GDPR, Cédric Vandervynckt di Criteo: «Un’evoluzione e non una rivoluzione»

Il 25 maggio entrerà in vigore il General Data Protection Regulation (GDPR). Diverse industry, compresa quella pubblicitaria, guardano con molta attenzione a quel giorno e in molti operatori si stanno attrezzando, anche in un’ottica di educazione e formazione al mercato. È il caso di Criteo, che DailyNet ha intervistato nella persona di Cédric Vandervynckt, executive vp EMEA della società francese. Un lungo scambio di battute, con l’obiettivo di fare chiarezza, in vista dell’ultima settimana di maggio.

Privacy e protezione del consumatore sono argomenti emersi con forza nel corso degli ultimi anni, quali sono le principali evoluzioni?

L’evoluzione principale è probabilmente l’armonizzazione delle diverse leggi sulla privacy dei dati locali. In particolare, con il GDPR le regole saranno le stesse in tutti i 28 stati membri dell’UE, incluso il Regno Unito. Ciò garantirà maggiore coerenza e certezza del diritto in tutta Europa, un aspetto molto importante per aziende come Criteo, che opera in più di 80 paesi. Inoltre, poiché il GDPR non si applicherà solo alle società europee, il suo impatto sulle pratiche di riservatezza delle aziende internazionali non dovrebbe essere sottovalutato. Con questo testo i legislatori europei stanno stabilendo uno standard mondiale. Allo stesso tempo, i diritti degli individui sono chiariti e rafforzati in modo significativo da questa nuova regolamentazione. Di conseguenza, possiamo sperare che il GDPR contribuirà a ristabilire fiducia tra i consumatori, il che a sua volta andrà a vantaggio delle imprese che offrono ai consumatori trasparenza e possibilità di scelta.

Cédric Vandervynckt

Quali sono, secondo lei,i temi più cari agli inserzionisti e agli operatori della pubblicità digitalein relazione al GDPR?

Quando si parla di ecommerce e advertising online, proteggere la privacy dei consumatori ed essere onesti con loro sulle pratiche commerciali è una questione di rispetto. Quando i clienti capiscono esattamente come vengono utilizzate le loro informazioni e hanno il controllo sulle loro informazioni di navigazione personali, si rafforza la loro fiducia in un’azienda. E quanto più un cliente si fida di un marchio, tanto più forte sarà la sua fedeltà a quel marchio nel lungo termine. Questo è il motivo per cui - senza attendere l’entrata in vigore del GDPR - Criteo sta già riconoscendo che i dati raccolti per i suoi servizi sono dati personali (ad esempio, dati di navigazione, ID utente, ID cookie o altri identificatori tecnici utilizzati per offrire il giusto annuncio all’utente giusto) che devono essere protetti ed elaborati in conformità con le leggi applicabili sulla privacy e sulla protezione dei dati. La nostra speranza è che facendo della trasparenza e dei meccanismi di scelta le regole più importanti, il GDPR contribuirà a ripristinare la fiducia nel nostro settore. Uno dei punti di maggiore discussione per il settore del marketing digitale è che gli identificatori tecnici come i cookie e gli ID della pubblicità mobile vengono ora considerati dati personali. Per molte aziende con sede negli USA questo cambiamento può rappresentare uno sviluppo inatteso, mentre in molti Paesi dell’UE era già la norma. Tutti gli stati membri dell’UE devono trattare i cookie e gli altri identificatori tecnici come dati personali e quando si raccolgono dati personali di qualsiasi genere, la raccolta deve avere basi legali. Per questo il GDPR identifica sei basi legali per la raccolta e il trattamento dei dati in Europa:

1. L’interesse vitale dell’individuo.

2. L’interesse pubblico.

3. L’esigenza contrattuale.

4. La conformità a obblighi legali.

5. Il consenso non ambiguo dell’individuo.

6. L’interesse legittimo del controllore dei dati.

È importante notare che tutte queste basi giuridiche hanno lo stesso valore legale, il che significa che sono autonome ed esclusive, l’una rispetto all’altra. Per le attività dei settori del marketing o del marketing digitale o per chi raccoglie dati a scopo di marketing, le due basi legali che potrebbero applicarsi sono: (1) Il consenso non ambiguo dell’individuo e (2) l’interesse legittimo del controllore dei dati.

In un recente post avete dichiarato che il GDPR rappresenta un’evoluzione e non una rivoluzione, perché?

Esatto. Nel complesso, quest’aggiornamento normativo è un’evoluzione che allinea le politiche di tutela dei dati di tutti gli stati membri dell’UE offrendo coerenza di applicazione da parte delle autorità preposte alla tutela dei dati (Data Protection Authorities, DPA) in ogni stato membro dell’UE.  Gli obiettivi del GDPR sono chiari:

• Modernizzare il sistema giuridico per proteggere i dati personali in un’era di globalizzazione e di innovazione tecnologica.
• Rafforzare i diritti dell’individuo riducendo i carichi amministrativi per garantire un flusso libero di dati personali all’interno dell’UE.
• Fare chiarezza e dare coerenza per quanto riguarda le regole di tutela dei dati personali e garantire un’applicazione coerente e un’efficace implementazione in tutta l’UE.

Il GDPR protegge la privacy dei cittadini UE ed è valido per tutte le aziende che raccolgono o elaborano dati personali relativi a individui dell’Unione Europea, anche se la loro sede non è nell’Unione Europea. Una conferma significativa per il settore del marketing digitale è che il GDPR si applica a qualsiasi informazione relativa a una persona fisica identificata o identificabile, e questo include identificatori tecnici, quali gli ID dei cookie e ID della pubblicità mobile. Entrambi sono ora esplicitamente compresi nella definizione di “dati personali”. È importante notare che questi identificatori tecnici erano già considerati dati personali da molte DPA, incluse quelle francesi. Questo, quindi, per Criteo non è un nuovo requisito. Noi seguiamo metodi collaudati per la conformità, pur continuando a garantire le performance ai nostri clienti. Credo che il GDPR rappresenti uno sviluppo positivo che promuoverà la fiducia nella nostra economia digitale, creando un ambiente di trasparenza, controllo e certezza per aziende e consumatori. Siamo abituati a rispettare i più severi standard UE e siamo preparati a supportare i nostri clienti e partner lungo tutto il percorso verso la conformità al GDPR.

Quali sono i temi più importanti per i consumatori, anche a partire dalle evidenze della vostra ricerca in collaborazione con IPSOS?

Mentre le aziende del marketing digitale stanno aggiornando le proprie pratiche per adeguarsi al GDPR, è importante ricordare che i cittadini UE sono consapevoli della pubblicità mirata, conoscono gli identificatori che la guidano e si aspettano di vedere annunci pertinenti. Criteo ha collaborato con IPSOS proprio per comprendere quali sono le aspettative degli utenti dell’UE e quale rapporto hanno con la pubblicità mirata online. Abbiamo intervistato 3.000 utenti internet, di età compresa tra i 16 e i 65 anni in Francia, Regno Unito e Spagna, ritagliando un campione demografico rappresentativo per quanto riguarda genere, età, regione e livello di reddito. Abbiamo scoperto che:

• Il 90% degli utenti Internet è consapevole del retargeting comportamentale.
• Il 68% è consapevole del fatto che i cookie consentono la pubblicità mirata.
• Il 75% si aspetta di ricevere annunci adatti ai propri interessi.
• Il 73% preferisce vedere annunci pertinenti piuttosto che spendere di più per evitare di vedere gli annunci.

Cosa sta facendo Criteo per adeguarsi al regolamento?

Siamo onesti, il GDPR è stato discusso davanti alle istituzioni dell’UE per quasi 5 anni e ha previsto un periodo di transizione di 2 anni, quindi abbiamo avuto il tempo di lavorare. Tutte le misure e le pratiche che il nostro team di Privacy ha implementato negli ultimi anni sono state fatte pensando al GDPR. Criteo, dunque, è sempre stata un passo avanti nel processo di preparazione al GDPR. Dalla fondazione nel 2005, abbiamo sempre garantito che la nostra tecnologia avesse i più alti livelli di privacy e protezione dei dati, aiutando allo stesso tempo i clienti a soddisfare le aspettative degli acquirenti con pubblicità personalizzate e pertinenti. In quanto azienda globale con sedi in diversi paesi europei, siamo già abituati a rispettare requisiti a livello di paese in tutto il mondo. Infatti, non solo rispettiamo già gli elementi chiave del GDPR, ma siamo in grado di poter implementare rapidamente eventuali requisiti aggiuntivi. Siamo pronti ad accogliere la sfida del GDPR e prevediamo un impatto ridotto della nuova normativa sulla capacità dei nostri clienti e partner di lavorare con noi. Prima che tutti cominciassero a parlare di GDPR, Criteo si è affermata come uno dei primi leader di pensiero affermando chiaramente il diritto dei consumatori di accedere ai propri dati, di sapere quali dati vengono raccolti, come vengono utilizzati, e come negare il consenso. A partire dal 2008, Criteo si è impegnata nel programma Ad Choices. Questo programma consente ai consumatori di vedere esattamente dove Criteo utilizza i dati e come protegge la loro privacy con un singolo click. Quando un consumatore sceglie esplicitamente di negare il suo consenso, noi interrompiamo immediatamente il tracciamento e il retargeting. Quindi, rimuoviamo tutti gli identificatori dai suoi browser, rendendone impossibile il retargeting in futuro. Per molti aspetti, il GDPR è la conferma che abbiamo fatto le cose giuste per molti anni, in particolare grazie all’approccio Privacy by Design che abbiamo implementato anni fa e che ora è richiesto dal regolamento. Gli esperti di privacy che lavorano in Criteo non fanno parte dei team Legal e Compliance. Lavorano direttamente nell’organizzazione di prodotto e Ricerca & Sviluppo e collaborano con i nostri ingegneri sin dalla fase iniziale della progettazione di tutti i nostri servizi e tecnologie, garantendo il rispetto dei potenziali vincoli normativi e soprattutto della privacy degli utenti. Rappresenta la pratica e l’impegno di lunga data di Criteo per garantire ai consumatori e ai marketer livelli di privacy e sicurezza leader di settore.

Tra gli elementi chiave del programma:

° La supervisione di un Data Privacy Officer dal 2013, come ora richiesto dal GDPR.

= Costante valutazione dell’impatto sulla privacy per monitorare potenziali rischi durante il ciclo di vita del prodotto e mitigarli in modo proattivo.

° Programmi di formazione aziendale sulla privacy per garantire che i nuovi prodotti e servizi siano sviluppati seguendo i più rigorosi codici di condotta.

° Revisione e documentazione periodiche delle nostre politiche interne al fine di modificare le policy sulla privacy esistenti, se necessario, e di applicarle ai nostri partner e fornitori.

Infine, disponiamo già di un ampio numero di certificazioni che vengono riviste annualmente dagli organismi che le disciplinano. Alcuni esempi: Network Advertising Initiative Standards, IAB Europe e la Digital Advertising Alliance Self-Regulatory Principles for Online Behavioral Advertising.

Alcune ricerche vedono le aziende in ritardo nel processo di adattamento al nuovo quadro normativo, quali sono i suoi consigli e quali i principali pericoli?

Sicuramente molte aziende sono in forte ritardo nel viaggio verso la conformità ed è per questo che stiamo lavorando con clienti e partner soggetti alle nuove normative, offrendo loro supporto e condividendo le migliori pratiche per gestire al meglio la transizione.

Criteo fornisce le linee guida e le best practice per aiutare i clienti a soddisfare i propri obblighi legali:

• condividendo in modo proattivo le best practice.
• suggerendo proattivamente la formulazione per la raccolta di consenso sul proprio sito web.
• rassicurando i clienti sulla conformità della tecnologia e dei servizi Criteo.
• A lungo termine, siamo sicuri che la maggiore fiducia e trasparenza avviata dal GDPR andrà a vantaggio sia delle aziende che degli individui.

Cosa potrebbe accadere, qualora una società non armonizzasse le sue operazioni ai dettami del GDPR?

Le norme del GDPR si applicano alle imprese dell’UE e alle aziende situate fuori dall’Unione europea che offrono servizi o prodotti all’interno del mercato UE. Tutte queste aziende, ovunque stabilite, dovranno rispettare le nuove regole. Imprese ed enti avranno più responsabilità e in caso di inosservanza delle regole rischiano pesanti sanzioni. Nella fattispecie si va da un mera diffida amministrativa a sanzioni fino a 20 milioni di euro o del 4% del fatturato globale (qualunque sia il più alto).