CRM e protezione dei dati: gestire consenso e conservazione

Protezione dei dati nel CRM: perché non è un archivio neutro

La LPD si applica al trattamento di dati personali di persone fisiche da parte di privati e di organi federali. Un CRM aziendale rientra nel campo di applicazione quando contiene nomi, recapiti, note di contatto, cronologia degli acquisti o richieste di preventivo. Vale anche per le persone di riferimento presso clienti aziendali: restano persone fisiche identificate.

Fanno eccezione i dati che non permettono di risalire a una persona determinata o identificabile, come i dati aggregati o anonimizzati in modo irreversibile.

La LPD si applica al trattamento di dati personali che abbia effetti in Svizzera, anche se il trattamento è effettuato all'estero. Non si applica invece al trattamento di dati personali da parte di persone fisiche per uso esclusivamente personale. Un CRM aziendale non ricade in questa eccezione.

Accanto alla LPD, ogni Cantone ha una legge cantonale sulla protezione dei dati. Queste leggi si applicano agli organi cantonali e comunali e alle istituzioni private con compiti pubblici. Per un'azienda privata il riferimento resta la LPD federale.

Campi personalizzati, punteggi sui contatti, automazioni di posta, registrazione delle telefonate, sincronizzazioni con altri strumenti e log delle interazioni vanno valutati singolarmente, in base a ciò che rivelano e allo scopo d'uso.

Il punto di partenza è un inventario operativo, organizzabile come registro delle attività di trattamento dei dati. Per ogni voce si indicano quali dati entrano nel sistema, da quale fonte, per quale finalità, per quanto tempo, a chi sono accessibili e a quali fornitori sono trasmessi.

La legge distingue i dati personali ordinari dai dati personali degni di particolare protezione. Sono particolarmente protetti, tra gli altri, i dati che rivelano l'origine razziale ed etnica, i dati sanitari, le convinzioni religiose o filosofiche, i dati biometrici per l'identificazione e l'appartenenza sindacale. In un CRM basta una nota libera nella scheda contatto perché un dato di questo tipo vi entri.

Consenso nel CRM: quando serve e come registrarlo

Quando si raccoglie il consenso, è utile spiegare con chiarezza quali usi del CRM riguardano la scelta. Registrare la versione del testo accettato, la data e il canale di raccolta permette di ricostruire su cosa verteva il consenso. Una casella unica per newsletter, profilazione commerciale e trasmissione a terzi rende più difficile capire quale scelta sia stata espressa.

Il consenso non è l'unica base possibile in ogni situazione.

In assenza di una base legale, i dati possono essere trattati e comunicati soltanto con il consenso esplicito dell'interessato (Pro Infirmis).

Quando il CRM si basa sul consenso, registra anche la revoca comunicata dalla persona e aggiorna le attività collegate. In questo modo la scelta resta consultabile insieme alle altre preferenze del contatto.

Consenso vs. Altre basi giuridiche nel CRM

Opzioni per la gestione del consenso nel CRM

Informare prima di raccogliere: dai form alle schede contatto

L'obbligo di informare si considera adempiuto solo con la comunicazione di una serie di informazioni; tra queste rientrano l'identità e i dati di contatto del titolare.

L'informativa deve indicare, tra l'altro, la finalità del trattamento, i destinatari o le categorie di destinatari a cui i dati sono comunicati e, se i dati non sono raccolti presso la persona interessata, le categorie di dati personali trattati.

Se i dati sono comunicati all'estero, va indicato anche il nome dello Stato o dell'organismo internazionale e, a seconda dei casi, le garanzie previste o l'eccezione applicabile. La LPD parla di estero, non di Paese terzo.

Modulo di contatto, landing page e script del call center non possono limitarsi a un rimando generico. Il testo deve essere raggiungibile prima dell'invio dei dati e indicare chi tratta i dati e per fare cosa.

Chi importa liste esterne non può appoggiarsi all'informativa della fonte. Occorre verificare che i dati siano stati raccolti con un'informativa che copra le finalità del nuovo CRM e che il consenso, se richiesto, esista.

Anche l'aggiunta di un campo, di un punteggio o di uno strumento collegato (newsletter, automazione, analytics) modifica ciò che il sistema fa. Richiede di aggiornare il testo, altrimenti l'informativa descrive un trattamento diverso da quello effettivo.

Contatti commerciali e diritto di opposizione

Nel CRM convivono opt-in e opt-out. L'opt-in si basa su un consenso preventivo; l'opt-out parte da un contatto esistente e deve garantire l'opposizione. In entrambi i casi la scelta va registrata in modo tracciabile: data, canale (modulo, telefono, e-mail, disiscrizione da un link), campagna o lista interessata e persona che ha gestito la richiesta. Un'opposizione annotata solo come testo libero nella scheda contatto rischia di essere ignorata dalla campagna successiva.

Tecnicamente l'opposizione deve bloccare i contatti. Il contatto va escluso dalle liste di invio, dalle automazioni e dalle esportazioni verso altri strumenti. La sua presenza in una lista di soppressione va verificata prima di ogni campagna. Anche il rifiuto parziale va gestito: chi accetta la newsletter ma non le chiamate commerciali non è un rifiuto totale, né un consenso generale.

La tenuta documentale delle scelte conta. Marketing diretto e diritto di opposizione sono ambiti su cui l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) è intervenuto con accertamenti.

Nel settore moda l'IFPDT ha sanzionato Cream della Cream e Philipp Plein per marketing diretto e diritto di opposizione. La decisione del 17 aprile 2026 è divenuta definitiva dopo la scadenza del termine di ricorso.

Conservazione nel CRM: criteri di durata e cancellazione

La durata va decisa in fase di progetto, non lasciata al caso. Per ogni categoria occorre stabilire una durata o un criterio di scadenza: per un lead mai convertito può essere l'inattività, per un cliente attivo la fine del rapporto, per una richiesta di assistenza la chiusura della pratica. Per i log, il criterio può essere il venir meno della finalità operativa.

Chi tratta i dati di una persona è tenuto ad agire nel rispetto del diritto secondo il principio della proporzionalità. Applicato alla conservazione, il criterio impone di non tenere i dati più a lungo di quanto la finalità richieda.

Va tenuta separata la parte soggetta a obblighi di conservazione previsti da altre normative dai dati puramente commerciali, eliminabili prima. Senza questa distinzione la cancellazione periodica rischia di eliminare ciò che va conservato, o di conservare tutto per prudenza.

La cancellazione è essa stessa un'operazione di trattamento: il trattamento comprende ottenimento, conservazione, utilizzo, adattamento, divulgazione e cancellazione dei dati. Va quindi pianificata come le altre operazioni.

Occorre definire cosa accade alle copie di backup, ai dati in strumenti collegati, alle esportazioni in fogli di calcolo usate per una singola campagna, alle schede duplicate o fuse male. I contatti mai convertiti e i duplicati sono di solito il volume maggiore e il candidato naturale a una scadenza breve.

Infine il controllo di coerenza: quanto dichiarato nell'informativa sulla durata deve corrispondere a ciò che il sistema fa davvero. Se la cancellazione è automatica, occorre verificare che l'automatismo si esegua e non sia stato disattivato. Se è manuale, occorre attribuire l'operazione a una persona e lasciarne traccia. Così si può rispondere a una richiesta della persona interessata o a un accertamento.

Ciclo di vita dei dati nel CRM: da raccolta a cancellazione

Chi risponde di cosa dentro l'azienda

Per ogni operazione di trattamento ci sono uno o più organismi responsabili di garantirne la conformità ai requisiti. In azienda questo si traduce in un'assegnazione esplicita dei compiti legati al CRM.

Occorre stabilire chi decide quali campi esistono e con quale finalità, chi gestisce consensi e opposizioni, chi esegue e verifica le cancellazioni. Va definito anche chi è il punto di contatto interno per le persone interessate e chi controlla i fornitori.

Le stesse funzioni vanno attribuite a chi amministra il sistema, a chi lo usa per il marketing e a chi lo usa per le vendite. Le responsabilità non coincidono con i diritti di accesso.

Con il fornitore CRM è utile formalizzare il trattamento dei dati e i compiti delle parti. Un accordo può precisare gli obblighi in materia di sicurezza e il supporto del fornitore, oltre a disciplinare l'eventuale ricorso a subfornitori.

Queste responsabilità si misurano sui diritti che le persone interessate possono far valere: le persone i cui dati sono trattati possono avanzare pretese nei confronti dei titolari. In concreto, il CRM deve poter produrre un estratto completo dei dati di una singola persona, comprese note e cronologia, correggere ciò che è errato e cancellare ciò che non è più lecito conservare.

La protezione dei dati accorda alla persona interessata diritti giuridicamente tutelati, in particolare quello di ricevere informazioni su quali dati che la riguardano sono trattati. A determinate condizioni può esigere anche la rettifica, il blocco o la distruzione dei dati.

Il mancato rispetto della LPD è punibile con sanzioni fino a 250.000 franchi svizzeri.

Conviene provare il percorso su una scheda reale, con tempi e persone coinvolte. Meglio che scoprire i limiti del sistema alla prima richiesta di accesso.

Sanzioni e responsabilità secondo la LPD svizzera