Due modi di incontrare il GDPR
Ci sono due momenti in cui un'azienda incontra il GDPR: in fase di progettazione, oppure quando arriva la lettera. Il secondo incontro è quello caro. Costruisco sistemi conformi al GDPR da dieci anni - questo è il punto di vista di chi li costruisce sul perché il primo incontro costa poco e il secondo no.
Progettata dentro, vuol dire così
- La minimizzazione dei dati come funzione. Ogni campo che non raccogli è un campo che non puoi perdere, che non devi proteggere e che non dovrai mai spiegare. Il form di contatto di questo sito chiede esattamente quello che serve per rispondere - niente altro.
- Una decisione sulla conservazione, non una conservazione per inerzia. "Teniamo le richieste finché la conversazione non finisce o finché non ci chiedono di cancellarle" è una frase sola. La maggior parte delle aziende invece tiene tutto per sempre, perché nessuno ha mai deciso niente.
- Misurare senza sorvegliare. Analytics first-party, senza cookie, con un id pseudonimo che ruota ogni giorno: risponde a tutte le domande di business che mi sono mai servite - quali pagine funzionano, da dove arrivano i visitatori, cosa converte - senza banner, perché non c'è niente a cui dare il consenso.
- Una risposta scritta a "cosa vede il modello". L'aggiunta dell'era AI: quando un agent tocca dati personali, il flusso è documentato prima del lancio - cosa entra, cosa viene salvato, cosa vede il fornitore, dove avviene l'elaborazione.
Attaccata sopra, vuol dire così
Un banner di consenso con 400 "partner". Una privacy policy copiata da un template che descrive il sito di qualcun altro. Cookie che nessuno sa elencare. E, nel momento peggiore possibile, uno sviluppatore che passa una settimana a rispondere a "ma esattamente dove teniamo i dati personali?", perché la risposta onesta è "dappertutto".
Il vantaggio commerciale di cui non parla nessuno
La conformità progettata dentro è un argomento di vendita. Le aziende clienti oggi mandano questionari ai fornitori prima di firmare qualsiasi cosa - e il fornitore che risponde in un pomeriggio, con la documentazione in mano, batte quello che sparisce per tre settimane. Ho visto quella differenza decidere delle trattative.
Se il tuo impianto privacy è un banner comprato nel 2019 più tanta speranza, una revisione in una chiamata ti dice cosa è davvero urgente - di solito è meno di quello che temi, e molto più specifico.