Il Regolamento generale sulla protezione dei dati (GDPR) ha influenzato pesantemente il modo in cui i siti web richiedono il consenso degli utenti per il trattamento dei dati personali.
Di seguito, vi spiego come costruire moduli di consenso conformi al GDPR , perché è importante averne uno e come ottenere, registrare e gestire il consenso degli utenti.
Punti chiave
- Nel modulo GDPR ai sensi del GDPR , usa un linguaggio chiaro e semplice,
- Offri agli utenti la possibilità di acconsentire, di revocare il consenso e di cambiare idea.
- Link a un'informativa sulla privacy GDPR.
- Non fare del consenso un prerequisito per ricevere un servizio.
- Non rendere più difficile per gli utenti dire “no” che dire “sì”.
- Non ricorrere a soluzioni alternative subdole.
I "do›s and don›ts" dei moduli conformi al GDPR
Per aiutarti a soddisfare in modo rapido ed efficiente gli obblighi GDPR , ho stilato un utile elenco delle cose da fare e da non fare a cuipuoi fare riferimento quando redigi un modulo GDPR :
- Utilizzate un linguaggio chiaro e semplice nel vostro modulo di consenso, in modo che gli utenti lo comprendano.
- Date ai vostri utenti la possibilità di aderire, rinunciare e cambiare idea in qualsiasi momento.
- Collegatevi a un'informativa sulla privacyGDPR insieme alla richiesta di consenso, in modo che gli utenti possano accedere a tutte le informazioni necessarie.
- NON rendere il consenso un prerequisito per ricevere un servizio se la raccolta dei dati non è effettivamente necessaria.
- Non rendete più difficile agli utenti dire di no che dire di sì, altrimenti sarete in conflitto con il regolamento.
- NON utilizzare soluzioni subdole, come ad esempio rendere il pulsante di accettazione più evidente di quello di rifiuto, poiché ciò non è conforme al GDPR .
Come posso redigere moduli GDPR conformi GDPR (con esempi)?
Per redigere un modulo GDPR conforme GDPR , è necessario comprendere come il regolamento definisca il consenso e quali obblighi preveda in merito al suo ottenimento.
Secondo il GDPR, le persone devono dare il proprio consenso attraverso una dichiarazione o un'azione affermativa esplicita ed essere:
- Fornito gratuitamente e su base volontaria
- Specifico
- Informato
- Inequivocabile
Inoltre, le persone devono avere il diritto di ritirare il proprio consenso in qualsiasi momento, con la stessa facilità con cui è stato dato.
Per creare un modulo di consenso che soddisfi tali requisiti, seguire la procedura riportata di seguito.
Fase 1: Rendi trasparente la tua richiesta di consenso
Per conformarsi al GDPR, si consiglia di integrare questi tre requisiti di trasparenza nei moduli di consenso:
- Scrivete la richiesta di consenso utilizzando un linguaggio chiaro e facilmente comprensibile.
- Identificate la vostra azienda per nome ed elencate le terze parti con cui condividete i dati.
- Spiegate chiaramente come intendete utilizzare i dati personali e perché li raccogliete.
Fase 2: Non utilizzare caselle di selezione già spuntate nel modulo di consenso
Se sei soggetto al GDPR, non utilizzare caselle di selezione già spuntate, il consenso implicito o il consenso predefinito quando chiedi agli utenti di accettare la tua richiesta di consenso.
Tutte queste tecniche violano il regolamento.
Invece, è opportuno prevedere una casella non selezionata che gli utenti devono selezionare attivamente per esprimere il loro consenso.
Guarda il confronto affiancato tra cosa fare e cosa non fare con le caselle di selezione riportato nell'esempio qui sotto.
Come dimostra l'esempio del modulo GDPR di cui sopra, gli utenti devono dare liberamente il consenso all'invio di e-mail e possono accedere alla vostra offerta senza iscriversi alla vostra newsletter.
Passaggio facoltativo: offrire diverse opzioni di adesione
Per creare moduli di consenso conformi ai GDPR , valuta la possibilità di implementare una procedura di consenso con doppio opt-in quando richiedi il consenso alla raccolta dei dati degli utenti.
Ad esempio, puoi mettere a disposizione degli utenti un modulo di consenso online da compilare manualmente per iscriversi alla tua newsletter, quindi inviare un'e-mail di conferma e chiedere loro di cliccare su un link per verificare il proprio indirizzo e-mail, aggiungendolo così alla tua mailing list.
Sebbene l'ottenimento del doppio consenso in questo modo non sia esplicitamente richiesto dal GDPR, si tratta di una best practice aziendale comunemente utilizzata nell'ambito del GDPR.
Ci sono casi in cui non è necessario inserire una casella di selezione nel modulo di consenso?
Ai sensi del GDPR, è possibile utilizzare le caselle di controllo quando si chiede agli utenti di acconsentire a più voci in un singolo modulo. Tuttavia, non è necessario utilizzarne una se il motivo del consenso è inequivocabile.
Ad esempio, se si utilizza un pop-up per richiedere il consenso a una newsletter, si può chiedere all'utente di inserire il proprio indirizzo e-mail utilizzando una frase chiara e un pulsante esplicitamente etichettato per ottenere un consenso valido.
Qui di seguito trovate un esempio dei modi giusti e sbagliati di scrivere questo tipo di richiesta di consenso.
Metodo Opt-In aggiuntivo per le e-mail
A seconda delle leggi vigenti, potrebbe essere consentito utilizzare i dati raccolti in precedenza su un individuo per inviargli un'e-mail senza ottenere il consenso.
Ad esempio, questa pratica può essere consentita negli Stati Uniti, nell'Unione Europea, in Canada, in Australia e nel Regno Unito, a condizione che si rispettino le seguenti condizioni:
- l'individuo vi ha fornito il proprio indirizzo e-mail nell'ambito di una precedente vendita sul vostro sito
- Sono adeguatamente informati tramite un avviso, una pagina di vendita o un'informativa sulla privacy.
- Le e-mail sono di natura promozionale e sono relative a prodotti o servizi simili a quelli acquistati originariamente da voi.
- Promuovete solo servizi e prodotti che vi appartengono e non di terzi.
Tuttavia, se l'individuo ha precedentemente scelto di non ricevere le vostre e-mail, non potete inviargli alcun contenuto promozionale in questo modo.
È inoltre necessario verificare nel dettaglio ogni legge applicabile, poiché l'elenco sopra riportato non è esaustivo né generalmente applicabile.
Fase 3: Utilizzare un consenso separato rispetto alle richieste relative ad altre politiche legali
Il GDPR richiede di separare le richieste di consenso per scopi diversi.
In altre parole, non è possibile associare il consenso alle politiche legali, come i termini e le condizioni, all'iscrizione a una newsletter.
Per una completa conformità alGDPR , assicuratevi che le richieste di consenso siano distinguibili e ovvie per l'utente.
Di seguito è riportato un esempio di come fare e non fare.
Fase 4: Fornire opzioni di consenso dettagliate
Allo stesso modo, se il modulo di consenso richiede agli utenti di acconsentire a più operazioni di trattamento, assicurati di offrire loro la possibilità di acconsentire a ciascuna di esse separatamente.
In caso contrario, il vostro modulo di consenso non rispetta adeguatamente gli standard del GDPR .
Di seguito è riportato un esempio di come fare.
Fase 5: Rendere la revoca del consenso facile quanto il suo conferimento
Il GDPR impone di consentire agli utenti di ritirare il consenso o di cambiare idea in qualsiasi momento senza conseguenze. Per l'utente deve essere facile farlo come dare il consenso.
Dovete informarli su come ritirare il consenso, ad esempio aggiungendo un'opzione di opt-out in fondo alle vostre e-mail di marketing o promozionali.
Di seguito, un esempio di come farlo con successo ai sensi del GDPR.
Fase 6: Tenere un registro dei consensi degli utenti
Oltre a ottenere il consenso, il GDPR richiede anche di mantenere un registro delle scelte di consenso degli utenti.
Per fornire una prova adeguata del consenso, è necessario tenere traccia dei seguenti dettagli per ciascuno dei vostri utenti:
- Quando hai ottenuto il loro consenso
- Come lo avete ottenuto
- Cosa avete presentato agli utenti al momento di ottenere il consenso
Conserva questi registri in un luogo sicuro in caso di verifica sulla privacy o di indagine.
Come registrare e gestire il consenso
L'azione di opt-in, la formulazione e la posizione del modulo di consenso GDPR rappresentano già metà del lavoro. È inoltre necessario assicurarsi di conservare una registrazione delle scelte di consenso effettuate dagli utenti.
Secondo l'articolo 7, sezione 1 del regolamento:
"Quando il trattamento è basato sul consenso, il responsabile del trattamento deve essere in grado di dimostrare che l'interessato ha acconsentito al trattamento dei suoi dati personali."
Per aiutarvi a soddisfare questo requisito legale, nelle sezioni seguenti vi spiegherò quali informazioni dovete tenere registrate e come potete consentire ai vostri utenti di gestire il loro consenso.
Quali informazioni devono essere registrate
Le registrazioni relative alle scelte di consenso degli utenti devono essere specifiche e dettagliate quanto il consenso stesso.
Per una completa conformità al GDPR , tenere un registro delle seguenti informazioni:
- Chi ha acconsentito o rinunciato: Nome, ID utente, indirizzo e-mail o altri identificatori, compreso l'indirizzo IP.
- Quando l'utente ha acconsentito o rinunciato: Timestamp di quando l'utente ha acconsentito
- Il modo in cui l'utente ha acconsentito o negato il consenso: Il modulo specifico o il punto del sito in cui l'utente ha acconsentito, ad esempio un pop-up o un modulo di iscrizione.
- Cosa hanno accettato o rinunciato a fare: A cosa hanno acconsentito esattamente, comprese le newsletter settimanali o le offerte di terzi.
- Se e quando hanno ritirato il loro consenso: Tenere un registro di tutte le volte che un utente cambia la sua preferenza di consenso.
Il mio metodo preferito per tenere un registro delle scelte di consenso degli utenti è una soluzione automatizzata, come la gestione del consenso Platform di gestione del consenso Platform di Termly(CMP).CMP).
Memorizza un registro delle scelte degli utenti, a cui si può accedere dalla dashboard di Termly .
Come consentire agli utenti di gestire il proprio consenso
È inoltre necessario fornire agli utenti un modo per gestire le loro scelte di consenso, poiché l ›articolo 7, sezione 3 del GDPR garantisce loro il diritto di cambiare idea in qualsiasi momento.
Inoltre, stabilisce che ritirare il consenso deve essere facile come darlo.
Analogamente, il capitolo 3, articoli 15-21 del GDPR conferisce ai consumatori i seguenti diritti sui loro dati:
- Accesso
- Correggere o modificare
- Trasferimento
- Cancellare
- Opporsi al trattamento dei propri dati per finalità specifiche
Per soddisfare questi requisiti, pubblicate sul vostro sito un centro per le preferenze di consenso con controlli sulla privacy che consentano agli utenti di aggiornare le loro scelte ogni volta che lo desiderano.
Ad esempio, il cookie banner sul sito web dell'Autorità greca per la protezione dei dati può essere riattivato in qualsiasi momento dal footer.
Inoltre, consiglio di pubblicare un modulo di richiesta di accesso ai dati(DSAR). Termly offre un modulo DSAR come parte della nostra soluzioneGDPR .
Per garantire che gli utenti abbiano sempre accesso al centro per le preferenze sul consenso e al modulo DSAR, collegateli entrambi in punti statici del sito, come il piè di pagina o il centro per la privacy, se ne utilizzate uno.
Conclusione
Quando si fa un modulo di consenso GDPR per il proprio sito web, gli utenti devono avere una scelta reale su come raccogliere ed elaborare i loro dati personali.
Ricordate di ottenere il consenso degli utenti ogni volta che vengono raccolti i dati e di registrare la scelta di ciascun utente.
Assicuratevi che le vostre informative sui cookie e sulla privacy siano aggiornate e includete un link attivo a ciascuna di esse in tutte le richieste di consenso che implementate.
Hanna De La Garza è una scrittrice specializzata in privacy presso Termly una laurea in giornalismo presso l'Università della Florida. Crea risorse interessanti su privacy dei dati, gestione del consenso, aggiornamenti normativi e altro ancora.
Leggi tutti i post di Hanna De La Garza
Revisionato da Teodor Stanciu, CIPP/E, CIPM
Teodor Stanciu è coordinatore legale e responsabile della protezione dei dati (DPO) con una laurea in giurisprudenza conseguita presso l'Università di Bucarest e un master in diritto dell'Unione Europea e diritto commerciale internazionale conseguito presso l'Università Radboud.
Leggi tutti i post recensiti da Teodor Stanciu, CIPP/E, CIPM
Conformarsi al GDPR GRATUITAMENTE
