Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La personalizzazione richiede di capire quali aspetti della persona vengono valutati e con quali dati. Profilazione, invio promozionale e decisione automatizzata significativa sono operazioni collegate ma non equivalenti.
La situazione.
Scenario illustrativo inventato. Una catena di negozi importa lo storico acquisti nel CRM per prevedere quali prodotti ogni cliente comprerà. Il software attribuisce interessi, capacità di spesa e probabilità di risposta, usando anche dati di navigazione raccolti dal sito. Le offerte vengono poi spedite via email. Il responsabile pensa che il consenso alla newsletter copra automaticamente ogni analisi e che l’articolo 22 GDPR renda sempre vietato usare un algoritmo. Entrambe le conclusioni semplificano troppo il progetto.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Il software valuta preferenze e comportamenti individuali.
- 02
Vengono uniti acquisti e dati di navigazione.
- 03
L’offerta ordinaria non coincide necessariamente con una decisione dagli effetti significativi.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
La profilazione, nel senso del GDPR, comprende forme di trattamento automatizzato usate per valutare aspetti personali. Per prima cosa vanno identificati dati, inferenze, finalità e presupposto. Una scelta relativa all’invio di email non dimostra automaticamente la liceità dell’analisi sottostante o del tracciamento online utilizzato per alimentarla. Gli interessati dovrebbero poter comprendere le attività effettive, senza descrizioni generiche che nascondono le categorie inferite.
Non ogni segmentazione ricade nel divieto di decisioni esclusivamente automatizzate dell’articolo 22: occorre esaminare effetti e funzionamento della decisione. Restano comunque i principi generali, il diritto di opposizione al marketing diretto e le altre garanzie applicabili. Dati apparentemente ordinari possono inoltre produrre inferenze delicate: il progetto dovrebbe evitare categorie non necessarie e valutare i rischi prima di unire banche diverse. La necessità della DPIA va esaminata sul trattamento progettato.
Cosa fare, in pratica.
- 01
Descrivere i segmenti in linguaggio comprensibile: spiegare quali attributi vengono assegnati alla persona e quali conseguenze producono sul suo percorso commerciale.
- 02
Separare le condizioni delle diverse attività: gestione del contratto, profilazione, tracciamento e invio non devono essere coperti da una sola etichetta.
- 03
Ridurre le fonti e gli attributi: eliminare categorie dedotte che non servono all’obiettivo, soprattutto quando possono rivelare aspetti particolari o creare esclusioni ingiustificate.
- 04
Verificare opposizione e preferenze: il blocco del marketing deve raggiungere anche i sistemi che preparano le campagne e i relativi profili.
- 05
Documentare rischio e controllo umano: chiarire se il sistema decide oppure propone e se le persone possono modificarne effettivamente l’esito.
L’errore da evitare.
Chiedere un generico consenso al GDPR oppure aggiungere una frase sugli algoritmi non spiega quali valutazioni vengono compiute e non prova che tutte le operazioni abbiano un presupposto.
Tre verifiche da portare con te.
- Inferenze e finalità descritte.
- Presupposti distinti per le attività.
- Effetti della decisione e DPIA valutati.
Il valore del CRM non dipende dal numero di attributi disponibili. Un progetto più selettivo e spiegabile può essere più utile e più facile da governare rispetto a una profilazione senza confini.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.