Cos'è davvero una DSAR

Una richiesta di accesso dell'interessato (DSAR) è il momento in cui un utente esercita i diritti che il GDPR gli garantisce sui propri dati personali. Per un editore mobile, quell'“interessato” è uno dei vostri giocatori o utenti, e la richiesta può arrivare via email, ticket di assistenza, recensione sullo store delle app o modulo in-app. L'attivazione è semplice: qualcuno vuole sapere cosa conservate su di lui — o vuole che agiate di conseguenza.

È fondamentale notare che una DSAR non deve necessariamente menzionare il GDPR, usare la parola “DSAR” né seguire alcun modello. Un messaggio di una sola riga come “inviatemi i miei dati” o “cancellate il mio account” fa partire l'orologio con la stessa fermezza di una lettera legale formale. Trattare come valide solo le richieste dall'aspetto formale è un modo rapido per mancare una scadenza.

I diritti dietro la richiesta

Le DSAR raggruppano diversi diritti distinti, e uno stesso messaggio può invocarne più di uno. Sapere quale sia quale determina cosa dovete effettivamente fare.

• Accesso — l'utente può chiedere una copia dei propri dati personali più il contesto: cosa raccogliete, perché, con chi li condividete e per quanto tempo li conservate.
• Cancellazione (“diritto all'oblio”) — eliminazione dei suoi dati, comprese le copie trasmesse a partner pubblicitari e di analisi, soggetta a eccezioni legali ristrette.
• Portabilità — i dati che vi ha fornito, restituiti in un formato strutturato e leggibile da macchina come JSON o CSV, in modo che possano spostarsi altrove.
• Rettifica — correzione di dati inesatti o incompleti, ad esempio un'email o una regione errate.

Diritti correlati — l'opposizione al trattamento e la limitazione — viaggiano spesso insieme a questi, soprattutto in tema di personalizzazione pubblicitaria, dove un utente può revocare il consenso anziché eliminare del tutto il proprio account.

Le scadenze sono rigorose

Dovete rispondere senza ingiustificato ritardo ed entro un mese di calendario dal ricevimento della richiesta. L'orologio parte il giorno in cui arriva la richiesta, non il giorno in cui qualcuno del vostro team la nota. Potete prorogare di altri due mesi per richieste genuinamente complesse, ma solo se informate l'utente entro quel primo mese e ne spiegate il motivo.

Le risposte sono normalmente gratuite. Potete addebitare una tariffa ragionevole o rifiutare solo quando una richiesta è manifestamente infondata o eccessiva, e l'onere di provarlo ricade su di voi. Per la maggior parte degli editori il presupposto sicuro è: gratuito ed entro trenta giorni. Mancare la finestra è esattamente il tipo di lacuna che i regolatori indicano quando valutano le sanzioni.

Costruire un flusso di lavoro che scala

Gli editori che gestiscono le DSAR con calma le hanno trasformate in un processo ripetibile anziché in un'esercitazione antincendio. Un flusso di lavoro praticabile si presenta così:

• Ricezione. Pubblicate un unico canale pubblicizzato — un modulo in-app o un indirizzo privacy@ dedicato — e instradate tutto attraverso di esso, in modo che nulla si perda nelle code dell'assistenza.
• Verificate l'identità. Confermate che il richiedente sia il titolare dell'account, ma chiedete solo ciò di cui avete bisogno. Esigere la scansione di un passaporto per cercare un ID di gioco è di per sé un problema di conformità.
• Registrate e datate. Annotate immediatamente la data di arrivo; è l'ancora della vostra scadenza.
• Individuate i dati. Mantenete una mappa dei dati di ogni archivio — il vostro backend, i log di crash, l'analitica, gli SDK pubblicitari, il CRM — che tocca i dati utente, indicizzata tramite un identificatore stabile.
• Adempite e rispondete. Esportate, cancellate o correggete come richiesto, propagate le cancellazioni ai responsabili del trattamento e rispondete in un linguaggio semplice.
• Chiudete il cerchio. Archiviate la richiesta e la vostra risposta come prova di aver agito in tempo.

Insidie comuni

La maggior parte dei fallimenti è operativa, non legale. Fate attenzione a queste:

• Archivi di dati dimenticati. Gli SDK pubblicitari e di attribuzione, i fornitori di notifiche push e i reporter di crash conservano tutti dati utente. Una cancellazione che li salta è incompleta.
• Raccolta eccessiva durante la verifica, trasformando una richiesta di privacy in un rischio per la privacy.
• Trattare i messaggi informali come non-richieste e lasciar trascorrere il mese.
• Nessuna prova del consenso. Se un utente contesta di avervi mai dato una base giuridica per trattare i suoi dati a fini pubblicitari, dovete essere in grado di mostrare cosa ha accettato e quando.

Come una CMP rende gestibili le DSAR

È qui che il vostro livello di consenso si guadagna lo stipendio. Una DSAR è molto più facile da evadere quando potete mostrare istantaneamente a cosa un utente ha acconsentito, quando e sotto quale framework. FlexyConsent — una CMP certificata Google che supporta IAB TCF 2.3 e Google Consent Mode v2 — memorizza un record di consenso e una pista di controllo con marca temporale per ogni utente. Quando arriva una richiesta di accesso, quel record diventa una parte già pronta della vostra risposta: le finalità accettate, i fornitori coinvolti e la versione dell'informativa mostrata. Quando arriva una richiesta di cancellazione od opposizione, lo stesso record dimostra che avete interrotto i segnali pubblicitari personalizzati al momento giusto. Abbinare questa cronologia del consenso alla vostra mappa dei dati trasforma una DSAR da una corsa affannosa a una semplice ricerca.

Questo articolo è un'informazione generale per gli editori e non costituisce consulenza legale; consultate un professionista qualificato per la vostra situazione specifica.

Punti chiave

• Qualsiasi richiesta — per quanto informale — può essere una DSAR, e la scadenza di un mese, di solito gratuita, parte il giorno in cui arriva.
• Mappate ogni archivio di dati, compresi gli SDK pubblicitari e di analisi, affinché accesso e cancellazione siano realmente completi.
• Verificate l'identità in modo proporzionato e registrate ogni richiesta per dimostrare di aver risposto in tempo.
• I record di consenso e la pista di controllo di FlexyConsent vi forniscono prove istantanee e difendibili per evadere richieste di accesso, cancellazione e opposizione.