GDPR nei quiz di acquisizione: cosa puoi chiedere e cosa no

Un quiz di acquisizione raccoglie dati personali, quindi ricade pienamente nel GDPR. La buona notizia è che le regole che contano nella pratica quotidiana sono poche e abbastanza chiare. Una premessa necessaria: questa è una guida pratica basata sul testo del regolamento, non consulenza legale; per il tuo caso specifico rivolgiti a un professionista.

Il consenso secondo il regolamento

Per l'acquisizione rivolta ai consumatori la base abituale è il consenso, e il GDPR richiede che sia libero, specifico, informato e inequivocabile. Nella pratica questo esclude tre schemi molto diffusi:

• Caselle pre-spuntate: non valide, serve un atto affermativo dell'utente.
• Consenso incorporato nell'accettazione dei termini: deve poter essere dato separatamente.
• Formule vaghe come «accetto di ricevere comunicazioni»: bisogna dire chi tratta i dati e per quale finalità.

Minimizzazione: ogni campo in più è esposizione

Il principio di minimizzazione impone di raccogliere solo ciò che serve alla finalità dichiarata. Se per richiamare un cliente bastano nome e telefono, chiedere anche indirizzo, email e data di nascita «per sicurezza» non è prudenza: è responsabilità aggiuntiva senza vantaggio.

Qui GDPR e conversione spingono nella stessa direzione: un modulo più corto converte meglio e lascia meno dati da proteggere.

Categorie particolari: il punto più trascurato

L'articolo 9 vieta il trattamento di alcune categorie — tra cui i dati sulla salute — salvo che sia soddisfatta una condizione specifica, e la via consueta è il consenso esplicito, uno standard più severo del consenso ordinario. E «dato sulla salute» è più ampio di quanto si pensi: qualsiasi informazione sullo stato fisico o mentale di una persona, passato, presente o futuro.

Conseguenza pratica per cliniche e servizi sanitari: il quiz non dovrebbe chiedere anamnesi né diagnosi. Si qualifica benissimo sull'interesse per un trattamento, l'urgenza, i tempi e il budget, lasciando il dettaglio clinico alla visita. Le sanzioni dell'articolo 9 stanno nella fascia alta del regolamento, quindi non è una sfumatura.

Cosa devi avere pronto

• Informativa privacy raggiungibile dal quiz stesso, non nascosta nel footer del sito.
• Finalità dichiarata e rispettata: se hai raccolto i dati per un preventivo, non usarli per una newsletter senza un nuovo consenso.
• Periodo di conservazione definito, con cancellazione che avviene davvero alla scadenza.
• Un canale semplice per accesso e cancellazione, con risposta nei termini.
• Responsabili del trattamento individuati: lo strumento con cui crei il quiz tratta dati per tuo conto, quindi serve il relativo contratto e devi sapere dove risiedono i dati.

Quizanta ospita i dati nell'UE e i modelli sono scritti per qualificare sull'intenzione, non su informazioni sensibili. Il resto — la tua informativa, i tuoi tempi di conservazione, la tua base giuridica — resta responsabilità della tua attività, e merita una revisione fatta bene, una volta, con un professionista.