere in merito. Se un servizio tolto è ancora elencato, il banner descrive qualcosa che non accade.

Una routine di revisione

Tieni una breve nota di ogni revisione: la data, le pagine controllate, cosa hai trovato e cosa hai cambiato nell’informativa o nel banner. Così in seguito puoi vedere cosa è stato controllato e quando. Indica una persona responsabile della revisione, così non dipende dal caso. È un’abitudine che suggeriamo, non una regola di legge.

Lavorare con Do4U

Il Controllo dell’informativa sulla privacy confronta la tua informativa sulla privacy con il tuo sito web. Inserisci la pagina iniziale, se vuoi qualche altra pagina dello stesso sito, e l’indirizzo o il testo della tua informativa. Do4U legge le pagine e trova i servizi di terze parti che caricano. L’IA di Do4U legge l’informativa ed elenca ogni servizio e destinatario che nomina, ciascuno con una citazione. Il codice controlla che ogni citazione si trovi parola per parola nell’informativa ed esegue esso stesso il confronto. Ricevi tre elenchi: incorporato ma non nominato, nominato ma non trovato, trovato e nominato. Il controllo è statico: non esegue JavaScript e legge solo le pagine che inserisci.

Do4U trova indicazioni, tu controlli e decidi. “Nominato ma non trovato” può significare che un servizio si carica più tardi, su altre pagine o fuori dal sito web. Il risultato non dice se la tua informativa sulla privacy è completa o corretta.