Cos'è il GDPR? Guida semplice per chi costruisce app

Il GDPR (Regolamento generale sulla protezione dei dati) è la principale legge dell'Unione europea sulla protezione dei dati. Stabilisce regole su come le organizzazioni raccolgono, usano, conservano e condividono i dati personali — qualsiasi informazione riferita a una persona fisica identificabile — e riconosce alle persone diritti sui propri dati, come vederli o farli cancellare. Si applica dal 25 maggio 2018 e può valere anche per le aziende fuori dall'UE se servono persone che si trovano nell'Unione.

Non è consulenza legale. Questa guida è una spiegazione generale per aiutarti a capire le basi e a porre domande migliori. Non sostituisce un parere sulla tua situazione. Per dettagli autorevoli, vedi le pagine sulla protezione dei dati della Commissione europea e la guida per le piccole imprese del Comitato europeo per la protezione dei dati.

Perché conta quando costruisci con l'AI

Gli AI builder rendono facilissimo raccogliere dati. Con un solo prompt ottieni un modulo di registrazione, un modulo di contatto, analytics, caricamenti di file e un pannello di amministrazione che elenca ogni utente. Ognuno di questi raccoglie dati personali, e il GDPR si occupa di tutti.

La buona notizia è che gran parte di ciò che il GDPR chiede coincide con le buone pratiche di prodotto:

Raccogli solo ciò che ti serve davvero.
Spiega alle persone cosa ne fai.
Proteggili.
Eliminali quando non ti servono più.
Permetti alle persone di vedere, correggere o rimuovere i propri dati.

È molto più facile progettarli fin dall'inizio che aggiungerli dopo il lancio. Fare le domande giuste al tuo AI builder fin da subito ti evita una riscrittura dolorosa in seguito.

Un'analogia quotidiana

Pensa ai dati personali come agli oggetti che le persone ti lasciano in custodia — come un guardaroba, ma per le informazioni. Il GDPR è il regolamento interno del guardaroba:

Prendi solo ciò che la persona ha accettato di lasciare, per un motivo che capisce.
Non frugare nelle tasche per altri usi.
Tieni la stanza chiusa a chiave.
Restituisci le cose, o buttale, quando te lo chiedono o quando non ti servono più.
Se qualcosa viene rubato, avvisa tempestivamente le persone giuste.

Sei responsabile dei cappotti finché sono in tua custodia, anche se hai assunto qualcun altro per gestire la stanza.

I concetti di base

Cosa sono i dati personali

La Commissione europea definisce i dati personali come qualsiasi informazione che si riferisce a una persona fisica identificata o identificabile. È una definizione ampia. Include nomi, indirizzi email, indirizzi di casa, indirizzi IP, ID dei cookie e fotografie. I dati «pseudonimizzati» — per esempio nomi sostituiti da codici — possono comunque essere dati personali se è possibile ricollegarli a una persona.

Alcune categorie godono di una protezione extra, tra cui i dati sulla salute, i dati biometrici, l'origine razziale o etnica e le opinioni politiche.

A chi si applica

Secondo la Commissione, il GDPR si applica alle organizzazioni stabilite nell'UE e alle organizzazioni al di fuori dell'UE che offrono beni o servizi a persone nell'UE (a pagamento o gratuitamente) o ne monitorano il comportamento. Una startup statunitense o emiratina con clienti europei potrebbe rientrarvi. Il Regno Unito ha una propria versione, lo UK GDPR, che si basa strettamente su di esso.

I principi

Il GDPR si fonda su un breve elenco di principi. In parole semplici:

Principio	Cosa significa per la tua app
Liceità, correttezza, trasparenza	Avere un motivo valido per il trattamento e spiegare chiaramente alle persone cosa fai.
Limitazione della finalità	Usare i dati per i motivi per cui li hai raccolti, non per nuove sorprese.
Minimizzazione dei dati	Non raccogliere campi che non ti servono.
Esattezza	Mantenere i dati corretti e permettere alle persone di correggerli.
Limitazione della conservazione	Non conservare i dati per sempre; eliminali quando non ti servono più.
Integrità e riservatezza	Proteggerli da perdite e accessi non autorizzati.
Responsabilizzazione	Essere in grado di dimostrare come rispetti le regole.

Le basi giuridiche

Ti serve una ragione giuridica — una «base giuridica» — per ogni modo in cui usi i dati personali. Il GDPR ne elenca sei: consenso, esecuzione di un contratto, obbligo legale, interessi vitali, compito di interesse pubblico e legittimo interesse. Il consenso è solo una di queste. Trattare un ordine per consegnarlo, per esempio, di solito riguarda il contratto, non il consenso. Quale base sia adatta è una valutazione da verificare con le linee guida ufficiali.

I diritti delle persone

La Commissione elenca questi diritti per le persone:

Essere informate su come vengono usati i loro dati
Accedere ai propri dati
Farli correggere
Farli cancellare
Limitarne il trattamento
Alla portabilità dei dati (ottenerli in un formato utilizzabile)
Opporsi
Diritti legati alle decisioni automatizzate e alla profilazione

Violazioni dei dati

Se dei dati personali vengono divulgati e la violazione rischia di mettere a rischio i diritti e le libertà delle persone, l'organizzazione generalmente deve notificarla alla propria autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuta a conoscenza. In alcuni casi, anche le persone interessate devono esserne informate.

Un esempio pratico: un'app di prenotazioni per uno studio di yoga

Immagina di costruire un'app di prenotazioni per uno studio di yoga con clienti in Germania. Ecco come il GDPR ne plasma la struttura.

Raccogli meno dati. Il modulo di registrazione chiede nome, email e un numero di telefono facoltativo. La prima bozza chiedeva anche data di nascita e indirizzo di casa — nulla nell'app li usa, quindi sono stati rimossi.

I dati sulla salute richiedono attenzione. Lo studio vuole chiedere delle lesioni. Sono dati sulla salute, una categoria speciale con regole più severe. Lo studio decide di gestirle di persona, quindi l'app non le raccoglie.

Sii trasparente. Un'informativa sulla privacy spiega cosa viene raccolto, perché, per quanto tempo viene conservato, quali altri soggetti li trattano (il fornitore di hosting, il servizio email, il fornitore di pagamenti) e come contattare lo studio.

Il marketing è separato. Prenotare una lezione non iscrive nessuno alla newsletter. C'è una casella separata, non preselezionata, per quello.

Diritti nel prodotto. I clienti possono vedere e modificare il proprio profilo, scaricare lo storico delle prenotazioni e chiedere la cancellazione dalla pagina del proprio account.

Conservazione. Gli account inattivi vengono segnalati dopo un periodo stabilito e rimossi se il cliente non risponde. Il periodo lo sceglie lo studio.

Cookie. Il cookie di accesso è necessario. Gli analytics si caricano solo dopo che il visitatore li ha accettati. Vedi cosa sono i cookie.

Sicurezza. Le password sono sottoposte ad hash, l'area di amministrazione richiede l'autenticazione a due fattori, e solo il proprietario può esportare gli elenchi dei clienti.

Termini comuni spiegati

Termine	Significato
Dati personali	Qualsiasi informazione su una persona fisica identificata o identificabile.
Trattamento	Qualsiasi operazione sui dati personali: raccolta, conservazione, uso, condivisione, cancellazione.
Interessato	La persona a cui si riferiscono i dati.
Titolare del trattamento	L'organizzazione che decide perché e come i dati vengono trattati — di solito tu, proprietario dell'app.
Responsabile del trattamento	Un'azienda che tratta i dati per conto del titolare, come un fornitore di hosting o di email.
Accordo sul trattamento dei dati (DPA)	Un contratto tra titolare e responsabile che stabilisce come vengono gestiti i dati.
Base giuridica	La ragione legale del trattamento, come il consenso o il contratto.
Consenso	Un «sì» libero, specifico, informato e chiaro; le caselle preselezionate non valgono.
Dati di categoria particolare	Dati sensibili come quelli sulla salute o biometrici, con regole più severe.
Autorità di controllo	L'autorità di regolamentazione per la protezione dei dati di un Paese.

Errori comuni e idee sbagliate

«Non siamo nell'UE, quindi non si applica.» Può applicarsi in base a dove si trovano i tuoi utenti.
«Il GDPR significa consenso per tutto.» Il consenso è una delle sei basi giuridiche, e spesso non è quella giusta.
«Un banner dei cookie ci rende conformi.» I cookie sono una parte piccola. Raccolta dei dati, sicurezza, diritti e conservazione contano di più.
«Il nostro host è conforme al GDPR, quindi lo siamo anche noi.» I fornitori aiutano, ma sei tu a decidere cosa raccoglie la tua app e cosa ne fa.
Raccogliere dati «per sicurezza». Ogni campo in più è un dato in più da proteggere, spiegare ed eliminare.
Copiare l'informativa sulla privacy di un altro sito. Deve descrivere ciò che la tua app fa davvero.
Rendere impossibile la cancellazione. Se nessuno può eliminare un utente senza uno sviluppatore, le richieste sui diritti diventano emergenze.

Cosa chiedere al tuo AI builder

«Elenca ogni dato personale che questa app raccoglie, dove viene conservato e perché serve.»
«Rimuovi i campi del modulo che non usiamo.»
«Aggiungi una pagina account in cui gli utenti possono vedere, modificare e scaricare i propri dati e chiederne la cancellazione.»
«Crea un'azione di amministrazione che elimini completamente un utente e i suoi record collegati, oppure anonimizzi i record che dobbiamo conservare.»
«Mantieni l'iscrizione al marketing come casella separata, non preselezionata.»
«Non caricare gli script di analytics o marketing prima del consenso.»
«Elenca ogni servizio di terze parti che riceve dati degli utenti, così posso inserirli nell'informativa sulla privacy.»
«Limita le esportazioni dell'amministrazione al ruolo di proprietario e registra chi ha esportato cosa.»

Poi leggi come scrivere termini di servizio e un'informativa sulla privacy e come aggiungere il consenso ai cookie.

Mythex ti fornisce i mattoni, non un certificato di conformità. I dati della tua app vivono nel database di progetto e nello storage dei file dedicati quando li attivi, sei proprietario del codice e, con il piano Pro, puoi esportare il progetto se devi spostarlo. Cosa raccoglie la tua app, per quanto tempo lo conserva e come le persone esercitano i propri diritti sono decisioni che prendi tu — e che chiedi all'agente di costruire. La pagina della documentazione sulla proprietà dei dati spiega cosa ospita Mythex, e sicurezza per le app che costruisci mette in guardia dal dichiarare una conformità che non si possiede. Se ti servono dettagli specifici, come dove vengono ospitati i dati o un accordo sul trattamento dei dati, chiedi al supporto Mythex prima del lancio.

Domande

Cos'è il GDPR in parole semplici?

Il Regolamento generale sulla protezione dei dati (GDPR) è la principale legge dell'Unione europea sulla protezione dei dati. Stabilisce regole su come le organizzazioni raccolgono, usano, conservano e condividono le informazioni sulle persone, e riconosce a queste ultime diritti sui propri dati. Si applica dal 25 maggio 2018.

Il GDPR si applica anche alle aziende fuori dall'UE?

Sì, può essere così. Secondo la Commissione europea, si applica alle organizzazioni al di fuori dell'UE che offrono beni o servizi a persone nell'UE, anche gratuitamente, o che ne monitorano il comportamento. Non conta solo dove si trova la tua sede; conta anche chi sono i tuoi utenti.

Un indirizzo email è un dato personale?

Sì. I dati personali sono tutte le informazioni che si riferiscono a una persona fisica identificata o identificabile. Nomi, indirizzi email, indirizzi IP e ID dei cookie possono rientrarvi.

Usare un host conforme al GDPR rende conforme la mia app?

No. Un host può favorire la conformità, ma sei tu a decidere quali dati raccoglie la tua app, perché, per quanto tempo li conserva e chi li vede. Queste scelte spettano a te, e devi farle bene.

Questa guida è consulenza legale?

No. È una spiegazione generale per aiutarti a porre domande migliori. Per la tua situazione specifica, consulta le linee guida ufficiali dell'UE o della tua autorità nazionale per la protezione dei dati, oppure rivolgiti a un consulente qualificato.