Le leggi sulla privacy danno alle persone dei diritti sui propri dati. Gli utenti possono chiedere di vedere cosa hai raccolto, correggere dati inesatti, eliminarli o trasferirli altrove. Queste richieste sono comuni e vincolanti per legge. Devi avere processi per gestirle in modo rapido e completo. Questo capitolo tratta i diritti principali degli utenti e come applicarli nella pratica.
I principali diritti degli utenti
Diritto di accesso
Gli utenti possono chiedere una copia di tutti i dati che conservi su di loro. Hai 30 giorni (GDPR) per fornirla. I dati devono essere in un formato comune e portabile (CSV, PDF). Devi includere tutti i tipi di dati: eventi di analisi, informazioni sull'account, comunicazioni, storico delle transazioni.
È complesso perché i dati sono spesso sparsi tra più sistemi. Devi interrogare tutti i sistemi, raccogliere i dati, presentarli in modo leggibile e inviarli in sicurezza.
Diritto di rettifica (correzione)
Gli utenti possono chiedere di correggere dati inesatti. Se il tuo sistema mostra il nome di un utente come «Jhn» invece di «John», può chiedere la correzione. Devi correggerlo in fretta. Vale per qualsiasi dato che l'utente contesta come inesatto.
Diritto alla cancellazione (eliminazione)
Trattato nel capitolo precedente. Gli utenti possono chiedere l'eliminazione dei loro dati. Hai 30 giorni per rispondere (con eccezioni per gli obblighi di legge).
Diritto di limitazione del trattamento
Gli utenti possono chiederti di limitare l'uso dei loro dati. Esempio: «Non usare i miei dati per il marketing, ma puoi tenerli per la gestione dell'account.» Devi rispettare questa limitazione e contrassegnare i dati come limitati nei tuoi sistemi.
Diritto alla portabilità dei dati
Gli utenti possono chiedere i loro dati in un formato che possono portare a un'altra azienda. È importante soprattutto per cambiare servizio. Devi fornire i dati in un formato strutturato e di uso comune (JSON, CSV). I dati devono essere leggibili da una macchina, così possono importarli altrove.
Diritto di opposizione
Gli utenti possono opporsi al trattamento dei loro dati per certi scopi. Se usi i dati per il marketing, possono opporsi. Devi smettere, a meno che tu non abbia un motivo legale valido per continuare.
Diritti legati alle decisioni automatizzate
Se usi algoritmi per prendere decisioni sugli utenti (decisioni di credito, idoneità ai servizi), gli utenti hanno il diritto di capire come è stata presa la decisione e di chiedere una revisione umana. Va oltre le analisi, ma vale la pena saperlo.
Costruire un flusso per le richieste di accesso ai dati
Passo 1: crea un modo per ricevere le richieste
Offri un modo semplice per inviare le richieste. Opzioni: un modulo sul sito, un indirizzo email (data-requests@yourcompany.com) o un portale self-service nelle impostazioni dell'account. Fallo trovare facilmente (link nel footer, nell'informativa sulla privacy, nelle impostazioni dell'account).
Passo 2: verifica l'identità
Conferma che la richiesta arrivi dall'utente vero o da un suo rappresentante autorizzato. Chiedi una conferma via email, la verifica della password o la verifica di un documento d'identità (a seconda della sensibilità). Non vuoi inviare dati personali a chi si finge qualcun altro.
Passo 3: individua quali dati fornire
Interroga tutti i sistemi in cui esistono dati dell'utente: account, analisi, assistenza, liste email, CRM, backup. Raccogli tutto. Includi: email inviate all'utente, invii di moduli, ticket di assistenza, acquisti, eventi di tracciamento, preferenze, storico delle comunicazioni.
Sii completo. Una violazione comune: fornire alcuni dati ma non tutti. Se un'autorità indaga e trova dati che non hai comunicato, è un problema.
Passo 4: presenta i dati in modo leggibile
Fornisci i dati in un formato chiaro. Gli export grezzi del database non sono accettabili. Crea un documento strutturato: prima le informazioni dell'account, poi gli eventi, poi le comunicazioni. Usa tabelle e titoli chiari. Se l'utente ha bisogno della portabilità, fornisci un formato che possa importare (JSON, CSV).
Passo 5: invia in sicurezza
Non inviare dati personali con email non cifrate. Usa un servizio sicuro di trasferimento file (link di download sicuro con scadenza, email cifrata, SFTP). Conferma la ricezione.
Passo 6: documenta
Registra la richiesta: quando è arrivata, quando è stata elaborata, quali dati sono stati forniti, come sono stati inviati. È la tua prova di conformità se le autorità indagano.
Gestire le richieste su larga scala
Automatico o manuale
Per le piccole aziende gestire le richieste a mano è fattibile. Per le aziende con milioni di utenti serve l'automazione. Costruisci un sistema che: riceve le richieste, verifica l'identità, interroga i database, formatta i dati e li consegna, tutto con il minimo lavoro manuale.
Modelli e checklist
Crea modelli di risposta: «Abbiamo ricevuto la tua richiesta il [date]. Ecco i tuoi dati...» Crea checklist: dati dell'account fatto, analisi fatto, assistenza fatto. Le checklist evitano di dimenticare per errore dei tipi di dati.
Errori comuni nella gestione delle richieste sui dati
Non rispondere in tempo: Il limite di 30 giorni non è facoltativo. Non rispettarlo è una violazione. Imposta promemoria e tieni traccia delle scadenze.
Fornire dati incompleti: Se fornisci alcuni dati ma non tutti, non sei conforme. Assicurati che la tua ricerca copra tutti i sistemi.
Formattazione scadente: Fornire l'output grezzo del database non è conforme. Presenta i dati in modo leggibile.
Non verificare l'identità: Inviare dati personali a chi si finge qualcun altro crea responsabilità. Verifica sempre.
Ignorare le richieste successive: Se lo stesso utente fa più richieste, gestiscile tutte. Non dare per scontato che le precedenti coprano tutto.
Far pagare delle spese: Il GDPR ammette spese solo se le richieste sono manifestamente infondate o eccessive. Non usare le spese per scoraggiare richieste legittime.
Diritti degli utenti e operatività dell'azienda
Gestire le richieste sui dati è un peso operativo. Ma le aziende che rispettano i diritti degli utenti: creano fiducia, evitano sanzioni, attirano clienti attenti alla privacy e attirano talenti (i dipendenti apprezzano lavorare per aziende etiche). Il costo operativo è un investimento in cultura e conformità.
Integrare i diritti degli utenti nel design del prodotto
L'approccio più intelligente: integra i diritti degli utenti nel prodotto fin dall'inizio. Offri agli utenti un portale self-service dove possono: vedere i propri dati, scaricarli, eliminarli, cambiare le preferenze. Riduce il carico sull'assistenza e dà potere agli utenti. La maggior parte delle app moderne lo ha (impostazioni dell'account, esportazione dei dati, pulsanti per eliminare l'account).
Qual è una checklist sistematica per essere sicuro di includere tutti i dati di un utente nella mia risposta?
Crea un inventario: (1) Sistemi degli account (email, nome, telefono, preferenze). (2) Analisi (eventi, orari, informazioni sul dispositivo, posizione). (3) Comunicazioni (email inviate, ticket di assistenza, log delle chat). (4) Transazioni (acquisti, rimborsi, pagamenti non riusciti). (5) Dati di terze parti (dati condivisi con i fornitori). Interroga ogni sistema per ID utente. Non affidarti a ricerche manuali; automatizza. Documenta cosa hai interrogato e quando.
Qual è il modo migliore per formattare e consegnare una risposta a una richiesta di accesso ai dati?
Crea un documento PDF o HTML con sezioni: «Le informazioni del tuo account», «La tua attività», «Comunicazioni». Usa tabelle per gli eventi (data, azione, dettagli). Per le richieste di portabilità fornisci anche CSV/JSON. Usa una consegna sicura: link di download protetto da password (scade in 14 giorni), email cifrata o servizio sicuro di trasferimento file. Conferma la ricezione con l'utente. Conserva una copia del metodo di consegna per i registri di conformità.
Quando posso far pagare una richiesta di accesso ai dati, e quanto?
GDPR: far pagare solo se la richiesta è «manifestamente infondata o eccessiva» (molto raro). In genere è gratis. CCPA: solo spese ragionevoli. In pratica: non far pagare la prima richiesta; far pagare solo le richieste ripetute dello stesso utente in tempi brevi (oltre la soglia del pretestuoso). Rispondi sempre gratis alla prima richiesta. Comunica la policy in anticipo nell'informativa sulla privacy.
Come gestisco i dati che non riesco davvero a trovare, e devo continuare a cercare?
Ricerca ragionevole: interroga tutti i sistemi attivi che controlli e controlla i backup se accessibili. Se i dati non esistono nei tuoi sistemi principali, sei conforme. Se hai trovato dati parziali (esistono le analisi ma non le informazioni dell'account), documenta quali sistemi hai controllato. Scrivi all'utente: «We searched [systems list] and found [X]. We did not find data in [Y systems] because [reason].»
Qual è la procedura legale per gestire le richieste di chi agisce per conto di un utente?
Passo 1: chiedi alla persona autorizzata di fornire l'autorizzazione scritta dell'utente (documento autenticato per minori o persone incapaci). Passo 2: verifica che chi firma sia chi dice di essere (confronta con il documento). Passo 3: verifica che l'autorizzazione copra lo specifico tipo di richiesta (accesso, eliminazione e così via). Passo 4: rispondi alla persona autorizzata o all'utente (controlla la giurisdizione: alcune richiedono la copia all'utente). Documenta l'autorizzazione nel tuo fascicolo.
Qual è il mio piano d'azione se oggi non rispetto le scadenze delle richieste sui dati?
Subito: (1) Trova tutte le richieste in sospeso, proroga la scadenza di 30 giorni con una spiegazione. (2) Costruisci un sistema di tracciamento delle richieste (come minimo un foglio di calcolo, uno strumento per le richieste sulla privacy su larga scala). (3) Assegna un responsabile (una sola persona risponde). (4) Fissa una scadenza interna di 20 giorni (10 giorni di margine prima della scadenza di legge di 30). (5) Documenta il processo: richiesta ricevuta → ricerca nei sistemi → formattazione della risposta → consegna. Prova prima con una richiesta simulata.