Alla fine di maggio 2018 è entrato in vigore il nuovo regolamento UE sulla protezione dei dati personali (GDPR). Si tratta di nuove regole per chiunque raccolga dati personali nel territorio dell’UE, come indirizzi e-mail, indirizzi IP e simili. Se hai un blog e vuoi capire come applicare il GDPR per blogger, sei nel posto giusto.

Questo significa che il nuovo regolamento vale anche per i blogger? Sì, senza eccezioni.

«Dovrò mandare di nuovo un’e-mail a tutti i miei lettori per farli reiscrivere alla mailing list? E non posso nemmeno usare i cookie?!»

Il web è pieno di scenari apocalittici del genere, eppure il GDPR non è nulla di terribile. Bisogna solo prendersi il tempo per capirlo. Abbiamo scritto questa guida per spiegarti cosa e come cambiare sul tuo blog per essere in regola con il nuovo regolamento, e ti daremo anche consigli su come gestire gli iscritti esistenti nelle tue liste e-mail.

AVVISO. Non siamo avvocati né esperti di dati personali. Tutto ciò che leggi qui è solo la nostra interpretazione del regolamento GDPR, dal punto di vista di un blogger. Per raccogliere le informazioni ci siamo basati sul testo del regolamento stesso e su come altri blogger e professionisti online lo hanno affrontato. Non prendere questo articolo come un’interpretazione legale definitiva, ma piuttosto come una guida pratica per orientarti. Detto questo, cominciamo!

L’obiettivo del GDPR è restituire al lettore (nel caso di un blog) un maggiore controllo sui propri dati. Quindi più sarai trasparente nel trattamento dei dati e più controllo darai ai tuoi lettori, più sarà facile soddisfare tutti i requisiti.

Quali dati raccogliamo dai lettori come blogger

Per “trattamento dei dati” si intende qualsiasi dato che raccogli sugli utenti e il modo in cui lo gestisci. I dati personali sono informazioni con cui puoi identificare direttamente o indirettamente un lettore: nomi, indirizzi, numeri di telefono, e-mail, indirizzi IP e altri identificatori. Quindi, se sul tuo blog fai una delle seguenti cose, il GDPR ti riguarda:

• Raccogli indirizzi e-mail – ad esempio per inviare newsletter
• Hai i commenti abilitati (soprattutto su WordPress)
• Monitori il comportamento degli utenti, ad esempio con Google Analytics
• Hai un modulo di contatto sul blog
• Usi plugin che raccolgono dati sugli utenti
• Organizzi concorsi e giveaway

#1 Usa le checkbox (o un’altra forma di consenso) ogni volta che il lettore ti fornisce i suoi dati

Ogni volta che raccogli dati personali da un lettore, devi farlo con il suo consenso esplicito. Al momento della raccolta deve essere anche chiaro a quale scopo utilizzerai quei dati. Se un lettore ti lascia la sua e-mail per ricevere aggiornamenti, deve darti esplicitamente il consenso a farlo.

La soluzione più semplice è aggiungere una checkbox con cui il lettore ti dà il consenso in modo chiaro. È un po’ meccanica come soluzione, ma ti copre su tutti i fronti. Sul nostro blog Loudavým Krokem appare così:

La seconda opzione è incorporare il consenso direttamente nel pulsante. Ad esempio, all’iscrizione a un corso online, il consenso viene confermato premendo il pulsante di iscrizione al corso.

TESTO DI ESEMPIO

Per rendere le cose ancora più semplici, abbiamo preparato un testo di esempio. Sostituisci i puntini con l’elenco di ciò che invierai ai lettori via e-mail e collega l’ultima frase alla tua informativa sulla privacy. (Il modello dell’informativa puoi scaricarlo tra poco.)

TESTO DI ESEMPIO PER IL CONSENSO: Cliccando su “Acconsento…”, accetti che ti inviamo …………… Se in futuro non desideri più ricevere le e-mail, puoi disiscriverti in qualsiasi momento e revocare questo consenso tramite il link di disiscrizione presente in ogni e-mail. Maggiori informazioni sulla nostra informativa sulla privacy qui.

Se utilizzi i moduli classici di WordPress, ti basta installare il plugin WP GDPR Compliance. Se raccogli e-mail tramite Mailchimp, ConvertKit o altri servizi, troverai la soluzione direttamente sulle loro piattaforme.

Il piano d’azione è semplice: devi avere registrato per ogni lettore come e quando ti ha dato il consenso all’invio di e-mail.

#2 Per una copertura completa, usa il double opt-in, ovvero la conferma del consenso

Anche se il GDPR non lo richiede esplicitamente, è buona pratica avere un doppio opt-in. Dopo che le persone si iscrivono alla newsletter o a un corso, inviamo loro un’ulteriore e-mail con un pulsante di conferma, con cui ci confermano che vogliono davvero ricevere i nostri messaggi. Se non confermano, non vengono inseriti nella mailing list. Perché è utile?

• Doppia conferma del consenso all’invio
• Abbiamo la certezza che il lettore sia davvero interessato ai nostri contenuti
• Se ha inserito un indirizzo e-mail errato, non aggiungiamo un contatto inutile al database

Ecco come appare un’e-mail di double opt-in:

Solo dopo aver cliccato il pulsante rosso l’e-mail viene aggiunta al database e si avvia la sequenza di e-mail. I dati personali degli utenti che non danno il consenso devono essere cancellati dal database senza indugio.

#3 Prepara un’Informativa sulla Privacy conforme al GDPR e pubblicala sul sito

Creare un’Informativa sulla Privacy è la parte che spaventa di più. Ma non preoccuparti, perché abbiamo preparato un modello da compilare con i tuoi dati. Ecco come appare la nostra. L’Informativa sulla Privacy va creata per ogni blog che gestisci e deve essere inserita nel menu (può essere in un sottomenu a tendina). Cosa deve contenere:

• Chi è stato designato come titolare del trattamento dei dati personali
• Quali dati trattate e per quale scopo
• A chi vengono trasferiti i dati
• Come proteggete i dati
• I diritti dei lettori

Nel documento modello abbiamo indicato dove inserire i tuoi dati e nei commenti trovi spiegazioni su cosa scrivere. 🙂

#4 Informa i tuoi attuali iscritti che rispetti i requisiti GDPR, oppure richiedi il consenso

Eccoci al punto cruciale. Probabilmente hai nel database decine, centinaia o addirittura migliaia di indirizzi e-mail. Cosa fare adesso? Devi rimandare a tutti un modulo di iscrizione per ottenere il consenso esplicito? Oppure puoi lasciare tutto com’è? Dipende da come hai raccolto le e-mail fino ad ora.

1. Hai raccolto le e-mail per uno scopo preciso e lo hai rispettato

Se hai sempre raccolto le e-mail in linea con quanto richiesto dal GDPR, non è necessario chiedere nuovamente il consenso. Raccogliere secondo il GDPR significa che sei in grado di dimostrare quando, come e per quale scopo il lettore ti ha dato il consenso e ha fornito la sua e-mail.

In questo caso, secondo noi è sufficiente comunicare agli iscritti esistenti:

• Come hai ottenuto i loro dati (dove si sono iscritti)
• A cosa utilizzi i loro dati (cosa invii loro)
• Che d’ora in poi tratti i dati in conformità con il GDPR
• Come possono disiscriversi

Noi l’abbiamo fatto così:

1. Hai raccolto le e-mail tramite moduli generici (o in altro modo), oppure invii contenuti per cui il lettore non si è specificamente iscritto, o non hai rispettato altri requisiti durante la raccolta

Se hai qualcosa da rimproverarti — perché le e-mail nel tuo database non sono state raccolte con consenso esplicito, o perché invii ogni tipo di comunicazione all’intera lista — dovrai ottenere il consenso esplicito da ciascun lettore. Almeno se vuoi continuare a farlo.

È stato anche il nostro caso: su Loudavým Krokem abbiamo raccolto le e-mail principalmente tramite concorsi e giveaway di viaggio, senza mai comunicare esplicitamente agli utenti che partecipando al concorso si sarebbero anche iscritti alla newsletter. Abbiamo quindi chiesto loro il consenso esplicito per tutto ciò che intendevamo inviare:

Dopo aver cliccato il link, vengono reindirizzati a una pagina dove devono spuntare la casella per confermare il consenso esplicito all’invio.

#5 Se assegni tag ai lettori e raccogli e-mail da più moduli, pianifica la struttura

Non è stato semplice integrare il GDPR nella nostra struttura di moduli, perché ne utilizziamo molti. Abbiamo diverse categorie di interesse a cui i lettori possono iscriversi e nel tempo assegniamo tag a tutti gli iscritti (etichette in base alle quali inviamo poi i contenuti pertinenti).

Chi è interessato alle criptovalute, chi al marketing online o all’imprenditoria digitale. Se qualcuno si iscrive a un corso sulle criptovalute, secondo il GDPR non possiamo inviargli, ad esempio, un articolo sulla promozione del blog su Instagram. È quindi fondamentale tenere traccia di chi ti ha dato quale consenso. Ti consigliamo di disegnare una mappa chiara e facile da consultare. Ecco la nostra:

Come puoi vedere, abbiamo aggiunto il double opt-in GDPR a tutti i moduli di iscrizione tramite cui il lettore può entrare nel nostro database e-mail.

#6 Il “legittimo interesse” e come utilizzarlo

Nell’ambito del GDPR esiste il concetto di “legittimo interesse”, che rappresenta un’eccezione che puoi invocare per l’invio di e-mail.

Se qualcuno acquista da te, ad esempio, una tazza a tema viaggi, puoi ragionevolmente presumere che sia interessato alle novità del tuo negozio e quindi inserirlo nella newsletter. Si tratta di legittimo interesse nel caso del marketing diretto.

Usa però il legittimo interesse con cautela: la sua definizione è vaga e, a nostro avviso, è meglio ricorrervi il meno possibile, preferendo sempre il consenso esplicito all’invio.

#7 L’uso dei cookie e strumenti come Google Analytics

Se utilizzi strumenti analitici per monitorare il comportamento degli utenti sul tuo blog, come Google Analytics, il GDPR ti riguarda anche in questo caso.

Quando un lettore apre il tuo sito per la prima volta, Google Analytics installa dei cookie nel suo browser, che aiutano Google a tracciare il comportamento dell’utente. I cookie raccolgono dati personali sotto forma di identificatori che potrebbero essere potenzialmente utilizzati per l’identificazione indiretta.

Per questo motivo devi informare le persone che raccogli cookie. E non solo: devono anche sapere quali dati raccogli, per quale scopo li utilizzi e come possono liberarsi dei cookie.

Il modo più semplice è usare un plugin (se utilizzi WordPress):

• Cookie Law / GDPR Info

Le informazioni sui cookie devono essere inserite anche nell’Informativa sulla Privacy.

#8 I lettori possono richiedere tutte le informazioni che tratti su di loro

Con il GDPR, gli utenti hanno il nuovo ”diritto di accesso” alle informazioni che hai su di loro.

Assicurati quindi di avere accesso a tali informazioni. Non solo dovrai essere in grado di esportare i log su quando e come un utente si è iscritto e quali e-mail gli hai inviato, ma anche le informazioni sul suo comportamento sul sito, ad esempio proprio da Google Analytics.

Google ha fortunatamente preparato degli strumenti che puoi utilizzare a questo scopo, inclusa la possibilità di cancellare i dati raccolti su qualsiasi utente.

Riepilogo

Il GDPR non è così spaventoso come sembra. Per noi è stato addirittura utile per riorganizzare i database e-mail, migliorarne la sicurezza e ripulirli dagli iscritti inattivi. Quali passi dovresti quindi compiere per rispettare i requisiti GDPR?

• Redigere un’Informativa sulla Privacy
• Avere per ogni contatto il consenso esplicito al trattamento dei dati per uno scopo specifico
• Essere in grado di dimostrare quando e come il lettore ha dato il consenso
• Includere nell’Informativa le informazioni sugli altri soggetti che trattano i dati personali

Il modello che abbiamo sviluppato per aiutarti a creare il tuo documento GDPR

Le informazioni che abbiamo raccolto in tante ore di lavoro non vogliamo tenerle solo per noi. Abbiamo quindi preparato un documento dettagliato con un modello di Informativa sulla Privacy (GDPR): basta compilarlo e il gioco è fatto. È pieno di note e spiegazioni, così anche chi è alle prime armi non si perde. 👇

AVVISO. Non siamo avvocati né esperti di dati personali. Tutto ciò che leggi qui è solo la nostra interpretazione del regolamento GDPR, dal punto di vista di un blogger. Per raccogliere le informazioni ci siamo basati sul testo del regolamento stesso e su come altri blogger e professionisti online lo hanno affrontato. Non prendere questo articolo come un’interpretazione legale definitiva, ma piuttosto come una guida pratica per orientarti nel tuo caso specifico.