Ormai da svariati anni che sviluppo architetture per applicazioni in vari contesti ( PA o PMI), ho sempre dato un occhio di riguardo all'aspetto legale. Mi sono confrontato molte volte in situazioni in cui i dati personali di un utente sono utilizzati "in chiaro",mettendo a rischio la privacy.

Da una mia analisi le applicazioni in PA e PMI al 60% non rispettano i vari criteri stabiliti dalla legge, oggi ho voluto parlare di GDPR per quanto riguarda app/siti web in modo da sintetizzare il più possibile questo argomento,che è molto importante e utile per la Digital Transformation. GDPR/privacy è un argomento che non possiamo trascurare, e vi ripeto mai trascurare perchè è fondamentale garantire la sicurezza dei dati degli utenti e sopratutto rispettare i vari decreti legge.

 GDPR (o RGPD nella sigla italiana) è un nuovo Regolamento Europeo in materia di Protezione dei Dati Personali e mira a armonizzare le regole sulla raccolta e il trattamento dei dati personali.

GDPR vs RGPD

Prima di tutto è bene chiarire che queste due sigle si riferiscono allo stesso insieme di regole. Mentre GDPR è l'acronimo inglese di General Data Protection Regulation, RGPD è il corrispondente italiano.

Quando vedi queste due sigle, si parla delle nuove regole sulla protezione dei dati.

Quali sono le novità del GDPR?

In seguito all'applicazione delle nuove regole del GDPR (quindi a partire dal 25 maggio 2018), in tutti i Paesi dell'Unione Europea le regole sul trattamento dei dati saranno uniformi e questo significa che non ci saranno più differenza nazionali ma ci saranno gli stessi diritti per chi acquista e gli stessi doveri per chi vende.

Per tutte le procedure in cui vengono raccolti i dati personali deve essere dato esplicito consenso al trattamento dei dati personali (che può essere revocato in qualsiasi momento) e il fornitore del servizio deve specificare quali tipi di dati personali vengono raccolti e a che scopo vengono usati.

Queste informazioni devono essere inserite nella normativa sulla privacy e il contratto sul trattamento dei dati.

Secondo le nuove regole del GDPR dunque:

E' necessario che le aziende specifichino che tipo di dati vengono raccolti, perchè e come vengono usati

E' necessario che i visitatori o clienti del sito acconsentano alla raccolta e il trattamento dei dati (avendo sempre l'opzione di poter cambiare idea e revocare il consenso)

il cliente o utente deve poter essere in grado di scaricare tutti i dati inseriti nel sistema

il cliente o utente può richiedere che i dati inseriti siano cancellati definitivamente secondo il diritto di oblio

Dati personali e GDPR

Per poter capire pienamente le nuove regole del GDPR è importante definire il fulcro delle nuove regole: i dati personali.

Si definiscono come dati personali tutte le informazioni attraverso cui sia possibile identificare un determinato soggetto, dal nome all'indirizzo, fino anche a informazioni sulla posizione, dati medici e reddituali.

Qualunque attività registrata nell'Unione Europea o che operi in questa zona, deve necessariamente rispettare gli obblighi del GDPR quando raccoglie e processa i dati personali dei propri clienti.

Perchè vengono raccolti i dati personali?

I dati personali vengono solitamente raccolti per fornire una migliore esperienza a utenti e visitatori. Avendo più informazioni sui profili che visitano il sito o usano il servizio, è possibile proporre contenuti diversi che siano più rilevanti per i diversi gruppi e personalizzare la comunicazione con attività di marketing e remarketing.

Stiamo parlando ad esempio di tutte le informazioni raccolte attraverso moduli di registrazione a un servizio o una newsletter.

GDPR e imprenditori

Ai piccoli come ai grandi imprenditori è richiesto allinearsi ai principi del GDPR seguendo una serie di passi:

analizzare il tipo di dati raccolti e la procedura attraverso cui vengono raccolti e elaborati e determinare i cambiamenti da applicare per essere conforme alle nuove regole

richiedere il consenso esplicito dei tuoi clienti o visitatori a raccogliere i dati e inviare diversi tipi di comunicazioni

migliorare il livello di protezione dei dati garantito dall'allineamento ai principi del GDPR

permettere di scaricare tutti i dati inseriti

verificare che i tuoi fornitori o subappaltatori rispettino i principi del GDPR e, nel caso in cui non siano conformi, valutare se rimpiazzarli con altri conformi o stipulare degli accordi speciali che garantiscano il rispetto delle nuove regole

specificare perchè i dati vengono raccolti, come vengono elaborati e utilizzati

organizzare dei workshop, seminari o riunioni perchè tutti in azienda siano informati sulle nuove regole e le conseguenze per l'attività e le operazioni aziendali

considerare l'assunzione di un Responsabile per la Protezione dei Dati soprattutto nel caso in cui il tipo di dati raccolti o il trattamento siano specifici

Che succede se non ti adegui al GDPR?

Nel caso in cui non ti allinei alle nuove regole rischi una sanzione che, a seconda della gravità della violazione, può arrivare fino a 20 milioni di euro o il 4% del fatturato annuale.

GDPR e Debitoor

Anche Debitoor, programma di fatture, si è adeguato al nuovo Regolamento Europeo in materia di Protezione dei Dati Personali articolando la transizione in tre fasi, ora completate.

Puoi leggere maggiori informazioni sul GDPR e Debitoor sull'apposita pagina dove trovi anche la Normativa sulla privacy e il Contratto sul trattamento dei dati.

App, privacy e GDPR

Ogni volta che installiamo un’app sul nostro cellulare cediamo un pezzetto, e a volte bello grosso, della nostra privacy. Ma a chi lo cediamo? Dove vanno a finire realmente i nostri dati personali? Chi è responsabile della loro custodia e del loro corretto utilizzo?

Rispondere a queste domande non è affatto facile, nemmeno per gli esperti perché dietro il semplice e quotidiano gesto di installare e usare un’app per smartphone c’è una gestione molto complessa dei dati. Che non è neanche sempre uguale, perché non tutte le app raccolgono gli stessi dati. Ci sono app che si limitano a registrare i nostri interessi per poi somministrarci della pubblicità mirata o proporci dei prodotti affini ai nostri gusti (ad esempio l’app dei vari e-commerce). Ci sono app che sanno per filo e per segno persino dove siamo stati un anno fa e per quanto tempo ci siamo stati (ad esempio Google Maps). Cosa dice la legge di tutto questo?

Da qualche anno a questa parte non possiamo più parlare di privacy senza pronunciare anche un acronimo: GDPR, cioè General Data Protection Regulation, il nuovo regolamento europeo sul trattamento dei dati personali. Il GDPR prevede la figura del responsabile del trattamento dei dati, cioè la persona fisicamente e legalmente responsabile della corretta custodia e del corretto uso dei nostri dati. Se qualcuno ruba le nostre informazioni personali e le usa in modo non conforme alla legge, allora questa persona è nei guai.

Quando usiamo un’app, però, le cose si complicano: ogni applicazione è creata da uno sviluppatore, che spesso la scrive per conto di un’altra azienda, e quando noi la usiamo i dati passano anche dalla rete Internet tramite il nostro abbonamento di casa o cellulare. Chi è il responsabile del trattamento dei dati in ogni fase di questo processo? A dire il vero una risposta ancora non c’è: il GDPR è in vigore da metà 2018, ma la sua applicazione è ancora molto fumosa. Molte Autorità garanti della privacy nazionali si sono già espresse in merito, ma non tutti i pareri vanno nella stessa direzione.

Vista la situazione ancora poco chiara, e la normativa ancora poco efficace, se vogliamo tutelare la nostra privacy quando usiamo le app, gran parte dello sforzo lo dobbiamo fare noi. La prima cosa da fare, ancor prima di installare l’app, è controllare sullo store dalla quale la stiamo scaricando chi è lo sviluppatore e quale privacy policy applica. Poi è fondamentale leggere la lista delle autorizzazioni richieste dall’app perché, qualora qualche permesso richiesto non sia immediatamente comprensibile, è molto probabile che l’applicazione sia stata scritta principalmente per sottrarre dati personali dagli smartphone di chi la installa.

Come limitare la condivisione di dati personali

È possibile limitare la raccolta e condivisione dei propri dati personali, ma richiede un ulteriore sforzo in più. Innanzitutto è raccomandabile leggere bene la privacy policy dell’app e avere il coraggio di rifiutarla: se l’app ci chiede troppo, non installiamola. Sugli smartphone con i sistemi operativi più recenti, Android 10 e iOS 13, è poi possibile configurare il modo in cui le app accedono ai nostri dati. Lo possiamo fare cambiando le autorizzazioni, impostandole tutte in modo che l’app possa accedere ai nostri dati, alla nostra posizione, alla fotocamera, al microfono e al Bluetooth solo mentre la stiamo usando e non anche in background.