Ogni ecommerce è, che lo voglia o no, una macchina che raccoglie dati personali: nome, indirizzo, email, storico degli acquisti, a volte molto di più. Il GDPR — il regolamento europeo sulla protezione dei dati — regola come questi dati vanno trattati, e non è materia da relegare a un'informativa copiata al volo. La maggior parte delle guide GDPR parla alle aziende in generale; qui guardiamo il problema dal punto di vista concreto di un negozio online: quali dati raccogli lungo il percorso del cliente, e cosa devi fare per trattarli in regola. Per una panoramica più ampia sulla protezione dati aziendale, rimane utile una guida generale al GDPR per le aziende; questo pezzo si concentra sull'ecommerce.
Il primo passo è avere consapevolezza del dove raccogli dati, spesso più di quanto pensi:
Ognuno di questi flussi ha una sua ragione e una sua base giuridica: confonderli è l'errore più comune.
Il GDPR non vieta di trattare i dati: chiede di avere una base giuridica valida per farlo. Per un ecommerce, le principali sono:
Distinguere le basi è ciò che ti permette, per esempio, di continuare a gestire un ordine anche se il cliente revoca il consenso al marketing: sono trattamenti separati, con fondamenti separati.
Il GDPR impone di informare l'utente su come tratti i suoi dati, in modo chiaro e accessibile. L'informativa privacy di un ecommerce dovrebbe spiegare quali dati raccogli, per quali finalità, con quali basi giuridiche, per quanto tempo li conservi, con chi li condividi e quali diritti ha l'utente. Non è un testo da nascondere in fondo: è il documento con cui dichiari, in trasparenza, cosa succede ai dati di chi compra da te.
I tuoi clienti hanno diritti che devi essere in grado di rispettare: accedere ai propri dati, farli correggere, chiederne la cancellazione, ottenerne la portabilità, opporsi a certi trattamenti. Non è teoria: se un cliente ti chiede di cancellare i suoi dati o di sapere cosa hai su di lui, devi poter rispondere. Avere processi che lo consentono — e conservare i dati solo per il tempo necessario, non "per sempre per sicurezza" — fa parte dell'essere in regola.
Un ecommerce non tratta i dati da solo: li passa a chi elabora i pagamenti, a chi spedisce, agli strumenti di email marketing e analisi. Questi soggetti sono responsabili del trattamento, e con loro va regolato il rapporto (chi tratta cosa, come, con quali garanzie). Attenzione particolare quando i dati finiscono a fornitori fuori dall'Unione Europea: servono adeguate garanzie per il trasferimento. In pratica, la tua conformità dipende anche da quella di chi lavora con te.
Devo chiedere il consenso per spedire un ordine? No: trattare l'indirizzo e i dati necessari a evadere l'ordine si fonda sull'esecuzione del contratto, non sul consenso. Il consenso serve per ciò che va oltre l'ordine, come newsletter, marketing e profilazione.
Posso obbligare all'iscrizione alla newsletter per comprare? No: il consenso al marketing deve essere libero, quindi non puoi condizionare l'acquisto all'iscrizione. Sono trattamenti distinti, con basi giuridiche diverse.
Per quanto tempo posso conservare i dati dei clienti? Solo per il tempo necessario alle finalità per cui li tratti: i dati d'ordine per i periodi richiesti (fiscali, di garanzia), quelli di marketing finché c'è il consenso. Conservare tutto "per sicurezza" a tempo indefinito non è in regola.
Sono responsabile anche dei fornitori a cui passo i dati? In parte sì: chi elabora pagamenti, spedizioni, email e analisi è responsabile del trattamento, e il rapporto va regolato con adeguate garanzie. Serve attenzione particolare per i trasferimenti verso fornitori fuori dall'UE.
Questo articolo fornisce informazioni generali e non costituisce consulenza legale. Il GDPR ha molte specificità applicative: per la conformità del tuo ecommerce rivolgiti a un professionista.
Ogni ecommerce raccoglie dati personali lungo tutto il percorso del cliente — registrazione, checkout, newsletter, navigazione — e il GDPR chiede di trattarli con una base giuridica valida: l'esecuzione del contratto per evadere l'ordine (senza consenso), il consenso per marketing e profilazione, l'obbligo di legge per i dati fiscali. Serve un'informativa chiara, il rispetto dei diritti dell'utente, la conservazione limitata nel tempo e la corretta gestione dei fornitori esterni. Materia tecnica e in evoluzione: per la tua situazione specifica, affidati a un professionista.