GDPR e recensioni: cosa può fare un e-commerce con i dati dei clienti che recensiscono?

Ogni recensione lasciata da un cliente contiene quasi sempre dati personali come il nome (anche solo di battesimo o parziale), l'associazione con un ordine specifico, una fotografia e, più in generale, informazioni che permettono, direttamente o indirettamente, di identificare l'autore.

Come si può intuire, quanto sopra basta per rendere la gestione delle recensioni un'attività di trattamento dati a tutti gli effetti soggetta al Regolamento Generale sulla Protezione dei Dati (GDPR). Nonostante ciò, tale aspetto è fin troppo spesso trascurato nella pianificazione operativa dei processi di reputation management.

In questo articolo vedremo quali sono i principali punti di attenzione GDPR nella raccolta e gestione delle recensioni, la base giuridica del trattamento, cosa può essere raccolto e mostrato pubblicamente, i tempi di conservazione dei dati, il diritto all'oblio, le pratiche di anonimizzazione, e la responsabilità dell'e-commerce nei confronti delle piattaforme terze che ospitano le recensioni.

La base giuridica del trattamento è un consenso o un legittimo interesse?

Il primo punto da chiarire in questo complesso argomento è la base giuridica su cui l'e-commerce fonda la richiesta e la pubblicazione di una recensione.

Nella maggior parte dei casi, la sollecitazione a lasciare un feedback post-acquisto può essere ricondotta al legittimo interesse del titolare del trattamento (l'e-commerce stesso) a raccogliere informazioni sulla qualità del servizio offerto, ma l’interesse deve comunque essere bilanciato con i diritti e le libertà fondamentali dell'interessato, secondo quanto previsto dall'articolo 6, paragrafo 1, lettera f) del GDPR.

La pubblicazione della recensione con dati identificativi (nome, foto, dettagli specifici), tuttavia, richiede generalmente un consenso esplicito e distinto rispetto alla semplice raccolta del feedback: il cliente dovrebbe poter scegliere se il proprio commento venga pubblicato in forma nominativa, in forma parzialmente anonimizzata, o non pubblicato affatto pur restando disponibile come feedback interno all'azienda. È questa distinzione tra raccolta del dato e sua diffusione pubblica ad essere un fattore spesso trascurato nell'implementazione tecnica dei sistemi di recensione, ma rilevante dal punto di vista della compliance.

Cosa può essere raccolto e mostrato pubblicamente

Il principio di minimizzazione dei dati, cardine del GDPR, impone di raccogliere e mostrare pubblicamente solo le informazioni strettamente necessarie a garantire l'autenticità e l'utilità della recensione per altri potenziali clienti.

In termini pratici, l’indicazione di cui sopra significa che la verifica dell'acquisto (elemento fondamentale per l'autenticità del feedback, come approfondito nel nostro contenuto sulla differenza tra recensioni verificate e non verificate) può e dovrebbe avvenire internamente, senza necessità di esporre pubblicamente dati sensibili come l'indirizzo di consegna completo, il numero di telefono, o l'indirizzo email dell'acquirente.

La pratica più diffusa e conforme prevede la pubblicazione del solo nome (spesso solo di battesimo, o con iniziale del cognome), della data dell'acquisto, di un badge di verifica dell'acquisto, e del contenuto testuale o fotografico fornito volontariamente dal cliente. Qualsiasi dato aggiuntivo raccolto per finalità di verifica interna (numero d'ordine, dati di fatturazione) deve restare confinato al sistema di gestione interno, mai esposto nella recensione pubblica.

Conservazione dei dati: definire una retention policy chiara e trasparente

Il GDPR richiede inoltre che i dati personali non vengano conservati per un periodo superiore a quello necessario rispetto alle finalità del trattamento. Per le recensioni, questo principio si traduce nella necessità di definire una policy di conservazione esplicita, sia per il contenuto pubblicato sia per i dati di verifica associati internamente (collegamento tra recensione e ordine specifico).

Molte organizzazioni scelgono di mantenere pubblicata la recensione a tempo indeterminato, in quanto contenuto editoriale di interesse continuativo per altri utenti, ma dovrebbero comunque prevedere una procedura per la cancellazione dei dati di collegamento interno (associazione recensione-cliente-ordine) dopo un periodo definito, oppure la loro conservazione in forma pseudonimizzata, qualora non più necessari per finalità di audit o contestazione.

Il diritto all'oblio applicato alle recensioni

L'articolo 17 del GDPR riconosce all'interessato il diritto di ottenere la cancellazione dei propri dati personali in determinate circostanze, tra cui il ritiro del consenso su cui si basava il trattamento. Applicato alle recensioni, tutto ciò sta a significare che un cliente che aveva acconsentito alla pubblicazione nominativa del proprio feedback può successivamente richiederne la rimozione o l'anonimizzazione, e l'e-commerce (o la piattaforma di recensioni utilizzata) deve disporre di un processo operativo per gestire questa richiesta entro i tempi previsti dalla normativa.

È importante distinguere, in questo contesto, tra la rimozione dei dati personali identificativi e la rimozione del contenuto valutativo in sé: un e-commerce può generalmente anonimizzare una recensione (sostituendo il nome con una dicitura generica come "Cliente verificato") anziché cancellarla integralmente, preservando così l'integrità statistica del proprio punteggio aggregato pur soddisfacendo la richiesta di tutela dei dati personali dell'interessato.

Anonimizzazione: uno strumento di conformità e di tutela

L'anonimizzazione, o più correttamente la pseudonimizzazione (poiché raramente l'anonimizzazione è completa e irreversibile in un sistema che mantiene comunque un collegamento interno all'ordine), è uno strumento di conformità che un e-commerce può adottare proattivamente, non solo in risposta a una richiesta specifica dell'interessato.

Impostare come default la visualizzazione del nome puntato (es. "Marco R.") anziché del nominativo completo, evitare la richiesta di dati non necessari nel modulo di recensione, e offrire fin dall'inizio la possibilità di lasciare un feedback in forma anonima riducono strutturalmente l'esposizione al rischio di trattamento non conforme, oltre a rappresentare una buona pratica di privacy by design richiesta esplicitamente dall'articolo 25 del GDPR.

La responsabilità verso le piattaforme terze di recensioni

Quando un e-commerce si affida a una piattaforma terza per la raccolta e la pubblicazione delle recensioni, si instaura un rapporto di trattamento dati che deve essere regolato contrattualmente.

In questo scenario, infatti, l'e-commerce mantiene generalmente il ruolo di titolare del trattamento per i dati dei propri clienti, mentre la piattaforma di recensioni assume tipicamente il ruolo di responsabile del trattamento, operando secondo le istruzioni del titolare e nell'ambito di un accordo di trattamento dati (Data Processing Agreement) conforme all'articolo 28 del GDPR.

Prima di adottare una piattaforma di recensioni, è quindi opportuno verificare che il fornitore metta a disposizione un accordo di trattamento dati chiaro, che specifichi le finalità del trattamento, le misure di sicurezza adottate, la localizzazione dei server (rilevante per eventuali trasferimenti extra-UE), e le modalità con cui vengono gestite le richieste di esercizio dei diritti degli interessati quando queste pervengono direttamente alla piattaforma anziché all'e-commerce stesso.

Insomma, da quanto sopra dovrebbe essere chiaro come la gestione conforme dei dati personali nell'ambito delle recensioni non debba essere considerata come un mero adempimento normativo da minimizzare o sbrigare nei tempi più rapidi, quanto piuttosto come un elemento che rafforza la fiducia del cliente verso l'e-commerce. Un cliente che percepisce un trattamento trasparente e rispettoso dei propri dati personali, d’altronde, è più propenso a interagire attivamente con il sistema di recensioni, con benefici indiretti anche sul volume e sulla qualità del feedback raccolto nel tempo.