CRM e Legge sulla protezione dei dati: gestire consensi, accesso e cancellazione

Il CRM come raccolta centrale di dati: principi e rischi

Dal 1° settembre 2023 è in vigore in Svizzera la legge rivista sulla protezione dei dati (LPD). Un sistema CRM raccoglie in un unico luogo dati di contatto, informazioni contrattuali e di fatturazione, corrispondenza, storico degli acquisti e reazioni alle campagne. Se questi dati riguardano una persona identificata o identificabile, il loro trattamento è soggetto alla LPD. I principi del trattamento sono prescritti dalla legge, non sono opzionali.

La liceità richiede una base giuridica: il consenso o l’interesse preponderante. La buona fede impone un trattamento trasparente e un’informativa sulla privacy aggiornata. La proporzionalità significa raccogliere solo i dati necessari e ridurre al minimo i campi obbligatori. La limitazione della finalità richiede di documentare lo scopo dell’utilizzo nel CRM.

L’esattezza presuppone una pulizia regolare dei dati. La limitazione della conservazione impone la cancellazione una volta raggiunto lo scopo, ad esempio tramite scadenze di cancellazione automatiche. La sicurezza dei dati richiede misure tecniche e organizzative come la crittografia e i controlli di accesso.

Il rischio di responsabilità non riguarda solo l’azienda: un articolo specialistico su CRM e LPD sottolinea che le violazioni possono essere sanzionate con multe fino a 250'000 franchi a carico della persona fisica responsabile, non dell’azienda. L’articolo specialistico di WEKA Recht sui sistemi CRM menziona un ulteriore rischio: il profiling e le analisi basate sull’intelligenza artificiale possono rendere necessaria una valutazione d’impatto sulla protezione dei dati.

La conformità alla LPD nel CRM non è un atto unico, ma un processo continuo. I principi devono essere radicati nella tecnologia, nei processi e nell’organizzazione: nelle definizioni dei campi, nei ruoli, nelle procedure di cancellazione e nei controlli ricorrenti.

Rischi di responsabilità LPD e quadro giuridico

Basi giuridiche e consensi: cosa serve per quale utilizzo del CRM?

Non ogni trattamento nel CRM richiede un consenso esplicito. L’esecuzione contrattuale – indirizzo di consegna, dati di fatturazione, comunicazione legata al contratto – copre gran parte dei dati CRM nell’ambito B2B. Essa non richiede un consenso separato.

Il cross-selling e l’upselling presso la clientela esistente si basano su un interesse preponderante, purché il cliente non si sia opposto e la ponderazione degli interessi sia documentata. Newsletter, campagne di marketing rivolte a non clienti e profiling richiedono invece un consenso esplicito e informato.

Gli obblighi legali possono persino imporre la conservazione: i documenti contabili, ad esempio, devono essere conservati per dieci anni. Questo obbligo prevale sul diritto alla cancellazione.

Decisiva è l’assegnazione per categoria di dati: per ogni finalità di trattamento – gestione contrattuale, assistenza, fatturazione, newsletter, profiling – viene stabilita la base giuridica su cui si fonda. Questa assegnazione deve figurare in una panoramica documentata e viene verificata per ogni nuova finalità, ogni nuovo campo e ogni nuova integrazione, prima che i dati vengano raccolti.

Laddove il consenso costituisca la base, valgono requisiti più severi rispetto alle altre basi giuridiche: deve essere esplicito e informato, documentato nel CRM e revocabile in qualsiasi momento. Chi lo nasconde nelle clausole in piccolo mescolandolo ad altre dichiarazioni o lo attiva come impostazione predefinita, non può farvi affidamento.

Documentare i consensi nel CRM in modo tracciabile e renderli revocabili

Un consenso ha valore solo quanto la sua documentazione. Ogni consenso prestato deve includere almeno la finalità concreta (ad esempio newsletter o trasmissione a partner commerciali), il momento, il canale di raccolta (modulo sul sito web, telefono, fiera, e-mail double opt-in), la versione del testo del consenso e lo stato.

Se il testo cambia in seguito, la vecchia versione rimane collegata al consenso dato all’epoca. Un nuovo consenso viene richiesto solo se la finalità precedente non è più coperta.

Le stesse informazioni devono accompagnare le richieste di accesso: chi contesta di non aver mai acconsentito può essere assistito correttamente solo se momento, fonte e versione del testo sono dimostrabili. In mancanza di prove, in caso di controversia vale l’affermazione della persona interessata contro quella del responsabile del trattamento.

La revoca deve essere semplice quanto la concessione e avere effetto immediato nel CRM: blocco del contatto per la finalità interessata, scioglimento dei segmenti e delle automazioni basate su tale consenso, registrazione della revoca con data. La revoca di un consenso di marketing non elimina tuttavia le altre basi giuridiche: i dati legati al contratto restano validi sulla base dell’esecuzione contrattuale o degli obblighi legali, nella misura in cui siano ancora necessari a tal fine.

Rispondere alle richieste di accesso entro 30 giorni

Secondo la LPD, ogni persona può chiedere al responsabile del trattamento di accedere ai propri dati, ovvero di sapere se vengono trattati dati personali che la riguardano e, se del caso, di ordinarne la cancellazione o la rettifica. La richiesta non deve essere motivata.

L’accesso viene generalmente concesso gratuitamente entro 30 giorni. Se una richiesta comporta un onere sproporzionato, sono possibili tasse fino a 300 franchi.

Per il CRM questo significa: una singola persona deve poter essere ricercata, esportata e presentata in modo comprensibile attraverso tutti i sistemi, campi, campagne e collegamenti.

Secondo le indicazioni del Commissario federale alla protezione dei dati e alla trasparenza (IFPDT), l’accesso comprende almeno l’identità e i dati di contatto del responsabile del trattamento, i dati personali trattati e la finalità del trattamento. Si aggiungono la durata della conservazione o, se non determinabile, i criteri per stabilirla, nonché le informazioni disponibili sull’origine dei dati, purché non siano stati raccolti direttamente presso la persona interessata.

Vanno inoltre indicati i destinatari o le categorie di destinatari. Se i destinatari si trovano all’estero, vanno specificati lo Stato e le garanzie previste o l’applicazione di un’eccezione. In caso di decisione individuale automatizzata, occorre informare sulla sua esistenza e sulla logica sottostante.

L’accesso può essere rifiutato, limitato o differito, in particolare per interessi privati o pubblici preponderanti; il responsabile del trattamento deve motivare tale decisione. Presso gli organi federali viene emessa una decisione contro la quale è possibile presentare reclamo. Nelle controversie ai sensi della LPD non vengono addebitate spese giudiziarie, il che facilita l’applicazione dei diritti degli interessati.

Nella pratica conta più il processo che la situazione giuridica: un punto di contatto definito, la verifica dell’identità della persona che fa la richiesta, un modulo standard per la risposta, una checklist delle indicazioni obbligatorie e un monitoraggio dei termini che conteggia i 30 giorni dal ricevimento.

L’articolo specialistico di WEKA Recht sottolinea che i diritti degli interessati, come l’accesso e la consegna dei dati, devono essere soddisfatti entro 30 giorni. Una funzione di esportazione per persona è quindi un criterio di acquisto per ogni CRM.

Cancellazione e conservazione: attuare praticamente la limitazione della conservazione

Limitazione della conservazione significa: i dati vanno cancellati non appena la finalità è raggiunta, attuato tramite scadenze di cancellazione automatiche. Il principio dell’esattezza richiede inoltre una pulizia regolare dei dati, affinché indirizzi, funzioni e canali di contatto rimangano aggiornati. Entrambi gli aspetti fanno parte della stessa routine: un contatto che non reagisce da anni non è utile né al marketing né a un eventuale esercizio del diritto di accesso.

All’interesse alla cancellazione si contrappongono gli obblighi legali di conservazione: i documenti contabili, ad esempio, devono essere conservati per dieci anni e questo obbligo prevale sul diritto alla cancellazione. Un concetto di cancellazione distingue quindi per categorie di dati: dati lead e di marketing senza riferimento contrattuale, dati contrattuali e di comunicazione, dati di fatturazione e contabili. Per ogni categoria vengono definiti il motivo della conservazione, il termine, il ruolo responsabile e il meccanismo di cancellazione; nel CRM deve essere visibile a quale categoria appartiene ciascun set di dati.

Le richieste di rettifica e cancellazione seguono lo stesso schema: identificare la persona in tutti i sistemi, riunire i dati e le finalità interessati, verificare se un obbligo di conservazione o un interesse preponderante si opponga, rettificare o cancellare i dati e documentare la misura con la data. Se una richiesta viene respinta totalmente o parzialmente, ciò va motivato in modo tracciabile e riferito alla limitazione concreta.

Tecnicamente questo significa: la cancellazione non avviene solo nel record attivo, ma anche nei segmenti, nelle liste delle campagne, nei collegamenti, nei cicli di backup e nelle esportazioni. Se i backup superano i termini di conservazione, va stabilito che i record cancellati vengano eliminati nuovamente in caso di ripristino, altrimenti ritornano con ogni restore.

Trattamento per conto terzi e CRM cloud: tutelare fornitori ed esportazione dei dati

Se l’azienda gestisce il proprio CRM presso un fornitore, quest’ultimo tratta i dati personali per suo conto. Secondo l’articolo specialistico di WEKA Recht sui sistemi CRM, è obbligatorio stipulare un contratto di trattamento per conto terzi con il fornitore del CRM.

Esso regola l’oggetto e la durata del trattamento, la finalità, le categorie dei dati e delle persone interessate, nonché le misure di sicurezza del trattante. Vanno regolati anche il coinvolgimento di subappaltatori con riserva di approvazione, il supporto nelle richieste di accesso, rettifica e cancellazione, la restituzione o cancellazione dei dati dopo la fine del contratto, il vincolo alle istruzioni e i diritti di controllo. In questo modo il responsabile del trattamento può verificare il rispetto delle norme.

Particolarmente critici sono, secondo la stessa fonte, gli export di dati verso paesi terzi come gli USA; tali trasmissioni richiedono l’adesione allo Swiss-U.S. Data Privacy Framework o clausole contrattuali tipo. Per le richieste di accesso questo è direttamente rilevante: se i destinatari si trovano all’estero, la persona interessata deve essere informata sullo Stato e sulle garanzie previste o sull’applicazione di un’eccezione.

Chi gestisce il CRM con server negli USA, accessi di assistenza da paesi terzi o strumenti di marketing esterni, registra quindi per ogni flusso di dati dove vanno i dati e su cosa si basa la trasmissione.

Il profiling e le analisi basate sull’IA possono rendere necessaria una valutazione d’impatto sulla protezione dei dati (VIPD) – nel CRM ad esempio il lead scoring, la segmentazione automatizzata con riferimento alla personalità o algoritmi di suggerimento che preparano decisioni. Se si verifica un tale trattamento, finalità, necessità, rischi per le persone interessate e misure di mitigazione vanno esaminati per iscritto prima che la funzione diventi operativa.

Da verificare contrattualmente e tecnicamente sono anche le dipendenze dai fornitori: dove risiedono i dati, chi vi ha accesso, come vengono segnalati i subappaltatori, quanto rapidamente i dati possono essere esportati in caso di cambio fornitore e cancellati presso il fornitore precedente. Questi punti appartengono al capitolato d’oneri, non alla rinegoziazione successiva.

Checklist per processi CRM conformi alla LPD

Accesso e sicurezza: le autorizzazioni basate sui ruoli limitano l’accesso ai set di dati necessari per un compito. La crittografia durante il trasporto e a riposo protegge i dati; gli accessi e le esportazioni vengono registrati. Un processo per l’uscita dei dipendenti chiude immediatamente gli account. Crittografia e controlli di accesso sono le misure tecniche e organizzative usualmente citate nel CRM per il principio della sicurezza dei dati.

Minimizzazione dei dati e finalità: limitare i campi obbligatori a quanto necessario per il rispettivo processo. Utilizzare i campi di testo libero solo con indicazione documentata della finalità. Registrare visibilmente nel CRM la finalità di utilizzo per ogni trattamento e depositare la base giuridica per ogni finalità: esecuzione contrattuale, interesse preponderante, obbligo legale o consenso esplicito. Ogni nuova fonte integrata (moduli, chat, stand fieristico, strumento per newsletter) viene verificata per finalità e base giuridica prima del collegamento.

Ciclo di vita: definire e automatizzare le scadenze di cancellazione per categoria di dati; pulire regolarmente i dati; documentare il processo di accesso e cancellazione con monitoraggio dei termini e risposte standard; eseguire un test run almeno una volta all’anno. Un accesso che non può essere compilato in 30 giorni è un errore di processo, non un caso isolato.

Contratti e organizzazione: mantenere aggiornato il contratto di trattamento per conto terzi con il fornitore del CRM e con tutti gli strumenti che trattano dati personali; documentare i trasferimenti verso paesi terzi con Stato e garanzia; verificare, in caso di profiling o analisi supportate dall’IA, se sia necessaria una valutazione d’impatto sulla protezione dei dati.

I ruoli vanno nominati esplicitamente: chi decide sulle finalità, chi risponde alle richieste di accesso, chi autorizza le cancellazioni. Tutte le persone con accesso al CRM vengono formate su questi processi. La configurazione viene verificata periodicamente, poiché ogni nuova automazione, ogni nuovo campo e ogni nuova integrazione possono modificare la valutazione.