Protezione dei dati per i fornitori commerciali
Chi, in qualità di imprenditore, tratta dati personali di potenziali clienti, clienti, dipendenti o altre persone deve rispettare il Regolamento generale sulla protezione dei dati (RGPD) e, ove applicabili, ulteriori disposizioni in materia di protezione dei dati.
Ciò vale anche per i dati personali che un fornitore commerciale riceve in relazione a un annuncio o a un contatto tramite Suchen.Expert.
Suchen.Expert serve alla pubblicazione di annunci, alla messa in contatto e alla comunicazione tra utenti. L'utilizzo della piattaforma non autorizza un fornitore commerciale a utilizzare i dati personali ricevuti senza limiti o per qualsiasi altro scopo.
1. Che cosa sono i dati personali?
I dati personali sono informazioni relative a una persona fisica identificata o identificabile.
Possono comprendere, ad esempio:
nome e indirizzo,
numero di telefono e indirizzo e-mail,
messaggi e contenuti delle comunicazioni,
dati di consegna e fatturazione,
informazioni sui pagamenti,
identificativi degli utenti,
fotografie o altre informazioni che consentono di identificare una persona.
Il RGPD protegge in linea di principio i dati delle persone fisiche. Le informazioni relative a una persona giuridica in quanto tale non rientrano automaticamente nel suo ambito di applicazione. Tuttavia, i dati delle persone fisiche che fungono da referenti di un'impresa, ad esempio il nome, l'indirizzo e-mail aziendale o il numero di telefono di un dipendente, possono essere dati personali.
2. I dati personali richiedono una base giuridica
I dati personali non possono essere trattati per il solo fatto di essere tecnicamente disponibili.
Ai sensi dell'art. 6 RGPD, il trattamento è lecito soltanto se esiste una base giuridica prevista dalla legge. Sono rilevanti, in particolare:
il consenso dell'interessato,
il trattamento per l'esecuzione di un contratto o di misure precontrattuali,
l'adempimento di un obbligo legale oppure
il perseguimento di legittimi interessi, purché non prevalgano interessi o diritti contrari dell'interessato.
Nel caso di una richiesta di un potenziale cliente, il trattamento dei dati necessari per rispondere e, eventualmente, per un successivo contratto può basarsi in particolare sull'art. 6, par. 1, lett. b), RGPD, purché ricorrano le condizioni di legge.
3. Dati provenienti da un contatto tramite Suchen.Expert
Se un utente contatta un fornitore commerciale tramite Suchen.Expert, i dati così ricevuti possono essere trattati, in particolare, per gestire tale richiesta e, nella misura necessaria, per avviare ed eseguire la relativa operazione commerciale.
Esempio:
Un potenziale cliente chiede a un fornitore commerciale informazioni su un prodotto offerto tramite Suchen.Expert. Il fornitore può utilizzare i dati di contatto necessari per rispondere alla richiesta e per un'eventuale esecuzione del contratto.
Il contatto, tuttavia, non significa automaticamente che il potenziale cliente abbia acconsentito a un ulteriore utilizzo dei propri dati.
In particolare, senza una specifica base giuridica, i dati di contatto non possono essere riutilizzati per altri scopi, trasmessi a terzi o inseriti in liste di distribuzione a fini pubblicitari.
Il RGPD richiede, tra l'altro, la limitazione della finalità e la minimizzazione dei dati: i dati possono essere trattati per finalità determinate e legittime e devono essere limitati a quanto necessario per tali finalità.
4. Nessun consenso automatico alla pubblicità
Una richiesta tramite Suchen.Expert non costituisce, in particolare, un consenso generale alla pubblicità.
Chi riceve, ad esempio, un indirizzo e-mail per rispondere a una richiesta specifica o per eseguire un contratto non può, per questo solo motivo, utilizzarlo successivamente a propria discrezione per newsletter o altri messaggi pubblicitari.
Per la pubblicità mediante posta elettronica, il § 7 UWG richiede in linea di principio un previo consenso espresso. Una limitata eccezione sussiste, alle condizioni del § 7, comma 3, UWG, per la pubblicità rivolta a clienti esistenti relativa a propri prodotti o servizi analoghi. Devono essere soddisfatte tutte le condizioni ivi indicate.
Occorre inoltre verificare separatamente la liceità del trattamento ai sensi della normativa sulla protezione dei dati.
5. Raccogliere soltanto i dati necessari
Gli imprenditori dovrebbero richiedere soltanto i dati personali di cui hanno effettivamente bisogno per la rispettiva finalità.
Per una semplice richiesta, ad esempio, di norma non sono necessarie copie di documenti d'identità, documenti bancari o altre informazioni personali particolarmente estese.
Il principio di minimizzazione dei dati sancito dall'art. 5 RGPD richiede che i dati personali siano adeguati, pertinenti e limitati a quanto necessario rispetto alla finalità.
Occorre particolare cautela con le informazioni sensibili. In particolare, i dati non dovrebbero essere pubblicati in un annuncio o in un profilo aziendale quando ciò non è necessario e manca una base giuridica sufficiente.
6. Informative sulla protezione dei dati dell'imprenditore
Gli imprenditori che raccolgono e trattano autonomamente dati personali devono verificare quali obblighi informativi devono adempiere nei confronti degli interessati.
Se i dati personali sono raccolti direttamente presso l'interessato, l'art. 13 RGPD prevede i relativi obblighi informativi. Questi comprendono, in particolare, informazioni sul titolare del trattamento, sulle finalità e sulle basi giuridiche del trattamento, nonché ulteriori indicazioni prescritte dalla legge.
Se i dati personali non sono raccolti direttamente presso l'interessato, può trovare applicazione l'art. 14 RGPD.
I fornitori commerciali dovrebbero quindi verificare se, per il proprio trattamento dei dati, necessitano di una propria dichiarazione o informativa sulla protezione dei dati.
L'informativa sulla privacy di Suchen.Expert non sostituisce automaticamente le informazioni che il rispettivo imprenditore deve fornire in relazione al proprio trattamento dei dati personali.
7. Responsabilità di Suchen.Expert e dell'imprenditore
Suchen.Expert tratta dati personali in relazione al funzionamento della piattaforma conformemente alle disposizioni sulla protezione dei dati applicabili a Suchen.Expert.
Da questo trattamento va distinto quello svolto autonomamente da un fornitore commerciale.
Se l'imprenditore decide autonomamente per quali proprie finalità e in quale modo trattare i dati dei clienti ricevuti, può essere egli stesso titolare di tale trattamento ai sensi del RGPD. Ai sensi dell'art. 4, punto 7, RGPD, il titolare del trattamento è, in linea di principio, il soggetto che determina, da solo o insieme ad altri, le finalità e i mezzi di un trattamento.
Il semplice utilizzo di Suchen.Expert non implica quindi automaticamente che Suchen.Expert sia responsabile del trattamento per conto dell'utente commerciale o che l'utente commerciale sia responsabile del trattamento per conto di Suchen.Expert.
Il ruolo ai fini della protezione dei dati dipende dal trattamento concreto e dai compiti effettivi dei soggetti coinvolti.
8. Comunicazione dei dati dei clienti
I dati personali possono essere comunicati a terzi soltanto in presenza di una base giuridica sufficiente.
Nell'ambito dell'esecuzione di un contratto, può ad esempio essere necessario trasmettere determinati dati a un fornitore di servizi di spedizione affinché la merce ordinata possa essere consegnata.
Anche la comunicazione a consulenti fiscali, fornitori di servizi di pagamento o altri prestatori di servizi può essere lecita, a seconda della finalità e della configurazione giuridica.
Occorre tuttavia verificare quale ruolo rivesta il rispettivo destinatario ai fini della protezione dei dati.
Se un prestatore di servizi esterno tratta dati personali esclusivamente per conto dell'imprenditore, può sussistere un rapporto di trattamento per conto del titolare ai sensi dell'art. 28 RGPD. In tal caso è, in linea di principio, necessario un contratto corrispondente o un altro atto giuridico conforme ai requisiti dell'art. 28 RGPD.
Non tutti i prestatori di servizi esterni sono però automaticamente responsabili del trattamento.
9. Conservazione e cancellazione
In linea di principio, i dati personali non possono essere conservati senza limiti di tempo.
L'art. 5 RGPD richiede che il periodo di conservazione sia limitato al tempo necessario per le rispettive finalità del trattamento.
Ciò non significa, tuttavia, che i dati dei clienti debbano essere cancellati integralmente subito dopo la conclusione di un'operazione commerciale.
Gli obblighi legali di conservazione, ad esempio per fatture, documenti contabili o documentazione commerciale, possono richiedere l'ulteriore conservazione di determinati dati.
Gli imprenditori dovrebbero quindi distinguere tra:
dati ancora necessari per adempiere agli obblighi legali di conservazione e
dati per la cui ulteriore conservazione non sussistono più una finalità e una base giuridica.
I dati personali non più necessari dovrebbero essere cancellati conformemente alle disposizioni di legge o, ove opportuno, il loro trattamento dovrebbe essere limitato.
10. Trattamento sicuro
Gli imprenditori devono proteggere adeguatamente i dati personali da perdita, utilizzo non autorizzato e accesso illegittimo.
L'art. 32 RGPD richiede misure tecniche e organizzative adeguate, tenendo conto in particolare del rischio, dello stato dell'arte e della natura del trattamento. A seconda del rischio concreto, tali misure possono comprendere, ad esempio, cifratura, limitazioni di accesso, copie di sicurezza e procedure per verificare regolarmente le misure di sicurezza.
Per l'utilizzo di Suchen.Expert, ciò significa in particolare che gli utenti commerciali dovrebbero proteggere le proprie credenziali e consentire l'accesso al proprio account aziendale soltanto a persone autorizzate.
Se le informazioni personali vengono esportate o trasferite da Suchen.Expert nei propri sistemi, anche in questi ultimi deve essere garantito un livello di protezione adeguato.
11. Diritti di accesso all'interno dell'impresa
Non tutti i dipendenti di un'impresa dovrebbero avere automaticamente accesso a tutti i dati dei clienti.
Gli accessi dovrebbero dipendere dai dati di cui una persona ha bisogno per svolgere il proprio compito.
Se un dipendente lascia l'impresa o non necessita più di un accesso, le sue autorizzazioni dovrebbero essere verificate tempestivamente e, se necessario, revocate.
Le password o gli accessi personali degli utenti non dovrebbero essere condivisi senza controllo tra più persone.
12. Diritti degli interessati
Il RGPD riconosce diversi diritti alle persone i cui dati vengono trattati.
Tra questi rientrano, alle rispettive condizioni di legge, in particolare i diritti di accesso, rettifica, cancellazione, limitazione del trattamento e portabilità dei dati, nonché il diritto di opposizione a determinati trattamenti.
Un fornitore commerciale deve gestire le richieste degli interessati conformemente alle disposizioni di legge, nella misura in cui sia titolare del trattamento in questione.
Occorre innanzitutto chiarire se la richiesta riguardi un trattamento effettuato dall'imprenditore oppure da Suchen.Expert stessa.
13. Violazioni dei dati personali
La perdita di dati personali, il loro invio accidentale a un destinatario errato o l'accesso da parte di persone non autorizzate possono costituire una violazione dei dati personali.
Se è probabile un rischio per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve, in linea di principio, notificare la violazione all'autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. L'art. 33 RGPD contiene i relativi requisiti di legge.
Se è probabile un rischio elevato per i diritti e le libertà degli interessati, può essere inoltre necessario informare tempestivamente le persone interessate.
Le violazioni dei dati personali devono anche essere documentate conformemente all'art. 33, par. 5, RGPD.
14. Propri prestatori di servizi e software
Chi, in qualità di imprenditore, utilizza inoltre propri
servizi cloud, sistemi CRM, servizi di newsletter, software di contabilità, programmi di analisi, servizi di comunicazione o altri sistemi esterni
per i dati dei clienti deve verificare autonomamente tale trattamento sotto il profilo della protezione dei dati.
Possono essere rilevanti, in particolare:
base giuridica, trattamento per conto del titolare, misure tecniche e organizzative, termini di conservazione ed eventuali trasferimenti di dati al di fuori dello Spazio economico europeo.
Il fatto che i dati siano stati originariamente ricevuti tramite Suchen.Expert non esonera l'imprenditore da tali obblighi.
15. Nessuna pubblicazione dei dati dei clienti
In linea di principio, i dati personali di potenziali clienti o clienti non possono essere pubblicati in annunci, recensioni, profili aziendali o altre aree accessibili al pubblico senza una base giuridica sufficiente.
Ciò riguarda, in particolare:
nomi, indirizzi privati, numeri di telefono, indirizzi e-mail, fotografie, cronologie dei messaggi e informazioni relative a pagamenti o contratti.
Anche le schermate di una comunicazione possono contenere dati personali.
Chi desidera, ad esempio, pubblicare un messaggio positivo di un cliente come referenza o testimonianza deve quindi verificare preventivamente se sussista una base giuridica sufficiente.
Protezione dei dati su Suchen.Expert
Suchen.Expert mette a disposizione la piattaforma tecnica per annunci, messa in contatto e comunicazione.
Ai trattamenti di dati che Suchen.Expert effettua direttamente in relazione al funzionamento della piattaforma si applicano le informative sulla protezione dei dati di Suchen.Expert.
Se invece un utente commerciale tratta dati personali per proprie finalità aziendali, è personalmente responsabile del rispetto dei requisiti applicabili in materia di protezione dei dati, nella misura in cui sia titolare di tale trattamento.
In particolare, i dati di contatto ricevuti tramite Suchen.Expert non possono essere utilizzati per pubblicità, liste di distribuzione esterne, pubblicazione o altre nuove finalità per il solo fatto che l'utente interessato abbia precedentemente preso contatto tramite la piattaforma.
Queste indicazioni hanno una funzione di orientamento generale e non sostituiscono una verifica, sotto il profilo della protezione dei dati, delle specifiche attività di trattamento di un'impresa.
