GDPR per i ristoranti: l'essenziale spiegato in modo semplice

I dati personali sono tutte le informazioni riferite a una persona identificabile: un nome, un numero di telefono, un indirizzo e-mail o anche un indirizzo IP. Nella ristorazione questi dati confluiscono in molti punti, spesso senza che ce ne accorgiamo consapevolmente. Già una prenotazione telefonica con il nome annotato costituisce un trattamento ai sensi del GDPR.

• Prenotazioni con nome, numero di telefono, numero di coperti e talvolta richieste particolari o segnalazioni di allergie.
• Ordini online con indirizzo di consegna o ritiro, dati di contatto e informazioni di pagamento.
• Iscrizioni alla newsletter con l'indirizzo e-mail ed eventualmente un nome per un contatto personale.
• Accesso Wi-Fi per i clienti, in cui, a seconda della soluzione, vengono registrati dati del dispositivo o di accesso.
• Moduli di contatto sul sito web e richieste tramite messaggistica o social network.
• Videosorveglianza (CCTV) in sala o all'ingresso, oltre alle candidature di lavoro del personale.

Più canali digitali utilizzi, più fonti di dati si creano. Un primo passo sensato è quindi farsi una visione d'insieme: quali dati raccogliamo, dove sono conservati e chi vi ha accesso? Questo inventario costituisce la base per tutto il resto.

Il GDPR si fonda su pochi principi chiari. Non devi impararli a memoria, ma la loro logica aiuta ad agire correttamente nella quotidianità. In sostanza si tratta di raccogliere solo i dati di cui hai davvero bisogno e di trattarli in modo trasparente. Chi interiorizza questa logica, nel dubbio prende di solito la decisione giusta.

I principi più importanti

• Base giuridica: ogni trattamento ha bisogno di un motivo consentito, come il consenso, un contratto (p. es. un ordine) o un legittimo interesse.
• Limitazione della finalità: i dati possono essere usati solo per lo scopo per cui sono stati raccolti; quelli di prenotazione non per la pubblicità senza chiedere.
• Minimizzazione dei dati: raccogli solo ciò che è davvero necessario ed evita campi obbligatori privi di scopo.
• Trasparenza: i clienti devono sapere in modo comprensibile quali dati tratti e come; a questo serve l'informativa sulla privacy.
• Limitazione della conservazione: i dati non possono essere conservati più a lungo di quanto richiedano la finalità o i termini di legge.
• Sicurezza: i dati personali vanno protetti da perdita e accesso non autorizzato con misure tecniche e organizzative adeguate.

Questi principi valgono in tutta l'UE perché il GDPR è un regolamento europeo. In ogni Paese è integrato in alcuni punti dalla normativa nazionale sulla protezione dei dati. Quale base giuridica sia adatta nel singolo caso non può essere stabilito in modo generale: nel dubbio, chiariscilo con l'autorità di controllo competente o con una consulenza legale qualificata.

Non appena tratti dati personali, ti serve un'informativa sulla privacy, di norma sul tuo sito web, facile da trovare e in un linguaggio comprensibile. Spiega tra l'altro quali dati raccogli e per quale scopo, per quanto tempo li conservi e quali diritti hanno i clienti. Se ricorri a fornitori esterni che trattano dati per tuo conto per compiti specifici, si aggiunge un contratto di responsabile del trattamento (in tedesco: Auftragsverarbeitungsvertrag, AVV).

1. 1Fatti una panoramica di tutti gli strumenti e fornitori che trattano dati dei clienti per tuo conto: prenotazioni, ordini, newsletter o hosting.
2. 2Verifica per ciascuno di questi servizi se esiste un contratto di responsabile del trattamento (AVV); i fornitori seri lo offrono e lo stipulano con te.
3. 3Crea o aggiorna un'informativa sulla privacy che rappresenti fedelmente tutti i servizi e i tipi di dati utilizzati.
4. 4Documenta quali trattamenti avvengono nella tua attività; ciò rientra nel registro delle attività di trattamento.
5. 5Verifica i dati con regolarità e adeguali non appena introduci nuovi strumenti o modifichi i processi.

Un AVV regola gli obblighi del fornitore e garantisce che i dati siano trattati solo secondo le tue istruzioni. La responsabilità del rispetto del GDPR resta tua in quanto attività, anche quando i dati si trovano tecnicamente presso un terzo. Un'informativa sulla privacy giuridicamente solida dovrebbe perciò essere adattata individualmente alla tua attività, con un supporto qualificato nel dubbio.

Il GDPR riconosce ai clienti una serie di diritti per i quali è bene essere preparati. Se qualcuno presenta una richiesta, ad esempio di accesso o cancellazione, di norma devi rispondere entro un mese. È utile avere un processo interno chiaro affinché tali richieste non si perdano nella routine quotidiana.

• Diritto di accesso: i clienti possono sapere se e quali dati conservi su di loro.
• Diritto di rettifica: i dati errati o non aggiornati devono essere corretti su richiesta.
• Diritto alla cancellazione: se i dati non sono più necessari o manca la base, devono essere cancellati, salvo un obbligo di conservazione contrario.
• Diritto di limitazione e di portabilità dei dati, oltre al diritto di opposizione a determinati trattamenti.
• Revoca del consenso: un consenso prestato, ad esempio per la newsletter, deve poter essere revocato in modo semplice in qualsiasi momento.

Come primi passi pratici si consigliano: un inventario di tutte le fonti di dati, un'informativa sulla privacy aggiornata, gli AVV con tutti i fornitori, una raccolta di dati misurata e una gestione regolata delle richieste. Forma inoltre brevemente il tuo team su come trattare i dati dei clienti. Così nasce, passo dopo passo, un livello solido di protezione dei dati, senza che tutto debba essere perfetto subito.

Una parte pratica della protezione dei dati è l'ordine: più i dati dei tuoi clienti sono organizzati chiaramente, più facile diventa trattarli in modo responsabile. gastronomx riunisce prenotazioni e ordini online in un unico luogo, così non devi più passare da liste sparse, foglietti e caselle di posta. Questa visione centrale facilita il controllo e la risposta ordinata alle richieste.

L'ordine crea la base

All'interno del prodotto, i dati di prenotazione e ordine vengono trattati in modo strutturato anziché distribuiti senza controllo in molti punti. Questo non ti solleva dalla responsabilità legale: gli obblighi del GDPR restano tuoi in quanto attività, ma una base dati ordinata è un buon punto di partenza per una protezione dei dati pulita. Argomenti dedicati all'informativa sulla privacy e alla sicurezza dei dati approfondiscono i singoli aspetti.

Resta importante: gastronomx è uno strumento, non un sostituto di una verifica individuale in materia di protezione dei dati. Quali basi giuridiche, termini e formulazioni si applicano alla tua attività dovresti chiarirlo, nel dubbio, con l'autorità di controllo competente o con una consulenza legale qualificata. Questo articolo offre un orientamento generale e non costituisce consulenza legale.