Tutto ciò che vale la pena sapere, niente di superfluo.
Base giuridica per il marketing via SMS
L'articolo 6 richiede una delle sei basi giuridiche. Per la messaggistica commerciale, quelle più pratiche sono il consenso esplicito (la più sicura) o l'interesse legittimo (praticabile ma che richiede un bilanciamento degli interessi ed esclude la maggior parte delle attività di marketing esplicito). Il PECR (il regime ePrivacy del Regno Unito/UE) aggiunge un requisito di opt-in specifico per il marketing, oltre all'articolo 6 del GDPR: per gli SMS di marketing, sono necessari entrambi. Gli SMS transazionali (OTP, conferme d'ordine) non richiedono un opt-in, ma necessitano comunque di una base giuridica (di solito l'esecuzione del contratto, articolo 6(1)(b)).
trasferimenti transfrontalieri
L'invio di un SMS a un destinatario UE tramite un SMSC extra-UE è considerato un trasferimento transfrontaliero di dati. A seguito della sentenza Schrems II (2020), la validità delle clausole contrattuali standard dipende da una valutazione dell'impatto del trasferimento. Per gli aggregatori con sede negli Stati Uniti, il quadro normativo UE-USA sulla protezione dei dati (in vigore dal 2023) fornisce una base giuridica per il trasferimento, a condizione che l'aggregatore sia certificato. Per gli aggregatori con sede nella regione MENA, come BroadNet, il traffico destinato ai destinatari UE dovrebbe idealmente transitare attraverso un SMSC situato nella regione UE; noi ne gestiamo uno a Francoforte proprio per questo scopo.
Diritto alla cancellazione e all'interruzione del trattamento
L'articolo 17 conferisce all'interessato il diritto alla cancellazione su richiesta. Per la messaggistica, ciò significa che: la parola chiave STOP viene rispettata immediatamente, il MSISDN del destinatario viene rimosso dagli elenchi attivi, la preferenza di opt-out viene mantenuta (in modo da non aggiungerlo nuovamente alla campagna successiva) e la cronologia del corpo del messaggio viene eliminata o anonimizzata a seconda della base giuridica su cui è stata memorizzata. BroadNet mette a disposizione un'API di cancellazione per singolo destinatario per l'adempimento delle richieste di accesso ai dati personali (DSAR) ai sensi del GDPR.
Processore vs controller
Il tuo CPaaS è un responsabile del trattamento (articolo 28). Tu sei il titolare del trattamento. Devi avere un DPA firmato. Le modifiche al sub-responsabile del trattamento (ad esempio, la rete dell'operatore attraverso cui instradate il traffico) devono essere comunicate e tu devi avere il diritto di opposizione. BroadNet mantiene un elenco pubblico dei sub-responsabili del trattamento all'indirizzo /trust/subprocessors e notifica ai titolari del trattamento 30 giorni prima di qualsiasi modifica.