Come adeguare un sito WordPress al GDPR

Uno degli aspetti più complessi della creazione di un nuovo sito è l’adeguamento al GDPR. Cosa ti serve davvero per adeguarti al Regolamento europeo? Basta una privacy policy o hai bisogno di altro?

In questo articolo, ti spieghiamo come adeguare un semplice sito WordPress al Regolamento Generale sulla Protezione dei Dati. Iniziamo!

Principi fondamentali

• Liceità, correttezza e trasparenza: i dati devono essere trattati in modo lecito, equo e trasparente.
• Limitazione della finalità: i dati devono essere raccolti per scopi specifici, espliciti e legittimi e non ulteriormente trattati in modo incompatibile con tali scopi.
• Minimizzazione dei dati: devono essere raccolti solo i dati necessari per lo scopo specificato.
• Accuratezza: i dati personali devono essere accurati e aggiornati.
• Limitazione della conservazione: i dati devono essere conservati in una forma che consenta l’identificazione degli interessati per un periodo non superiore a quello necessario.
• Integrità e riservatezza: i dati devono essere elaborati in modo da garantire un’adeguata sicurezza.
• Responsabilità: i titolari del trattamento dei dati (entità che determinano lo scopo e i mezzi di elaborazione dei dati personali) devono garantire che vengano rispettati gli altri principi fondamentali e devono essere in grado di dimostrare la conformità agli stessi. Ciò significa che, oltre a far rispettare le regole del GDPR, i titolari del trattamento devono conservare registri che verifichino la conformità al GDPR.

Diritti degli individui

• Diritto di accesso: gli individui hanno il diritto di accedere ai propri dati personali e di comprendere come vengono elaborati.
• Diritto di rettifica: gli individui possono richiedere correzioni a dati inesatti o incompleti.
• Diritto all’oblio: gli individui possono richiedere la cancellazione dei propri dati personali in determinate condizioni.
• Diritto di limitazione del trattamento: gli individui possono richiedere la limitazione del trattamento dei propri dati personali.
• Diritto alla portabilità dei dati: gli individui possono richiedere di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da una macchina.
• Diritto di opposizione: Gli individui possono opporsi al trattamento dei propri dati personali per scopi specifici, incluso il marketing diretto.

Caratteristiche di un sito web conforme al GDPR

Per essere conforme al GDPR, un sito web deve contenere diverse funzionalità obbligatorie che garantiscano la protezione dei dati dei suoi utenti:

Privacy policy

Il primo elemento da aggiungere è una privacy policy, anche detta informativa privacy. Si tratta di un documento che spiega ai tuoi utenti quali dati raccogli e tratti, come li proteggi e quali sono i diritti degli utenti riguardo ai loro dati.

Quasi tutte le leggi sulla privacy richiedono una privacy policy, perché permette di rispettare il principio della trasparenza. In base a questo principio, chi visita il tuo sito deve sapere se i suoi dati vengono trattati e in che modo.

Cosa deve contenere una privacy policy?

Dal momento che si tratta di un documento legale a tutti gli effetti, non è consigliabile scrivere una privacy policy autonomamente se non si hanno competenze legali. Questo perché ogni informativa deve essere specifica per l’attività del sito a cui fa riferimento. Tuttavia, ci sono alcuni elementi comuni a tutte le privacy policy:

• Chi è il proprietario del sito.
• Quali dati vengono trattati e come.
• Qual è la base giuridica del trattamento secondo il GDPR (ad esempio, il consenso o il legittimo interesse).
• Qual è la finalità del trattamento dei dati.
• Quali terze parti hanno accesso alle informazioni raccolte con il tuo sito (ad esempio, se utilizzi i widget dei social media, le piattaforme social potrebbero raccogliere i dati dei tuoi utenti attraverso il tuo sito).
• Come avviene il trasferimento dei dati all’estero (se applicabile).
• Quali sono i diritti degli utenti secondo il GDPR.
• Come verranno avvisati gli utenti di eventuali modifiche alla privacy policy.
• La data effettiva.

Ricorda che, una volta creata, la tua privacy policy deve essere resa accessibile da tutte le pagine del tuo sito WordPress. Una buona prassi è quella di aggiungerla al footer, così che i tuoi utenti possano consultarla in qualsiasi momento.

Cookie banner

Il secondo elemento da aggiungere al tuo sito WordPress è un cookie banner. Come forse già saprai, il cookie banner è l’avviso che viene mostrato su un sito la prima volta che lo si visita e serve a richiedere il consenso per l’installazione dei cookie.

Per essere conforme alla normativa europea, il cookie banner deve rispettare dei requisiti specifici. Infatti deve:

• Avere un pulsante per accettare e uno per rifiutare i cookie.
• Bloccare l’installazione dei cookie prima del consenso, oppure se il consenso viene rifiutato.
• Presentare un link alla tua cookie policy, ossia il documento che spiega nel dettaglio quali cookie vengono utilizzati e perché (può anche essere una sezione specifica della privacy policy).
• Archiviare le preferenze di consenso degli utenti in un apposito registro.

Database dei consensi

Il GDPR dà molta importanza al consenso e tante delle attività di marketing portate avanti da un sito web si basano proprio sul consenso dell’utente. Ad esempio, se invii una newsletter, puoi farlo solo dopo che i tuoi utenti hanno deciso di iscriversi.

Visto che si tratta di un requisito così importante, diventa fondamentale tenere un un database di consenso che dimostri che le tue attività di marketing sono state svolte in linea con la normativa. Secondo il GDPR, infatti, il titolare del trattamento ha anche il compito di dimostrarne la legittimità, se richiesto.

Perché sia completo, il registro dei consensi deve contenere, per ogni singolo utente:

• L’identità di chi ha prestato il consenso.
• A cosa ha acconsentito.
• Quando è stato acquisito il consenso.
• Quali informazioni sono state fornite all’utente nel momento in cui ha prestato il consenso.
• In che modo è stato ottenuto il consenso (come ad esempio, il form di iscrizione alla newsletter).

Bonus: Termini e Condizioni

Termini e Condizioni non fanno riferimento al GDPR, ma possono essere un documento utile se il tuo sito prevede scenari complessi – come ad esempio un negozio online o la creazione di account utente. Non è sempre obbligatorio, ma è spesso una buona idea predisporre dei Termini e Condizioni.

Si tratta di un documento che ti protegge da eventuali problemi legali, perché ti permette di stabilire le condizioni di utilizzo del tuo sito web, o le condizioni di vendita dei tuoi prodotti o servizi.

Come rendere un sito WordPress conforme al GDPR?

Quando si tratta di WordPress, la conformità al GDPR non deve essere complicata o costosa. Esiste un’ampia gamma di plugin che offrono le funzionalità e le caratteristiche necessarie per rendere il tuo sito web conforme a tutte le normative GDPR.

Se stai cercando una soluzione affidabile, semplice ed economica per adeguare il tuo sito al GDPR, puoi provare iubenda!

iubenda è un’azienda italiana che dal 2011 si occupa di compliance online per siti e app. Oltre a offrire una suite completa per la creazione dei documenti legali, la gestione dei cookie e la registrazione del consenso, iubenda ha anche creato un plugin WordPress per gestire la compliance.

Il plugin di iubenda offre una soluzione tutto-in-uno per gestire l’adeguamento del tuo sito al GDPR, senza dover installare più di una estensione. Ecco come puoi installarlo.

1. Accedi alla tua dashboard
2. Vai su Plugin > Aggiungi un nuovo plugin.
3. Scrivi iubenda nella barra Cerca plugin.
4. Clicca su Installa ora.

Conclusioni

Come abbiamo visto, sono diversi gli elementi necessari per adeguare un sito WordPress al GDPR. Ovviamente, non si tratta semplicemente di aggiungere dei documenti legali al tuo sito, ma devi anche prendere tutte le misure di sicurezza adeguate per proteggere i dati che raccogli.

Inoltre, tieni a mente che questa lista potrebbe non essere esaustiva. Infatti, i requisiti del GDPR potrebbero variare in base all’attività del tuo sito web e richiedere qualcosa in più – come la nomina di un Responsabile per protezione dei dati (DPO) o tenere un Registro delle attività di trattamento. Se non sei sicuro al 100% di quello che ti serve, puoi rivolgerti a un esperto legale.