GDPR e WiFi: una guida alla conformità per le aziende

GDPR E WIFI: UNA GUIDA ALLA CONFORMITÀ PER LE AZIENDE Un briefing di Purple Intelligence — circa 10 minuti [INTRODUZIONE E CONTESTO — 1 minuto] Benvenuti al briefing di Purple Intelligence. Sono il vostro ospite e oggi andremo dritti al punto su una delle sfide di conformità più incomprese che i gestori di sedi fisiche e i team IT si trovano ad affrontare in questo momento: il GDPR e il WiFi. Se gestite un WiFi per gli ospiti in un hotel, una catena di negozi, uno stadio o un edificio del settore pubblico, state raccogliendo dati personali. Punto. E che lo sappiate o meno, tale raccolta è soggetta al Regolamento generale sulla protezione dei dati. L'ICO è sempre più attiva in questo ambito e le conseguenze di un errore vanno dai provvedimenti di ammonimento fino a sanzioni che possono raggiungere il quattro percento del fatturato annuo globale. Ma ecco il punto: la conformità al GDPR per il WiFi non è così complicata come i team legali a volte la fanno sembrare. Si riduce a quattro domande fondamentali: Quali dati state raccogliendo? Su quale base giuridica? Per quanto tempo li conservate? E chi è il responsabile? Rispondete correttamente a queste quattro domande e sarete a buon punto. Entriamo nel dettaglio. [APPROFONDIMENTO TECNICO — 5 minuti] Iniziamo quindi con i dati che una tipica implementazione WiFi per gli ospiti raccoglie effettivamente. Quando un ospite si connette alla vostra rete tramite un Captive Portal (la splash page che vede prima di accedere a Internet), state potenzialmente acquisendo un indirizzo MAC, un indirizzo IP, un timestamp di connessione, la durata della sessione e, se avete integrato un flusso di registrazione, un indirizzo e-mail, un nome e le preferenze di marketing. Ora, gli indirizzi MAC e gli indirizzi IP sono classificati come dati personali ai sensi del GDPR perché possono essere utilizzati per identificare un individuo. Questo sorprende molti architetti di rete. Li considerano identificatori tecnici, non dati personali. Ma il regolamento è chiaro: se può essere utilizzato, direttamente o indirettamente, per identificare una persona fisica, si tratta di dati personali. Quindi i log di rete rientrano nell'ambito di applicazione dal momento in cui un dispositivo si connette. La domanda successiva riguarda la base giuridica. Ai sensi dell'Articolo 6 del GDPR, è necessaria una delle sei basi giuridiche per trattare i dati personali. Per il WiFi degli ospiti, le due che contano di più sono il consenso e il legittimo interesse. Il consenso è l'opzione più lineare quando si raccolgono indirizzi e-mail per scopi di marketing. Ai sensi del GDPR, il consenso deve essere liberamente espresso, specifico, informato e inequivocabile. Ciò significa che non devono esserci caselle preselezionate. Nessun vincolo del consenso al marketing nei termini e condizioni. L'ospite deve attivare attivamente l'opzione e voi dovete essere in grado di dimostrare che lo ha fatto, con un timestamp e un registro di ciò a cui ha acconsentito in quel momento. Il legittimo interesse è la base che la maggior parte dei gestori utilizza per i dati di connessione di rete sottostanti, come gli indirizzi MAC e i log di sessione. La tesi è che la gestione di una rete sicura e funzionante sia un legittimo interesse dell'azienda e che tale interesse non sia superato dai diritti alla privacy dell'individuo. Ma, e questo è importante, è comunque necessario condurre e documentare una Valutazione del legittimo interesse, o LIA. Non potete semplicemente dichiarare il legittimo interesse e andare avanti. L'ICO si aspetta di vedere il test in tre parti: finalità, necessità e bilanciamento. Parliamo ora del design della splash page, perché è qui che la maggior parte delle organizzazioni commette errori. La splash page è la vostra interfaccia di consenso principale e deve fare diverse cose contemporaneamente. Deve identificare chi sta raccogliendo i dati (il nome della vostra organizzazione). Deve spiegare quali dati vengono raccolti e perché. Deve presentare qualsiasi adesione al marketing come una casella di controllo separata e non selezionata. E deve rimandare a un'informativa sulla privacy completa che copra i diritti degli interessati. Ciò che non deve assolutamente fare è subordinare l'accesso alla rete al consenso al marketing. Se bloccate il WiFi dietro una registrazione e-mail in cui l'unico modo per connettersi è accettare di ricevere e-mail di marketing, tale consenso non è liberamente espresso ai sensi del GDPR. L'ICO è stata esplicita su questo punto. Potete offrire un incentivo per la fornitura di un indirizzo e-mail (un punto fedeltà, un buono sconto), ma l'accesso alla rete di base deve essere comunque disponibile. Passiamo alla conservazione dei dati. L'Articolo 5(1)(e) del GDPR stabilisce il principio della limitazione della conservazione: i dati personali non devono essere conservati più a lungo di quanto necessario per lo scopo per cui sono stati raccolti. Per il WiFi degli ospiti, ciò significa che è necessario un piano di conservazione documentato. I log di sicurezza della rete (come gli indirizzi MAC e i timestamp delle sessioni) vengono in genere conservati per 90 giorni per scopi di sicurezza e indagini sulle frodi. Questa è una posizione difendibile. Gli indirizzi e-mail raccolti per il marketing possono essere conservati più a lungo, ma è necessario definire tale periodo, comunicarlo nell'informativa sulla privacy e applicarlo tecnicamente, non solo come policy sulla carta. È qui che lo stack tecnologico fa la differenza. Una piattaforma come la soluzione WiFi per gli ospiti di Purple automatizza l'applicazione della conservazione. Si configura una finestra di conservazione e il sistema elimina i record automaticamente. Questa è la differenza tra una policy di conformità e un programma di conformità. La policy dice cosa farete. Il programma dimostra che lo avete fatto. Parliamo di Accordi sul trattamento dei dati, o DPA. Se utilizzate una piattaforma terza per gestire il vostro WiFi per gli ospiti (come fa la maggior parte delle organizzazioni), tale piattaforma agisce in qualità di responsabile del trattamento per vostro conto. Ai sensi dell'Articolo 28 del GDPR, è necessario stipulare un Accordo sul trattamento dei dati scritto con tale responsabile. Il DPA deve specificare quali dati vengono trattati, per quale scopo, secondo quali istruzioni e quali misure di sicurezza ha adottato il responsabile. Se utilizzate una piattaforma di analisi WiFi basata su cloud e non avete un DPA firmato, non siete conformi. È semplicissimo. Per le organizzazioni che operano in più Stati membri dell'UE o che servono residenti nell'UE da una sede nel Regno Unito dopo la Brexit, è necessario considerare anche il GDPR del Regno Unito (che è essenzialmente il GDPR dell'UE mantenuto nella legislazione del Regno Unito) e se siano coinvolti trasferimenti internazionali di dati. Se la vostra piattaforma WiFi memorizza i dati su server al di fuori del Regno Unito o del SEE, avete bisogno di un meccanismo di trasferimento adeguato: una decisione di adeguatezza, clausole contrattuali standard o norme vincolanti d'impresa. [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE — 2 minuti] Bene, passiamo alla pratica. Ecco i quattro passaggi di implementazione che consiglierei a qualsiasi team IT o gestore di sedi fisiche che inizia questo processo. Primo: condurre un'attività di mappatura dei dati. Prima di toccare la splash page o l'informativa sulla privacy, mappate ogni singolo dato raccolto dalla vostra implementazione WiFi, dove va, chi vi ha accesso e per quanto tempo viene conservato. Questo è il vostro Registro delle attività di trattamento ai sensi dell'Articolo 30, ed è la base di tutto il resto. Secondo: verificate la vostra splash page rispetto ai requisiti di consenso. Controllate che non vi siano caselle preselezionate. Verificate che il consenso al marketing sia separato dall'accettazione dei termini. Verificate che il link all'informativa sulla privacy sia visibile e funzionante. Se utilizzate una piattaforma come Purple, gli strumenti di gestione del consenso sono integrati, ma dovete comunque configurarli correttamente e rivedere i testi. Terzo: definite i vostri DPA. Contattate ogni fornitore terzo che tocca i vostri dati WiFi (il fornitore della piattaforma, lo strumento di analisi, il CRM) e verificate che sia attivo un DPA firmato. In caso contrario, provvedete prima di procedere oltre. Quarto: implementate controlli tecnici di conservazione. Non affidatevi a processi manuali per eliminare i vecchi dati. Configurate l'eliminazione automatica nella vostra piattaforma e documentate la configurazione come prova di conformità. La trappola più comune che vedo è che le organizzazioni considerano il GDPR come un progetto una tantum piuttosto che come un programma continuo. Si esegue l'audit, si aggiorna la splash page, si archivia il DPA e poi, due anni dopo, la piattaforma è stata aggiornata, i testi della splash page sono stati modificati dal team di marketing e nessuno ha verificato le impostazioni di conservazione. La conformità al GDPR richiede un ciclo di revisione periodico, come minimo annuale, e ogni volta che si verifica una modifica significativa alle attività di trattamento dei dati. [DOMANDE E RISPOSTE RAPIDE — 1 minuto] Alcune domande che mi vengono poste regolarmente. "Abbiamo bisogno di un DPO?" — Se siete un'autorità pubblica o se le vostre attività principali consistono nel monitoraggio sistematico su larga scala delle persone (requisito che un'ampia implementazione WiFi per gli ospiti potrebbe soddisfare), allora sì, avete bisogno di un Responsabile della protezione dei dati designato. Per le implementazioni più piccole, è una buona pratica anche se non strettamente obbligatoria. "Possiamo usare gli indirizzi MAC per l'analisi delle presenze?" — Sì, ma solo se utilizzate dati anonimizzati o aggregati. Se tracciate i singoli indirizzi MAC tra le sessioni per creare profili di movimento, si tratta di un trattamento di dati personali e avete bisogno di una base giuridica e di un'informativa nella privacy policy. "E per quanto riguarda i minori?" — Se è probabile che alla vostra sede accedano minori di 13 anni, dovete considerare il Children's Code dell'ICO. Ciò significa nessun profilo comportamentale dei minori e informative sulla privacy adeguate all'età. [RIASSUNTO E PROSSIMI PASSI — 1 minuto] Per concludere: la conformità al GDPR e al WiFi è del tutto raggiungibile. Il regolamento non è progettato per impedirvi di gestire un servizio WiFi per gli ospiti o di raccogliere dati per migliorare le vostre operazioni. È progettato per garantire che, quando raccogliete dati, lo facciate in modo trasparente, su una base giuridica valida, con una sicurezza adeguata e nel rispetto dei diritti delle persone. I quattro punti da ricordare di questo briefing: stabilite la vostra base giuridica e documentatela; progettate la vostra splash page per un consenso autentico; firmate i vostri DPA; e applicate la conservazione dei dati tecnicamente, non solo sulla carta. Se desiderate approfondire una di queste aree, Purple dispone di una serie completa di guide all'implementazione sulla raccolta di dati di prima parte tramite WiFi, e la piattaforma stessa è progettata per supportare implementazioni conformi al GDPR fin da subito. Grazie per l'ascolto. Alla prossima.