Quali modifiche devo apportare al mio sito per essere conforme alla GDPR?

17 Aprile 2018
e-commerce, Trucchi e Consigli, Wordpress

Uno sguardo alle procedure da attuare per essere conformi al GDPR e più in particolare a WordPress.

Il regolamento generale sulla protezione dei dati (GDPR) entrerà in vigore il 25 maggio 2018. Entro quella data le imprese che trattano dati di residenti europei, a prescindere dal luogo nel quale le trattano e dalla loro sede legale, dovranno effettuare le verifiche sulle proprie procedure di marketing e sul proprio sito web e mettere in atto le opportune modifiche per essere “a norma”.

Per ottenere la piena conformità al GDPR le aziende dovranno:

comunicare all’utente l’identità dell’azienda, quali dati sono raccolti ed il motivo per il quale sono raccolti;
ottenere un consenso esplicito al trattamento dei suoi dati;
consentire all’utente di accedere ai propri dati e di poterli eliminare
in caso di violazione dei dati comunicare all’autorità di controllo l’avvenuta violazione entro 72 ore.

Pena, nel peggiore dei casi, vedersi comminata una multa che può arrivare fino a 10 milioni di euro o fino al 2% del volume d’affari globale registrato nell’anno precedente. Wikipedia.

La strada più semplice?

La strada più semplice, ma anche la più distruttiva per il marketing della propria azienda, potrebbe passare per l’eliminazione, nel proprio sito, di tutte le procedure che implicano il trattamento dei dati quali ad esempio:

eliminare i moduli di richiesta di informazioni inserendo come forma di contatto unicamente il numero di telefono;
eliminare i moduli di iscrizione ad eventuali newsletter;
eliminare la possibilità di inserire commenti;
disabilitare eventuali tool di statistica quali Google Analytics etc.

In alcuni casi, come ad esempio di un sito di e-commerce, tale procedura non è attuabile in quanto il conferimento dei dati da parte dell’utente fa parte del processo di acquisto.

Chi è a norma?

Siamo quasi tutti in ritardo ☹. Le aziende coinvolte nel mondo del web sono, chi più chi meno, in affanno.

La data del 25 maggio 2018 si avvicina e le big company del web non sono ancora del tutto “a norma”.

Tra quelle più coinvolte nella realizzazione dei siti, Automattic proprietaria di WordPress, il CMS con il quale sono gestiti oltre 18 milioni di siti nel mondo, non ha ancora rilasciato gli aggiornamenti necessari affinché i siti realizzati con il suo CMS siano conformi con il GDPR. Non da meno lo sono i produttori dei componenti aggiuntivi: plugin e temi.

WordPress e GDPR

Il team di WordPress è al lavoro per rendere il proprio CMS compatibile con il regolamento generale sulla protezione dei dati ed a breve rilasceranno un aggiornamento. Nello specifico l’aggiornamento si concentrerà sui diversi aspetti:

Un generatore dell’informativa sulla privacy
La gestione dei dati inseriti nei commenti e l’approvazione esplicita dell’informativa sulla privacy
La gestione dei cookies
Alcune funzionalità relative all’anonimizzazione dei dati inseriti e non dagli utenti.
La possibilità da parte dell’utente di richiedere i propri dati e la loro cancellazione

Qui trovate la lista dei task completati
https://core.trac.wordpress.org/query?status=!closed&keywords=~gdpr

In una tipica installazione di WordPress sono comunque presenti diversi componenti (plugin) e temi che al loro interno possono contenere dei plugin.

Cosa fare con i plugin ed i temi?

È molto semplice. Analizzare quali plugin possono avere accesso, utilizzare, modificare e gestire i dati personali degli utenti. Tra i componenti sui quali dovremmo porre la nostra attenzione i plugin che:

aiutano a realizzare i moduli di contatto e/o iscrizioni alla newsletter;
gestiscono i commenti;
analizzano i dati degli utenti;
gestiscono eventuali forum;
gestiscono l’e-commerce.

Per ognuno dei plugin installati è necessario assicurarsi che siano conformi al GDPR ed in seguito aggiungerli nella propria informativa sulla privacy.

In caso contrario è imperativo eliminare i plugin non conformi cercando una soluzione alternativa che sia conforme al GDPR.

Note finali:

Le considerazioni inserite in questo articolo sono opinioni personali e non consigli legali.
Il regolamento GDPR va ad impattare non solo sui siti web ma su tutte le procedure interne di trattamento dei dati delle singole aziende.