Privacy dei clienti: la responsabilità che nessuno vuole

Ieri mattina ho ricevuto una chiamata da un cliente che gestisce un e-commerce di prodotti artigianali. Panico totale. "Alex, mi hanno detto che rischio una multa perché non ho fatto non so cosa con i dati dei clienti. È vero?"

Sì, è vero. E non è l'unico. Negli ultimi anni ho visto decine di piccole attività – ristoranti, negozi online, studi professionali – che trattano i dati personali dei clienti con la stessa leggerezza con cui si lascia la porta aperta in estate. Il punto è che la privacy non è una roba per "le grandi aziende", è una responsabilità di chiunque gestisca anche solo un modulo di contatto.

Cosa significa davvero "trattare dati personali"

Facciamo chiarezza. Se hai un sito web con un form di contatto, se raccolgi prenotazioni, se vendi online, se hai una newsletter, se conservi gli ordini dei clienti in un gestionale... stai trattando dati personali. Nome, cognome, email, telefono, indirizzo. Anche solo l'email è un dato personale.

E qui arriva il GDPR, il regolamento europeo sulla protezione dei dati. Dal 2018. Già, sono passati anni, eppure continuo a vedere siti web senza informativa privacy, e-commerce che conservano le password in chiaro (giuro, ne ho visti), gestionali con dati clienti accessibili a chiunque abbia la password dell'ufficio.

Nella mia esperienza qui a Trento, la maggior parte dei piccoli imprenditori non ha idea di cosa comporti davvero il GDPR. Non per malizia, semplicemente perché nessuno gliel'ha spiegato in modo chiaro. E quando arriva qualcuno a spiegargliele, spesso usa un linguaggio da avvocato che spaventa più che aiutare.

Le conseguenze (che sono reali, non teoria)

"Sì ma tanto a me chi vuoi che controlli?" Questo me lo sono sentito dire più volte. E invece. Il Garante della Privacy può fare controlli anche su piccole realtà, soprattutto se c'è una segnalazione. Un cliente scontento, un dipendente in uscita, un competitor scorretto. Basta poco.

Le multe partono da 10.000 euro e possono arrivare a cifre che per una piccola attività significano chiudere. Ma al di là delle multe, c'è un altro aspetto: la fiducia. Se un tuo cliente scopre che i suoi dati sono stati gestiti male, o peggio rubati perché il tuo sito non era sicuro, hai perso quel cliente. E probabilmente anche altri dieci che glielo hanno raccontato.

Un parrucchiere di Rovereto – cliente da anni – mi ha chiamato disperato perché gli avevano hackerato il sito WordPress (non manutenuto, plugin vecchi di due anni) e rubato l'intero database clienti. Email, telefoni, appuntamenti. Ha dovuto avvisare tutti, uno per uno. La reputazione? Compromessa. Ci sono voluti mesi per recuperare.

Cosa devi fare (concretamente, senza avvocatese)

Partiamo dalle basi. Hai bisogno di un'informativa privacy chiara, scritta in italiano comprensibile, che spieghi quali dati raccogli, perché e per quanto tempo li conservi. Non quella copiata da un template trovato su Google. Una vera, specifica per la tua attività.

Poi devi ottenere il consenso esplicito. Checkbox non pre-spuntate. L'utente deve cliccare volontariamente. Se raccolgi dati per marketing (newsletter, offerte) devi avere un consenso separato da quello per la gestione dell'ordine o della prenotazione.

E qui viene la parte che molti sottovalutano: devi proteggere quei dati. Se realizzo un software gestionale su misura per un cliente, la prima cosa che faccio è implementare la crittografia delle password (mai, MAI salvare password in chiaro), l'accesso sicuro via HTTPS, backup automatici cifrati. Non sono optional, sono il minimo sindacale.

Un ristoratore di Trento tempo fa mi ha chiesto di recuperare i dati dal suo vecchio gestionale prenotazioni. Quando ho aperto il database ho trovato password dei clienti salvate in chiaro, visibili a chiunque avesse accesso. Gli ho fatto capire che se qualcuno avesse fatto causa, non aveva difese. Abbiamo rifatto tutto da zero.

Il registro delle attività di trattamento (sì, anche per te)

Se hai più di 250 dipendenti è obbligatorio. Ma anche sotto quella soglia, se tratti dati particolari (salute, convinzioni religiose) o se il trattamento è regolare, devi tenere un registro. Cosa tratti, perché, dove lo conservi, chi ci ha accesso, quando lo cancelli.

Sembra una rottura? Lo è. Ma è anche l'occasione per fare ordine. Quando aiuto un cliente a compilare questo registro, spesso scopriamo che conservavano dati inutili da anni. Email di clienti che non comprano dal 2015. Fatture cartacee impilate senza criterio. Facciamo pulizia, creiamo procedure chiare. E alla fine dormono meglio.

La sicurezza tecnica: non delegarla solo al "tecnico di fiducia"

Qui entra in gioco la mia parte preferita: la sicurezza tecnica. Certificato SSL (il lucchetto nella barra del browser) è obbligatorio. Non opzionale. Se il tuo sito raccoglie dati senza HTTPS, stai trasmettendo tutto in chiaro. Chiunque sulla stessa rete WiFi può intercettarli.

I backup. Automatici, frequenti, testati. Non basta dire "il mio hosting fa i backup". Devi verificare che funzionino. Almeno una volta ho dovuto recuperare un sito per un cliente che aveva perso tutto perché il backup automatico era configurato male da mesi e nessuno se n'era accorto.

Se hai un sito web professionale, assicurati che il CMS (WordPress, Joomla, quello che sia) sia aggiornato. I plugin anche. Gli hacker non attaccano perché ce l'hanno con te, attaccano perché cerchi vulnerabilità note. Un plugin non aggiornato è una porta aperta.

Non devi fare tutto da solo (e non dovresti)

La buona notizia? Non devi diventare un esperto di privacy. Ma devi circondarti di persone competenti. Un avvocato specializzato in privacy per la parte legale. Un professionista web che implementi le protezioni tecniche corrette. E un minimo di formazione per te e per chi lavora con te.

Io nei miei progetti includo sempre una checklist privacy. Cookie policy configurata correttamente (non basta il banner, serve il consenso vero), informativa privacy specifica, form con consensi espliciti, database protetti, accessi limitati. Non è un extra, è parte del lavoro.

Una cosa che ripeto sempre ai miei clienti: la privacy non è un costo, è un investimento sulla tua credibilità. Quando un cliente vede che tratti i suoi dati con rispetto e serietà, si fida di più. E la fiducia, nel business, vale oro.

Se gestisci un'attività e raccolgi dati – anche solo email per le newsletter – prenditi un pomeriggio per fare il punto. Hai un'informativa privacy vera? I consensi li raccogli bene? I dati sono al sicuro? Se anche solo una di queste risposte è "non lo so", è il momento di sistemare. Prima che qualcuno ti chieda conto.

Se vuoi farci due chiacchiere su come mettere in sicurezza i dati della tua attività, o hai dubbi su come gestire la privacy nel tuo sito o gestionale, scrivimi. Meglio perdere un'ora ora che affrontare una multa (o peggio, perdere la fiducia dei clienti) domani.