GDPR per barbieri: quello che serve sapere davvero

Il primo punto da chiarire è che il GDPR non riguarda solo le aziende grandi. Riguarda chiunque raccolga dati di persone identificabili per lavoro, e un barbiere con una lista di numeri di telefono ci rientra in pieno. La buona notizia è che gli obblighi sono proporzionati: nessuno si aspetta da una bottega quello che si aspetta da una banca.

Quali dati tratti, probabilmente senza pensarci

• Nome e cognome di chi prenota.
• Numero di telefono e a volte la mail.
• Storico degli appuntamenti, cioè quando è venuto e da chi.
• Note sul servizio, per esempio il colore usato o un'allergia segnalata.
• Foto prima e dopo, se le scatti.

Due voci di questa lista meritano attenzione in più. Le note su allergie o problemi della cute possono essere considerate dati sulla salute, che hanno tutele più forti. E le foto dei clienti, se pubblicate, richiedono un consenso esplicito e separato: il fatto che uno si sia seduto sulla tua poltrona non autorizza a metterlo su Instagram.

Il consenso, spiegato senza giri di parole

Non ti serve un consenso per tutto. Per gestire l'appuntamento e mandare il promemoria della prenotazione i dati ti servono per eseguire il servizio che il cliente ti ha chiesto, e questo basta. Ti serve invece un consenso chiaro e separato per due cose: mandare promozioni e offerte, e pubblicare foto.

Separato vuol dire che non puoi metterle nella stessa casella. Chi prenota deve poter dire di sì all'appuntamento e di no alla newsletter senza che una cosa impedisca l'altra.

Cosa devi avere, in pratica

1. Un'informativa che dica quali dati raccogli, perché, per quanto li tieni e a chi li affidi.
2. Un consenso raccolto a parte per marketing e per le foto, con la data di quando è stato dato.
3. Un modo per cancellare i dati di un cliente che te lo chiede, e per fornirgliene una copia.
4. Un elenco dei fornitori che trattano dati per tuo conto, per esempio il gestionale o il servizio di messaggi.
5. Una regola su quanto a lungo tieni lo storico di chi non viene più.

I fornitori sono responsabili, ma tu resti il titolare

Quando usi un gestionale, quei dati stanno su server che non sono tuoi. Il fornitore agisce come responsabile del trattamento e deve firmare con te un accordo che lo dice. Tu però resti il titolare: sei tu a dover sapere dove finiscono i dati dei tuoi clienti e a rispondere se qualcosa va storto.

Vale la pena chiedere due cose prima di scegliere uno strumento: in quale paese stanno i server, e cosa succede ai dati se smetti di usarlo.

Se succede un guaio

Se i dati vengono persi o finiscono nelle mani sbagliate, la violazione va segnalata al Garante entro settantadue ore da quando te ne accorgi, e in certi casi vanno avvisati anche i clienti coinvolti. Averlo scritto da qualche parte, con il numero di chi chiamare, è la differenza tra gestirlo e improvvisare.

Messa così sembra molta roba, ma per una bottega si tratta di sistemare quattro documenti una volta sola e poi tenere le abitudini giuste.