GDPR e AI per le PMI: le domande che ti fai davvero

Dipende da quali dati, con quale strumento e con quale base giuridica. Incollare dati personali (nomi, email, contenuti di contratti, dati sanitari o finanziari) in uno strumento AI significa comunicarli a un fornitore terzo: quel fornitore diventa a tutti gli effetti un soggetto che tratta quei dati, e tu ne resti responsabile davanti agli interessati.

Con i piani consumer gratuiti i tuoi input possono essere usati per addestrare i modelli e non hai garanzie contrattuali adeguate: lì la regola pratica è non inserire dati personali o riservati. Con i piani business/enterprise che escludono l'addestramento e offrono un accordo sul trattamento la cosa diventa gestibile, ma va comunque valutata caso per caso.

GiBSeS — Distinguere 'quali dati, quale strumento, quale tutela contrattuale' è esattamente il primo filtro che applichiamo quando aiutiamo una PMI a usare l'AI senza esporsi.

Il GDPR (Regolamento UE 2016/679, in vigore dal 25 maggio 2018) ti chiede in sostanza tre cose: sapere quali dati personali tratti e perché, trattarli solo per finalità chiare e con una base giuridica valida, e proteggerli in modo proporzionato ai rischi. Non è un adempimento una tantum: è un modo di lavorare che deve poter essere dimostrato (principio di responsabilizzazione, o accountability).

Per una PMI questo si traduce in pochi documenti vivi: registro dei trattamenti, informative, accordi con i fornitori, misure di sicurezza. Non serve burocrazia infinita, serve coerenza tra quello che dichiari e quello che fai davvero.

GiBSeS — Se non hai la certezza di cosa esiste già e cosa manca, mappare lo stato reale è il punto di partenza da cui lavoriamo.

La base giuridica è il motivo legale per cui puoi trattare un dato personale: senza almeno una, il trattamento è illecito. L'articolo 6 del GDPR ne prevede sei, tra cui il consenso, l'esecuzione di un contratto, l'obbligo legale e il legittimo interesse. Per una PMI la maggior parte dei trattamenti operativi (gestire un ordine, emettere fattura, rispondere a un cliente) si regge sul contratto o sull'obbligo legale, non sul consenso.

Il consenso serve soprattutto per attività come marketing non richiesto o profilazione, e deve essere libero, specifico e revocabile. Attenzione: non puoi cambiare base giuridica a piacere quando quella scelta diventa scomoda.

GiBSeS — Assegnare la base giuridica corretta a ogni trattamento è una delle prime cose che sistemiamo in una diagnosi GDPR.

Sì. Il principio di minimizzazione dice che puoi raccogliere solo i dati adeguati, pertinenti e limitati a ciò che serve per la finalità dichiarata. Se raccogli 'perché non si sa mai', stai già violando il principio. Vale anche la limitazione della finalità: dati raccolti per uno scopo non possono essere riutilizzati per uno scopo incompatibile senza una nuova base giuridica.

Per una PMI la minimizzazione è anche una comodità: meno dati raccogli e conservi, meno rischio hai in caso di violazione e meno costi di gestione. Conservare tutto per sempre è quasi sempre un problema, non una risorsa.

GiBSeS — Ridurre i dati che tratti e definire tempi di conservazione sensati è il tipo di semplificazione che portiamo, anche fuori dalla compliance.

La DPIA (valutazione d'impatto sulla protezione dei dati, articolo 35) è obbligatoria quando un trattamento può comportare un rischio elevato per i diritti e le libertà delle persone. Il regolamento cita esplicitamente tre casi: valutazione sistematica basata su profilazione con effetti significativi, trattamento su larga scala di categorie particolari di dati (es. salute), e sorveglianza sistematica di aree pubbliche.

Le autorità nazionali pubblicano elenchi aggiuntivi di trattamenti che richiedono DPIA, quindi verifica anche le liste della tua autorità di riferimento. Quando l'AI entra in gioco con profilazione, scoring o decisioni sulle persone, la DPIA diventa molto spesso necessaria.

GiBSeS — Capire se un progetto AI fa scattare l'obbligo di DPIA, prima di partire, è esattamente l'analisi rischi/benefici da cui non ci muoviamo mai.

Sì, cambia parecchio. La profilazione automatizzata e lo scoring sono tra i trattamenti più delicati: aumentano la probabilità che serva una DPIA e impongono trasparenza rafforzata verso gli interessati, che hanno diritto di sapere che vengono profilati e con quale logica di massima. Se il punteggio produce effetti significativi (es. rifiuto di un servizio), entra anche l'articolo 22 sulle decisioni automatizzate.

Inoltre un sistema AI di questo tipo può ricadere anche nell'AI Act come sistema ad alto rischio, con obblighi aggiuntivi. GDPR e AI Act qui si sovrappongono e vanno letti insieme.

GiBSeS — Far dialogare l'obbligo GDPR e quello dell'AI Act su uno stesso sistema è il genere di lettura integrata che facciamo per evitare doppioni o buchi.

Non automaticamente, ma devi avere una base valida per il trasferimento. Trasferire dati personali fuori dallo Spazio Economico Europeo è consentito solo con adeguate garanzie: una decisione di adeguatezza della Commissione, le Clausole Contrattuali Standard (SCC), le Norme Vincolanti d'Impresa o poche altre eccezioni. Per gli USA esiste dal 2023 il Data Privacy Framework: se il tuo fornitore vi aderisce, il trasferimento verso quell'entità è coperto.

Se il fornitore non è certificato, servono le SCC accompagnate da una valutazione sui rischi effettivi (retaggio della sentenza Schrems II). Il punto pratico è: non basta 'usare un tool americano', serve sapere quale garanzia lo copre.

GiBSeS — Verificare su quale garanzia di trasferimento poggia ogni fornitore cloud/AI è un controllo che integriamo di default nella scelta degli strumenti.

Le SCC sono modelli contrattuali approvati dalla Commissione europea che un esportatore e un importatore di dati firmano per garantire un livello di protezione adeguato quando i dati escono dall'UE verso Paesi senza decisione di adeguatezza. Sono uno degli strumenti più usati dalle PMI proprio perché standardizzati.

Dopo la sentenza Schrems II non bastano da sole: vanno accompagnate da una valutazione (transfer impact assessment) che verifichi se le leggi del Paese di destinazione permettono comunque accessi ai dati che vanificherebbero le garanzie. Molti fornitori le includono già nei loro contratti, ma la responsabilità di verificarle resta tua.

GiBSeS — Leggere davvero le clausole di trasferimento nei contratti dei fornitori, invece di darle per buone, è parte del nostro modo di ridurre il lock-in e il rischio.

Quasi sempre tu sei il titolare del trattamento (decidi finalità e mezzi) e il fornitore è il responsabile del trattamento (li tratta per tuo conto). Questo significa che la responsabilità principale verso i clienti e le autorità resta tua, anche se il dato materialmente lo gestisce il fornitore. Non puoi 'scaricare' la conformità dicendo che era il tool a occuparsene.

Per questo l'articolo 28 impone un contratto specifico, l'accordo sul trattamento (DPA), che regola cosa il fornitore può e non può fare con i dati. Senza DPA, affidare dati a un fornitore è di per sé una violazione.

GiBSeS — Controllare che ogni fornitore abbia un DPA firmato e sensato è uno dei controlli concreti che facciamo prima di adottare qualsiasi strumento.

Il DPA (Data Processing Agreement) è il contratto previsto dall'articolo 28 che devi avere con ogni fornitore che tratta dati personali per tuo conto: servizi cloud, gestionali, email marketing, strumenti AI, persino il commercialista in certi casi. Definisce oggetto, durata, finalità, tipi di dati, obblighi di sicurezza, uso di sub-fornitori e cosa succede alla fine del rapporto.

La maggior parte dei fornitori seri mette a disposizione un DPA standard da accettare online. Il tuo compito è verificarne l'esistenza e la coerenza, e conservarlo: in caso di controllo o violazione è uno dei primi documenti che ti verranno chiesti.

GiBSeS — Tenere un inventario dei fornitori con relativi DPA è una di quelle basi ordinate che rendono ogni audit successivo molto più rapido.

Gli interessati hanno una serie di diritti che devi poter soddisfare: accesso ai propri dati, rettifica, cancellazione (il cosiddetto diritto all'oblio), limitazione, portabilità e opposizione. Di norma devi rispondere entro un mese dalla richiesta, gratuitamente salvo casi eccessivi o ripetitivi.

Per una PMI il problema pratico non è tanto il diritto in sé, quanto essere organizzati per rispondere: sapere dove sono i dati di una persona e poterli estrarre o cancellare rapidamente. Se i dati sono sparsi in dieci strumenti diversi senza mappa, ogni richiesta diventa un piccolo incubo.

GiBSeS — Sapere in ogni momento dove vivono i dati di un cliente è anche una questione di ordine operativo, non solo di legge: è uno degli effetti collaterali positivi di una buona mappatura.

L'articolo 22 stabilisce che una persona ha diritto a non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato, quando questa produce effetti giuridici o incide in modo significativo su di lei (es. concessione di un credito, assunzione, rifiuto di un servizio). Ci sono eccezioni, ad esempio se la decisione è necessaria per un contratto o basata sul consenso esplicito.

Anche nelle eccezioni devi comunque garantire tutele: informazione chiara, possibilità di ottenere l'intervento umano, di esprimere la propria opinione e di contestare la decisione. In pratica: un'AI può supportare la decisione, ma un umano deve poter intervenire in modo reale, non simbolico.

GiBSeS — Progettare i punti in cui un umano interviene sul risultato dell'AI, in modo che sia significativo e non finto, è parte di come integriamo l'AI in modo difendibile.

Se subisci una violazione che comporta un rischio per i diritti delle persone, devi notificarla all'autorità di controllo senza ingiustificato ritardo e comunque entro 72 ore da quando ne vieni a conoscenza. Se il rischio per gli interessati è elevato, devi informare anche loro direttamente. Non tutte le violazioni vanno notificate, ma tutte vanno valutate e registrate internamente.

Le 72 ore passano in fretta: per questo conviene avere in anticipo una procedura minima (chi valuta, chi decide, cosa si comunica) invece di improvvisare nel panico. Una violazione gestita bene pesa molto meno di una nascosta o gestita male.

GiBSeS — Preparare una procedura di risposta agli incidenti prima che serva è uno degli interventi a più alto ritorno che consigliamo alle PMI.

Il GDPR prevede due fasce di sanzioni amministrative. Per le violazioni meno gravi (es. mancanza di registri o di DPA) si arriva fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, a seconda di quale sia più alto. Per le violazioni più gravi (principi di base, basi giuridiche, diritti degli interessati, trasferimenti illeciti) si sale fino a 20 milioni o al 4% del fatturato.

Nella pratica, per una PMI le sanzioni vengono commisurate alla gravità, alla cooperazione e alle misure adottate: raramente si parte dal massimo. Ma oltre alla multa contano il danno reputazionale e i risarcimenti civili, che spesso pesano di più della sanzione stessa.

GiBSeS — L'obiettivo non è la paura della multa ma la tranquillità di poter dimostrare di aver fatto le cose con criterio: è la disciplina che portiamo nei progetti.

Sì, sono due regolamenti diversi che possono applicarsi contemporaneamente. Il GDPR protegge i dati personali: si applica ogni volta che tratti informazioni riferibili a persone. L'AI Act regola i sistemi di intelligenza artificiale in base al loro rischio, a prescindere dal fatto che trattino o meno dati personali. Un sistema AI che profila clienti ricade sotto entrambi.

Dove si sovrappongono, gli obblighi si sommano ma non vanno duplicati: una buona DPIA e la documentazione richiesta dall'AI Act possono in parte alimentarsi a vicenda. Il rischio, per una PMI, è trattarli come due mondi separati e fare due volte lavoro scoordinato.

GiBSeS — Leggere GDPR e AI Act come un impianto unico, evitando doppioni, è esattamente il tipo di semplificazione su cui lavoriamo con l'Academy AI Act.

L'on-premise, o più in generale l'AI e i sistemi ospitati su infrastruttura che controlli tu, riduce alla radice diversi problemi: niente trasferimenti extra-UE, nessun input dato in pasto a modelli di terzi, controllo diretto su chi accede. È una strategia forte di sovranità del dato, soprattutto per dati sensibili o strategici. Non ti esonera però dal resto del GDPR: basi giuridiche, minimizzazione, diritti degli interessati e sicurezza restano tuoi obblighi.

Va detto anche che on-premise significa più responsabilità operativa (aggiornamenti, backup, sicurezza fisica). Non è la risposta a tutto: è la scelta giusta quando i dati lo giustificano, valutata con un'analisi costi/benefici.

GiBSeS — Decidere caso per caso tra cloud e on-premise in base al valore reale del dato, non per moda, è il cuore del nostro approccio vendor-independent.

Il GDPR si regge sul principio di responsabilizzazione: non basta essere conformi, devi poterlo dimostrare. In concreto significa avere documentazione ordinata e aggiornata: registro dei trattamenti, informative, DPA con i fornitori, eventuali DPIA, registro delle violazioni e traccia delle richieste degli interessati. Un audit trail chiaro trasforma un controllo da incubo a formalità.

Quando entrano in gioco strumenti AI, la tracciabilità diventa ancora più utile: sapere quali dati sono stati usati, con quale strumento, per quale decisione. È la differenza tra 'ci fidiamo' e 'possiamo mostrare'.

GiBSeS — Costruire l'audit trail mentre si adotta l'AI, e non a posteriori, è il modo in cui integriamo gli strumenti: tracciabili per definizione.

Sì, ma è uno degli ambiti più delicati. I dati dei dipendenti e dei candidati sono dati personali a tutti gli effetti, e il rapporto di lavoro rende difficile fondarsi sul consenso (che deve essere libero, cosa complicata quando c'è un rapporto di subordinazione). Screening automatico dei CV, valutazioni o monitoraggio con AI toccano spesso l'articolo 22 e possono richiedere una DPIA.

In diversi Paesi ci sono anche norme nazionali sul lavoro che si aggiungono al GDPR (ad esempio sui controlli a distanza). Prima di automatizzare selezione o valutazione conviene verificare sia il fronte privacy sia quello giuslavoristico.

GiBSeS — Valutare insieme il fronte privacy e quello lavoristico prima di automatizzare l'HR è il tipo di analisi a 360 gradi che facciamo prima di dare il via a un progetto.

Se il tuo sito usa cookie o tecnologie simili non strettamente necessari (analytics, tracciamento pubblicitario, pixel dei social), ti serve il consenso preventivo dell'utente, raccolto con un banner che permetta di accettare, rifiutare e scegliere in modo equivalente. I cookie tecnici necessari al funzionamento non richiedono consenso. Per l'email marketing verso non-clienti serve in genere il consenso; verso clienti esistenti può valere il cosiddetto soft opt-in, con limiti.

Attenzione a strumenti come Google Analytics o servizi con server extra-UE: qui il tema privacy e quello dei trasferimenti si intrecciano. Un banner 'accetta tutto' senza reale possibilità di rifiuto non è conforme.

GiBSeS — Rimettere ordine tra cookie, consensi e strumenti di tracciamento è spesso il primo quick win visibile di una diagnosi GDPR.

Non tutte le PMI sono obbligate. Il DPO è obbligatorio in tre casi: se sei un ente pubblico, se la tua attività principale consiste in un monitoraggio regolare e sistematico su larga scala, o se tratti su larga scala categorie particolari di dati (salute, opinioni, ecc.). Molte piccole imprese non rientrano in questi casi e non hanno l'obbligo.

Anche senza obbligo, però, serve qualcuno che se ne occupi con competenza: puoi nominare un referente interno o affidarti a un supporto esterno. L'assenza di obbligo non significa assenza di responsabilità.

GiBSeS — Capire se ti serve davvero un DPO o basta un presidio più leggero è una delle prime domande che chiariamo, senza venderti struttura che non ti serve.

Il GDPR non fissa un numero unico: vale il principio di limitazione della conservazione, cioè tieni i dati solo per il tempo necessario alle finalità, poi cancelli o anonimizzi. Alcuni tempi te li impone la legge (ad esempio le scritture contabili e fiscali hanno periodi di conservazione obbligatori che variano per Paese), altri li stabilisci tu in modo motivato.

La pratica corretta è definire per ogni categoria di dati un tempo di conservazione e un meccanismo per rispettarlo. 'Li teniamo per sempre' non è una politica: è un rischio accumulato che prima o poi ti si ritorce contro.

GiBSeS — Definire tempi di conservazione realistici per categoria di dato è una di quelle regole semplici che riducono rischio e disordine allo stesso tempo.

Il primo passo non è comprare un software o scrivere pagine di policy: è fare una fotografia onesta di cosa tratti oggi. Quali dati personali raccogli, dove finiscono, quali strumenti e fornitori li toccano, con quale base giuridica. Da questa mappa emergono subito le priorità reali (spesso 3-4 cose concrete) e si smette di preoccuparsi di problemi che non hai.

Da lì si costruisce il resto in modo proporzionato: prima i rischi alti, poi la documentazione, poi il miglioramento continuo. La conformità perfetta al primo colpo non esiste; la direzione giusta e dimostrabile sì.

GiBSeS — Questa fotografia iniziale, con le priorità reali, è esattamente la diagnosi da cui partiamo con ogni PMI: mezz'ora per capire dove sei prima di muovere qualsiasi cosa.

Sì, può applicarsi anche se non hai alcuno stabilimento nell'Unione. L'art. 3(2) del GDPR estende il regolamento alle aziende extra-UE in due casi: quando offri beni o servizi a persone che si trovano in UE (anche gratuitamente), oppure quando monitori il loro comportamento (es. tracciamento online, profilazione, analytics).

Non conta la tua nazionalità né dove hai i server: conta che tu ti rivolga deliberatamente a interessati situati nel territorio dell'Unione. Il semplice fatto che un europeo raggiunga il tuo sito non basta, ma se accetti valuta in euro, spedisci in UE, hai una versione in lingua europea o fai campagne mirate, allora rientri nell'ambito.

GiBSeS — GiBSeS ti aiuta a capire, prima di lanciare in Europa, se e in che misura il GDPR ti riguarda davvero.

Il criterio non è la mera accessibilità del sito, ma l'intenzione manifesta di rivolgerti al mercato UE. Gli indizi che le autorità considerano: prezzi in euro o valute di Stati membri, spedizioni o consegne verso paesi UE, una o più lingue europee diverse da quella del tuo paese, riferimenti a clienti europei, un dominio nazionale UE, pubblicità geolocalizzata sull'Europa.

Se invece il tuo sito è solo in inglese, prezza in dollari e non consegni in Europa, un cliente UE occasionale che acquista di sua iniziativa non ti fa automaticamente rientrare nell'ambito. È una valutazione caso per caso, che conviene documentare.

GiBSeS — GiBSeS analizza il tuo modello di vendita per stabilire in modo difendibile se stai 'targetizzando' il mercato europeo.

Se rientri nell'art. 3(2) — cioè offri beni/servizi o monitori comportamenti di persone in UE — di norma sì: l'art. 27 GDPR ti obbliga a designare per iscritto un rappresentante nell'Unione. Non è un semplice recapito: è un soggetto (persona fisica o giuridica) stabilito in uno degli Stati membri dove si trovano i tuoi interessati, che funge da punto di contatto per le autorità di controllo e per gli utenti.

Il rappresentante va indicato nell'informativa privacy e deve tenere (o rendere disponibile) il registro dei trattamenti. Attenzione: nominare un rappresentante non ti scarica dalle tue responsabilità di titolare, ma la sua assenza è essa stessa una violazione sanzionabile.

GiBSeS — GiBSeS può orientarti nella scelta e nell'inquadramento del rappresentante UE, così da non trasformare un adempimento formale in un rischio.

L'esenzione dall'art. 27 non dipende dalla tua dimensione, ma dalla natura del trattamento. Sei esonerato dal nominare un rappresentante se il trattamento è occasionale, non include su larga scala categorie particolari di dati (salute, dati biometrici, opinioni, ecc.) o dati relativi a condanne penali, ed è improbabile che comporti un rischio per i diritti degli interessati. Sono esenti anche le autorità pubbliche.

In pratica molte PMI extra-UE che vendono in Europa in modo continuativo NON rientrano nell'esenzione, proprio perché il trattamento non è 'occasionale'. Valutare male questo punto è uno degli errori più comuni.

GiBSeS — GiBSeS ti aiuta a documentare correttamente se puoi appoggiarti all'esenzione o se conviene comunque designare un rappresentante.

Sì, ma il trasferimento verso un paese fuori dallo Spazio Economico Europeo richiede una base giuridica dell'art. 44 e seguenti. Le tre strade principali: (1) una decisione di adeguatezza della Commissione UE, se il tuo paese è riconosciuto come 'adeguato'; (2) le Clausole Contrattuali Tipo (SCC), la soluzione più usata per i paesi senza adeguatezza; (3) garanzie specifiche come le norme vincolanti d'impresa (BCR) per i gruppi.

Con le SCC può servire anche una valutazione d'impatto sul trasferimento (Transfer Impact Assessment) e misure tecniche aggiuntive, come la cifratura. Non basta 'spostare' i dati: devi poter dimostrare un livello di protezione sostanzialmente equivalente a quello UE.

GiBSeS — GiBSeS imposta con te il meccanismo di trasferimento più adatto al tuo paese, senza appesantire inutilmente il flusso dei dati.

In parte. Dal luglio 2023 esiste una decisione di adeguatezza per gli Stati Uniti basata sull'EU-US Data Privacy Framework: le aziende USA che si auto-certificano e figurano nell'apposito elenco possono ricevere dati personali dall'UE senza bisogno delle SCC per quei flussi.

Due avvertenze. Primo: l'adeguatezza vale solo se ti certifichi effettivamente e rispetti gli impegni del Framework; se non sei certificato, per te resta necessario un altro meccanismo (tipicamente le SCC). Secondo: come i precedenti accordi, il Framework potrebbe essere oggetto di contestazioni giudiziarie, quindi molte aziende mantengono le SCC come rete di sicurezza.

GiBSeS — GiBSeS ti aiuta a decidere se puntare sul Framework, sulle SCC o su un approccio combinato, tenendo conto della stabilità nel tempo.

Nel GDPR la responsabilità segue i ruoli sui dati, non la catena commerciale del prodotto. Chi decide finalità e mezzi del trattamento è il 'titolare' e risponde in prima persona; chi tratta dati per conto di un titolare è il 'responsabile'. Se raccogli tu direttamente i dati degli utenti europei (account, ordini, tracciamento), sei titolare tu, a prescindere da dove hai sede.

Un distributore o partner UE è responsabile dei propri trattamenti, non dei tuoi. Se invece un fornitore tratta dati per te, servirà un accordo ex art. 28 (DPA) che ripartisca gli obblighi. Attenzione a non confondere il ruolo GDPR con quello di 'importatore' previsto da altre normative UE di prodotto.

GiBSeS — GiBSeS mappa i flussi di dati della tua operazione europea e chiarisce chi è titolare, chi responsabile e con quali contratti coprirsi.

Se le tue clienti europee ti affidano dati personali dei loro utenti o dipendenti, di regola sei un 'responsabile del trattamento' (processor) per loro conto. Questo comporta la firma di un accordo ex art. 28 (Data Processing Agreement) che imponga sicurezza, riservatezza, sub-responsabili autorizzati, assistenza al titolare e restituzione/cancellazione dei dati a fine rapporto.

Inoltre, poiché ricevi i dati fuori dall'UE, sei anche 'importatore' ai fini del trasferimento internazionale e dovrai firmare le SCC nel modulo appropriato (titolare-responsabile). Molte gare e trattative con clienti UE si bloccano proprio perché il fornitore extra-UE non ha DPA e SCC pronti.

GiBSeS — GiBSeS predispone con te il pacchetto DPA + SCC che i clienti europei ti chiederanno, così da non perdere contratti per un cavillo formale.

Le sanzioni del GDPR sono tra le più alte del diritto UE: fino a 20 milioni di euro o, se superiore, il 4% del fatturato annuo mondiale del gruppo per le violazioni più gravi (fino a 10 milioni o 2% per altre). Le autorità di controllo possono inoltre imporre limitazioni o la sospensione dei trattamenti e dei trasferimenti di dati, il che di fatto può bloccare la tua operatività europea.

A questo si aggiungono i danni reputazionali, i reclami degli utenti e il rischio che clienti B2B europei ti escludano perché non riesci a fornire garanzie di conformità. Il GDPR non 'ferma le merci' in dogana come una normativa di prodotto, ma può chiudere il rubinetto dei dati su cui gira il tuo business.

GiBSeS — GiBSeS ti aiuta a dimensionare il rischio reale per il tuo caso e a mettere in sicurezza gli asset di dati prima che diventino un problema.

Sì, il 'monitoraggio del comportamento' degli interessati che si trovano in UE è una delle due porte d'ingresso dell'art. 3(2), del tutto indipendente dalla vendita. Rientrano cookie di profilazione, pixel pubblicitari, retargeting, analytics che ricostruiscono abitudini o preferenze, fingerprinting.

Se tracci utenti europei, oltre al GDPR si applica anche la disciplina 'ePrivacy' sui cookie, che richiede in genere il consenso preventivo prima di installare strumenti non strettamente necessari. Quindi ti servono banner conforme, informativa e, se applicabile, rappresentante UE e base per gli eventuali trasferimenti dei dati raccolti.

GiBSeS — GiBSeS verifica il tuo stack di tracciamento e ti indica dove intervenire per restare nel mercato UE senza rinunciare ai dati che ti servono davvero.

Un percorso ordinato riduce costi e sorprese. In sintesi: (1) verifica se e come l'art. 3 ti coinvolge; (2) mappa i dati personali che raccogli sugli utenti UE e i relativi flussi verso il tuo paese; (3) definisci le basi giuridiche e prepara informativa e registro dei trattamenti; (4) valuta l'obbligo del rappresentante UE ex art. 27; (5) sistema i trasferimenti internazionali (adeguatezza, DPF o SCC); (6) allinea contratti con fornitori e clienti (DPA) e le misure di sicurezza.

Non serve fare tutto in una volta: conviene partire dai punti che bloccano l'accesso al mercato (rappresentante, trasferimenti, contratti B2B) e poi consolidare il resto.

GiBSeS — GiBSeS, come advisor indipendente, ti costruisce una roadmap di conformità su misura per entrare in UE senza legarti a un unico fornitore o a soluzioni sovradimensionate.

Purtroppo no. Essere in regola con normative come il CCPA/CPRA californiano, il PIPEDA canadese, la LGPD brasiliana o le leggi asiatiche non equivale a essere conformi al GDPR: cambiano definizioni, basi giuridiche, diritti degli interessati, obblighi documentali e regole sui trasferimenti. Alcuni principi si somigliano, ma le lacune sono spesso proprio dove il GDPR è più severo (consenso, rappresentante UE, trasferimenti internazionali).

La buona notizia è che gran parte del lavoro già fatto — inventario dei dati, misure di sicurezza, procedure per le richieste degli utenti — è riutilizzabile e va 'adattato' al GDPR, non rifatto da zero.

GiBSeS — GiBSeS parte dalla compliance che hai già e colma solo il delta che ti serve per operare in Europa, evitando di duplicare gli sforzi.