Chi è colpito dal GDPR?
Il GDPR dell'UE non si applica solo alle organizzazioni in Europa, ma a qualsiasi organizzazione che elabori e conservi dati personali di individui nell'Unione europea, nonché di cittadini dell'UE residenti all'estero. In altre parole, se prevedete di avere clienti dall'Europa, dovete prestare attenzione.
Cosa succede se non rispettate la normativa?
Il GDPR sarà applicato a partire dal 25 maggio 2018. Le sanzioni per la non conformità sono significative.
- Le multe possono arrivare fino al 4% del fatturato globale annuo o a 20 milioni di euro, a seconda di quale sia maggiore.
- Gli individui avranno il diritto di chiedere un risarcimento per i danni, inclusa la perdita di controllo sui dati personali o la limitazione dei diritti, discriminazione, perdita finanziaria, danno alla reputazione o perdita di riservatezza dei dati personali protetti dal segreto professionale.
- Gli individui possono scegliere di agire contro il titolare del trattamento, il responsabile del trattamento o entrambi, e possibilmente chiunque nella supply chain.
Quali sono le vostre opzioni?
Se possedete o gestite un'attività ecommerce, le vostre opzioni sono insufficienti. In realtà ci sono solo due opzioni.
Opzione 1 — Abbracciarlo (buona idea!)
Un amico mi disse una volta: «se non sapete in quale direzione state andando, siete già persi». Penso che questo sia particolarmente vero con il GDPR dell'UE. C'è molto da imparare e ancora di più che deve essere chiarito. Ma raggiungere la conformità al GDPR dell'UE inizia con la decisione di conformarsi. Valutate la vostra situazione e identificate le aree in cui non siete conformi. Potete quindi stabilire una strategia per minimizzare la vostra responsabilità.
Opzione 2 — Non vendere in Europa o ai suoi cittadini (cattiva idea!)
Se non desiderate conformarvi al GDPR dell'UE, vi consigliamo vivamente di non pianificare di fare affari con chiunque provenga dall'Europa. Ricordate, quegli individui europei possono vivere all'estero. Limitare la vostra attività ecommerce ai confini statunitensi non garantisce la vostra conformità. Il rischio di non conformità è significativo e può essere descritto come «sotto pena di sanzione». La non conformità è un'opzione, ma non è raccomandata.
5 aree chiave del regolamento
La conformità al GDPR dell'UE comporta familiarizzare con cinque aree chiave del regolamento: consenso, diritti individuali, policy e responsabilità.
1. Legittimo interesse
L'articolo 6 del regolamento GDPR stabilisce che un titolare del trattamento può elaborare dati legalmente solo se, tra le altre cose, ha un legittimo interesse o il consenso. Determinare se avete un legittimo interesse richiede una «valutazione attenta» delle aspettative e del contesto dei dati che state raccogliendo.
È tentante usare un'interpretazione ampia del legittimo interesse per superare la necessità del consenso. Sconsigliamo di usare una visione aperta del legittimo interesse come modo per giustificare la raccolta dei dati. Il GDPR fornisce alcuni esempi, come l'elaborazione di dati personali per prevenire frodi, scopi amministrativi interni relativi a dipendenti e clienti, garantire la sicurezza della rete e segnalare possibili atti criminali o minacce alla sicurezza pubblica.
C'è ancora un'area grigia intorno al legittimo interesse e la definizione diventerà più evidente nel tempo. La raccomandazione a breve termine è abituarsi a chiedersi: «lo stesso obiettivo può essere raggiunto senza elaborare dati personali?» Se la risposta è sì, la best practice è allontanarsi dal legittimo interesse come base per l'elaborazione dei dati; dovreste ottenere il consenso.
2. Consenso
Non esiste più alcun consenso passivo. Dovete dichiarare per cosa userete i dati. Ecco due esempi di come richiedere il consenso.
3. Diritti individuali
Con il GDPR, l'individuo ha il diritto all'oblio. Ad esempio, se ha acconsentito all'uso dei dati per scopi di marketing, ha il diritto di chiedervi di «dimenticarlo». Sono stati introdotti nuovi diritti riguardo all'accesso al soggetto, all'opposizione al trattamento, alla portabilità dei dati e all'opposizione alla profilazione, tra gli altri.
4. Policy
L'articolo 13 del regolamento elenca 12 aree chiave di cui dovete informare il vostro consumatore in un linguaggio chiaro, non legalese. Sviluppate una privacy policy standard che informi i vostri clienti su come gestite i loro dati.
È obbligatorio avere una persona di contatto designata, nonché le informazioni di contatto della vostra organizzazione nella privacy policy.
5. Responsabilità
Formate i vostri dipendenti e fornite gli strumenti per promuovere la responsabilità in tutta la vostra azienda, non solo per questo regolamento, ma per tutti i dati personali che ricevete. La protezione dei dati è responsabilità dell'intera organizzazione. Chiunque entri in contatto con i dati deve essere consapevole delle implicazioni e delle sanzioni per la non conformità.
Zonos, leader nella tecnologia ecommerce transfrontaliera, continuerà a guidare e orientare i commercianti attraverso la sfida di vendere i propri prodotti nel mondo. Continueremo a fornire FAQ ed esempi di documentazione che mostrano policy e processi interni sulla privacy che potete adottare. Condivideremo documenti di formazione interna da utilizzare con il vostro team. Zonos prende sul serio la privacy dei dati ed è impegnata nella conformità al GDPR dell'UE. Ulteriori dettagli arriveranno regolarmente.
Perché dovreste preoccuparvi del GDPR?
Ovunque guardiate nell'ecommerce, troverete qualcuno che discute del GDPR dell'UE o del Regolamento generale sulla protezione dei dati dell'Unione europea. C'è una varietà di informazioni, da articoli tecnici a speculazioni sui social media. Tutti vogliamo sapere come ci influenzerà. Quali modifiche, se ce ne sono, dovremo apportare? Cosa significa davvero?
In questo articolo, daremo uno sguardo rapido al GDPR dell'UE: cos'è, come possiamo prepararci e come potrebbe impattare un'attività online.