Audit GDPR per siti web e trattamento dei dati

Il problema: quasi tutti i siti hanno lo stesso errore

Nella maggior parte dei siti che analizziamo gli script di misurazione e di profilazione partono prima che l’utente abbia dato il consenso. Il banner c’è, è visibile, ma non blocca nulla: è un avviso, non uno strumento di gestione del consenso.

Da questo errore derivano gli altri: informative che elencano strumenti non più installati e tacciono su quelli attivi, moduli senza consenso separato per il marketing, nessun registro dei trattamenti, nessun incarico scritto ai fornitori che trattano i dati per conto dell’azienda.

Che cosa guardiamo

Il comportamento tecnico del sito

Quali cookie vengono scritti e quando, quali script di terze parti si attivano prima del consenso, verso quali paesi vengono inviati i dati, quanto durano i cookie dichiarati e quanto durano davvero.

I moduli di raccolta

Un modulo di contatto, una newsletter e un’area riservata sono trattamenti diversi, con finalità e consensi diversi. Verifichiamo che le finalità siano separate e che la prova del consenso venga conservata con data e testo.

La coerenza fra documenti e realtà

Le informative si confrontano riga per riga con quello che il sito fa. La differenza fra i due è l’elenco delle correzioni.

I fornitori che trattano i dati

Piattaforme di invio e-mail, CRM, hosting, servizi di chat, gestionali. Ognuno è un responsabile del trattamento e richiede un incarico scritto, che spesso manca.

Che cosa consegniamo

Una relazione con le criticità ordinate per rischio, ciascuna con la pagina o lo strumento in cui si trova, il riferimento normativo e l’intervento da eseguire. Più le indicazioni per informative, banner e registro dei trattamenti. Il documento è pensato per essere eseguito: lo può applicare il vostro tecnico senza altri passaggi di interpretazione.

Seguono due sessioni online: la prima per presentare i risultati, la seconda per verificare l’impostazione del piano di correzione.

Misurare restando conformi

C’è un punto che interessa quasi sempre più del resto: con il consenso negato una parte dei dati di campagna si perde. Impostiamo consent mode e tracciamento lato server in modo da conservare le informazioni aggregate utilizzabili e da ricondurre le conversioni agli ordini reali tramite il CRM. Misurare e rispettare il consenso non sono alternative, ma vanno impostate insieme.

Limiti di questo servizio

Non siamo uno studio legale e lo diciamo. La parte legale della relazione viene redatta e sottoscritta da un professionista; l’audit non sostituisce il parere del vostro consulente, non comprende la nomina del responsabile della protezione dei dati e non certifica nulla, perché per il GDPR non esiste una certificazione che metta al riparo dai controlli.

Il passo successivo

Chi deve mettere in sicurezza l’intera infrastruttura, e non solo il sito, trova nel servizio di cybersecurity l’analisi delle vulnerabilità e il percorso di adeguamento alla direttiva NIS2. L’Audit di Pre-Fattibilità indica quale dei due interventi viene prima.