Tutte le aziende che raccolgono i dati dei clienti hanno bisogno di un'informativa sulla privacy, compresi i proprietari di siti web, di app e tutti gli altri.
Avere un'informativa sulla privacy è obbligatorio per legge e dimostra ai consumatori che siete onesti sulle vostre attività di trattamento dei dati.
Per semplificare la stesura di una di queste politiche aziendali essenziali, ho realizzato la lista di controllo definitiva sui requisiti della politica sulla privacy, che spiega cosa va inserito in una politica sulla privacy, le leggi che la influenzano, dove pubblicarla e altro ancora.
- Lista di controllo dell'informativa sulla privacy
- Requisiti legali per le politiche sulla privacy
- Spiegazione dei requisiti dell'informativa sulla privacy
- Suggerimenti per la conformità ai requisiti della politica sulla privacy
- Sanzioni per la mancata osservanza delle leggi sulla privacy
- Come Termly aiuta la vostra azienda a creare un'informativa sulla privacy
- Riassunto
Lista di controllo dell'informativa sulla privacy
Di seguito trovate la mia lista di controllo sulla privacy, che contiene dettagli sulle clausole obbligatorie per legge, sulle informazioni che devono essere contenute in tali clausole e sulle leggi sulla privacy che le richiedono.
| Clausola sulla privacy | Da fare | Richiesto dal... |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Requisiti legali per le politiche sulla privacy
Nella tabella successiva, fornisco i requisiti specifici delle norme sulla privacy delineati dalle diverse leggi sulla privacy che possono avere un impatto sulle vostre aziende.
| Legge sulla privacy dei dati | Requisiti dell'informativa sulla privacy |
| 🇪🇺 Regolamento generale sulla protezione dei dati (GDPR) |
|
| 🇬🇧 La legge sulla protezione dei dati(UK GDPR) |
|
| 🇺🇸 Legge modificata sui diritti dei consumatori della California(CCPA/CPRA) |
|
| 🇺🇸 Legge sulla protezione della privacy online della California(CalOPPA) |
|
| 🇺🇸 Legge sulla privacy dei dati dei consumatori della Virginia(VCDPA) |
|
| 🇺🇸 Legge sulla protezione dei dati del Connecticut(CTDPA) |
|
| 🇺🇸 Legge sulla privacy del Colorado(CPA) |
|
| 🇺🇸 Legge sulla protezione della privacy online dei bambini(COPPA) |
|
| 🇨🇦 Legge sulla protezione delle informazioni personali e dei documenti elettronici(PIPEDA) |
|
| 🇦🇺 Legge australiana sulla privacy del 1988 |
|
| 🇳🇿 Legge sulla privacy della Nuova Zelanda del 2020 |
|
| 🇿🇦 Legge sudafricana sulla protezione delle informazioni personali(PoPIA) |
|
Spiegazione dei requisiti dell'informativa sulla privacy
In seguito, spiegherò in modo più dettagliato cosa dovrebbe essere contenuto nelle clausole obbligatorie che ho fornito nella lista di controllo dell'informativa sulla privacy di cui sopra.
Raccolta di dati personali
Ogni legge sulla privacy dà alle persone il diritto di sapere quali dati personali vengono raccolti o elaborati su di loro, rendendo questa una delle clausole più critiche della vostra informativa sulla privacy.
Per rispettare queste leggi, dovete elencare chiaramente tutte le categorie di dati personali che raccogliete, compresi i dati personali sensibili, che sono soggetti a linee guida più severe ai sensi di leggi come il GDPR, il CCPA e il VCDPA.
La definizione precisa di dati personali varia a seconda della legislazione in vigore, ma in genere si riferisce a qualsiasi informazione che possa essere ragionevolmente collegata a un individuo o a una famiglia, direttamente o indirettamente.
Oltre a quali dati raccogliere, è necessario anche dichiarare:
- Perché raccogliete i dati, compresa la vostra base legale se dovete rispettare leggi come il GDPR
- Come raccogliete i dati personali - ad esempio, potreste raccogliere le informazioni volontariamente dall'utente, attraverso moduli web, inserendo cookie nei browser degli utenti, o quando questi si iscrivono a un account o effettuano acquisti, ecc.
- Cosa fate con i dati, ad esempio utilizzandoli per scopi di marketing o di ricerca, per migliorare l'esperienza dell'utente sul vostro sito web o per fornire ai consumatori annunci mirati e consigli più specifici sui prodotti.
Molte aziende inseriscono queste informazioni in tabelle o elenchi puntati nella loro informativa sulla privacy, con titoli che rappresentano ogni specifico requisito legale, come nel caso del servizio di streaming musicale Spotify, che potete vedere nella schermata sottostante.
Vendita o condivisione di dati personali
Se condividete o vendete i dati personali che raccogliete a terzi, dovete renderlo noto nella vostra informativa sulla privacy, come richiesto da leggi quali il GDPR, il CCPA e altre.
Per essere conformi, dovete anche elencare tutte le categorie di terzi con cui condividete le informazioni o a cui vendete direttamente i dati.
Per la formattazione, considerate l'uso di una tabella o di un elenco puntato, come il modo in cui Spotify scrive questa clausola nella sua informativa sulla privacy, come mostrato nella seguente schermata.
Diritti alla privacy per i consumatori
Diverse leggi sulla protezione dei dati richiedono di elencare i diritti delle persone nella vostra informativa sulla privacy e di fornire istruzioni per dare seguito a tali diritti, il che può essere ottenuto inserendo clausole specifiche per le diverse leggi applicabili alla vostra azienda.
Ad esempio, se rientrate nel campo di applicazione sia del VCDPA che del CCPA modificato, inserite una clausola che illustri i diritti degli utenti in Virginia e un'altra per gli utenti in California.
Il rivenditore di prodotti generici Target lo fa nella sua politica sulla privacy, come mostrato nella schermata sottostante.
Successivamente, si vedano i diritti dei residenti in Virginia.
Assicuratevi di seguire le specifiche delineate da tutte le leggi applicabili alla vostra attività, sia che si tratti di un link "Non vendere o condividere i miei dati personali" come descritto dal CCPA o di un modulo generico di richiesta di accesso ai dati(DSAR o SAR) come raccomandato dal GDPR.
Trasferimenti internazionali di dati
Potreste essere soggetti ai requisiti di trasferimento internazionale, in particolare al GDPR e al GDPR del Regno Unito, se trasferite dati personali di utenti che vivono in un paese diverso da quello in cui ha sede la vostra azienda.
Ai sensi del GDPR, se esiste una decisione di adeguatezza, il trasferimento internazionale di dati da un paese dell'UE/SEE può avvenire senza altre autorizzazioni o valutazioni.
Ma se non esiste una decisione in merito, come nel caso degli Stati Uniti, dovete assicurarvi che il trasferimento internazionale soddisfi tutti i requisiti delineati dal capitolo 5, articoli 44-50 del regolamento.
Dovete inoltre inserire nella vostra politica sulla privacy una clausola che spieghi se e dove trasferite i dati e quali sono le protezioni in atto per garantire che le informazioni siano adeguatamente protette e che le persone possano far valere i loro diritti.
Si veda il modo in cui il motore di ricerca Google scrive in merito ai trasferimenti internazionali di dati nella sua informativa sulla privacy.
Limiti di conservazione dei dati
Leggi come il GDPR, il PIPEDA canadese e altre impongono di conservare i dati personali solo per il tempo necessario in base alle finalità indicate nell'informativa sulla privacy. Ma dovete anche descrivere il vostro processo di limitazione dei dati in una clausola all'interno dell'informativa.
Se lo scopo della raccolta dei dati personali non ha una fine o un termine preciso, spiegate come farete a stabilire quando avrete raggiunto il vostro obiettivo e non avrete più bisogno di conservare le informazioni.
Di seguito, si può vedere come Google scrive la clausola di limitazione dei dati nell'informativa sulla privacy.
Misure di sicurezza per la protezione dei dati personali
Le leggi sulla protezione dei dati, come il GDPR e il CCPA, ritengono le aziende responsabili in caso di violazione o fuga di informazioni personali. Dovete spiegare in una clausola della vostra informativa sulla privacy quali misure di sicurezza avete messo in atto per evitare che si verifichino questo tipo di crimini informatici o errori.
Si potrebbe prendere in considerazione:
- Anonimizzazione dei dati
- Crittografia dei dati
- Pseudonimizzazione dei dati
Questa clausola può essere breve e dolce, ma è necessaria dal punto di vista legale. Di seguito, un ottimo esempio di come la catena di supermercati e negozi Woolworths formuli la parte relativa alla sicurezza della propria informativa sulla privacy.
Aggiornamenti dell'informativa sulla privacy
Dal punto di vista legale, l'informativa sulla privacy deve essere sempre aggiornata, quindi includete una clausola che spieghi quando apporterete modifiche all'informativa, perché le modifiche potrebbero essere necessarie e come aggiornerete i vostri utenti.
Il CCPA modificato richiede di aggiornare l'informativa sulla privacy almeno una volta ogni 12 mesi.
Ma molte di queste leggi, tra cui il GDPR e il VCDPA, stabiliscono che potete utilizzare i dati personali solo in base a quanto indicato nella vostra informativa sulla privacy. Pertanto, se si desidera modificare le attività di raccolta e trattamento dei dati, è necessario aggiornare l'informativa, informare gli utenti e, talvolta, ottenere nuovamente il loro consenso.
Un esempio eccellente di questo tipo di clausola è rappresentato dall'informativa sulla privacy di Woolworths, riportata nello screenshot sottostante.
Ricordate che questo è un documento vivo. Dovrebbe cambiare ogni volta che ne avete bisogno.
Assicuratevi ogni volta di informare adeguatamente i vostri consumatori, di fissare la data di "Ultimo aggiornamento" sulla vostra polizza e di comunicare ai vostri utenti quali sono le differenze esatte della vostra polizza.
Presentazione dei reclami
Le leggi, tra cui il GDPR, il PoPIA e altre, concedono alle persone il diritto di presentare reclami se ritengono che l'azienda violi i loro diritti sulla privacy.
All'interno della vostra politica sulla privacy dovete inserire una clausola che spieghi questo diritto e fornisca le informazioni di contatto adeguate in base alla legge applicabile.
Se rientrate nel campo di applicazione di più leggi, dovreste prendere in considerazione l'utilizzo di una clausola separata per ciascun ente regolatore o autorità di vigilanza, in modo che i vostri utenti di quelle località possano trovare facilmente le informazioni di contatto corrette.
Ancora una volta, vediamo come Woolworths si comporta nella sua politica sulla privacy, riportata di seguito.
Per fare un paragone, ecco come si comporta la popolare catena di alimentari sudafricana Shoprite nella sua politica sulla privacy, evidenziata nella schermata sottostante, per conformarsi alla PoPIA.
Valutazioni d'impatto sul trattamento dei dati (DPIA)
Se intendete effettuare determinati tipi di trattamento che comportano un "rischio elevato" per i vostri consumatori, le leggi sulla privacy, tra cui il GDPR e il CTDPA, vi impongono di effettuare una DPIA e dovreste spiegare questo processo in una clausola della vostra informativa sulla privacy per tenere adeguatamente informati i vostri consumatori.
Dovete spiegare che avete eseguito una DPIA appropriata per valutare i rischi associati al trattamento e per individuare le protezioni adeguate per i vostri utenti.
I vostri utenti hanno anche il diritto di limitare l'uso dei loro dati personali sensibili, quindi date loro un modo per far valere i loro diritti su queste informazioni.
Di seguito, vediamo come il gruppo di istruzione superiore Study.Iceland gestisce questa clausola nella sua politica sulla privacy.
Informazioni di contatto dell'azienda
Diverse leggi sulla privacy richiedono di includere informazioni di contatto appropriate all'interno della vostra informativa sulla privacy, in modo che i vostri utenti possano presentare un reclamo, porre domande o chiedere di dare seguito ai loro diritti di accesso, modifica o cancellazione dei dati.
Ai sensi del GDPR, se avete nominato un responsabile della protezione dei dati, dovete anche identificarlo e fornire i suoi dati di contatto.
In base a leggi come il COPPA, che protegge i minori, è necessario includere informazioni di contatto corrette all'interno dell'informativa sulla privacy, in modo che i tutori legali possano proteggere i diritti alla privacy dei loro figli.
Di seguito, un esempio di come i grandi magazzini Harrods inseriscano i loro dati di contatto nella loro informativa sulla privacy.
10 consigli per rispettare i requisiti della politica sulla privacy
Poiché la stesura di un'informativa sulla privacy include il bilanciamento dei requisiti legali, le clausole necessarie e altro ancora, ho raccolto alcuni suggerimenti per aiutare la vostra azienda a rispettare semplicemente la normativa.
Suggerimento 1: L ›informativa sulla privacy è diversa dai termini e condizioni, e sono necessari entrambi perché hanno funzioni diverse. I termini e le condizioni proteggono la vostra attività e alcune clausole e clausole di esclusione di responsabilità devono essere inserite in questi termini e condizioni piuttosto che nell'informativa sulla privacy.
Suggerimento 2: prima di redigere l'informativa sulla privacy, eseguite una verifica della privacy del vostro sito web o della vostra app, per assicurarvi di conoscere tutti i dati che trattate e dove avviene la raccolta dei dati.
Suggerimento 3: utilizzate solo un linguaggio di facile lettura nella vostra informativa sulla privacy, in modo che sia accessibile al maggior numero di persone possibile, ed evitate il legalese e il gergo tecnico.
Suggerimento 4: per garantire ai vostri consumatori un facile accesso alle politiche legali pertinenti, inserite nella vostra informativa sulla privacy dei link in tempo reale a questi altri documenti, tra cui l'informativa sui cookie e l'accordo sui termini di servizio (e viceversa).
Suggerimento 5: Inserite un'informativa sulla privacy sul vostro sito web, anche se non raccogliete dati o non rientrate nelle leggi sulla privacy. Le persone si aspettano di vederne una e potrebbero pensare che il vostro sito non sia affidabile se non la trovano.
Suggerimento 6: prevedete di pubblicare la vostra informativa sulla privacy in più punti, tra cui il footer del vostro sito web e nei punti in cui avviene la raccolta dei dati, come le schermate di pagamento o le pagine di creazione di un nuovo account utente.
Suggerimento 7: Dovreste anche definire un processo di aggiornamento della vostra informativa sulla privacy. Dovreste rivedere questo documento ogni pochi mesi e adattarlo ogni volta che i vostri protocolli sulla privacy cambiano.
Suggerimento 8: Sebbene sia possibile scrivere un'informativa sulla privacy da soli, provate a utilizzare un generatore di informativa sulla privacy o di iniziare con un modello di informativa sulla privacy gratuito modello di informativa sulla privacy per avere un vantaggio - naturalmente, se utilizzate un generatore come il nostro, farà tutto il lavoro duro per voi.
Suggerimento 9: non mentite sulle vostre attività di trattamento dei dati e non cercate di trovare soluzioni subdole, poiché si tratta di una questione importante da evitare nella vostra informativa sulla privacy. Se venite scoperti, la cattiva stampa e le multe potenzialmente salate per violazione delle leggi potrebbero danneggiare la vostra attività.
Suggerimento 10: l'informativa sulla privacy, la nota sulla privacy e l'accordo sulla privacy si riferiscono tutti alla stessa cosa, quindi intitolatela come volete. Assicuratevi solo che sia ben chiaro ai vostri consumatori che si tratta del documento che spiega le vostre attività di trattamento dei dati.
Fidatevi di me, ho aiutato molte aziende e agenzie di marketing a creare politiche sulla privacy e seguire questi consigli renderà l'intero processo più semplice per voi.
Sanzioni per la mancata osservanza delle leggi sulla privacy
Ho già accennato al fatto che la violazione delle leggi sulla privacy dei dati potrebbe portare a multe salate e a un forte controllo da parte dell'opinione pubblica: ecco, questo è il momento di puntare su di me.
Nella tabella che segue, leggete le conseguenze finanziarie della violazione delle leggi e dei regolamenti sulla protezione dei dati che ho citato nella lista di controllo delle norme sulla privacy.
| Legge sulla privacy dei dati | Sanzioni in caso di violazione della legge |
| Regolamento generale sulla protezione dei dati (GDPR) |
|
| La legge sulla protezione dei dati(UK GDPR) |
|
| Legge modificata sui diritti alla privacy dei consumatori della California(CCPA/CPRA) |
|
| Legge sulla protezione della privacy online in California(CalOPPA) |
|
| Legge sulla privacy dei dati dei consumatori della Virginia(VCDPA) |
|
| Legge sulla protezione dei dati del Connecticut(CTDPA) |
|
| Legge sulla privacy del Colorado(CPA) |
|
| Legge sulla protezione della privacy online dei bambini(COPPA) |
|
| Legge sulla protezione delle informazioni personali e dei documenti elettronici(PIPEDA) |
|
| Legge australiana sulla privacy del 1988 |
|
| Legge sulla privacy della Nuova Zelanda del 2020 |
|
| La legge sudafricana sulla protezione delle informazioni personali(PoPIA) |
|
A seconda delle dimensioni dell'azienda, la mancata osservanza di queste leggi, anche se accidentale, potrebbe portare a multe sufficientemente elevate da far fallire l'azienda.
Ma oltre a perdere denaro, dovreste anche affrontare un contraccolpo pubblico che probabilmente danneggia il vostro marchio tanto quanto una multa.
Basta dare un'occhiata a queste statistiche sulla privacy dei dati per capire che i clienti non hanno paura di interrompere il loro rapporto con voi se non trattate le loro informazioni personali con rispetto:
- Il 63% degli utenti di Internet ritiene che la maggior parte delle aziende non sia trasparente su come vengono utilizzati i loro dati e il 48% ha smesso di fare acquisti presso un'azienda a causa di problemi di privacy.(Tableau)
- Il 33% degli utenti ha interrotto i rapporti con le aziende a causa dei dati. Hanno lasciato aziende di social media, ISP, rivenditori, fornitori di carte di credito e banche o istituzioni finanziarie.(Cisco)
Le conseguenze non ne valgono la pena. Per fidelizzare un maggior numero di clienti ed evitare sanzioni legali e cattiva stampa, pubblicate sulla vostra piattaforma un'informativa sulla privacy onesta e conforme.
Come Termly aiuta la vostra azienda a creare un'informativa sulla privacy
A questo punto, spero di avervi convinto di quanto siano essenziali le politiche sulla privacy per le aziende che operano online.
Ma non preoccupatevi, non c'è bisogno di crearne uno proprio: Termly può aiutarvi a fare il lavoro difficile se utilizzate il nostro generatore di informativa sulla privacy o un modello gratuito.
Il generatore di informativa sulla privacy di Termly
Lasciatemi prendere un secondo per vantarmi di Termly, il generatore di informativa sulla privacy - è davvero fantastico.
Il nostro team lo aggiorna ogni volta che entrano in vigore nuove norme (o se quelle vecchie vengono modificate).
Ogni volta che ciò accade, i nostri clienti ricevono un'e-mail con le istruzioni necessarie per garantire la conformità alle leggi sulla privacy.
Per utilizzarlo, basta rispondere a semplici domande sulla vostra attività e il sistema crea una politica conforme basata sulle vostre risposte, pronta per essere pubblicata sul vostro sito web o sulla vostra app.
Di seguito è riportata un'immagine della schermata.
Modelli di informativa sulla privacy di Termly
Oltre al nostro generatore, offriamo anche un modello di informativa sulla privacy che può essere personalizzato per adattarsi a qualsiasi esigenza aziendale.
I modelli richiedono un lavoro maggiore da parte vostra, perché dovete riempire manualmente le sezioni vuote con i dettagli della vostra attività. Ma sono già formattati per voi e includono clausole che seguono le leggi sulla privacy che ho trattato in questa guida.
Di seguito è riportata un'immagine di come si presenta.
Date un'occhiata a questa enorme tabella di guide e modelli su cui potete fare affidamento a seconda del vostro settore, della piattaforma che utilizzate o delle leggi rilevanti per la vostra attività.
Riassunto
Le informative sulla privacy sono documenti essenziali che aiutano le aziende a rispettare le leggi vigenti e a creare fiducia informando gli utenti su ciò che fate con i loro dati personali.
Seguendo la mia lista di controllo per l'informativa sulla privacy e i suggerimenti forniti, è possibile creare un'informativa completa e conforme alla legge per la propria azienda.
Per semplificare le cose, utilizzate il generatore di informativa sulla privacy diTermly per avere la vostra polizza pronta in pochi minuti.
Per saperne di più su chi scrive
Scritto da James Ó Nuanáin, CIPP/E, CIPM, CIPT
James è un professionista della privacy con oltre sette anni di esperienza nell'assistere grandi organizzazioni nell'adempimento degli obblighi previsti dal GPDR e da altre normative locali sulla privacy. È appassionato di privacy dei dati e dell'intersezione tra legge e tecnologia. Per saperne di più su chi scrive
