Due ambiti quotidiani richiedono particolare attenzione: i messaggi di marketing e la condivisione dei dati con altri.
Marketing diretto e PECR
Il marketing diretto è pubblicità o materiale promozionale rivolto a persone specifiche. Le Privacy and Electronic Communications Regulations 2003 (PECR) aggiungono regole al UK GDPR per il marketing elettronico.
- Il marketing via e-mail e SMS ai privati richiede il consenso, con un'eccezione: il soft opt-in. Permette a un'impresa di scrivere o mandare SMS ai propri clienti già esistenti su prodotti o servizi simili se ha ottenuto i loro dati durante una vendita e se ha dato una chiara possibilità di rifiutare al momento della raccolta e in ogni messaggio successivo.
- I messaggi a un'azienda (un abbonato aziendale) seguono regole diverse, ma gli imprenditori individuali e alcune società di persone sono trattati come privati.
- Le telefonate di marketing con operatore non devono andare a numeri iscritti al Telephone Preference Service (TPS) o al Corporate TPS (gli elenchi britannici di opposizione alle telefonate), a meno che la persona abbia detto chiaramente di non avere nulla in contrario.
- Le telefonate di marketing automatiche preregistrate richiedono un consenso preventivo.
- Ogni messaggio di marketing deve dire da chi proviene e offrire un modo semplice per rifiutare.
- Il diritto di opporsi al marketing diretto è assoluto. Quando qualcuno dice basta, si fermi e inoltri la richiesta perché la scheda venga aggiornata.
- I cookie e le tecnologie simili sui siti web richiedono informazioni chiare e, nella maggior parte dei casi, il consenso. La legge del 2025 ha aggiunto eccezioni per alcuni usi a basso rischio, come certe statistiche e la sicurezza. Se ne occupa il team web del Suo datore di lavoro.
Il Data (Use and Access) Act 2025 ha portato la sanzione massima PECR al livello del UK GDPR: 17,5 milioni di sterline o il 4 % del fatturato annuo mondiale, se superiore. Consulti ico.org.uk per le indicazioni aggiornate sulle altre modifiche del PECR.
Se lavora nel marketing, non acquisti mai una lista e non ne porti una da un lavoro precedente. Chieda se le persone che vi figurano hanno accettato di essere contattate dalla Sua organizzazione.
Condividere dati con altre organizzazioni
La legge sulla protezione dei dati non vieta la condivisione. Chiede di condividere correttamente.
- Condivida solo ciò che è necessario e con chi ne ha diritto.
- Verifichi l'identità e il motivo della richiesta.
- Usi un metodo sicuro.
- Segua le regole del Suo datore di lavoro sulla condivisione dei dati. Una condivisione regolare e ampia di norma ha un accordo scritto.
- Se un'azienda esterna tratta dati per il Suo datore di lavoro (un responsabile del trattamento), è richiesto un contratto scritto.
- La polizia e altre autorità possono chiedere dati. Inoltri tali richieste alla persona indicata nella Sua procedura. Verificherà la base giuridica. Non risponda sul momento.
- In un'emergenza, quando c'è un rischio per la vita o un grave danno, la legge sulla protezione dei dati non Le impedisce di condividere quanto serve a proteggere qualcuno. Lo dica subito al Suo referente per il safeguarding o al Suo responsabile. Molte indagini hanno rilevato che il timore per la protezione dei dati è stato usato a torto per evitare di condividere.
Foto, social media e registrazioni
- Non pubblichi sui social foto o dati di clienti, pazienti, alunni o colleghi senza un permesso chiaro e un motivo di lavoro.
- La videosorveglianza e le body cam richiedono cartelli e regole del datore di lavoro. Non copi né condivida da solo le riprese.
- Non registri telefonate o riunioni con il telefono, a meno che la politica del datore di lavoro lo consenta.
Inviare dati all'estero
Spostare dati personali fuori dal Regno Unito si chiama trasferimento limitato (restricted transfer). Richiede garanzie. Se ne occupa il titolare. Se intende usare un nuovo strumento o un fornitore con sede all'estero, chieda prima.
Nuovi strumenti e IA
Non incolli dati di clienti o dipendenti in strumenti online gratuiti o chatbot di IA pubblici. Significa condividere dati con un terzo. Usi solo gli strumenti autorizzati dal Suo datore di lavoro. Le decisioni automatizzate sulle persone seguono regole aggiuntive.
Quando chiedere
Se Le viene chiesto di avviare un nuovo uso dei dati, una nuova app o una nuova lista, chieda al Suo responsabile o al referente per la protezione dei dati se serve una valutazione d'impatto sulla protezione dei dati (DPIA). Una DPIA è una verifica dei rischi richiesta prima degli usi ad alto rischio.