GDPR (Regolamento UE 2016/679) e Codice della privacy (D.Lgs. 2003/196 modificato dal D.Lgs. 2018/101)
È necessario assegnare chiaramente la responsabilità per la sorveglianza della protezione dei dati quando si svolgono attività di marketing diretto.
Se del caso, dovresti disporre di gruppi di indirizzo per monitorare le prestazioni nella protezione dei dati ed esaminare questioni pertinenti.
È necessario disporre di linee di segnalazione e collegamenti efficaci tra i ruoli chiave per garantire un approccio coordinato.
È necessario un programma di lavoro mirato per il marketing diretto e la protezione dei dati; la direzione dovrebbe monitorarne regolarmente i progressi.
È necessario disporre di politiche e procedure, approvate dalla dirigenza aziendale, per fornire indicazioni al personale su come conformarsi alla legislazione sulla protezione dei dati quando si svolgono attività di marketing diretto.
È necessario comunicare queste politiche al personale, inclusi dipendenti a tempo determinato o collaboratori temporanei, e rivederle regolarmente.
Dovresti stabilire parametri di prestazione, che riflettono le esigenze e i rischi dell'organizzazione, per consentirti di controllare la conformità.
Si dovrebbe intraprendere un monitoraggio su base regolare e riferire i risultati al responsabie in capo al marketing diretto in modo che possa valutare i rischi e intraprendere le azioni appropriate.
Condurre controlli o audit regolari delle tue pratiche di marketing diretto ti aiuterà a garantire la conformità per la protezione dei dati.
È necessario informare tutto il personale addetto al marketing diretto in merito alle proprie responsabilità sulla protezione dei dati al momento o immediatamente dopo la designazione e con aggiornamenti regolari per mantenere adeguati livelli di consapevolezza.
Il materiale di sensibilizzazione sulla protezione dei dati potrebbe includere poster, e-mail a livello di intero ufficio, aggiornamenti intranet o newsletter.
Se necessario, dovresti fornire una formazione specializzata al personale in particolari ruoli specifici, in base alle esigenze del ruolo professionale svolto.
Ai sensi della legislazione sulla protezione dei dati (GDPR):
Dovresti:
Dovresti essere in grado di identificare:
Dovresti essere in grado di aggiornare facilmente le informazioni del punto precedente alla ricezione di eventuali modifiche.
Dovresti archiviare il testo del sito web, il volantino, il contratto, lo script telefonico ecc. che hai usato per informare l'interessato nel momento in cui ha fornito il consenso. È necessario incrociare queste informazioni con le schede dei clienti per tenere traccia in modo accurato di ciò a cui hanno acconsentito se è necessario recuperare tali informazioni.
Se gestisci più di un marchio o attività commerciale collegata, devi essere specifico su quale attività commerciale ha ottenuto il consenso. Per il marketing incrociato dei marchi è necessario fornire i nomi di tutti i marchi al momento di ottenere il consenso. Non puoi presumere che se un interessato acconsente al marketing di un marchio acconsenta al marketing di tutti.
Se offri servizi online ai minori e devi ottenere il consenso, devi adottare misure di verifica dell'età e chiedere il consenso dei genitori ai minori di 13 anni.
Se si trasmettono i dati personali degli interessati a terzi per finalità di marketing, è necessario richiedere specificamente questo consenso. Devi fornire all'interessato il nome di tutte le terze parti coinvolte. Devono esserci dettagli sufficienti per consentire all'interessato di operare sul marketing una scelta informata.
Dovresti anche esaminare i consensi e i meccanismi di consenso esistenti per verificare che soddisfino gli standard previsti dal GDPR. In tal caso, non è necessario ottenere un nuovo consenso conforme al GDPR.
Tuttavia, se il consenso non è conforme, dovrai richiedere un nuovo consenso conformemente al GDPR o identificare un diverso criterio di liceità per il trattamento (e assicurarti che la prosecuzione del trattamento sia corretta) o interrompere il trattamento.
Non tutto il marketing richiederà il consenso poiché il criterio del legittimo interesse potrebbe potenzialmente essere applicato in tutte le situazioni in cui non è richiesto obbligatoriamente il consenso, ad esempio marketing postale, chiamate in diretta a numeri non registrati nel registro delle opposizioni o posta elettronica, in cui si applica il criterio della scelta in ingresso debole (soft opt-in).
La tua azienda deve:
Non dovresti utilizzare elenchi acquistati per e-mail, messaggi di testo o chiamate automatizzate, a meno che non si abbia la prova di un consenso esplicito (opt-in) concesso negli ultimi sei mesi dove è specificato il nome della propria attività.
Se raccogli il consenso dei minori, dovresti disporre di prove adeguate per dimostrare che hai preso provvedimenti per verificare l'età del minore e che hai ottenuto il consenso dei genitori.
È necessario tenere traccia di quando e come è stato ottenuto il consenso raccolto e l'oggetto esatto del consenso stesso.
Puoi mantenere un "elenco di soppressione" delle persone che non desiderano ricevere marketing. È necessario mantenere tale elenco aggiornato e accurato e valutare quali addetti possono accedervi.
Dovresti fornire una informativa sulla privacy agli interessati delineando:
Dovresti chiedere il consenso per trasmettere i dati di contatto a terze parti per il marketing e indicare i nominativi di ciacuna di esse.
È necessario tenere traccia di quando e come è stato ottenuto il consenso raccolto e l'oggetto esatto del consenso stesso.
Puoi mantenere un "elenco di soppressione" delle persone che non desiderano ricevere marketing. È necessario mantenere tale elenco aggiornato e accurato e valutare quali addetti possono accedervi.
Se terze parti agiscono come responsabili del trattamento che svolgono attività di marketing, dovresti avere stipulato specifici contratti per garantire la sicurezza di tutti i dati forniti.
Dovresti fornire una informativa sulla privacy agli interessati delineando:
Revocare il consenso deve essere facile come era stato concederlo. Ciò significa che il processo di revoca del consenso dovrebbe essere una procedura a singola fase facilmente accessibile. Se possibile, gli interessati dovrebbero essere in grado di ritirare il proprio consenso utilizzando lo stesso metodo di quando lo hanno dato.
È necessario conservare una traccia dettagliata per dimostrare la raccolta del consenso: chi ha acconsentito, quando, come e cosa è stato detto. Ciò faciliterà in qualsiasi momento la revoca del consenso da parte degli interessati.
Prendi in considerazione l'utilizzo di strumenti di gestione delle preferenze in modo che gli interessati possano accedervi e aggiornare le proprie impostazioni di consenso. Tieni sotto controllo i consensi raccolti e aggiornali se cambia qualcosa. Stabilisci revisioni regolari del consenso nei tuoi processi aziendali.
Gli interessati possono opporsi al marketing se utilizzi il legittimo interesse come criterio di liceità per il marketing diretto.
Gli interessati hanno il diritto di rinunciare al marketing (opt-out), se originariamente era stato applicato il criterio della scelta in ingresso debole (soft opt-in).
I dati personali in tuo possesso devono essere accurati e aggiornati. Ciò che rientra in queste categorie cambierà nel tempo e man mano che le esigenze della tua azienda cambieranno.
È necessario disporre di procedure atte a garantire la correzione o la rimozione periodica di qualsiasi dato personale utilizzato per il marketing diretto che sia inesatto o obsoleto.
È necessario adottare misure ragionevoli per garantire l'accuratezza dei dati personali raccolti per il marketing diretto e per far fronte alle sfide relative all'accuratezza dei dati personali degli interessati, le cui informazioni vengono acquisite nel tempo. Ciò dovrebbe consentire la modifica, la rimozione o la precisazione dei dati personali ove opportuno.
Laddove un interessato riscontri che i propri dati sono inesatti o ti chiede di cancellarli, allora dovresti disporre di procedure per assicurarti di rispondere alla sua richiesta entro un mese.
I dati raccolti attraverso attività di marketing diretto dovrebbero essere adeguati, pertinenti e limitati a quanto necessario. Se non prendi decisioni in merito a quali dati personali dovresti conservare per il marketing diretto, allora rischi di raccogliere dati in eccesso e di violare la privacy di un interessato, oppure potresti disporre di così poche informazioni da non garantire un efficace processo decisionale su tali soggetti. Ancora una volta ciò che è adeguato, pertinente e non eccessivo cambierà con le esigenze aziendali.
È necessario identificare quali tipi di archivi o insiemi di dati sono raccolti ed elaborati a seguito di attività di marketing diretto, quale tipo di informazione è conservato da questi archivi e quindi scartare, eliminare o anonimizzare i dati personali all'interno di archivi in tuo possesso non appena diventano eccedenti le tue esigenze.
Dopo aver identificato i tipi di archivi o insiemi di dati in tuo possesso, è possibile assegnare i periodi di conservazione. È quindi possibile distruggere gli archivi in modo sicuro alla fine dei rispettivi periodi.
È necessario selezionare i numeri delle chiamate di marketing controllando in tempo reale il registro delle opposizioni.
Se non si effettuano chiamate con riferimento a un database attivo e si creano invece elenchi di chiamate, è necessario aggiornarle regolarmente poiché lo stato del consenso potrebbe cambiare.
All'inizio di ogni chiamata di marketing, è necessario identificare la propria attività e fornire un indirizzo commerciale valido o un numero verde. Tali informazioni possono essere inserite nel contenuto di una registrazione automatica delle chiamate o quando richiesto durante una chiamata dal vivo.
Se la tua attività è una società di marketing diretto è necessario visualizzare il proprio numero di telefono quando si effettuano chiamate non richieste, anche se i call center hanno sede all'estero.
Le regole sulle chiamate automatizzate, chiamate effettuate da un sistema di composizione automatica che riproduce un messaggio registrato, sono più rigorose che su quelle dal vivo. Puoi effettuare queste chiamate solo a persone che hanno espressamente acconsentito a riceverle. Il consenso a ricevere chiamate dal vivo non è sufficiente. È improbabile che anche il consenso indiretto, ovvero il consenso originariamente concesso a terzi, sia sufficiente.
Tutte le chiamate automatizzate devono fornire l'identità del chiamante e un indirizzo di contatto o un numero di telefono gratuito. È necessario consentire la visualizzazione del proprio numero, o di un numero di contatto alternativo, alla persona che riceve la chiamata.
Non è necessario verificare la presenza del numero da chiamare nel registro delle opposizioni quando si effettuano chiamate automatizzate. Non fa alcuna differenza se un numero sia presente o meno. Anche se il numero non è nel registro delle opposizioni, non è possibile effettuare questo tipo di chiamata senza il consenso dell'interessato.
Devi assicurarti di avere il consenso preventivo (opt-in) per inviare messaggi di marketing elettronico tramite e-mail, messaggi di testo, immagini o video, o che sia applicabile il criterio della scelta in ingresso debole (soft opt-in).
Il criterio della scelta in ingresso debole (soft opt-in) consente di inviare messaggi di marketing o e-mail a clienti esistenti se:
Se si desidera contattare vecchi clienti su prodotti o servizi simili e il consenso è stato ottenuto utilizzando il criterio della scelta in ingresso debole (soft opt-in), è necessario effettuare controlli regolari per assicurarti che il consenso sia ancora valido.
Le organizzazioni no profit dovrebbero prestare particolare attenzione quando inviano comunicazioni di marketing tramite SMS o e-mail; questo perché l'eccezione costituita dal criterio della scelta in ingresso debole (soft opt-in) si applica solo al marketing commerciale di prodotti o servizi.
È necessario identificare la propria attività e fornire un metodo semplice per rinunciare a ricevere ulteriore marketing elettronico in ogni messaggio.
Dovresti mantenere il tuo elenco "da non contattare" per selezionare coloro che ti hanno comunicato direttamente che si oppongono alla ricezione di messaggi di marketing.
Se un interessato si oppone al tuo marketing, ai sensi del diritto di opporsi al trattamento dei propri dati personali sancito dal GDPR, è necessario assicurarti di disporre di procedure per soddisfare la sua richiesta entro il termine di un mese.
Non dovresti inviare fax di marketing a privati, incluse le ditte individuali e le società di persone, a meno che non abbiano espressamente acconsentito.
Non dovresti inviare fax di marketing a nessun numero presente nel resgistro delle opposizioni, a meno che il destinatario non abbia espressamente acconsentito alla ricezione di fax da parte tua.
Tutti i fax di marketing devono includere il nome della tua azienda e un indirizzo di contatto o un numero verde.
Ricorda che il risultato del test dipende dalle tue risposte alle domande che fanno riferimento ai diversi aspetti del trattamento dei dati personali. Serve pertanto a misurare la tua attenzione nei confronti dei diritti degli interessati e, anche se l'esito complessivo è positivo, ciò non significa che la tua attività sia realmente allineata alla norma.
Un mancato allineamento alle prescrizioni normative, anche solo per uno degli aspetti indagati nel corso del test, potrebbe comportare sanzioni. Per questo motivo è consigliabile prestare la massima attenzione ai punti sensibili individuati, per rimediare alle criticità emerse.
Domanda 1: La tua azienda ha definito e assegnato la responsabilità del rispetto della legislazione sulla protezione dei dati nello svolgimento di attività o ruoli di marketing diretto.
Domanda 2: La tua azienda ha approvato e pubblicato politiche e procedure di marketing diretto che comprendono la protezione dei dati e sono periodicamente riviste per garantire che rimangano idonee allo scopo.
Domanda 3: La tua azienda assicura una formazione sulla protezione dei dati a tutto il personale con responsabilità di marketing diretto, inclusi lavoratori a tempo determinato o collaboratori temporanei.
Domanda 4: La tua azienda ha ottenuto il consenso necessario per il marketing dagli interessati in conformità con la legislazione sulla protezione dei dati (GDPR).
Domanda 5: Se stai facendo affidamento sul legittimo interesse come criterio di liceità per le tue attività di marketing, la tua azienda ha eseguito il test in tre parti per la sua stima ed è conforme alle prescrizioni normative in vigore.
Domanda 6: La tua azienda ha richiesto garanzie sulle origini e l'accuratezza di eventuali elenchi di marketing acquistati per assicurarsi che siano compilati in modo equo e lecito.
Domanda 7: Se la tua azienda vende elenchi di marketing, tutti gli elenchi sono stati compilati in modo equo e lecito e rispecchiano accuratamente la volontà degli interessati.
Domanda 8: La tua azienda ha messo in atto meccanismi per garantire che gli interessati possano rinunciare facilmente al marketing (opt-out).
Domanda 9: La tua azienda ha adottato una politica e procedure di conservazione per i dati personali in tuo possesso per il marketing diretto.
Domanda 1: La tua azienda si identifica quando si effettuano chiamate di marketing dal vivo.
Domanda 2: La tua azienda si identifica quando effettua chiamate di marketing automatizzate e le effettua solo in conformità con i desideri espressi dai destinatari.
Domanda 3: La tua azienda si identifica durante l'invio di messaggi di marketing elettronico e si assicura di possedere l'autorizzazione preliminare e in corso di validità dei destinatari in conformità con la normativa vigente.
Domanda 4: La tua azienda invia posta di marketing solo a soggetti specifici che non si sono opposti alla ricezione di invii in linea con la normativa vigente.
Domanda 5: La tua azienda si identifica durante l'invio di fax di marketing e li invia solo in conformità con i desideri espressi dai destinatari secondo la normativa.
Migliore esperienza per i tuoi clienti, meno grattacapi per la tua organizzazione.
Disponibile immediatamente in modalità desktop e web.