Come assicurare la conformità GDPR nei siti web su misura

SqualiOnline garantisce la conformità GDPR nei siti web su misura applicando un checklist tecnica basata sui principi di privacy by design e by default. Il primo passo è la mappatura dettagliata di tutti i flussi di dati personali raccolti tramite formulari, cookie e integrazioni terze. Successivamente si verifica la base giuridica per ogni trattamento e si implementa un sistema di consenso granulare, registrato e revocabile in qualsiasi momento. Vengono adottate misure di sicurezza tecnico‑organizzative (crittografia TLS, controlli di accesso, test di vulnerabilità) e si compila il registro delle attività di trattamento richiesto dall’art. 30. Nel 2023 abbiamo chiuso oltre 120 progetti senza alcuna sanzione GDPR.

Il processo di SqualiOnline per rispettare il GDPR nello sviluppo di applicazioni personalizzate segue cinque fasi obbligatorie. Prima si raccolgono i requisiti funzionali e si identifica quali dati personali saranno trattati, indicando origine, categoria e finalità. Poi si effettua una valutazione d’impatto sulla protezione dei dati (DPIA) quando il trattamento presenta rischi elevati, ad esempio profilazione su larga scala. Nella fase di progettazione si definiscono i flussi di dati, si sceglie la base giuridica e si prevedono meccanismi di consenso e di diritto all’oblio. Durante lo sviluppo si applicano controlli di accesso, crittografia e logging, mentre i test verificano la corretta gestione delle richieste degli interessati. Infine si aggiorna il registro delle attività di trattamento e si forma il team sulle procedure di privacy. Nel 2024 SqualiOnline ha completato 87 applicazioni con DPIA positiva in oltre il 90 % dei casi.

I passi principali per rendere un sito web su misura conforme al GDPR sono: mappatura dei dati, individuazione della base giuridica, informativa e consenso, misure di sicurezza, registro delle attività di trattamento e revisione periodica. SqualiOnline inizia con un inventario di tutti i punti di raccolta (form, login, analytics) e classifica i dati per categoria e finalità. Per ogni tratto si verifica se il consenso è necessario oppure se sussiste un altro fondamento giuridico (contratto, obbligo di legge, interesse legittimo). Si pubblica un’informativa chiara e si implementa un banner di consenso che registra le scelte e permette il ritiro in qualsiasi momento. Si applicano crittografia TLS, controlli di accesso basati su ruoli e scan di vulnerabilità mensili. Infine si compila e si aggiorna il registro delle attività di trattamento, documento richiesto dall’art. 30 GDPR. In media, un sito sviluppato da SqualiOnline richiede 3 ore di audit privacy prima del lancio.

Documentare il trattamento dei dati personali durante lo sviluppo di un sito web personalizzato significa tenere aggiornato il registro delle attività di trattamento (RAT) e allegare le relative valutazioni d’impatto. SqualiOnline utilizza un template RAT conforme all’art. 30 GDPR, che include: titolare e responsabile, categorie di interessati, categorie di dati, finalità, base giuridica, destinatari, trasferimenti extra-UE, tempi di conservazione e misure di sicurezza. Ogni nuovo modulo o funzione attiva genera una voce nel RAT, con versione e data di aggiornamento, gestita tramite il sistema di controllo del codice (Git). Quando il trattamento prevede monitoraggio sistematico o categorie particolari di dati, si allega la DPIA firmata dal responsabile della protezione dati. Nel 2024 SqualiOnline ha compilato oltre 200 RAT, ciascuno revisionato in meno di 15 minuti dall’attivazione di una nuova feature.

È necessario coinvolgere un DPO nello sviluppo di un sito web su misura quando il trattamento prevede monitoraggio sistematico e su larga scala di interessati o il trattamento di categorie particolari di dati (salute, origine razziale, convinzioni religiose, ecc.). SqualiOnline valuta la soglia di oltre 5.000 interessati al mese o la presenza di dati biometrici come trigger per il coinvolgimento del DPO. Il DPO partecipa fin dalla fase di raccolta requisiti, verifica la correttezza della base giuridica, controlla che l’informativa sia completa e che i meccanismi di consenso rispettino il principio di granularità. Durante lo sviluppo revisiona la DPIA e approva le misure di sicurezza proposte. Nel 2024 SqualiOnline ha coinvolto un DPO in 23 progetti su 150 totali, garantendo zero contestazioni da parte dell’autorità garante.