"Conforme al GDPR" è una dicitura che compare in quasi tutti i prospetti informativi sui software, ma la conformità alla normativa sulla protezione dei dati non deriva da un'etichetta, bensì dalla combinazione di funzionalità del software, sede di hosting e processi ben definiti. Questa guida illustra a cosa dovrebbero prestare attenzione concretamente i commercianti nella scelta di un sistema di e-commerce.
In sintesi
- La conformità al GDPR è una caratteristica dell’attività, non solo del software: sistema di e-commerce, hosting e processi devono essere compatibili tra loro.
- L’ubicazione del server è determinante per le questioni relative al trasferimento dei dati verso paesi terzi: l’hosting in Germania o nell’UE semplifica notevolmente la situazione giuridica.
- Funzionalità obbligatorie: consenso ai cookie con opt-in, strumenti di accesso ai dati e cancellazione, double opt-in, impostazioni predefinite a basso consumo di dati.
- «Privacy by Design» significa che la protezione dei dati è un’impostazione di base, non una configurazione a posteriori.
Cosa rende un sistema di e-commerce conforme al GDPR?
A rigor di termini, il software da solo non può essere «conforme al GDPR»: la responsabilità ricade sempre sul commerciante in qualità di gestore. Il sistema di e-commerce può tuttavia favorire o impedire la conformità. Tre livelli si intrecciano tra loro: il software (fornisce gli strumenti necessari?), l’hosting (dove si trovano i dati, chi vi ha accesso, esiste un contratto di trattamento dei dati?) e i processi (i diritti degli interessati vengono effettivamente rispettati?). Chi si limita a guardare l’elenco delle funzionalità trascura gli altri due livelli.
Perché la localizzazione del server è importante?
I dati personali possono essere trasferiti in paesi terzi al di fuori dell’UE solo a determinate condizioni: con la sentenza Schrems II (C-311/18), la Corte di giustizia europea ha inasprito notevolmente i requisiti per i trasferimenti verso gli Stati Uniti. Per i commercianti ciò significa che ogni componente cloud statunitense presente nella configurazione (hosting, CDN, strumenti di analisi) comporta un onere in termini di verifica e documentazione. L’hosting in Germania o nell’UE con un fornitore europeo semplifica strutturalmente la situazione: la questione delle clausole contrattuali standard e delle valutazioni d’impatto sul trasferimento non si pone nemmeno per il nucleo centrale del negozio online.
Quali funzioni dovrebbe avere il sistema del negozio online?
| Requisiti | Come riconoscerle |
|---|---|
| Consenso ai cookie (opt-in) | Il tracciamento inizia solo dopo il consenso attivo – le caselle preselezionate non sono più ammesse a seguito della sentenza Planet49 della Corte di giustizia dell’Unione europea (C-673/17). |
| Diritti degli interessati | L'accesso alle informazioni, l'esportazione dei dati e la cancellazione dei dati dei clienti devono essere possibili senza interventi manuali sul database. |
| Double opt-in | Le iscrizioni alla newsletter diventano effettive solo dopo l’invio dell’e-mail di conferma. |
| Minimalità dei dati | Mascheramento dell’IP nelle statistiche, periodi di conservazione configurabili, ordini come ospite senza obbligo di creare un account. |
| Trattamento per conto di terzi | Il fornitore di hosting/software mette a disposizione un contratto di elaborazione dei dati ai sensi dell'art. 28 del GDPR. |
| Crittografia e accessi | TLS su tutta la linea, sistema di ruoli e autorizzazioni nel backend, accessi amministrativi registrati. |
Privacy by Design: cosa significa in pratica?
L’articolo 25 del GDPR richiede la protezione dei dati attraverso la progettazione tecnica e impostazioni predefinite che favoriscano la protezione dei dati. In pratica ciò significa che: per impostazione predefinita, il negozio online raccoglie solo i dati necessari per l’acquisto; il tracciamento è disattivato fino a quando il cliente non acconsente; i moduli non richiedono campi obbligatori superflui; i termini di cancellazione decorrono automaticamente. Un sistema in cui la protezione dei dati si ottiene solo disattivando alcune funzioni va contro questo principio.
Cosa offre XONIC
Il XONIC Shop System è sviluppato secondo il principio della «Privacy by Design»: il consenso ai cookie come vero e proprio opt-in, il double-opt-in per le newsletter, gli strumenti per l’accesso ai dati e la cancellazione, il mascheramento dell’IP e le impostazioni predefinite a basso consumo di dati fanno parte dello standard. Il software e l’hosting provengono dallo stesso fornitore tedesco: i dati sono archiviati su server in Germania e il contratto di elaborazione dei dati è fornito da un unico soggetto. In qualità di produttore con sede a Chemnitz, XONIC Solutions accompagna dal 2005 anche i continui adeguamenti normativi, dalla soluzione con pulsante al pulsante di revoca UE. I dettagli sul modello operativo sono disponibili nella pagina dedicata all’hosting e nella breve descrizione.
Nota: questo articolo non costituisce una consulenza legale. Per informazioni vincolanti sulla conformità alla normativa sulla protezione dei dati della vostra configurazione specifica, rivolgetevi ai responsabili della protezione dei dati e a studi legali specializzati.
Domande frequenti sul sistema di negozio online conforme al GDPR
Fonti
