Se raccogliete dati personali tramite un modulo di contatto — e quasi tutti i moduli di contatto lo fanno — il GDPR (Regolamento Generale sulla Protezione dei Dati) si applica a voi se alcuni dei vostri visitatori si trovano nell'Unione Europea. Questo vale indipendentemente da dove ha sede la vostra azienda.
La conformità al GDPR per i moduli di contatto non è così complicata come potrebbe sembrare, ma richiede elementi specifici che molte aziende trascurano o implementano in modo errato. Questa guida tratta cosa vi serve, perché esiste e come implementarlo correttamente.
Perché i Moduli di Contatto Sono nel Campo di Applicazione
Un modulo di contatto raccoglie dati personali — come minimo un indirizzo email e tipicamente un nome, il contenuto del messaggio e a volte un numero di telefono o un'azienda. Ai sensi del GDPR, qualsiasi raccolta di dati personali da residenti nell'UE richiede:
- Una base giuridica per il trattamento
- Trasparenza — informare le persone di come verranno utilizzati i loro dati
- Minimizzazione dei dati — raccogliere solo quanto necessario
- Sicurezza adeguata — proteggere i dati da accessi non autorizzati
- Rispetto dei diritti degli interessati — fornire un meccanismo perché le persone possano accedere, correggere o cancellare i propri dati
La maggior parte dei moduli di contatto ha in pratica una base giuridica e l'intenzione di raccogliere dati minimi — ma fallisce sulla trasparenza e sulla meccanica del consenso.
L'Errore di Conformità Più Comune
Molte aziende aggiungono una casella di spunta per il consenso GDPR al proprio modulo di contatto che recita qualcosa come:
☐ Accetto i Termini di Servizio e l'Informativa sulla Privacy
Questo non è un consenso GDPR valido per due motivi:
- Consenso raggruppato: accorpare l'accordo sui termini di servizio e il consenso alla privacy in una singola casella di spunta non è consentito. Sono due cose diverse e richiedono accordi separati.
- Caselle pre-spuntate: il GDPR richiede un consenso attivo. Una casella pre-spuntata non costituisce consenso.
Il consenso valido deve essere:
- Liberamente dato: il visitatore deve poter inviare il modulo e contattarvi senza essere costretto ad acconsentire al marketing
- Specifico: ogni finalità richiede la propria dichiarazione di consenso
- Informato: il visitatore deve capire a cosa sta acconsentendo
- Inequivocabile: richiede un'azione positiva (spuntare una casella, non accettare un default)
Base Giuridica per gli Invii di Moduli di Contatto
Non tutto ciò che riguarda un modulo di contatto richiede il consenso. Il GDPR prevede molteplici basi giuridiche per il trattamento dei dati personali:
Legittimo Interesse (Articolo 6(1)(f))
Se qualcuno compila un modulo di contatto e vi pone una domanda, il trattamento del suo nome e della sua email per rispondere a quella domanda rientra nel legittimo interesse. Avete un legittimo interesse a rispondere alle richieste che vi vengono inviate. Il visitatore ha un legittimo interesse a ricevere una risposta. Questo non richiede una casella di spunta per il consenso per il trattamento principale — è insito nell'atto di inviarvi un messaggio.
Consenso (Articolo 6(1)(a))
Necessario per qualsiasi trattamento che vada oltre l'ambito della risposta alla richiesta:
- Aggiungere il visitatore a una lista di email marketing
- Utilizzare i loro dati per profilazione o analisi
- Condividere i loro dati con terze parti per scopi di marketing
- Contattarli riguardo a offerte future non correlate alla loro richiesta
Questi richiedono una casella di spunta di opt-in separata ed esplicita — non raggruppata con l'invio stesso.
Contratto (Articolo 6(1)(b))
Se l'invio del modulo fa parte dell'avvio di un rapporto contrattuale (ad esempio, la richiesta di un preventivo), il trattamento dei dati necessari per adempiere a quel contratto ha una base giuridica senza richiedere il consenso.
Cosa Deve Includere il Vostro Modulo di Contatto
1. Un Link all'Informativa sulla Privacy
Ogni modulo di contatto deve includere un riferimento alla vostra informativa sulla privacy. L'approccio minimo conforme è una frase vicino al pulsante di invio:
Inviando questo modulo, le vostre informazioni saranno trattate in conformità con la nostra [Informativa sulla Privacy].
Il link deve rimandare a un'informativa sulla privacy attuale e reale che descriva: quali dati vengono raccolti, come vengono utilizzati, per quanto tempo vengono conservati, con chi possono essere condivisi e come i visitatori possono esercitare i propri diritti.
2. Una Casella di Spunta Separata per il Consenso al Marketing (se applicabile)
Se intendete aggiungere chi invia il modulo a una newsletter o a una lista di marketing, questo richiede una casella di spunta separata e non spuntata con un testo chiaro:
☐ Desidero ricevere occasionali aggiornamenti e novità sui prodotti via email. Posso annullare l'iscrizione in qualsiasi momento.
Questa deve essere separata dall'invio del modulo e deve essere non spuntata per impostazione predefinita.
3. Minimizzazione dei Dati
Raccogliete solo i campi necessari per elaborare la richiesta. Un modulo di contatto non dovrebbe raccogliere data di nascita, nazionalità o informazioni sanitarie a meno che il vostro specifico contesto aziendale non lo richieda. Ogni campo che raccogliete deve essere giustificabile.
4. Sicurezza in Transito e a Riposo
Gli invii del modulo devono essere trasmessi tramite HTTPS. I dati archiviati sui vostri server devono essere adeguatamente protetti. Se utilizzate uno strumento di terze parti per i moduli di contatto o una piattaforma di help desk, verificate il loro accordo sul trattamento dei dati (DPA) e dove vengono archiviati i dati.
5. Un Accordo sul Trattamento dei Dati con il Vostro Responsabile
Se utilizzate qualsiasi piattaforma di terze parti per ricevere o archiviare gli invii del modulo (un CRM, un help desk, un provider email), quella piattaforma è un responsabile del trattamento dei dati ai sensi del GDPR. Siete tenuti ad avere con loro un DPA firmato. La maggior parte delle piattaforme affidabili fornisce un DPA standard su richiesta o come documento self-service nelle proprie impostazioni.
Conservazione dei Dati: Per Quanto Tempo Potete Conservare gli Invii del Modulo?
Il GDPR richiede che i dati personali non siano conservati più a lungo di quanto necessario per il loro scopo. Per gli invii del modulo di contatto, un approccio ragionevole:
- Richieste attive: conservare per la durata del rapporto con il cliente
- Richieste chiuse senza rapporto con il cliente: eliminare dopo 12–24 mesi (adattare in base al contesto aziendale)
- Registrazioni del consenso al marketing: conservare per tutto il tempo in cui la persona è nella vostra lista, più un tempo sufficiente a dimostrare che il consenso è stato dato
Definite una politica di conservazione per iscritto e implementatela — manualmente o tramite eliminazione automatica nel vostro help desk o CRM.
Diritti degli Interessati
La vostra informativa sulla privacy e i vostri processi devono supportare questi diritti, che qualsiasi residente nell'UE può invocare riguardo ai propri dati:
- Diritto di accesso: la possibilità di ricevere una copia dei dati che detenete su di loro
- Diritto alla cancellazione ("diritto all'oblio"): eliminazione dei loro dati personali
- Diritto di rettifica: correzione di dati inesatti
- Diritto di limitazione del trattamento: limitare ciò che fate con i loro dati
- Diritto di opposizione: opporsi al trattamento basato sul legittimo interesse
Per gli invii del modulo di contatto in particolare, dovete essere in grado di individuare tutti i dati associati a un dato indirizzo email nei vostri sistemi (ticket di help desk, CRM, liste email) e fornirli o eliminarli su richiesta entro 30 giorni.
Domande Frequenti
Ho bisogno di una casella di spunta per il consenso per ogni modulo di contatto? No. Se il trattamento si basa sul legittimo interesse (rispondere alla richiesta), non è richiesta alcuna casella di spunta per quel trattamento. Una casella di spunta per il consenso è necessaria solo per il trattamento aggiuntivo — come l'aggiunta della persona a una lista di marketing.
Questo si applica se la mia azienda non ha sede nell'UE? Sì. Il GDPR si applica a qualsiasi organizzazione che tratta dati personali di persone fisiche situate nell'UE, indipendentemente dalla sede dell'organizzazione.
Cosa succede se un visitatore da fuori dall'UE invia il modulo? Il GDPR si applica solo ai residenti nell'UE. Tuttavia, adottare pratiche conformi al GDPR per tutti gli invii del modulo è più semplice che tentare di rilevare e differenziare in base alla posizione del visitatore, e vi prepara per normative simili in altre giurisdizioni (UK GDPR, PIPEDA in Canada, LGPD in Brasile).
Come Nura24 Supporta la Conformità al GDPR sui Moduli di Contatto
Il modulo di pagina contatti di Nura24 include un componente nativo per la casella di spunta del consenso GDPR con testo dell'etichetta configurabile e un link obbligatorio all'informativa sulla privacy. La casella di spunta è non spuntata per impostazione predefinita e può essere contrassegnata come obbligatoria, impedendo l'invio del modulo senza consenso esplicito. Il consenso al marketing utilizza una casella di spunta aggiuntiva separata. Gli invii del modulo vengono archiviati nel sistema di ticketing Nura24 con un audit trail visibile. Gli accordi sul trattamento dei dati sono disponibili per i clienti del piano business. Per le aziende che operano nell'UE o che servono clienti UE, Nura24 fornisce le funzionalità di conformità strutturale integrate nella configurazione del modulo di contatto — senza richiedere sviluppo personalizzato.