Profilazione: Significato e Regole GDPR

La profilazione è un'attività di analisi dei dati personali che consente di prevedere interessi e abitudini di un soggetto. Per garantire la massima trasparenza su quest'attività e sulle relative modalità di uso dei dati, il Regolamento europeo sulla protezione dei dati personali e il Garante della Privacy hanno introdotto regole specifiche da seguire. Vediamo cosa prevede la normativa e come adeguarsi al GDPR.

Significato di profilazione

La profilazione consiste in una previsione e valutazione di abitudini, preferenze e comportamenti di un individuo compiuta attraverso l'analisi e la raccolta dei suoi dati personali. Si tratta di un'attività attraverso la quale possono essere valutati anche altri aspetti di un individuo come, ad esempio, la sua situazione economica, la salute, l'affidabilità economica, i suoi spostamenti, etc. La profilazione, inoltre, può avvenire in modo completamente automatizzato (es. solo con un algoritmo) oppure con l'intervento dell'uomo (es. con una decisione presa da un operatore).

Il primo passo per profilare una persona è la creazione di un profilo in base alle sue caratteristiche, ai suoi interessi, ai suoi comportamenti. Tuttavia, la semplice classificazione (es. dividere i propri clienti per età) non equivale a fare profilazione. Infatti, con la classificazione le persone vengono solo divise in macro gruppi. Con la profilazione, invece, la suddivisione è granulare e dettagliata. Inoltre, quest'ultima implica come passaggio ulteriore la previsione sui comportamenti e sulle preferenze della persona.

La profilazione può riguardare diversi settori e ambiti. Ad esempio, nelle risorse umane viene usata per valutare l'andamento lavorativo, nell'ambito finanziario è usata per prevedere la situazione economica di un cliente. Tuttavia, il caso tipico è quella ai fini di marketing. Vediamo in dettaglio come funziona e quali regole si applicano.

La profilazione per finalità di marketing

La profilazione è molto utile per ottimizzare la vendita dei prodotti e/o servizi di un'impresa. Infatti, tracciando il comportamento di un cliente è possibile studiarne le abitudini di acquisto e prevedere quali prodotti potrebbero interessargli. Quest'attività può essere fatta online (es. tramite sito o app) oppure con altre modalità (es. tramite una tessera fedeltà di negozio).

Nelle attività online si utilizzano i cookie di profilazione o altre tecnologie simili di tracciamento. In questi casi, vengono installati sul dispositivo dell’utente alcuni file di piccole dimensioni (i cookie). Questi file seguono tutto quello che fa l'utente, registrano la sua attività sul sito e consentono così di studiarne le abitudini di acquisto per prevedere, ad esempio, le sue capacità di spesa e gli interessi.

Quando si utilizza questa tecnologia è necessario rispettare alcune regole prima di installare i cookie. L'utente va informato in modo chiaro su tutte le tipologie di cookie che verranno installati e per quali scopi (con un banner ben visibile al primo accesso sul sito e/o app e un documenti dedicato di cookie policy). Inoltre, l'utente deve avere il diritto di scegliere liberamente se accettare o rifiutare l’installazione dei cookie (servirà mostrare una richiesta di consenso preventiva). Infine, le scelte dell'utente dovranno essere archiviate, così da poter dimostrare in futuro l'eventuale accettazione del consenso.

Oltre ai siti web o alle app, la profilazione per finalità di marketing può essere svolta anche in attività diverse da quelle online. Le regole applicabili sono le medesime, con la differenza che si usano mezzi differenti per informare l'utente e richiedere il consenso. Basti pensare, ad esempio, al cliente di un negozio che fornisce i suoi dati personali per ottenere una carta fedeltà (la tessera raccolta punti). Il cliente in quel caso riceverà una copia cartacea dell'informativa privacy e dovrà prestare il suo consenso alla profilazione dei suoi dati personali.

Come fare una corretta profilazione GDPR: regole generali

Qualunque sia il settore e lo scopo, prima di poter fare profilazione la normativa prevede due obblighi fondamentali:

1. informare le persone in modo chiaro sui dati personali trattati, mostrando loro una Privacy Policy. Si tratta di un documento informativo che contiene, ad esempio, le finalità e modalità di trattamento, il periodo di conservazione dei dati, le tipologie di dati raccolti, etc.;
2. acquisire il consenso esplicito ad effettuare la profilazione.

Il consenso può essere ottenuto in vari modi e mezzi, purché sia:

• manifestato con un atto positivo e inequivocabile (es. la spunta in una check-box, una firma o una doppia autenticazione). La preselezione o l'inattività, invece, non sono sufficienti
• specifico per ciascuna finalità (es. "Accetto il trattamento dei dati per profilazione con finalità di marketing")
• libero con possibilità di accettarlo, rifiutarlo o revocarlo in modo semplice, senza doversi giustificare e senza conseguenze negative
• documentato in un registro o archivio che consenta di verificare nel tempo le scelte fatte dalle persone.

Il nostro servizio di consulenza GDPR

Le regole sulla profilazione richiedono un'analisi specifica per valutare se i processi implementati rispettano la normativa. Inoltre, il consenso e l'informativa sono solo due degli adempimenti obbligatori richiesti dalla normativa sulla privacy. Ad esempio, in alcuni casi, è obbligatorio anche creare un registro dei trattamenti dei dati. Per capire quali obblighi si applicano al tuo caso richiedi una nostra consulenza GDPR per parlare con un professionista esperto.

LexDo.it offre un servizio completo per gestire in modo semplice gli aspetti privacy della tua attività. Potrai descrivere la tua situazione ad un esperto che identificherà gli adempimenti e i documenti necessari per il tuo caso specifico. Con i nostri piani, infatti, puoi creare ciascun documento privacy in pochi minuti e avere a disposizione un avvocato esperto con cui parlare in caso di dubbi o domande.