Dati dei clienti e consenso nel clienteling: una checklist per GDPR e nLPD svizzera

Nell'UE e in Svizzera il clienteling deve rispettare il GDPR e la legge federale svizzera sulla protezione dei dati riveduta (nLPD). In pratica ciò significa una base giuridica documentata per ogni utilizzo dei dati dei clienti, il rispetto delle opposizioni al marketing e alla profilazione, il consenso esplicito dove il diritto svizzero lo richiede, un'informativa trasparente al momento della raccolta e canali di messaggistica controllati dall'azienda. La checklist seguente traduce queste regole in passaggi concreti per i team di negozio, i responsabili del CRM e la compliance.

Questo articolo è un orientamento redazionale, non una consulenza legale. I brand dovrebbero verificare la propria impostazione con consulenti qualificati, in particolare per quanto riguarda le norme nazionali sul marketing elettronico, che si affiancano alla normativa sulla protezione dei dati.

Quali leggi si applicano ai dati del clienteling in Europa e in Svizzera?

Per i negozi nell'UE e per i clienti dell'UE, il trattamento dei dati dei clienti è disciplinato dal GDPR. Per i negozi svizzeri e i clienti svizzeri si applica la nLPD, entrata in vigore il 1° settembre 2023, che riguarda solo i dati delle persone fisiche, ha introdotto la profilazione come concetto giuridico e prescrive la protezione dei dati fin dalla progettazione e per impostazione predefinita. Molti brand con negozi in entrambe le aree applicano un unico standard comune basato, su ciascun punto, sulla regola più severa.

Quando serve il consenso e quando basta l'interesse legittimo?

Secondo il considerando 47 del GDPR, il trattamento a fini di marketing diretto può essere considerato effettuato per un interesse legittimo, ma la valutazione dipende dal fatto che i clienti possano ragionevolmente attendersi il trattamento al momento e nel contesto della raccolta. Un cliente che acquista in negozio e fornisce un indirizzo e-mail per le ricevute non si aspetta necessariamente contatti personalizzati via WhatsApp. Norme distinte sul marketing elettronico richiedono spesso un consenso preventivo per i messaggi via e-mail, SMS o app di messaggistica, con eccezioni limitate per i clienti esistenti. Registrare consensi espliciti per ciascun canale al momento della raccolta è quindi l'approccio più solido.

Leggi anche

IA nel clienteling: come funziona il next-best-message e dove la privacy pone dei limiti

Come si presenta la checklist?

1. Mappare i dati: elenchi ogni campo del quaderno clienti, comprese le note a testo libero, ed elimini tutto ciò che non serve.
2. Definire le finalità: servizio (ordini, modifiche sartoriali), contatti di marketing, analisi e suggerimenti dell'IA, ciascuna con una base giuridica documentata.
3. Informare al momento della raccolta: un'informativa breve e chiara alla cassa, nell'app e online che spieghi che cosa viene raccolto, perché e come opporsi.
4. Registrare il consenso per ciascun canale (e-mail, SMS, WhatsApp, telefono) con data, fonte e formulazione, e renderlo visibile nell'app del venditore.
5. Gestire rapidamente le opposizioni: un cliente che si oppone al marketing deve essere escluso dal marketing e dalla relativa profilazione su tutti i canali.
6. Evitare dati degni di particolare protezione nelle note: informazioni sulla salute (ad esempio note su gravidanza o esigenze mediche), sulla religione o dettagli simili richiedono un consenso esplicito e di norma non dovrebbero essere registrate.
7. Valutare la profilazione: verifichi se l'assegnazione di punteggi ai clienti da parte dell'IA possa configurarsi come profilazione a rischio elevato ai sensi del diritto svizzero e documenti la valutazione.
8. Controllare gli accessi: i venditori vedono solo i propri clienti; le esportazioni sono limitate e registrate.
9. Fissare periodi di conservazione per i clienti inattivi e cancellare o anonimizzare i dati di conseguenza.
10. Verificare i trasferimenti: accerti dove i fornitori di clienteling e messaggistica conservano i dati e quali garanzie si applicano ai trasferimenti.
11. Tenere un registro delle attività di trattamento e un piano di risposta alle violazioni che preveda, ove necessario, la notifica all'autorità di vigilanza svizzera.
12. Formare il personale su che cosa annotare, che cosa non annotare e come rispondere alle richieste dei clienti.

Che cosa fare con i telefoni personali e le app di messaggistica dei venditori?

Molti venditori scrivono ai clienti migliori dal proprio telefono. Questo crea tre problemi: il brand non può dimostrare il consenso né rispondere alle richieste di accesso, le relazioni con i clienti se ne vanno insieme al venditore e i dati possono essere conservati in luoghi che il brand non controlla. Account di messaggistica aziendali o strumenti di clienteling integrati che registrano le conversazioni risolvono la maggior parte di questi problemi. Dove l'uso di dispositivi personali è inevitabile, il minimo indispensabile è una policy chiara su separazione, conservazione e passaggio di consegne quando un collaboratore lascia l'azienda.

Come gestire la profilazione tramite IA?

I suggerimenti dell'IA su quali clienti contattare e che cosa offrire sono una forma di profilazione. Ai sensi dell'articolo 21 del GDPR, i clienti possono opporsi in qualsiasi momento al marketing diretto, compresa la profilazione a esso connessa, e i loro dati non devono più essere trattati per tale finalità. L'articolo 22 del GDPR aggiunge il diritto di non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o analogamente significativi, il che è rilevante se un sistema esclude automaticamente clienti dalle offerte o fissa prezzi individuali. Mantenere il venditore come decisore, documentare la logica in un linguaggio semplice ed escludere dall'assegnazione dei punteggi i clienti che si sono opposti sono garanzie ragionevoli.

Leggi anche

Come si usa l'IA nei negozi fisici di moda?

Quale documentazione occorre conservare?

• Un registro delle attività di trattamento che comprenda il clienteling, salvo che si applichi un'esenzione per trattamenti di piccola entità e a basso rischio.
• Registri dei consensi per cliente e canale, comprese le revoche.
• Valutazioni d'impatto sulla protezione dei dati per la profilazione tramite IA o per trattamenti su larga scala ad alto rischio.
• Contratti con i fornitori di clienteling, CRM e messaggistica, comprese le garanzie per i trasferimenti.
• Un registro delle richieste di accesso e delle opposizioni e di come sono state gestite.