Agenzie: chi è responsabile delle statistiche dei siti dei clienti?

Un'agenzia che installa l'analisi sui siti dei clienti si trova al centro di una catena di responsabilità. Il GDPR ha parole precise per questo, e un ruolo sbagliato si vede il giorno in cui un visitatore fa una richiesta, arriva un controllo o il contratto finisce. È un'informazione generale, non una consulenza legale.

Chi fa cosa

Parte	Ruolo abituale	Perché
Il cliente, titolare del sito	Titolare del trattamento	Decide di misurare il proprio sito e con quale finalità
L'agenzia	Responsabile del trattamento	Installa e gestisce lo strumento per il cliente, secondo le sue istruzioni
Lo strumento di analisi	Responsabile o sub-responsabile	Tratta i dati per conto di chi apre l'account

L'agenzia cambia ruolo se usa i dati per sé, per esempio per confrontare i siti di tutti i clienti. Diventa allora titolare per quell'uso e, in Francia, la misurazione esce dall'esenzione della CNIL, che vieta di mettere in comune i dati grezzi di più titolari.

Due modi di organizzare gli account

Il cliente apre l'account. Il cliente si iscrive presso il fornitore, accetta il suo accordo sul trattamento dei dati e invita l'agenzia nel team. La catena è corta: cliente e fornitore hanno un contratto diretto, e l'accesso dell'agenzia rientra nel suo contratto con il cliente. A fine incarico il cliente toglie l'agenzia dal team e conserva lo storico.

L'agenzia apre l'account. L'agenzia riunisce tutti i clienti in un solo account, il che semplifica la fatturazione. Il fornitore diventa allora sub-responsabile. L'agenzia ha bisogno dell'autorizzazione del cliente per ricorrervi (articolo 28.2 del GDPR), deve trasferirgli gli stessi obblighi (articolo 28.4) e dovrebbe citarlo nell'accordo che firma con il cliente. A fine incarico va prevista l'esportazione o la cancellazione dei dati del sito.

La lista di controllo dell'agenzia

1. Un accordo sul trattamento con ogni cliente che citi lo strumento di analisi e i suoi sub-responsabili.
2. Per i siti in Francia che fanno a meno del consenso, lo strumento configurato secondo i criteri della CNIL, sito per sito. In Statsdot è la modalità esenzione CNIL.
3. Il testo sulla misurazione del pubblico e il pulsante di opposizione nell'informativa di ogni sito (modello in Informativa sulla privacy: cosa scrivere sulla misurazione del pubblico).
4. Accessi al livello giusto: il cliente come lettore, un link condiviso solo se i numeri possono essere pubblici, i report via email agli indirizzi giusti.
5. Un periodo di conservazione scelto e messo per iscritto, al massimo 25 mesi.
6. Nessun confronto tra clienti a partire dai dati grezzi.
7. Cosa succede a fine contratto: esportazione dello storico, passaggio di consegne o cancellazione.

In Statsdot

Il proprietario di un account invita membri come lettori o gestori; un gestore può modificare le impostazioni dei siti e aggiungere siti all'account, mai la fatturazione o la cancellazione. Il piano Growth copre fino a 30 siti, e ogni cliente può ricevere il suo report via email o un link in sola lettura. Il funzionamento è descritto in Analisi per agenzie e nella guida al team.