Normativa ed adempimenti in materia di privacy e cookies policy.

1. Avv. Marco Giacomello13/05/2015, #WCAP Bologna
NORMATIVA ED ADEMPIMENTI IN MATERIA DI PRIVACY

2. Dati: quanti e quali sono?
•Dati di navigazione;
•Dati istantanei e storici
sui comportamenti
degli utenti del proprio
sito;
•Dati di contatti;
•Dati statistici;
•Dati profilati;
•Dati anagrafici;
•Dati di pagamento;
•Dati predittivi;
•ecc.

3. Perché investire sulla
compliance Privacy?

4. Compliance Privacy
•Non solo per rispettare il Codice Privacy e le disposizioni del
Garante;
•Ma anche per poter far sì che i dati personali che vengono raccolti
possano diventare un vero e proprio asset aziendale.

5. Privacy e Marketing nell’impresa:
le prescrizioni del Garante Privacy

6. Privacy e Marketing nell’impresa
•Quando un’azienda si approccia al mercato deve decidere quale
strategia adottare.
•La prima regola di chi tratta dati personali dei consumatori è
quella di definire le responsabilità interne, la catena di comando
che decide come utilizzarli e che deve rispondere di eventuali
illeciti commessi.

7. Titolare del trattamento
•Il titolare del trattamento è la persona fisica (ad esempio il singolo
imprenditore) o la persona giuridica (ad esempio un’azienda) che
esercita un potere decisionale, del tutto autonomo, sulle finalità e
sulle modalità del trattamento dei dati personali.

8. Responsabile del trattamento
•Il titolare, se lo ritiene utile, può designare con atto scritto
(persona fisiche o soggetti anche esterni all’azienda) uno o più
soggetti come responsabili del trattamento, indicando con
precisione quali compiti sono loro affidati.

9. Incaricato del trattamento
•L’incaricato è la persona fisica che in genere effettua
materialmente le operazioni sui dati personali (ad es. chi invia le
offerte promozionali, chi effettua telefonate promozionali, chi
analizza i dati sui comportamenti d’acquisto).
•Il titolare deve indicare all’incaricato, in maniera specifica e
completa, le regole di trattamento.

10. L’interessato
•L’interessato è la persona a cui si riferiscono i dati (ad esempio il
destinatario del messaggio promozionale, ecc.), il quale deve
essere informato dall’azienda, prima che questa inizi ad utilizzare,
che tali dati saranno trattati a fini commerciali.

11. Informativa e consenso
•L’informativa sulla privacy è il documento, orale o scritto, con il
quale chi tratta i dati personali di un soggetto lo informa circa le
finalità e le modalità del trattamento medesimo.

12. Informativa e consenso
• Ogni soggetto per poter utilizzare i dati personali di un individuo a
scopo di marketing o per qualunque altra finalità, deve prima
acquisirne il consenso.
• Il consenso deve essere ‘INFORMATO’, ‘LIBERAMENTE
ESPRESSO’, ‘DOCUMENTATO PER ISCRITTO’ e ‘SPECIFICO’.

13. Informativa e consenso
• Deve essere espresso singolarmente per le singole finalità
sull’uso dei dati personali: ad esempio uno per il marketing, uno
per la profilazione, uno per la comunicazione dei dati a soggetti
terzi.

14. Informativa e consenso
• Il titolare deve informare l’interessato sulle eventuali conseguenze
del mancato rilascio del consenso (dati obbligatori e dati
facoltativi).

15. Linee guida in materia di
trattamento di dati personali per
profilazione on line - 19 marzo 2015

16. Linee guida: la deadline
Le prescrizioni entrano in vigore il 2 giugno 2015.

17. Linee guida: il consenso
• Il consenso al trattamento deve dati deve sempre essere libero,
non è possibile pre-barrare le caselle per il consenso al
trattamento dei dati.
• La fornitura di un prodotto o servizio non può essere vincolata al
consenso per l’invio di pubblicità.

18. Linee guida: il consenso
• Si deve sempre chiedere il consenso per attività di marketing o
similari, diverse dalla prestazione oggetto del contratto con
l’utente.
• Non è possibile comunicare o rivedere (i dati personali ottenuti
con il consenso per scopi di marketing) a soggetti terzi senza
acquisire un diverso e specifico consenso da parte
dell’interessato.

19. Linee guida: il consenso
• Per attività che si riconducono a marketing, invio di materiale
pubblicitario, di vendita diretta e di compimento di ricerche di
mercato e di comunicazioni commerciali, è sufficiente un
consenso unico.
• Il consenso per l’invio di comunicazioni commerciali tramite
modalità automatizzare (sms, email, telefonate pre-registrate) si
estende automaticamente anche alle modalità tradizionali (posta
cartacea, chiamate tramite operatore). Non vale il contrario.

20. Linee guida sulla profilazione
• La profilazione si realizza monitorando il comportamento di un
consumatore al momento dell’acquisto o analizzando i suoi gusti,
le sue abitudini e i suoi interessi, consentendo all’azienda di
definire offerte mirate e specifiche.

21. Linee guida sulla profilazione
• L’attività è lecita ma solo se condotta in maniera trasparente e
con il consenso specifico del consumatore.

22. Linee guida sull’acquisto di dati
da altri soggetti
• Attenzione quando l’azienda acquista liste di dati personali da
soggetti terzi, infatti prima di utilizzarli è necessario verificare (ad
esempio con controlli a campione) se gli interessati abbiano dato
o meno il consenso al trattamento dei dati.
• L’azienda deve inoltre fornire apposita informativa a questi
soggetti al momento del primo utilizzo dei loro dati.

23. Cookies Privacy Policy

24. Cookies Privacy Policy:
cosa sono?
• I cookies sono piccoli file utilizzati dalle aziende per tracciare
l’attività dell’utente.
• Il Garante ha previsto le modalità per raccogliere, dall’interessato,
il consenso alla loro installazione.

25. Cookies Privacy Policy:
tecnici o di profilazione?
Cookies tecnici (secondo il Garante) sono quelli:
• relativi ad attività strettamente necessarie al funzionamento del sito e/
o del servizio richiesto;
• relativi ad attività di salvataggio delle preferenze (es. prodotti inseriti
nel carrello, impostazione di lingua e valuta ecc.);
• relativi alla statistica, ma solo se utilizzati direttamente dal gestore del
sito e solo se in forma aggregata, non singolarmente.

26. Cookies Privacy Policy:
tecnici o di profilazione?
Cookies di profilazione (secondo il Garante) sono quelli:
• di profilazione pubblicitaria;
• di retargeting;
• dei social network;
• di statistica gestiti da terze parti.

27. Cookies Privacy Policy:
eccezioni sulla statistica
Esistono alcune deroghe che permettono di non chiedere
obbligatoriamente il consenso preventivo:
• i cookies sono inviati da software di analytics installati direttamente sul
server del sito o nella server farm del sito (es. Piwik, Sawmill, ecc.), quindi
parliamo di quelli non forniti da servizi esterni di terze parti;
• i cookies gestiti da terze parti, ma anonimizzati in maniera tale che la
terza parte non possa accedere né utilizzare i dati in forma disaggregata a
livello IP.

28. Cookies Privacy Policy:
eccezioni sulla statistica
Per esempio Google Analytics può anonimizzare i dati in questo modo
tramite l'apposita funzionalità di Mascheratura dell'indirizzo IP.

29. Cookies Privacy Policy:
il consenso

30. Cookies Privacy Policy:
il consenso
• Le aziende che fanno uso di cookies per profilare gli utenti (per
attività di marketing o di profilazione) devono avvisare l’utente
che accede al proprio sito.
• L’avvertenza deve essere data all’utente al momento del primo
accesso alla homepage o ad ogni altra pagina del sito web.
• L’avvertenza deve essere fornita all’utente attraverso apposito
banner, ben visibile.

31. Cookies Privacy Policy:
il consenso
• Il disclaimer deve contenere un link ad apposita ed estesa
informativa privacy, dove l’utente deve poter negare il consenso
alla loro installazione

32. Cookies Privacy Policy:
la comunicazione al Garante
• Ai sensi dell’art. 37, comma 1, lett. (d) del Codice Privacy,
l’utilizzo dei cookies di profilazione è assoggettato all’obbligo di
preventiva notificazione al Garante.
https://web.garanteprivacy.it/rgt

33. Cookies Privacy Policy: dove?
• Le norme sui cookies si applicano a tutti i soggetti STABILITI in
Italia, con la precisazione che per “stabilimento” si intende il
luogo in cui viene effettivamente esercitata, mediante
un’organizzazione stabile, l’attività di trattamento.
• Non rileva quindi, a tal fine, la forma giuridica dello stabilimento
essendo quindi indifferente che si tratti della sede legale della
società, di una succursale o di una filiale dotata di personalità
giuridica.

34. Cookies Privacy Policy: dove?
• Ai sensi dell’art. 5, comma 2 del Codice Privacy, le norme e le
sanzioni si applicano anche a soggetti extraeuropei che si
avvalgono di strumenti situati nel territorio dello stato italiano.

35. Cookies Privacy Policy:
conservazione
• I cookies conservati per finalità di profilazione non possono
essere archiviati sul dispositivo dell’utente per un periodo
superiori ai 12 mesi.

36. Cookies Privacy Policy:
le sanzioni
• Creare la propria documentazione in maniera confusa, utilizzando
semplici copia/incolla da siti web che offrono ‘in apparenza’
servizi affini o standard è quanto di più dannoso si possa fare.

37. Cookies Privacy Policy:
le sanzioni
• In caso di omessa o di informativa inidonea, ossia che non
presenti gli elementi indicati, è prevista la sanzione amministrativa
del pagamento di una somma da 6.000 a 36.000 euro.
• L’installazione di cookies sui terminali degli utenti in assenza del
preventivo consenso degli stessi, comporta la sanzione del
pagamento di una somma da 10.000 a 120.000 euro.

38. Privacy Policy:
i controllo sulle app
Nel 2014, durante gli Sweep Days, il Garante Privacy ha condotto
un’indagine conoscitiva:
• campione di 1.200 applicazioni analizzate;
• solo il 15% di tali applicazioni è risultato avere un’informativa
privacy chiara e facilmente consultabile che precede
l’installazione del software.

39. Cookies Privacy Policy:
passaggi preliminari
Il titolare/gestore di un sito web deve:
• identificare le categorie di cookies che il proprio sito installa;
• identificare le finalità di ogni cookie;
• creare un catalogo di tali cookies in base alle finalità del trattamento
che si intende effettuare;
• controllare ed aggiornare (o creare ex novo) la propria informativa
privacy e i differenti moduli di consenso (c.d. check box multiple).

40. Cookies Privacy Policy:
passaggi preliminari
• Prima informativa breve a comparsa immediata sulla pagina
dalla quale l’utente accede (c.d. banner dinamico);
• Successivo rilascio di cookie tecnico;
• Seconda informativa estesa, accessibile tramite link
nell’informativa breve.
• Verificare se l’utente ha negato espressamente il consenso
all’installazione del cookie di profilazione e, in tal, caso non
rilasciare tali cookies.