Il GDPR è la legge sulla privacy dell'Europa. Se il tuo modulo raccoglie qualsiasi informazione da visitatori dell'Unione Europea, anche solo l'email, il GDPR si applica a te. Non riguarda solo le grandi aziende o certi settori. Il GDPR copre ogni attività nel mondo che raccoglie dati di residenti europei, e le sanzioni per chi sbaglia sono pesanti.
GDPR e consenso nei moduli sono le regole di legge che stabiliscono quali dati puoi raccogliere dai visitatori UE, come chiederli e cosa ne fai. Capire queste regole è essenziale prima di creare qualsiasi modulo che raccoglie dati di residenti europei.
Cosa imparerai: cos'è il GDPR e a chi si applica, cosa significa consenso legale, come strutturare campi e caselle dei moduli per rispettare i requisiti del GDPR e cosa succede se non li rispetti.
Cos'è il GDPR e si applica ai tuoi moduli?
Il GDPR (General Data Protection Regulation, in italiano Regolamento generale sulla protezione dei dati) è una legge dell'Unione Europea che regola come le organizzazioni raccolgono, conservano e usano i dati personali. Si applica a qualsiasi azienda, ovunque nel mondo, che raccoglie informazioni da residenti UE.
I tuoi moduli rientrano nel GDPR se:
- Hai visitatori dall'UE e il tuo modulo raccoglie informazioni da loro
- Raccogli indirizzi email, nomi, numeri di telefono, indirizzi IP o qualsiasi altra informazione identificativa
- Raccogli informazioni su residenti UE anche se non hai sede nell'UE
Non importa se la tua attività è grande o piccola, in quale settore operi o se vendi qualcosa. Se raccogli dati da residenti UE, il GDPR si applica.
Cosa richiede il GDPR ai moduli?
Il GDPR fissa diverse regole specifiche per i moduli che raccolgono dati:
Trasparenza: di' ai visitatori cosa raccogli
Prima che qualcuno compili il tuo modulo, deve sapere quali dati raccogli e perché. Devi dare informazioni chiare su:
- Quali dati raccogli (email, nome, ecc.)
- Cosa ne farai (inviare email, aggiungerli a una mailing list, conservarli per contatti futuri)
- Chi vi avrà accesso (il tuo team, servizi di terze parti, ecc.)
- Per quanto tempo li conserverai
Queste informazioni devono essere visibili ai visitatori prima che inviino il modulo. Non basta un'informativa sulla privacy a cui rimandi con un link. Devi fornire le informazioni chiave proprio nella pagina del modulo o sopra il modulo stesso.
Consenso: chiedi in modo esplicito, non dare nulla per scontato
Per la maggior parte della raccolta di dati serve il consenso esplicito del visitatore. Deve accettare attivamente i tuoi termini. Spuntare una casella è consenso. Tacere non lo è.
È diverso da come funzionavano i moduli prima del GDPR. Non puoi presumere che, poiché qualcuno ha inviato un modulo per contattarti, sia automaticamente disposto a essere aggiunto alla tua lista di email di marketing. Ogni uso dei dati richiede un consenso separato.
Il consenso deve essere libero
Il consenso non può essere una condizione per usare il tuo servizio se i dati non sono necessari per quel servizio. Per esempio, se qualcuno compila un modulo di contatto per fare una domanda, ti serve la sua email per rispondere. Non ti serve il consenso per questo, perché è necessario. Ma se vuoi aggiungerlo alla tua newsletter di marketing, è facoltativo e serve il consenso esplicito.
Il meccanismo di consenso stesso deve essere chiaro
Se usi una casella per il consenso, deve partire non spuntata. I visitatori devono spuntarla attivamente. Le caselle già spuntate non contano come consenso. Il linguaggio deve essere chiaro e semplice, non sepolto nel gergo legale.
Strutturare i moduli per il consenso GDPR
Dati essenziali e dati facoltativi
Per prima cosa, separa i dati che ti servono assolutamente da quelli facoltativi:
- Essenziali: le informazioni che ti servono per soddisfare la richiesta (l'email per rispondere a un modulo di contatto, l'indirizzo per spedire un ordine)
- Facoltativi: le informazioni che vuoi per marketing o analisi (da quale canale arrivano, qual è il loro ruolo)
Segna chiaramente i campi facoltativi con "(facoltativo)" così i visitatori sanno che non sono obbligati a compilarli.
Caselle di consenso separate
Se vuoi usare i dati per più scopi, usa caselle separate. Una per "Accetto di essere contattato via email" e un'altra per "Accetto di ricevere email di marketing". Non unirle in una sola casella.
<label> <input type="checkbox" name="contact_consent" required> Accetti che possiamo contattarti per rispondere a questa richiesta </label> <label> <input type="checkbox" name="marketing_consent"> Accetto di ricevere email di marketing su nuovi prodotti e offerte speciali </label>Nota che la prima casella è obbligatoria (necessaria per il servizio) ma non spuntata per impostazione predefinita. La seconda è facoltativa (il marketing non è necessario) e anch'essa non spuntata per impostazione predefinita.
Testo di consenso chiaro e leggibile
Il testo della casella deve essere chiaro e specifico. Frasi generiche come "Accetto i vostri termini e condizioni" non soddisfano il GDPR. Sii specifico su ciò che il visitatore sta accettando.
Male: "Accetto"
Meglio: "Accetto di ricevere email di marketing"
Ottimo: "Accetto di ricevere email di marketing su prodotti e offerte circa due volte al mese"
Più è specifico, meglio è. Di' ai visitatori esattamente a cosa danno il consenso.
Collega la tua informativa sulla privacy
Dopo le caselle di consenso, inserisci un link alla tua informativa completa sulla privacy. Permette ai visitatori di leggere, se vogliono, tutti i dettagli su come tratti i loro dati.
<p>Inviando questo modulo, accetti la nostra <a href="/glossario/privacy-policy">informativa sulla privacy</a>.</p>Conservazione dei dati e GDPR
Il GDPR richiede anche di conservare i dati personali solo per il tempo necessario. Devi stabilire e rispettare una politica di conservazione dei dati.
- Per quanto tempo conserverai gli invii dei moduli di contatto? (30 giorni? 6 mesi? Finché la richiesta non è risolta?)
- Per quanto tempo manterrai le persone in una lista di email di marketing? (Finché non si disiscrivono?)
- Per quanto tempo conserverai i dati dei clienti dopo un acquisto? (7 anni per i registri fiscali, poi eliminarli)
Documenta la tua politica di conservazione e applicala. Imposta una pianificazione per eliminare automaticamente invii e dati vecchi.
I diritti che il GDPR dà agli interessati
Quando qualcuno invia un modulo sul tuo sito, ha dei diritti secondo il GDPR:
- Diritto di accesso: può chiedere quali dati hai su di lui
- Diritto all'oblio: può chiederti di eliminare i suoi dati (con alcune eccezioni, come i registri fiscali)
- Diritto di rettifica: può chiederti di correggere dati errati
- Diritto alla portabilità dei dati: può chiederti di consegnargli i suoi dati in un formato portabile
- Diritto di revocare il consenso: può revocare in qualsiasi momento il consenso alle email di marketing o ad altri usi
Dovresti essere pronto a gestire queste richieste. Di solito significa avere un processo con cui le persone possono inviarle (un indirizzo email, un modulo, ecc.) e un modo per rispondere entro 30 giorni.
Sanzioni GDPR e conseguenze
Le violazioni del GDPR comportano sanzioni pesanti:
- Fino a 20 milioni di euro o al 4% del fatturato annuo mondiale (a seconda di quale sia più alto) per le violazioni più gravi
- Fino a 10 milioni di euro o al 2% del fatturato per le violazioni meno gravi
- In pratica, anche le piccole aziende affrontano multe a sei cifre per violazioni dei dati o del consenso
Oltre alle multe, una violazione del GDPR può danneggiare la tua reputazione, farti perdere clienti e creare responsabilità legali se i dati vengono usati in modo improprio.
Lista di controllo per la conformità GDPR dei moduli
- [ ] Hai individuato quali dati raccogli
- [ ] Hai un'informativa sulla privacy chiara
- [ ] Mostri le informazioni chiave sulla privacy sopra o dentro il modulo
- [ ] Tutte le caselle partono non spuntate
- [ ] Le caselle di consenso usano un linguaggio chiaro e specifico
- [ ] Hai caselle separate per usi separati dei dati (contatto o marketing)
- [ ] Il tuo modulo spiega la conservazione dei dati (per quanto tempo conservi gli invii)
- [ ] Hai una politica di conservazione dei dati e la applichi (elimini i dati vecchi)
- [ ] Hai un processo con cui le persone possono chiedere accesso, eliminazione o correzione dei propri dati
- [ ] Puoi disiscrivere facilmente le persone dalle email di marketing
- [ ] Sai dove sono conservati i dati dei visitatori e chi vi ha accesso
Cosa fa WEMASY per la conformità al GDPR
I moduli WEMASY includono funzioni di gestione del consenso che ti aiutano a rispettare i requisiti del GDPR. Puoi aggiungere caselle di consenso ai tuoi moduli e WEMASY registra a quali opzioni ogni visitatore ha dato il consenso. Gli invii includono data e ora, così sai quando il consenso è stato dato. Gestisci la conservazione dei dati eliminando gli invii vecchi che non ti servono più.
La tua attività ha comunque bisogno di un'informativa sulla privacy e deve decidere come gestire le richieste di accesso ai dati, ma WEMASY gestisce l'infrastruttura tecnica per consenso e gestione dei dati.
Scopri di più sulle funzioni di conformità incluse nel tuo piano nella pagina dei prezzi.