CRM e GDPR: guida pratica per le piccole imprese italiane

Un CRM contiene dati personali, quindi vale il Regolamento (UE) 2016/679 (GDPR) insieme al Codice in materia di protezione dei dati personali (decreto legislativo 196/2003). Anche i dati di un referente di un'azienda cliente, come nome, email e telefono di lavoro, sono dati personali. Per usare un CRM in modo corretto servono sette elementi: una base giuridica per ogni trattamento, un'informativa, consensi registrati quando richiesti, un accordo con il fornitore, misure di sicurezza, tempi di conservazione definiti e procedure per i diritti degli interessati. Questa guida spiega come organizzarli senza burocrazia inutile.

Chi è titolare e chi è responsabile

L'impresa che decide perché e come trattare i dati dei clienti è titolare del trattamento. Il fornitore del CRM, che conserva i dati per tuo conto, è di norma responsabile del trattamento (articolo 28 GDPR). Tra i due deve esistere un contratto o altro atto giuridico, spesso chiamato accordo sul trattamento dei dati o DPA, che disciplina oggetto, durata, tipi di dati, istruzioni, misure di sicurezza, sub-responsabili e restituzione o cancellazione dei dati alla fine del rapporto. I fornitori seri mettono a disposizione questo accordo online; verifica che sia compreso nel piano che acquisti e conservane una copia.

Le basi giuridiche nel CRM

Ogni trattamento deve fondarsi su una base giuridica dell'articolo 6. Nel CRM le più comuni sono:

Il consenso non è la base di tutto. È necessario soprattutto per il marketing diretto verso chi non è cliente, per i cookie non tecnici e per i trattamenti non necessari al rapporto. Per un trattamento che si basa sul consenso devi poter dimostrare chi lo ha dato, quando e per quale finalità. Per questo il CRM deve avere campi dedicati.

L'informativa

Quando raccogli dati direttamente (articolo 13) o da altre fonti (articolo 14) devi fornire un'informativa che indichi titolare, finalità, basi giuridiche, destinatari, tempi di conservazione, diritti e modalità di esercizio. Nel CRM i destinatari includono il fornitore del software e gli altri strumenti collegati. Se aggiungi un nuovo fornitore, valuta se aggiornare l'informativa. Per i contatti raccolti da fonti pubbliche o da terzi l'informativa va data entro un mese e comunque al primo contatto o alla prima comunicazione.

Registro dei trattamenti

L'articolo 30 impone di tenere un registro delle attività di trattamento. La deroga per imprese con meno di 250 dipendenti non vale se il trattamento non è occasionale, e la gestione dei clienti è quasi sempre un trattamento continuativo: per una piccola impresa il registro è in pratica dovuto. Per il CRM indica: finalità, categorie di interessati (clienti, potenziali clienti, referenti), categorie di dati, destinatari (il fornitore), eventuali trasferimenti extra UE, tempi di conservazione e misure di sicurezza.

Trasferimenti di dati fuori dall'Unione europea

Molti fornitori di CRM hanno sede o sub-responsabili fuori dall'UE. I trasferimenti sono consentiti con strumenti previsti dal GDPR: decisione di adeguatezza della Commissione europea, clausole contrattuali standard o altre garanzie. Per gli Stati Uniti esiste dal luglio 2023 una decisione di adeguatezza collegata al quadro Data Privacy Framework, che si applica solo alle società statunitensi che aderiscono. Verifica nell'accordo del fornitore quale meccanismo usa e dove sono ospitati i dati; per i dettagli aggiornati consulta il sito del Garante e quello della Commissione europea.

Sicurezza: le misure minime ragionevoli

L'articolo 32 richiede misure adeguate al rischio. Per un CRM di piccola impresa significa:

• autenticazione a due fattori per tutti gli utenti, quando disponibile;
• password robuste e uniche, con un gestore di password;
• permessi per ruolo: ciascuno vede solo ciò che serve;
• disattivazione immediata dell'account di chi lascia l'azienda;
• registro degli accessi o controllo periodico degli utenti;
• esportazioni controllate: pochi utenti possono scaricare l'intero archivio;
• dispositivi protetti con aggiornamenti e cifratura del disco.

Conservazione e cancellazione

Non puoi conservare i dati per sempre. Stabilisci tempi per categoria, per esempio: contatti senza rapporto commerciale, un periodo definito dopo l'ultimo contatto; trattative non concluse, un periodo ragionevole; clienti, per la durata del rapporto e per i termini fiscali e civilistici applicabili. I tempi dipendono dalla tua situazione e vanno concordati con il consulente. Il CRM dovrebbe permettere filtri per data dell'ultima attività e cancellazione o anonimizzazione di massa.

I diritti degli interessati

Una persona può chiedere accesso ai propri dati, rettifica, cancellazione, limitazione, portabilità e opposizione. Devi rispondere senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile in casi complessi. In pratica ti servono una procedura scritta e la capacità di cercare tutti i dati di una persona nel CRM e nei sistemi collegati. L'opposizione al marketing diretto deve essere sempre accolta, e il CRM deve bloccare i contatti che hanno revocato il consenso o si sono opposti, in modo che le automazioni non li raggiungano.

Telemarketing e Registro pubblico delle opposizioni

Per le chiamate promozionali verso numeri presenti in elenchi pubblici, e anche verso le utenze mobili secondo la disciplina in vigore, esiste il Registro pubblico delle opposizioni, gestito dal Ministero delle Imprese e del Made in Italy tramite un gestore. Chi svolge telemarketing deve consultare il registro prima di chiamare, salvo che abbia un consenso specifico. Se usi il CRM per campagne telefoniche, integra un controllo periodico. Verifica le regole attuali sul sito ufficiale del registro e del Garante.

Violazione dei dati

Se un computer viene rubato, un account viene compromesso o un file viene inviato alla persona sbagliata, potresti avere una violazione dei dati personali. Il titolare deve documentarla e, se è probabile un rischio per i diritti delle persone, notificarla al Garante entro 72 ore da quando ne è venuto a conoscenza; se il rischio è elevato va informata anche la persona interessata. Prepara una procedura in una pagina: chi avvisare, come bloccare gli accessi, come registrare l'evento.

Quando consultare un professionista

Un consulente privacy è utile per la redazione dell'informativa, del registro, della nomina dei fornitori e per valutare i trasferimenti extra UE. La valutazione d'impatto è richiesta solo in casi di rischio elevato, per esempio profilazione su larga scala; chiedi se ricorre. Per il collegamento con le email promozionali leggi la guida sulle automazioni, e per la scelta del fornitore la checklist.

Domande frequenti

Devo chiedere il consenso per inserire un cliente nel CRM?

No: per gestire preventivi, contratti e fatture la base giuridica è il rapporto con il cliente. Il consenso serve per finalità aggiuntive come il marketing verso chi non è cliente.

I dati di un referente aziendale sono dati personali?

Sì, nome, email e telefono di una persona sono dati personali anche se riferiti a un contesto di lavoro.

Il fornitore del CRM può usare i miei dati per i suoi scopi?

Un responsabile del trattamento deve trattare i dati solo su tue istruzioni. Controlla nell'accordo eventuali usi per migliorare il servizio o per statistiche aggregate.

Posso usare i dati raccolti con un biglietto da visita?

Puoi usarli per contattare la persona su temi legati al suo lavoro con le cautele del caso, ma per newsletter e promozioni servono basi giuridiche adeguate. Chiedi un parere se hai dubbi.

Fonti ufficiali

• Garante per la protezione dei dati personali — provvedimenti, linee guida, modelli di notifica delle violazioni.
• European Data Protection Board — linee guida europee su GDPR, responsabili e trasferimenti.
• Registro pubblico delle opposizioni — informazioni e adempimenti per il telemarketing.