Come creare moduli di raccolta dati personali a norma e senza errori

Privacy al primo posto: moduli chiari per dati sempre sicuri. L’importanza del raccogliere i dati con cura.

I moduli di raccolta dati sono fondamentali per effettuare quel processo che dal caos porta all’ordine. Perché, se è vero - come disse lo scrittore inglese Jonathan Coe - che “forse il caos e la casualità sono l’ordine naturale delle cose”, è ugualmente vero che quando si parla di dati personali e di un diritto fondamentale, come quello alla Privacy, non si può prescindere dal dare una struttura a quelle informazioni.

Sin dall’antichità la raccolta dati avveniva tramite registri scritti (es: censimenti romani, registri parrocchiali) e solo nel XIX-XX secolo si ha la nascita dei questionari statistici e delle schede standardizzate soprattutto per i censimenti nazionali, la sanità e l’industria. Con la seconda metà del ’900 e l’informatizzazione troviamo finalmente i database e i moduli elettronici.
Ed, infine, è solo dagli anni 2000 in poi che vi è la diffusione dei form web, dei sistemi cloud, dell’integrazione con analytics e dei processi di automazione con una sempre crescente attenzione alla privacy, sicurezza e minimizzazione dei dati.

Negli anni 2000 si diffonde anche l’uso del cloud computing, cioè server remoti accessibili via internet per archiviare e gestire dati. Ciò ha permesso l’accesso e la condivisione dei dati da qualsiasi luogo, ma ha inevitabilmente introdotto molte questioni sulla protezione dei dati, come la localizzazione dei server, la responsabilità del fornitore cloud e la sicurezza dei dati in transito e a riposo. Inoltre, i dati raccolti tramite form web e sistemi cloud venivano sempre più spesso elaborati con strumenti di analisi (analytics) per capire il comportamento degli utenti, migliorare prodotti o campagne di marketing. Questo negli anni ha introdotto un livello di profilazione e di tracciamento che prima era quasi impossibile, sollevando nuove problematiche di privacy e consenso. Si è passati in pochi anni dalla semplice raccolta dati alla loro elaborazione e combinazione.

Cos’è e cosa deve contenere il modulo di raccolta dati

Ma cos’è nella pratica un modulo di raccolta dati? Molto semplicemente, si tratta di un insieme di campi predefiniti (es: domande, caselle, menu a tendina, ecc.) in cui l’utente inserisce informazioni. Può essere:

cartaceo (questionari, schede anagrafiche, moduli clinici),
digitale (form web, app, CRM, ERP, survey online).

L’elemento chiave è la struttura: ogni dato ha un posto preciso e un significato chiaro.

I moduli di raccolta dati vengono adottati quando è necessario:

Standardizzare le informazioni
Ridurre errori e ambiguità
Velocizzare i processi (amministrativi, sanitari, commerciali, di ricerca)
Rendere i dati analizzabili (statistiche, report, decisioni)
Garantire tracciabilità e responsabilità
Ambiti tipici di utilizzo
Pubblica amministrazione (domande, dichiarazioni, censimenti)
Sanità (anamnesi, consenso informato)
Ricerca scientifica e sociale (questionari, survey)
Aziende (onboarding clienti, lead generation, HR)
Scuola e università (iscrizioni, valutazioni)

La Normativa di riferimento nel contesto europeo e italiano è ovviamente il GDPR – Regolamento (UE) 2016/679 i cui principi fondamentali si applicano a qualsiasi modulo che raccolga dati personali per evitare violazioni alla privacy . Questi sono:

Liceità, correttezza e trasparenza: ovvero i dati possono essere raccolti solo se esiste una base giuridica valida (es. consenso, obbligo di legge, contratto). Inoltre il trattamento non deve ingannare l’interessato né arrecargli danno e l’interessato deve sapere chiaramente chi raccoglie i dati, perché e come verranno usati. Nel modulo quindi dovrà essere utilizzato un linguaggio semplice e accessibile.
Finalità determinate e legittime: i dati devono essere raccolti per scopi specifici, espliciti e leciti, dichiarati prima della raccolta. Nel modulo, dunque, va indicato chiaramente lo scopo (es. iscrizione a un servizio, ricerca, adempimento amministrativo).
Minimizzazione dei dati: si devono raccogliere solo i dati strettamente necessari per la finalità dichiarata. Nel modulo quindi ogni campo deve avere una giustificazione.
Esattezza: i dati devono essere corretti e aggiornati. Nel modulo: pertanto i campi devono essere chiari per evitare errori con possibilità di modifica o aggiornamento e controlli di validazione (soprattutto nei moduli digitali).
Limitazione della conservazione: ovvero i dati devono essere conservati solo per il tempo necessario al raggiungimento delle finalità. Nel relativo modulo dovrà quindi essere indicato per quanto tempo i dati saranno conservati o i criteri usati per stabilirlo.
Integrità e riservatezza: i dati devono essere trattati in modo da garantire sicurezza e protezione contro gli accessi non autorizzati, la perdita, la distruzione e la divulgazione indebita. Nel modulo pertanto bisogna prevedere accessi limitati, sistemi sicuri ed attenzione anche alla gestione dei moduli cartacei.

Gli obblighi da non dimenticare

Oltre a questi principi fondamentali, per rendere comprensibile il modulo e quello che l’interessato va a firmare la legge prevede anche degli obblighi chiave in questo settore, ovvero:

Una informativa privacy chiara e comprensibile che deve indicare: il titolare del trattamento, le finalità, la base giuridica, diritti dell’interessato ed i tempi di conservazione dati.
Base giuridica del trattamento: ogni raccolta dati deve poggiare su una base giuridica valida, tra cui il consenso, l’obbligo legale, l’esecuzione di un contratto, ecc.)
Raccolta del consenso esplicito quando necessario per esempio consenso separato per finalità diverse quali marketing (es. invio di newsletter, invio di offerte e promozioni).
Sicurezza dei dati: il titolare deve adottare misure tecniche e organizzative adeguate come la crittografia, i backup, le password e la formazione del personale. Questo vale sia per moduli digitali sia cartacei.
Diritti dell’interessato: nel modulo deve essere esplicitato come la persona i cui dati vengono raccolti può esercitare i suoi diritti di accedere ai propri dati, rettificarli, chiederne la cancellazione, limitarne o opporsi al trattamento e richiederne la portabilità.
È evidente che bisognerà essere chiari ed espliciti anche sull’indicazione della durata sulla conservazione e sicurezza dati. Un avviso chiaro andrà dato anche su trasferimenti dati extra-UE e note specifiche anche sull’eventuale uso di AI e decisioni automatizzate.

Si può concludere, così, che i moduli di raccolta dati sono degli strumenti fondamentali per organizzare informazioni e tutelare i diritti degli interessati. Pertanto devono essere progettati bene non solo tecnicamente, ma anche legalmente ed eticamente anche per essere organizzati e pronti in caso di ispezioni da parte del Garante per la Protezione dei Dati Personali.