Mobile Payment, dal Garante più tutele per tutti

Smartphone e tablet pc sono oggi sempre più presenti nella vita di tutti i giorni. Prodotti utilizzati non solo per navigare, giocare o per rimanere in contatto con gli amici ma anche per effettuare acquisti di beni e servizi veri e propri. Il Mobile Payment è un settore in forte crescita e il Garante Privacy ha voluto stabilire maggiori tutele per gli utenti che decideranno di effettuare acquisti di beni e servizi digitali utilizzando questa nuova forma di pagamenti.

Il Garante Privacy ha dunque ufficialmente adottato il provvedimento pubblicato nella giornata di ieri sulla Gazzetta Ufficiale, che disciplina il trattamento dei dati personali di chi usufruisce dei cosiddetti servizi di mobile remote payment, utilizzando smartphone, tablet, pc, stabilendo un primo quadro organico di regole in grado di assicurare la protezione dei dati senza penalizzare lo sviluppo del mercato digitale. Regole che il Garante aveva già anticipato a gennaio e che erano state poi sottoposte a consultazione pubblica le cui indicazioni sono state utilizzate per affinare il quadro normativo.

Grazie a questo nuovo provvedimento, gli utenti telefonici, sia in abbonamento sia con carta prepagata, potranno acquistare in sicurezza servizi, abbonarsi a quotidiani on line, comprare e-book, video e giochi con il proprio telefono o altri strumenti elettronici. I dati personali acquisiti per la transazione, come il numero di telefono o i dati anagrafici, non potranno poi essere usati per altre finalità, come l’invio di pubblicità o analisi delle abitudini, senza lo specifico consenso degli utenti, e dovranno essere adeguatamente protetti dai rischi di uso fraudolento.

Le misure a tutela della privacy dovranno essere adottate da tutti i soggetti coinvolti nella fornitura del servizio di micropagamento: gli operatori di comunicazione elettronica (le compagnie telefoniche che forniscono il servizio di pagamento tramite cellulare), gli aggregatori (le società che forniscono l’interfaccia tecnologica), i venditori (le aziende che offrono contenuti digitali e servizi); nonché tutti gli altri soggetti eventualmente coinvolti nella transazione (come quelli che consentono, anche tramite apposite app, l’accesso al mercato digitale).

Ecco, in sintesi, gli adempimenti da attuarsi:

Informativa

Gli utenti dovranno essere informati sulle modalità di trattamento effettuato sui loro dati sin dalla sottoscrizione o adesione al servizio di pagamento da remoto.

Consenso

Le società non dovranno richiedere il consenso degli utenti per il trattamento dei dati relativi alla fornitura del servizio di remote mobile payment. Il consenso è invece obbligatorio per la comunicazione dei dati personali a terzi oppure in caso di loro utilizzo per attività di marketing e profilazione.

Conservazione

I dati degli utenti trattati dagli operatori, dagli aggregatori e venditori, potranno essere conservati al massimo per 6 mesi. L’indirizzo Ip dell’utente dovrà invece essere cancellato dal venditore una volta terminata la procedura di acquisto del contenuto digitale.

Misure di sicurezza

Operatori, aggregatori e venditori saranno tenuti ad adottare precise misure per garantire la confidenzialità dei dati, quali: sistemi di autenticazione forte per l’acceso ai dati da parte del personale addetto, e procedure di tracciamento degli accessi e delle operazioni effettuate; criteri di codificazione dei prodotti e servizi; forme di mascheramento dei dati mediante sistemi crittografici.

Ulteriori misure a tutela della privacy

Dovranno essere adottate misure al fine di impedire l’integrazione delle diverse tipologie di dati a disposizione dell’operatore telefonico (dal consumo telefonico ai dati sull’uso della tv interattiva) e di evitare la profilazione “incrociata” dell’utenza basata su abitudini, gusti e preferenze, a meno che non venga espresso uno specifico consenso informato da parte dell’utente.

I venditori, inoltre, per garantire maggiore riservatezza alle transazioni dei clienti, potranno trasmettere all’operatore telefonico solo le categorie merceologiche di riferimento dei prodotti digitali offerti senza indicazioni sullo specifico contenuto del prodotto o servizio acquistato, a meno che non sia necessario per la fornitura di servizi in abbonamento.

Dovranno essere previsti anche accorgimenti tecnici per disattivare servizi destinati ad un “pubblico adulto” e per inibirne l’accesso a minorenni.