Data-Driven Marketing e Privacy: Trovare il giusto equilibrio per il successo del brand

Nell’era del data-driven marketing, la privacy dei dati è diventata una considerazione critica per i professionisti del marketing. Da un lato, l’accesso ai dati dei clienti ci consente di creare campagne altamente mirate e personalizzate che guidano la crescita del business. Dall’altro, i consumatori sono sempre più consapevoli e preoccupati per la sicurezza delle loro informazioni personali. Come esperti di marketing, dobbiamo navigare in questo delicato equilibrio, sfruttando il potere dei dati pur mantenendo la fiducia dei nostri clienti.

L’importanza dei dati nel marketing moderno:

I dati sono il carburante che alimenta il marketing moderno. Ci consentono di comprendere meglio i nostri clienti, identificare i trend e ottimizzare le nostre campagne per massimizzare l’ROI. Dalle informazioni demografiche ai comportamenti di acquisto, i dati ci forniscono preziose informazioni per guidare le nostre decisioni strategiche. Tuttavia, con questo potere deriva una grande responsabilità nel gestire i dati in modo etico e trasparente.

Best practice per un data-driven marketing rispettoso della privacy:

Per sfruttare il potere dei dati pur mantenendo la fiducia dei clienti, considerate queste best practice:

1. Opt-in e consenso: Assicuratevi di ottenere un consenso esplicito prima di raccogliere o utilizzare i dati dei clienti. Siate chiari su come verranno utilizzati i dati e date ai clienti il controllo sulle loro preferenze.

2. Trasparenza e comunicazione: Siate trasparenti sulle vostre pratiche di raccolta e utilizzo dei dati. Comunicate regolarmente eventuali aggiornamenti alla vostra politica sulla privacy e rendete facilmente accessibili le informative sulla privacy.

3. Sicurezza dei dati: Investite in solide misure di sicurezza per proteggere i dati dei clienti da accessi non autorizzati o violazioni. Lavorate solo con fornitori di tecnologia affidabili che danno priorità alla sicurezza.

4. Minimizzazione dei dati: Raccogliete e conservate solo i dati necessari per gli scopi di marketing specifici. Evitate di raccogliere dati superflui e stabilite politiche di conservazione dei dati per garantire che le informazioni non vengano conservate più a lungo del necessario.

5. Formazione del team: Educate il vostro team di marketing sull’importanza della privacy dei dati e sulle best practice. Assicuratevi che tutti comprendano il loro ruolo nel mantenere la fiducia dei clienti attraverso una gestione responsabile dei dati.

Nel panorama del marketing odierno, i dati e la privacy sono intrinsecamente legati. Trovare il giusto equilibrio è essenziale non solo per la compliance normativa, ma anche per costruire relazioni di fiducia durature con i clienti. Integrando la privacy dei dati nel cuore delle nostre strategie di data-driven marketing, possiamo sbloccare il potere dei dati in modo responsabile e guidare la crescita del business.

Se stai cercando supporto per navigare nella complessità del data-driven marketing e della privacy, B&P Solution Srl può aiutarti. Con una consulenza esperta e corsi e-learning personalizzati, B&P Solution Srl può fornirti gli strumenti e le conoscenze necessarie per eccellere nel marketing basato sui dati, pur mantenendo la fiducia dei tuoi clienti. Contatta B&P Solution Srl oggi stesso per iniziare il tuo percorso verso un data-driven marketing di successo e rispettoso della privacy.

Dott.ssa Virginia Foci- Esperta di Marketing presso B&P Solution Srl

Shadow Profiles: il lato oscuro della raccolta dati dei social media.

La formazione privacy: perché e quando farla.

Il Regolamento privacy europeo 679/16 (Gdpr) prevede l’obbligo della formazione per le pubbliche amministrazioni ed imprese in materia di protezione dei dati personali per tutte le figure presenti nell’organizzazione (sia dipendenti che collaboratori).

La formazione privacy di dipendenti e collaboratori però è spesso ritenuta una seccatura, tantochè i titolari delle aziende la ritengono una vera e propria perdita di tempo che ostacolerebbe solo lo svolgimento delle
ordinarie attività aziendali. Quando viene proposta da un DPO (responsabile della protezione dei dati personali) o da un consulente, il titolare formula due domande: se la formazione sulla privacy è davvero
necessaria e quanto tempo durerebbe la formazione stessa.

Prima di entrare nel merito di cosa sia e quali finalità abbia la formazione privacy è necessario fornire qualche precisazione. Nel GDPR ci si imbatte in due termini che spesso vengono usati come sinonimi: istruzione e formazione. Quando il legislatore utilizza la parola istruzione intende precisare che il titolare di un’organizzazione (es. Azienda, Studio del Consulente del Lavoro, Commercialista, Pubblica amministrazione, Scuola) si assicura di fornire indicazioni documentate su come trattare dati personali in sicurezza a chiunque agisca sotto la sua autorità ovvero, collaboratori a partita IVA e fornitori di servizi che trattano informazioni relative a persone. Insomma, la parola chiave dell’istruzione è documentazione delle istruzioni operative sul trattamento dei dati. Il termine istruzione diventa CATEGORICO quando la norma stabilisce che chiunque abbia accesso a dati personali non può trattarli se non è istruito dal titolare.

La parola formazione è una attività che ha come destinatari il personale del titolare e la formazione stessa rientra tra le misure di sicurezza organizzative che devono essere adottate per garantire la riservatezza,
l’integrità e la disponibilità dei dati personali trattati ogni giorno. Dunque, la formazione privacy di dipendenti e collaboratori è un obbligo a carico dell’imprenditore perché previsto esplicitamente dalla
normativa.

L’Autorità Garante per la Protezione dei dati personali ha suggerito di pianificare le attività di formazione distinguendo percorsi formativi di base, per apicali e specialisti. La formazione base, destinata a tutti gli
autorizzati a gestire informazioni personali, sia essi dipendenti che collaboratori, deve avere come obiettivo quello di fornire precise indicazioni su come trattare i dati, su quali precauzioni di sicurezza adottare e su
come interpretare alcune anomalie provenienti dalla pratica quotidiana. La formazione per figure apicali sarà destinata a dirigenti, quadri, responsabili di settore e coordinatori di team perché potrebbero ricoprire compiti specifici e quindi dover svolgere trattamenti particolari di dati personali. I corsi di formazione specialistici saranno utili per consentire di studiare, analizzare e fornire indicazioni in settori particolari con
una significativa giurisprudenza settoriale. Ad esempio, il settore IT con l’avvento del digitale e di recente dell’intelligenza artificiale è normato da leggi e provvedimenti anche di altre Autorità di vigilanza.

Per poter effettivamente ottemperare al GDPR e all’obbligo di formazione la stessa dovrebbe:
1. essere pianificata e rinnovata ogni anno;
2. essere svolta quando lo richiedono nuove norme (es. Whistleblowing – segnalazione illeciti);
3. avere una durata di almeno due ore per sessione (per gli aggiornamenti);
4. essere svolta con un eventuale test di verifica finale;
5. consentire il rilascio di una certificazione al partecipante;
6. essere documentabile (raccogliere , data ed ora);
7. non essere noiosa. La presentazione dovrà coinvolgere i partecipanti con domande e risposte.
8. programmata per tutti i nuovi assunti che tratteranno dati personali.

La formazione è la prevenzione, non la cura.

Videosorveglianza: occhio all’informativa e a chi affidate i vostri dati.

Il Garante per la protezione dei dati personali con Provvedimento del 22 febbraio 2024 [9990706] ha ammonito una società che erogava servizi di videosorveglianza per conto di un Comune, in quanto la stessa avrebbe violato gli artt. 28, parr. 3 e 9, e 32 del Regolamento.

In questo caso la sanzione erogata dal Garante è veramente di poco rilievo, ma ha avuto grande impatto nei confronti sia del Comune che dell’Azienda erogatrice dei servizi, in quanto sono stati soggetti a controlli e hanno dovuto sostenere delle spese per la gestione della segnalazione, e infine hanno creato un precedente.

La sanzione è stata irrilevante perché il Garante ha tenuto in considerazione questi fattori: non vi era monitoraggio sistematico dell’area sottoposta al controllo e le immagini registrate, fino alla segnalazione, non erano state mai visionate e utilizzate in conseguenza di eventi rilevanti per la sicurezza degli impianti e degli utenti; la nomina ex art. 28 tra il Comune e l’Azienda era presente ma non era solo firmata da quest’ultima; sebbene i filmati venissero salvati su una memoria rimovibile, senza l’adozione di tecniche di cifratura, si è tenuto conto dell’occasionalità e della brevità delle registrazioni effettuate (durata massima di quindici secondi); nonché della circostanza che le stesse riprendevano aree pubbliche e che pertanto la probabilità che avvenissero tentativi di rimozione non autorizzata, che avrebbero comportato complesse attività di manomissione dei sistemi, non era alta; la violazione non ha riguardato categorie particolari di dati personali o dati personali relativi a condanne penali e reati; l’Azienda ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria essendosi, altresì, attivata, assieme al Comune, per porre fine alla violazione (l’Ente, a seguito della prima richiesta d’informazioni dell’Autorità, ha chiesto all’azienda di “apporre, cautelativamente, un cartello/informativa breve sulla videosorveglianza nelle vicinanze delle tre Stazioni Ecologiche […], nonché un’informativa estesa sul Vostro sito istituzionale”, nonché successivamente è stato chiesto all’Azienda di “interrompere, cautelativamente, ogni trattamento riguardante la videosorveglianza e lo smontaggio di tutti i sistemi di ripresa ivi allocati”); non vi erano state precedenti violazioni.

Sapete tutto questo da dove è partito? Dal semplice fatto che vicino a delle stazioni ecologiche, (solo tre), installate presso il Comune, era stato installato un impianto di videosorveglianza per gestire eventuali manomissioni o danneggiamenti delle stazioni ecologiche, ed un semplice utente ha invece segnalato all’Autorità Garante che non era stata apposta l’informativa e che quindi non era a conoscenza di come venissero trattate le sue immagini quando il sistema rilevava la sua vicinanza alla stazione ecologica.

Pensate che è successo solo tutto questo per una semplice dimenticanza di apposizione di una informativa in area pubblica. E se dovesse succedere presso le vostre aziende, dove il rischio è molto più alto, in quanto il dipendente potrebbe asserire che vi sia un monitoraggio dell’attività lavorativa dello stesso, cosa potrebbe accadere? Di certo, la sanzione non sarebbe solo un ammonimento, in quanto prevede la registrazione di una categoria ben delimitata di soggetti, in un’area privata, dove il lavoratore è “la parte debole” del rapporto, ed infine questo avrebbe rilievi anche civilistici, se preventivamente non si fosse ottenuta l’autorizzazione, tramite ITL o sindacati, alla installazione dell’impianto stesso. Inoltre è sempre bene accertarsi, in caso di gestione dell’impianto a terzi, di come avvenga tutto il processo di raccolta, utilizzo e archiviazione delle immagini, poiché il Titolare risponde sempre anche per inadempimenti del suo Responsabile.

Dott.ssa Luciana Conese e Avv. Clementina Baroni

Intelligenza artificiale: il Garante si prepara a contromisure per arginare la possibilità di violazioni sui diritti e libertà delle persone fisiche. Il web scraping: non sapevamo esistesse.

Il Garante per la protezione dei dati personali, già a partire da novembre 2023, ha avviato una indagine conoscitiva sui siti internet pubblici e privati per verificare l’adozione di idonee misure di sicurezza adeguate ad impedire la raccolta massiva (il c.d. web scraping) di dati personali a fini di addestramento degli algoritmi di intelligenza artificiale (IA) da parte di soggetti terzi. L’indagine conoscitiva riguarda tutti i soggetti pubblici e privati, che operano in qualità di titolari del trattamento, stabiliti in Italia o che offrono in Italia servizi, che mettono a disposizione on-line dati personali liberamente accessibili anche dagli “spider” dei produttori di algoritmi di intelligenza artificiale. Diverse piattaforme di IA, attraverso il webscraping raccolgono, per differenti usi, enormi quantità di dati anche personali pubblicati per specifiche finalità (cronaca, trasparenza amministrativa ecc.) all’interno di siti internet gestiti da soggetti pubblici e privati.

Il web scraping è una tecnica che viene utilizzata per estrarre dati dalle pagine dei siti web, attraverso l’utilizzo di programmi software che automatizzano il recupero dei dati stessi. Si tratta quindi di una tecnica molto simile a quella utilizzata dai motori di ricerca come ad esempio Google, il quale tramite dei Bot, scandaglia la rete per analizzare i siti e indicizzarli, recuperando così dei dati utili per essere rielaborati al fine di proporre dei servizi che soddisfino i bisogni dei propri utenti. È come se questi dati venissero “raschiati” e asportati dai siti, infatti il verbo “to scrape” significa proprio “raschiare“. Una volta estratti, i dati possono essere archiviati in un database per poi essere rielaborati a seconda degli scopi dell’azienda. Non sempre l’utilizzo di tool per la raccolta massiva di informazioni è legale, specialmente se nei termini di utilizzo di un sito viene specificato che questo genere di tool e tecniche non sono ammessi.

Lo scraping oltrepassa la soglia della legalità quando i dati estrapolati vengono impiegati per altri usi, quali la pubblicazione di contenuti in violazione del diritto d’autore, l’utilizzo per scopi di lucro e in violazione delle regole sulla concorrenza, oppure nel caso di raccolta di dati personali per scopi commerciali (ad esempio per fare e-mail marketing con gli indirizzi estratti dai siti) all’insaputa e senza il consenso degli interessati.

Questo tipo di tecnica ha trovato visibilità solo dopo che l’IA ha iniziato a ad avere una rilevanza sociale importante nello scenario di evoluzione tecnologica, e che ha trovato i suoi elementi portanti proprio dall’utilizzo di questi software, che con una capacità di monitoraggio elevatissima, attraverso l’utilizzo di algoritmi, ha fornito enormi quantità di dati ai sistemi di IA.

Il Garante ha ben compreso che, per poter effettivamente avere contezza di quello che succede con i nostri dati raccolti tramite il web scraping, sarebbe stato opportuno approcciarsi in maniera “collaborativa con i collaboratori” della IA.

A breve, molto probabilmente avremo delle novità per noi fruitori dei siti web, ma soprattutto per i fornitori di tali servizi.

Per garantire la massima sicurezza e conformità normativa nella gestione dei servizi informatici della tua azienda, contattaci oggi stesso per richiedere un preventivo personalizzato. Siamo qui per supportarti nella tua strategia di compliance e protezione dei dati.

Le nuove normative in campo di cybersecurity – Digital Service Act e NIS2: suggerimenti per le aziende per affrontare con serenità le nuove normative applicabili.

Il Digital Service Act, in vigore dal 17 febbraio 2024, non sarà applicabile per tutti, ma solo per i c.d. “pesci grossi”, che di dati personali e no, ne mangiano in gran quantità. In particolare, la normativa si applica ai soggetti che gestiscono grandi piattaforme online o grandi motori di ricerca (dove la grandezza è data dal numero di utenti che li utilizzano) (VLOPE/VLOSE), coloro che forniscono le piattaforme online, per i fornitori dei servizi di memorizzazione, coloro che rendono servizi di caching e di mere conduit. Questi ultimi sono unicamente obbligati ad istituire un punto unico di contatto per autorità ed utenti ed a rendere pubblica annualmente la relazione di trasparenza. 

Per quanto riguarda invece i fornitori di piattaforme online, non si applicano qualora siano microimprese o piccole imprese, sulla base dell’applicazione dei parametri stabiliti dalla Commissione Europea con raccomandazione 2003/361/CE. Quindi se siete microimprese o piccole imprese sulla base di tali criteri, potrete dormire sonni tranquilli.

Invece per quanto riguarda l’applicazione del NIS2, come già detto nel precedente articolo (rinvio al link), rispetto al NIS1, si è ampliato l’ambito di applicazione: non più solo le aziende operanti nei settori altamente critici/essenziali, ma anche soggetti parimenti qualificati come critici, prevedendo in particolar modo due tipi di settori, quelli definiti essenziali (energetico: elettrico, oil and gas, riscaldamento, idrogeno; settore sanitario: produttori di dispositivi medicali, laboratori, R&D, settore farmaceutico; trasporti: aereo, nautico, ferroviario e stradale; acque e acque di scarico; infrastrutture digitali; P.A.; settore spaziale) e quelli definiti importanti ( settore postale e più in generale di spedizione; gestione/trattamento dei rifiuti; settore chimico: produzione e distribuzione; settore alimentare: approvvigionamento, inclusa anche la grande distribuzione; industrie tecnologiche e ingegneristiche; servizi digitali: social network e servizi di data center; ricerca scientifica)

Importante è sottolineare però che tale direttiva si applica solo alle organizzazioni di medie e grandi dimensioni rientrano e precisamente: grandi organizzazioni, con più di 250 dipendenti e medie organizzazioni, con 50-250 dipendenti.

Per essere aderenti alla NIS2, l’azienda dovrà: stabilire un solido quadro di governance della cyber security, implementare una formazione regolare di sensibilizzazione dei dipendenti, stabilire un piano completo di risposta agli incidenti, condurre valutazioni periodiche del rischio, stabilire la sicurezza della catena di approvvigionamento, aggiornare e applicare regolarmente patch all’infrastruttura e alle applicazioni, utilizzare i giusti strumenti di identificazione delle minacce, implementare il monitoraggio delle minacce e svolgere attività di intelligence, implementare una solida sicurezza della rete e degli endpoint, condurre controlli di sicurezza regolari.

Ma cosa rischia l’azienda se non applica tale direttiva? Le società definite fornitrici di servizi essenziali sono soggette a multe fino a 10 milioni di euro o al 2% del loro fatturato annuo globale, mentre quelle fornitrici di servizi importanti sono soggette a multe fino a 7 milioni di euro o all’1,4% del loro fatturato annuo globale.

Purtroppo, i rischi in ambito cybersecurity sono in costante aumento e iniziare a prevenire è il miglior metodo, al momento, per evitare non solo dei danni diretti, ma anche collaterali, visto che le normative si fanno sempre più stringenti e obbligatorie per tutti. Infatti, le società che hanno già implementato procedure di sicurezza adeguate hanno buone basi per adempiere a quanto richiesto dalla Direttiva NIS2, considerando che la valutazione e la gestione dei rischi informatici dovrebbero già essere state affrontate attraverso la compliance al GDPR o l’adozione di standard ISO (i.e.: 27001).

Quindi un consiglio cara azienda noi te lo vogliamo dare: non fare domani quello che puoi fare oggi, perché domani potresti anche tu essere sommerso da una normativa che prima non ti apparteneva. L’evoluzione tecnologica, così come i rischi cyber. Per questo motivo, prendi in mano la situazione e inizia a creare anche il tuo sistema di compliance aziendale con le certificazioni ISO.

Per garantire la massima sicurezza e conformità normativa nella gestione dei servizi informatici della tua azienda, contattaci oggi stesso per richiedere un preventivo personalizzato. Siamo qui per supportarti nella tua strategia di compliance e protezione dei dati.