GDPR:
Le implicazioni per il settore del marketing mobile  

1. Cosa c'è da sapere sul GDPR

La protezione dei dati è entrata in un'era di cambiamenti senza precedenti. Nel dicembre 2015, dopo oltre tre anni di difficili negoziati e molteplici bozze, le tre principali istituzioni dell'UE - il Parlamento europeo, il Consiglio dell'Unione europea e la Commissione europea - hanno concordato il testo del Regolamento generale sulla protezione dei dati (GDPR).

Ecco i motivi principali del GDPR:

1. Un cambiamento rivoluzionario nel modo in cui utilizziamo e condividiamo le informazioni

La direttiva sulla protezione dei dati è stata adottata nel 1995, quando Internet non era ancora ampiamente disponibile e le persone non avevano quasi mai i telefoni cellulari. Poiché la direttiva non è più adatta allo scopo, il GDPR è stato progettato per garantire la sicurezza dei dati personali nel nostro mondo moderno e tecnologico.

2. Aumento del numero di violazioni dei dati di alto profilo

Dopo che aziende tecnologiche come Uber e Yahoo hanno subito violazioni di dati su larga scala che hanno interessato più di 3 miliardi di account di utenti, i consumatori e le autorità di regolamentazione sono diventati sempre più preoccupati per la gestione dei dati personali.

3. Necessità evidente di sanzioni più significative

I famosi casi in cui potenti giganti tecnologici hanno violato la legge (ad esempio, Facebook ha usato un opt-in generico per unire i dati di Whatsapp) hanno evidenziato l'insignificanza delle multe esistenti per la violazione delle norme sulla privacy, sostenendo ulteriormente la necessità di una nuova legislazione.

Introducendo requisiti di conformità più severi in materia di protezione dei dati, il GDPR cambia le carte in tavola per le aziende di diversi settori industriali. Non sorprende che il nuovo regolamento abbia un impatto critico anche sul settore del mobile marketing. Gli operatori di marketing mobile, gli editori e le aziende tecnologiche che li supportano - tutte le aziende che operano nel settore - devono garantire la conformità al GDPR quando entrerà in vigore a maggio di quest'anno.

La mancata conformità ha un prezzo: le multe possono arrivare fino a 20 milioni di euro o al 4% del fatturato lordo annuale, a seconda di quale sia l'importo maggiore.

Il tempo stringe e, a poche settimane dalla scadenza, le aziende dovrebbero aver già completato la valutazione dell'impatto sulla protezione dei dati ed essere già sulla buona strada per colmare eventuali lacune. Se la vostra azienda opera nel settore del mobile marketing, questa guida è stata pensata per aiutarvi ad agire subito, sia che abbiate appena iniziato i preparativi sia che abbiate già spuntato le ultime caselle della vostra lista di controllo.

2. Cosa significa il GDPR
per il settore del marketing mobile

Se da un lato il GDPR pone alcune sfide alla comunità mobile, dall'altro apporta cambiamenti positivi armonizzando la legge nei 28 Stati membri dell'UE e rendendo il complesso panorama della protezione dei dati più facile da navigare. Soprattutto, chiarisce la legge sulla protezione dei dati eliminando le "aree grigie" che erano prevalenti prima del GDPR.

Il seguente elenco illustra le modifiche più significative apportate dal GDPR:

Per documentare e gestire meglio il consenso degli utenti, sono disponibili soluzioni specializzate per la gestione del consenso . Queste soluzioni alleggeriscono il carico di lavoro dei responsabili del trattamento dei dati, soddisfacendo i requisiti di di opt-in e opt-out senza soluzione di continuità e fornendo una documentazione dettagliata di casi specifici per i singoli utenti.

IAB Europe ha avviato una soluzione per la gestione del consenso a livello di settore. Maggiori informazioni su http://advertisingconsent.eu/.

3. Comprendere il proprio ruolo nella catena di elaborazione dei dati

Essere in grado di identificare correttamente il proprio ruolo - e quello dei propri partner - nella catena di trattamento dei dati ha un

In base al GDPR, sia i responsabili del trattamento dei dati che gli incaricati del trattamento sono tenuti a gestire in modo sicuro i dati personali e a segnalare le violazioni dei dati. I responsabili del trattamento, tuttavia, hanno più possibilità di lavorare con i dati e, di conseguenza, hanno maggiori responsabilità per quanto riguarda la documentazione dei processi interni, la valutazione dell'impatto sulla privacy, gli opt-out e gli audit di terze parti.

Con un numero così elevato di attori e intermediari nel complesso e mutevole spazio del marketing mobile, a volte può essere difficile assegnare alle aziende i ruoli giusti.

Per semplificare le cose, ecco la ripartizione della catena di elaborazione dei dati:

Sia i responsabili del trattamento dei dati che gli incaricati del trattamento dei dati lungo tutta la catena devono comprendere la fonte dei dati utilizzati e assicurarsi che i loro fornitori dispongano di meccanismi di consenso adeguati e conservino la registrazione del consenso.

4. La vostra organizzazione è pronta per il GDPR?

Poiché il GDPR rappresenta il più grande cambiamento nella protezione dei dati in Europa da decenni a questa parte, ci sono molti framework in circolazione che forniscono passi dettagliati da seguire per prepararsi al meglio. Si spera che la vostra organizzazione abbia già intrapreso azioni forti per conformarsi al nuovo regolamento. Tuttavia, se i preparativi sono solo all'inizio, la cosa migliore da fare è rivolgersi a un professionista il prima possibile.

Indipendentemente dalla fase di preparazione in cui si trova attualmente la vostra organizzazione, è una buona idea eseguire una valutazione preventiva del vostro stato.

Le domande più importanti che dovete porvi sono:

5. Lista di controllo per gli editori di dispositivi mobili

Il GDPR prevede norme severe e gli editori dovrebbero attivarsi per valutare criticamente le pratiche di trattamento dei dati proprie e dei propri partner e agire di conseguenza.

Se siete sul lato dell'offerta dell'ecosistema del marketing mobile e state monetizzando i vostri dati, ecco una lista di controllo delle attività legate al GDPR che dovreste completare per dimostrare la piena conformità:

• Determinare il proprio ruolo

• Revisione e rinegoziazione dei contratti

• Aggiornamento dell'Informativa sulla privacy e dei Termini di servizio

• Concordare la base giuridica del trattamento dei dati

• Gestire il consenso

• Prevenire la perdita di dati

• Notificare le violazioni

Nonostante il lavoro di preparazione, il GDPR rappresenta uno sviluppo positivo per gli editori di telefonia mobile che sono in una buona posizione per ottenere il consenso. Il regolamento obbliga gli editori a riprendere il controllo di ciò che accade sulle loro app e siti web mobili e, allo stesso tempo, aumenta il rispetto per il loro pubblico. A loro volta, questi sviluppi portano a un aumento della fiducia tra utenti ed editori, migliorando ulteriormente la qualità dei dati raccolti.

Lista di controllo per gli editori di dispositivi mobili

Determinare il proprio ruolo

Come discusso in precedenza, esistono due tipi diversi di entità che si occupano di dati: i responsabili del trattamento che stabiliscono come e perché trattare i dati personali e gli incaricati del trattamento che eseguono il trattamento effettivo per conto dei responsabili del trattamento. Gli editori di telefonia mobile sono tipicamente responsabili del trattamento.

Revisione e rinegoziazione dei contratti

Gli editori di telefonia mobile dovrebbero aggiornare la maggior parte degli accordi con i fornitori di terze parti perché il GDPR comporta nuovi requisiti e considerazioni che devono essere codificati, tra cui:

• Definizioni (ad esempio, la nuova e più ampia definizione di dati personali)

• Notifiche (i venditori devono notificare i responsabili del trattamento senza ritardi ingiustificati in caso di violazione)

• Collaborazione (i fornitori devono consentire ai responsabili del trattamento di rispettare i diritti degli interessati)

• Sicurezza (i fornitori devono garantire che l'elaborazione sia sicura e conforme)

• Tenuta dei registri (gli incaricati del trattamento devono tenere i registri di qualsiasi trattamento dei dati effettuato sul

  per conto del responsabile del trattamento)

Aggiornamento dell'Informativa sulla privacy e dei Termini di servizio

Gli editori mobili devono assicurarsi che questi documenti siano aggiornati e coprano tutti i requisiti legali. Inoltre, il GDPR richiede agli editori di spiegare l'informativa sulla privacy in un linguaggio semplice e di renderla facilmente accessibile e visibile prima di raccogliere dati personali (compresi i cookie o gli ID pubblicitari mobili).

Concordare la base giuridica del trattamento dei dati

Gli editori di telefonia mobile devono disporre di una base giuridica adeguata, come il consenso o l'interesse legittimo, per raccogliere, utilizzare e trasferire i dati personali. Il consenso deve essere espresso in una forma comprensibile e facilmente accessibile. Gli editori devono essere chiari su quali dati raccolgono, cosa intendono fare con essi ed elencare esplicitamente tutte le terze parti che utilizzeranno i dati.

Gestire il consenso

Gli editori di dispositivi mobili devono registrare il consenso e dare all'individuo la possibilità di revocarlo in qualsiasi momento e di accedere, correggere o cancellare completamente tutti i dati in possesso degli editori. Gli utenti devono poter revocare il consenso con la stessa facilità con cui lo danno.

Prevenire la perdita di dati

Il consenso non ha senso senza l'applicazione della protezione dei dati: a meno che gli editori di telefonia mobile non impediscano tutte le fughe di dati, un visitatore che dà il consenso non può sapere dove possono finire i suoi dati. Gli editori devono conoscere la loro tecnologia e i potenziali punti deboli e prevenire la fuga di dati.

Notificare le violazioni

In caso di violazione di un database, gli editori di telefonia mobile devono informare le autorità entro 72 ore dal momento in cui vengono a conoscenza della fuga di notizie.

6. Lista di controllo per gli inserzionisti mobili

Nuovi diritti per i consumatori, nuove limitazioni temporali per molte richieste, nuove responsabilità: non c'è dubbio che il GDPR comporti sfide per gli inserzionisti mobili, sia per quelli che operano in settori già altamente regolamentati sia per quelli che non lo sono.

Gli inserzionisti devono intervenire per valutare criticamente le pratiche di trattamento dei dati proprie e dei partner e agire di conseguenza. Se siete sul lato della domanda dell'ecosistema del marketing mobile, ecco una lista di controllo delle attività relative al GDPR che dovreste completare per dimostrare la piena conformità:

• Determinare il proprio ruolo

• Revisione e aggiornamento dei contratti

• Conoscere i fornitori

• Ottenere il consenso

• Gestire il consenso

• Comprendere gli interessi legittimi

• Aggiornamento dell'informativa sulla privacy

Sebbene i preparativi per il GDPR possano essere impegnativi, questa nuova normativa non deve essere vista come un ostacolo per i marketer. Anzi, è una buona opportunità per creare campagne di mobile marketing mirate che raggiungano le persone che sono impegnate con il vostro marchio.

Grazie al consenso esplicito, il GDPR porterà a un aumento della qualità dei dati. I marketer più accorti dovrebbero sfruttare questa opportunità per approfondire le esigenze dei propri clienti e potenziali clienti, sostituendo il tradizionale approccio "unico" al mobile marketing.

Lista di controllo per gli inserzionisti di telefonia mobile

Determinare il proprio ruolo

Il responsabile del trattamento è colui che determina i mezzi e le finalità del trattamento dei dati personali, ad esempio quali dati raccogliere e a quale pubblico rivolgersi. Un incaricato del trattamento, a sua volta, elabora i dati per conto del responsabile del trattamento. Sebbene siano possibili alcuni incroci, nella maggior parte dei casi ciò significa che gli inserzionisti sono i responsabili del trattamento.

Revisione e aggiornamento dei contratti

Gli operatori di marketing dovrebbero rivedere e aggiornare gli accordi interaziendali e i contratti con gli incaricati del trattamento dei dati. Le versioni aggiornate dei contratti dovrebbero essere modificate per includere le nuove clausole relative al GDPR e per garantire che tutti i servizi pertinenti siano pienamente conformi.

Conoscere i fornitori

I fornitori svolgono un ruolo cruciale nel determinare se gli addetti al marketing rimangono conformi o rischiano di violare le regole. Per questo motivo, gli addetti al marketing dovrebbero chiarire con ogni fornitore:

• Quali dati personali trattano? Come? Perché? Come ne riducono al minimo l'utilizzo?

• Si tratta di un processore o di un controller?

• Su quale base giuridica vengono trattati i dati?

• Come sono preparati a gestire il consenso?

• Come vengono gestiti i diritti degli interessati?

• Come gestiscono la sicurezza e i trasferimenti internazionali?

Ottenere il consenso

Per ottenere il consenso, gli inserzionisti dovranno fornire alle persone un quadro chiaro del motivo per cui stanno raccogliendo i dati, di come verranno utilizzati e di chi li utilizzerà. Dovrà essere utilizzato un linguaggio semplice e comprensibile sulle basi legali per il trattamento dei dati. Dovrà essere offerto il diritto di revocare facilmente il consenso.

Gestire il consenso

È importante garantire che i sistemi siano in grado di registrare il consenso e le successive obiezioni legate alle finalità specifiche indicate al momento della raccolta del consenso.

Comprendere gli interessi legittimi

Il GDPR consente il marketing diretto come attività di interesse legittimo se sono soddisfatte determinate condizioni e un test di "bilanciamento degli interessi" (che pondera gli interessi degli addetti al marketing rispetto ai diritti dell'interessato). Se l'interesse legittimo viene scelto come base legale per il trattamento dei dati al posto del consenso, gli operatori del marketing devono registrare il modo in cui soddisfano la protezione dei diritti e delle ragionevoli aspettative dell'individuo.

Aggiornamento dell'informativa sulla privacy

Il GDPR richiede informazioni sulla privacy più dettagliate, tra cui la durata di conservazione dei dati personali, i dettagli di qualsiasi condivisione dei dati personali con terze parti, una spiegazione di qualsiasi attività di profilazione intrapresa, come le persone possono esercitare i loro diritti, dove inviare i reclami e se i paesi non appartenenti all'UE tratteranno i dati personali.

7. Targetoo È il vostro partner di fiducia nello spazio del marketing mobile

Il GDPR non è stato concepito per impedire agli operatori di marketing di comunicare con i loro clienti, né per impedire agli editori di continuare le loro attività di monetizzazione dei dati. L'obiettivo è dare più controllo agli utenti, che può essere trasformato in un vantaggio competitivo quando si lavora con partner credibili e accuratamente selezionati.

In Targetoo abbiamo creato un mercato neutrale e trasparente per consentire alle aziende di prendere decisioni di marketing migliori. Fondata e con sede in Germania, Targetoo è stata esposta a normative sulla privacy molto severe fin dai primi giorni della sua fondazione, e ha dovuto rispettarle. Per questo motivo, abbiamo già soddisfatto la maggior parte dei requisiti del GDPR:

Targetoo...

...ha incorporato il concetto di "Privacy by Design" nel suo sviluppo fin dal primo giorno ...ha definito le "Misure tecniche e organizzative" come parte degli accordi standard per il trattamento dei dati

...ha sviluppato un metodo di integrazione con i partner (Pre-bid Enrichment) che consente la cancellazione diretta dei dati da parte di DSP e SSP (nessun dato grezzo viene inviato ai partner).

... richiede contrattualmente a tutti i partner di ottenere e fornire la prova del consenso per tutti gli utenti.

... ha nominato un responsabile esterno per la privacy dal 2018.

...offre agli utenti un opt-out sul proprio sito web per consentire la cancellazione dei dati e l'interruzione della distribuzione.

...è attivamente coinvolto nell'iniziativa IAB per la soluzione di gestione del consenso per consentire l'adozione di standard a livello di settore e un elenco trasparente di fornitori.

Targetoo assume il ruolo di Titolare del trattamento dei dati.

Oltre a offrire una piattaforma di gestione delle audience self-service che consente ai proprietari dei dati di monetizzare i loro dati e agli acquirenti di dati di indirizzare il pubblico giusto nelle loro campagne, Targetoo raccoglie ed elabora anche i dati per i segmenti di pubblico derivati dal comportamento di localizzazione e per la Targetoo Data Alliance.

In qualità di responsabile del trattamento dei dati, Targetoo rispetta tutti i requisiti del GDPR e si propone come partner di fiducia per il targeting del pubblico e per la monetizzazione dei dati.

8. Conclusione

Mentre l'avvicinarsi della scadenza per la conformità al GDPR tiene occupato il settore del mobile marketing, è importante fare un passo indietro e riconoscere il valore che il nuovo regolamento porta con sé. Il Regolamento generale sulla protezione dei dati mira a restituire ai cittadini europei il controllo sui dati personali e a semplificare il contesto normativo in cui si svolgono le attività commerciali internazionali.

Per rimanere conformi, le aziende dovrebbero già essere ben avviate a colmare le lacune individuate durante le valutazioni interne sulla privacy dei dati e le revisioni dei contratti. La riparazione di queste lacune, tuttavia, dovrebbe essere vista come qualcosa di più di una semplice responsabilità di conformità. L'utilizzo dei dati in modo etico crea fiducia tra le aziende e i consumatori, rafforzando ulteriormente la nostra economia basata sui dati. Le aziende intelligenti, sia dal lato dell'offerta che da quello della domanda dell'ecosistema del marketing mobile, dovrebbero trasformare le attività di conformità in un'opportunità per stare davanti alla concorrenza e rafforzare le relazioni con i clienti.

Esclusione di responsabilità: Le informazioni e le raccomandazioni contenute in questo white paper sono di natura generale e non rappresentano una consulenza legale. Si prega di consultare i propri professionisti legali se si desidera una consulenza su interpretazioni e requisiti specifici del GDPR.