La risposta breve
Sì, la GDPR si applica al vostro nuovo sito web o negozio online non appena vi circolano dati personali. Accade più rapidamente di quanto molti imprenditori pensino: un modulo di contatto, un ordine con nome e indirizzo, un banner dei cookie per analytics, o una finestra di chat che richiede un indirizzo e-mail — sono tutte operazioni di trattamento di dati personali. Le dimensioni della vostra azienda o il numero di visitatori non ha alcun ruolo.
Ciò che invece varia è l'ampiezza di ciò che vi viene richiesto. Un sito web informativo con solo un indirizzo e un numero di telefono richiede poco. Un negozio online con account cliente, dati di pagamento, indirizzi di consegna e una newsletter richiede più: vi sono più parti coinvolte che trattano dati per vostro conto, e con loro devono esserci accordi.
Quando questo vi riguarda concretamente
La GDPR entra in gioco nel momento in cui il vostro sito web o negozio online fa qualcosa con dati riconducibili a una persona. Pensate a un modulo di contatto che salva nome e indirizzo e-mail, uno strumento di analytics che traccia il comportamento dei visitatori, un pixel pubblicitario di una terza parte, un account di accesso per clienti, o un processo d'ordine in cui i dati di indirizzo e pagamento vengono registrati e inoltrati a un corriere o a un fornitore di pagamenti.
Ognuno di questi elementi significa che vi è una parte che tratta i dati per vostro conto: il vostro provider di hosting, la vostra piattaforma di negozio online, il vostro fornitore di analytics, il vostro strumento di email marketing. Per quelle parti nella maggior parte dei casi deve esservi un accordo di trattamento dei dati. Come valutate quell'accordo e su cosa dovete prestare attenzione è spiegato in dettaglio in la base di conoscenze con spiegazioni per ogni situazione.
Quando questo vi riguarda meno
Un sito web puramente informativo senza moduli, senza cookie di tracciamento e senza terze parti che controllano, tratta pochi o nessun dato personale. In quel caso l'impatto della GDPR è limitato. Ma in pratica questo è raro: la maggior parte dei siti ha almeno un modulo di contatto o uno script di analytics, e entrambi contano già come trattamento.
Non è quindi una questione di 'mi riguarda o no', ma di 'in quale misura'. Un semplice sito web di brochure richiede una breve informativa sulla privacy e uno sguardo agli strumenti utilizzati. Un negozio online con account cliente e più fornitori richiede un quadro più completo: quale strumento tratta cosa, chi è il responsabile del trattamento, e quali dati vengono conservati dove.
Cosa significa questo in pratica
Se state costruendo un nuovo sito web o negozio online, di solito emergono tre domande contemporaneamente. In primo luogo: quali strumenti e fornitori tratteranno dati per vostro conto, e avete con ognuno di loro un accordo di trattamento dei dati? In secondo luogo: c'è un'informativa sulla privacy sul sito che spiega cosa fate e perché? In terzo luogo: questa nuova operazione di trattamento è registrata nel vostro registro delle operazioni di trattamento, in modo che in qualsiasi momento possiate dimostrare cosa accade?
Queste tre domande non dovrebbero essere risposte indipendentemente l'una dall'altra. Una piattaforma di negozio online, un fornitore di pagamenti e un corriere sono spesso tutti e tre responsabili del trattamento, e ognuno dovrebbe avere un posto nel registro. Se qualcosa va storto nel processo — ad esempio perché un fornitore invia i dati in modo non sicuro — allora è il momento di essere in grado di valutare rapidamente cosa è accaduto e se questo è soggetto a obbligo di notifica. Una prima indicazione in proposito la ottenete con un paio di domande che vi danno subito una direzione.
Come questo si relaziona agli obblighi esistenti
Un nuovo sito web o negozio online di solito non è un obbligo separato secondo il GDPR, ma un'estensione di ciò che già vigeva. Se la vostra azienda già elabora dati dei dipendenti o raccoglie dati dei clienti, il sito web si aggiunge a questi: nuovi responsabili del trattamento, nuovi flussi di dati, e quindi un supplemento al registro e agli accordi di responsabile del trattamento esistenti. Il GDPR stesso e le linee guida dell'EDPB e dell'Autorità per la protezione dei dati personali forniscono il punto di partenza; come queste informazioni sono strutturate su questa piattaforma e dove trovare il riferimento di ciascun elemento, potete leggere in la spiegazione di come le informazioni sono strutturate.
Se il vostro sito web o negozio online specifico è completamente conforme al GDPR è una cosa che potete rivedere al meglio con un avvocato o, in caso di dubbi su un trattamento concreto, con l'Autorità per la protezione dei dati personali. Questo articolo fornisce chiarimenti, non consulenza legale.
Verificare voi stessi dove siete
Volete rapidamente vedere quali elementi appartengono al vostro nuovo sito web o negozio online — quali strumenti, quali responsabili del trattamento, quali documenti? Fate la scansione rapida gratuita o sfogliate gli argomenti nella banca dati della conoscenza. Volete tenere traccia di questo in modo strutturale una volta aggiunti il registro e il monitoraggio, allora potete creare un account aziendale e continuare da dove siete ora.