Sito matrimonio GDPR: codice invito, privacy e hosting

La reazione istintiva è che per una festa privata non serva pensarci. È vera solo in parte, e la parte in cui non è vera è proprio quella che riguarda una pagina online: nel momento in cui le informazioni escono dalla vostra cerchia e finiscono su un servizio, sotto un indirizzo che chiunque può aprire, la cornice cambia.

Niente di quanto segue richiede un consulente. Sono quattro decisioni pratiche — chi risponde, che cosa si scrive, dove stanno i dati, quando si cancellano — e si prendono in un pomeriggio, una volta sola, all'inizio.

Getting Married è costruito attorno a questa idea: la pagina pubblica dice pochissimo, l'area degli invitati sta dietro un accesso, e le risposte non escono da lì se non siete voi a farle uscire.

Il regolamento europeo distingue due ruoli, e su una pagina di matrimonio sono facili da assegnare. Il titolare del trattamento decide perché e come i dati vengono usati: siete voi due, perché siete voi a scegliere quali domande fare e a chi consegnare le risposte. Il responsabile è chi tratta quei dati per vostro conto seguendo le vostre istruzioni: il fornitore della pagina, e se ne avete uno anche il wedding planner.

Esiste un'eccezione che molti citano male: il regolamento non si applica ai trattamenti fatti da una persona fisica per attività esclusivamente personali o domestiche. Una rubrica sul telefono ci rientra. Una pagina raggiungibile da chiunque, no — e in ogni caso l'eccezione non copre mai chi fornisce il servizio, che resta soggetto alle regole per intero. In pratica, quindi, la domanda non è se vi riguardi, ma quanto poco vi costi comportarvi bene.

Aiuta guardare che cosa raccoglie davvero una pagina di matrimonio. Sono sei famiglie di informazioni, e hanno sei destini diversi.

• Nomi e recapiti degli invitati, che servono per invitare, sollecitare e ringraziare.
• Indirizzi postali, che servono due volte: partecipazioni e ringraziamenti.
• Presenze, accompagnatori e bambini, che diventano un numero per la location.
• Scelte di menu e indicazioni alimentari, di cui una parte riguarda la salute e va trattata a parte.
• Fotografie, che ritraggono persone riconoscibili e seguono anche regole proprie.
• Dati tecnici di visita — registri di accesso, eventuali strumenti di misura — che raccoglie il fornitore, non voi.

L'ultima riga è quella che nessuno considera e che vale la pena chiedere: la vostra pagina misura le visite? Con quale strumento, e dove finiscono quei dati? Su un sito di matrimonio la risposta migliore è quasi sempre «non le misura».

Accanto al modulo di conferma va scritto qualcosa, e la tentazione è copiare tre schermate di testo legale da un altro sito. Non serve, e per di più non lo legge nessuno: quello che serve è breve, vero e specifico. Il regolamento chiede che l'informazione sia concisa, comprensibile e in un linguaggio semplice, che per una volta è esattamente quello che volete anche voi.

Cinque righe bastano, e rispondono a cinque domande: chi siete, che cosa raccogliete, a che cosa serve, a chi lo date e fino a quando lo tenete. Per esempio: siamo Anna e Marco; raccogliamo nome, recapito, presenza, scelta del menu ed eventuali indicazioni alimentari; ci servono per organizzare la giornata; comunicheremo alla location soltanto il numero, i menu e le indicazioni per la cucina; cancelleremo tutto entro tre mesi dal matrimonio; per correzioni o cancellazioni scriveteci a questo indirizzo.

Due precisazioni che rendono quel testo davvero utile invece che decorativo. La prima: nominate la location per quello che è, cioè il destinatario dei dati, perché è l'unica comunicazione a terzi che farete e dirla in anticipo evita ogni sorpresa. La seconda: la riga sulla cancellazione va scritta con una data e non con un «appena possibile», perché una data è una promessa e «appena possibile» non lo è.

Non serve invece niente di quello che le aziende mettono e che non vi riguarda: non tenete un registro dei trattamenti, non nominate un responsabile della protezione dei dati, non fate valutazioni d'impatto. Siete due persone che organizzano una festa, e il regolamento non chiede a due persone quello che chiede a un'impresa.

Il rischio concreto di una pagina di matrimonio non è un attacco informatico: è l'indicizzazione. Una pagina pubblica viene letta dai motori di ricerca, e quello che finisce nell'indice ci resta anche dopo che l'avete tolta, perché le copie memorizzate hanno tempi loro. Se in quella pagina c'erano l'indirizzo di casa e l'ora esatta in cui la casa sarebbe stata vuota, il problema è già uscito dalle vostre mani.

La separazione giusta è netta e va decisa all'inizio, non aggiustata dopo. Sulla parte aperta a tutti stanno i vostri nomi e la data, e nient'altro: nessun indirizzo, nessun orario, nessun elenco di persone, nessuna fotografia riconoscibile. Tutto il resto — dove, quando, chi, che cosa si mangia — vive dietro un accesso.

Su come si costruisce quell'accesso la scelta è fra una parola d'ordine unica e un codice legato al singolo invito, e non è indifferente: la prima si inoltra in un messaggio e non si può richiamare indietro, il secondo si revoca senza toccare gli altri. Il confronto per esteso, con i difetti di entrambe, è in password o codice invito.

Un controllo che costa trenta secondi e va fatto una settimana dopo la pubblicazione: cercate su un motore di ricerca i vostri due nomi insieme alla parola «matrimonio» e guardate che cosa esce. Se compare qualcosa che pensavate fosse riservato, lo saprete quando è ancora facile rimediare. E se una pagina che doveva restare fuori è già entrata nell'indice, la rimozione va chiesta al motore oltre che tolta dal sito: sono due gesti separati, e farne uno solo lascia il problema a metà.

«Dove sono i dati» è una domanda con una risposta precisa, e ogni fornitore serio la dà senza esitare. Trattandosi di dati di persone che vi hanno dato fiducia, vale la pena porla prima di caricarli e non dopo.

Tre cose bastano a inquadrare la situazione. La prima: in quale paese si trovano i centri di calcolo. Dentro l'Unione europea la questione si chiude qui; fuori serve una delle basi che il regolamento prevede per i trasferimenti — una decisione di adeguatezza o clausole contrattuali tipo — e il fornitore deve saperla nominare. La seconda: quali altri fornitori sono coinvolti, i cosiddetti sub-responsabili, perché quasi nessun servizio fa tutto da solo e il vostro elenco di invitati potrebbe passare da un servizio di invio messaggi che non avete scelto voi. La terza: che cosa succede in caso di violazione dei dati, chi vi avvisa e in quanto tempo.

Il documento che tiene insieme tutto questo è l'accordo previsto dall'art. 28 del regolamento, quello fra voi come titolari e il fornitore come responsabile. Non è una formalità aziendale: è la sola cosa che vi permette di dire «cancellate» e di aspettarvi che accada. Chiedetelo, e se non esiste è già una risposta.

In Italia l'autorità competente è il Garante per la protezione dei dati personali, ed è a lui che si rivolgerebbe un invitato che ritenesse i propri dati trattati male. Non è uno scenario realistico per un matrimonio, ma spiega perché la riga sull'informativa con il vostro indirizzo di contatto conviene metterla davvero: quasi tutte le richieste si risolvono con una risposta vostra in due giorni, e mai nessuno scrive al Garante quando ha già ricevuto una risposta.

La parte che manca in quasi tutte le pagine di matrimonio non è la protezione: è la fine. I dati restano dove sono, il servizio continua a rinnovarsi, e tre anni dopo c'è ancora online l'indirizzo di casa di ottanta persone. Un calendario deciso all'inizio risolve tutto, e non richiede di ricordarsi niente.

Quattro momenti, ciascuno con la sua ragione. Le indicazioni alimentari si cancellano il giorno dopo il matrimonio, perché sono la categoria più delicata e hanno esaurito il loro scopo. Menu, tavoli e note di servizio possono restare finché non avete finito di sistemare le cose con i fornitori. Indirizzi e recapiti restano fino all'ultimo ringraziamento spedito. Le fotografie hanno un percorso proprio, con una scadenza annunciata agli invitati. Come si organizza tutto questo su un unico elenco, senza copie sparse, è il tema di lista invitati online.

Poi ci sono le richieste degli invitati, che nella pratica sono tre e si risolvono tutte in pochi minuti. Qualcuno chiede di correggere un dato sbagliato: lo correggete. Qualcuno chiede che il proprio nome sparisca dopo la festa: lo togliete. Qualcuno chiede di non comparire in una fotografia: la rimuovete. Il regolamento chiama queste cose rettifica, cancellazione e opposizione, e vi dà un mese di tempo; per un matrimonio è meglio rispondere in un giorno, che è anche quello che si farebbe per educazione.

Una sola richiesta ha un limite ed è giusto saperlo: finché il matrimonio non è passato, non potete cancellare un invitato che ha confermato e poi si presenta comunque — vi serve per contare i coperti. Si può però sempre ridurre: togliere il numero di telefono e tenere il nome, togliere l'indirizzo e tenere la presenza. La cancellazione parziale è quasi sempre la risposta giusta, e nessuno la chiede perché nessuno sa che esiste.