Google Analytics è ancora nell’occhio del ciclone, in Italia e in Europa. Continua a far discutere la stretta del Garante Privacy italiano, che il 9 giugno ha ammonito la società Caffeina Media per l’utilizzo dello strumento di analisi del colosso statunitense: il servizio, infatti, viola la normativa europea sulla data protection poiché trasferisce i dati personali degli utenti negli Stati Uniti, in assenza di misure di sicurezza supplementari adeguate (qui puoi leggere un approfondimento sulla vicenda).
Dal provvedimento, la media farm ha 90 giorni di tempo per conformarsi al GDPR o, in difetto, abbandonare Analytics. Ma l’invito riguarda indirettamente tutte le aziende che utilizzano il servizio di Google, perché il problema è generalizzato. E, in attesa di una nuova Decisione di Adeguatezza per i trasferimenti verso gli USA, il dibattito si allarga da Analytics a tutti gli strumenti di analisi del traffico online e del tracciamento dei comportamenti degli utenti, che trasferiscono i dati personali verso questo Paese.
Cosa dire, di magnews, rispetto al tema dei trasferimenti? I clienti, partner o potenziali tali si staranno sicuramente chiedendo quale sia la politica di Diennea in materia di data protection: i loro dati sono al sicuro? La piattaforma è in grado di assicurarne la protezione? Assolutamente sì, ed ecco perché.
Le privacy e security policy di Diennea
Diennea ha sede legale in Italia e gestisce la propria infrastruttura direttamente, senza intermediari nel trattamento dei dati; con Data Center, pur dislocati in diverse regioni per ragioni di business continuity, situati nel territorio italiano. Pertanto, è esclusa l’applicazione di normative estere che possono comportare l’ingerenza di governi di Stati extra SEE.
A livello organizzativo l’azienda ha implementato un modello basato su processi e strumenti focalizzati su tematiche privacy e security. Abbiamo figure dedicate: un Data Protection Officer e un Chief Information Security Officer che collaborano con il Chief Technology Officer per l’implementazione di tutta una serie di strategie, sia tecniche che organizzative, finalizzate alla protezione dei dati e alla gestione del rischio informatico; oltre a ciò, Diennea può contare su un team privacy che è capillare su tutte le aree aziendali e che ci permette di monitorare l’evoluzione delle infrastrutture tecnologiche e, di conseguenza, delle normative che le regolano.
La catena privacy del trattamento
Altro elemento di primaria importanza è la catena privacy del trattamento: i fornitori, in particolare quelli che si configurano come sub-responsabili del trattamento per i clienti, sono tutti selezionati in modo molto attento e verificati in modo continuativo, mediante attività di due diligence preliminare e Audit periodici di mantenimento sia privacy che security. Durante queste verifiche, viene posta grande attenzione rispetto a eventuali trasferimenti di dati al di fuori dello spazio economico europeo. La stessa metodologia viene utilizzata anche per gli audit interni all’azienda. Da ultimo, Diennea è supportata da professionisti legali, esperti in campo internazionale e capaci di unire competenze in ambito strettamente legal con le conoscenze tecniche essenziali in questo settore.
Magnews: accountability e data protection by design e by default
All’interno dell’ecosistema Diennea, magnews è una soluzione pienamente GDPR ready. Oltre a tutte le misure tecniche e organizzative appena descritte – infrastruttura al 100% all’interno dello spazio economico europeo, attenzione ai fornitori, organizzazione interna con figure dedicate – si può affermare che tutti gli aspetti funzionali della piattaforma vengono progettati secondo i principi cardine in ambito data protection: da un lato l’accountability, dall’altro la data protection by design e by default. Che cosa significano questi termini?
Accountability
Accountability, ovvero responsabilizzazione: i clienti, quali titolari del trattamento dei dati, trovano in magnews uno strumento valido a supportarli nell’adozione di comportamenti proattivi e tali da dimostrare la corretta applicazione del regolamento GDPR. Pensiamo per esempio al tracciamento dei consensi, alla data retention: i titolari del trattamento possono gestire i trattamenti in autonomia e in base alle proprie specifiche necessità.
Data protection by design e by default
All’interno di magnews i dati personali sono protetti by design, attraverso l’implementazione di misure di sicurezza volte ad attuare i principi privacy, quali quello di minimizzazione, e a soddisfare i requisiti dal GDPR, e by default, infatti, dal setup della piattaforma nella creazione di specifici progetti o campagne, è possibile impostare tutti i requisiti previsti dal regolamento potendo contare su logiche di protezione per impostazioni predefinite. L’approccio iniziale è sempre quello conservativo. Tutte le funzionalità di piattaforma consentono un’estrema granularità nella considerazione del trattamento dati a tutti i livelli: settaggio dei tempi di retention, personalizzazione dei flussi di traffico, configurazione dell’accesso ai dati, gestione dei diritti degli interessati, tracciamento dei consensi, anonimizzazione dei contatti e possibilità di fare azioni di marketing senza profilazione sui contatti. Tutte queste misure possono essere poste in essere tramite le funzionalità di piattaforma.
Scegliere le soluzioni giuste
Da ultimo, una precisazione. Con i provvedimenti dei garanti europei, tra cui il più recente dell’Autorità italiana, a finire nell’occhio del ciclone è stato Google Analytics.
Ma, per estensione, è facile pensare che piattaforme estere (soprattutto se statunitensi) possano sollevare problematiche simili ed essere oggetto di valutazione, oltre che di sanzioni, da parte dei garanti. Infatti, non sempre le misure di sicurezza riescono a garantire un livello di protezione equivalente a quello richiesto dal GDPR, nel contesto dei trasferimenti extra SEE. Ne consegue che nell’ambito della marketing automation, dell’email marketing e della strategia del contatto è estremamente difficile, se non addirittura impossibile, individuare misure tecniche per proteggere questi dati personali. In questi ambiti, al momento, rivolgersi a soluzioni che trattano i dati all’interno dello spazio economico europeo sembra essere l’unica via percorribile.