Come rendere un sito WordPress conforme al GDPR

Un sito WordPress può raccogliere e trasmettere dati in molti modi diversi. Un semplice modulo di contatto può raccogliere nome, email e messaggio. Google Analytics può elaborare informazioni relative alla navigazione. Google Ads può utilizzare strumenti di tracciamento. Un video YouTube, una mappa o un servizio esterno possono effettuare richieste verso server di terze parti.

Per questo la conformità GDPR di un sito non dipende semplicemente dalla presenza di una privacy policy o di un banner per i cookie.

Bisogna prima capire quali dati vengono raccolti, attraverso quali strumenti, per quali finalità e verso quali soggetti vengono eventualmente trasmessi.

Questo articolo riguarda soprattutto gli aspetti tecnici e organizzativi che è possibile verificare all'interno di un sito WordPress. La valutazione della base giuridica dei singoli trattamenti e degli obblighi applicabili deve essere effettuata caso per caso.

Cosa significa conformità GDPR per un sito web

Il GDPR non è un plugin e non è una singola impostazione di WordPress.

La conformità riguarda il modo in cui vengono trattati i dati personali e richiede di considerare finalità, basi giuridiche, informazioni fornite agli utenti, sicurezza, conservazione e altri aspetti del trattamento.

Dal punto di vista tecnico, il sito deve quindi essere configurato in modo coerente con ciò che viene dichiarato nelle informative e con le scelte effettuate dall'utente.

Quali dati può raccogliere un sito

Un sito può raccogliere dati direttamente attraverso:

• moduli di contatto;
• richieste di preventivo;
• registrazioni;
• acquisti;
• newsletter;
• commenti;
• prenotazioni.

Può inoltre raccogliere o generare informazioni attraverso strumenti di analisi, cookie e servizi di terze parti.

Prima di configurare qualsiasi sistema di consenso è quindi utile fare un inventario degli strumenti presenti nel sito.

Cookie e strumenti di tracciamento

Non tutti i cookie hanno la stessa funzione.

Esistono cookie necessari al funzionamento del sito e strumenti utilizzati per analisi, profilazione, pubblicità o altre finalità.

Il Garante distingue le situazioni in base alla funzione dello strumento: per i cookie tecnici non è normalmente richiesto il consenso, mentre per cookie di profilazione e altri strumenti di tracciamento non tecnici il consenso deve essere acquisito secondo le condizioni previste.

Per questo non è sufficiente installare un banner generico.

Bisogna sapere quali strumenti vengono effettivamente caricati dal sito.

Moduli di contatto

I moduli sono uno dei punti più evidenti di raccolta dati.

Prima di utilizzare un form bisogna capire:

• quali dati vengono richiesti;
• perché vengono richiesti;
• dove vengono memorizzati;
• chi può accedervi;
• per quanto tempo vengono conservati;
• se vengono trasferiti verso servizi esterni.

Chiedere più dati del necessario non è una buona pratica.

Il modulo dovrebbe raccogliere ciò che serve realmente per la finalità per cui è stato creato.

Google Analytics e altri strumenti di analisi

Gli strumenti di analytics meritano una verifica specifica.

Non basta inserire il codice di Google Analytics nel sito e aggiungere una frase nella privacy policy.

Bisogna valutare come viene configurato lo strumento, quali dati vengono trattati e con quali modalità.

Anche il Garante evidenzia che il trattamento tramite strumenti analytics deve essere valutato in relazione alla configurazione e alle finalità dello strumento. In alcune condizioni gli analytics possono essere assimilati agli strumenti tecnici, mentre in altre situazioni è necessario il consenso.

Google Ads e strumenti pubblicitari

Le campagne pubblicitarie possono utilizzare strumenti di tracciamento per misurare conversioni e attività degli utenti.

Questo introduce ulteriori elementi da verificare rispetto a un sito che non utilizza advertising.

Tag, script e strumenti di remarketing non dovrebbero essere caricati indiscriminatamente prima che siano state verificate le condizioni necessarie per il loro utilizzo.

YouTube, mappe e contenuti di terze parti

Un sito può caricare risorse da server esterni anche senza che il proprietario se ne renda conto immediatamente.

Video incorporati, mappe, font, widget, sistemi di chat e altri servizi possono effettuare richieste verso soggetti terzi.

Per questo, durante una revisione GDPR, è utile controllare anche le risorse esterne caricate dalle pagine.

Newsletter e marketing

La gestione di una newsletter introduce un ulteriore trattamento di dati personali.

Bisogna verificare il servizio utilizzato, i dati raccolti, le modalità di iscrizione, la gestione delle preferenze e la possibilità di revocare il consenso quando richiesto.

Anche in questo caso il semplice plugin WordPress utilizzato per collegare il form al servizio di newsletter non esaurisce la questione.

Informativa privacy e cookie policy

Le informative devono descrivere in modo coerente i trattamenti effettivamente effettuati.

Una privacy policy generica e mai aggiornata può diventare problematica quando il sito nel frattempo ha aggiunto Analytics, Ads, newsletter, moduli o nuovi servizi.

Per i cookie e gli altri strumenti di tracciamento, il Garante prevede specifiche indicazioni informative, comprese informazioni sulle finalità, sui soggetti coinvolti e sugli strumenti utilizzati.

Gestione del consenso

Quando il consenso è necessario, deve essere raccolto attraverso una modalità che permetta all'utente di esprimere una scelta libera, specifica, informata e inequivocabile.

Il Garante indica inoltre la necessità di rendere effettivamente utilizzabili le diverse opzioni e di permettere all'utente di modificare le proprie scelte.

Dal punto di vista tecnico questo significa, per esempio, evitare che gli strumenti che richiedono consenso vengano caricati prima della scelta dell'utente, quando ciò non è consentito.

Cosa controllare in un sito WordPress

Una revisione tecnica può partire da una checklist molto concreta:

• cookie presenti;
• script caricati;
• plugin che trattano dati;
• moduli;
• Analytics;
• strumenti pubblicitari;
• newsletter;
• video e mappe;
• font e servizi esterni;
• privacy policy;
• cookie policy;
• banner e gestione del consenso;
• registrazione delle preferenze;
• possibilità di modificare il consenso.

Il controllo dovrebbe essere effettuato sia analizzando WordPress sia osservando ciò che accade realmente nel browser.

Errori comuni

Tra gli errori più frequenti troviamo:

Installare un banner e considerare il sito automaticamente conforme.

Il banner è soltanto una componente tecnica del sistema di gestione del consenso.

Copiare una privacy policy generica.

L'informativa deve essere coerente con i trattamenti effettivamente effettuati.

Dimenticare gli strumenti di terze parti.

YouTube, Google Maps, Analytics, advertising e altri servizi possono introdurre ulteriori trattamenti.

Non controllare gli script.

Un sito può caricare strumenti che il proprietario non ricorda nemmeno di avere installato.

Uno stack aperto e comprensibile tutela quindi anche il cliente.

Perché installare un plugin non rende automaticamente un sito conforme

Un plugin può aiutare a gestire cookie, consensi e blocco degli script.

Non può però decidere da solo:

• quali trattamenti effettua il sito;
• quale sia la base giuridica applicabile;
• quali dati siano realmente necessari;
• quanto debbano essere conservati;
• quali accordi o rapporti con fornitori siano necessari.

Il plugin è quindi uno strumento tecnico, non una certificazione di conformità.

Checklist di verifica

Prima di considerare conclusa una revisione è utile verificare:

• quali dati raccoglie il sito;
• quali moduli sono presenti;
• quali cookie vengono utilizzati;
• quali script vengono caricati;
• quali servizi di terze parti sono presenti;
• come vengono gestiti Analytics e advertising;
• quali informative sono pubblicate;
• come viene gestito il consenso;
• se le preferenze possono essere modificate;
• se la configurazione tecnica corrisponde a quanto dichiarato.

La documentazione ufficiale del Garante resta il riferimento da consultare per le indicazioni specifiche sui cookie e sugli strumenti di tracciamento.