Il nostro cliente stava costruendo una rete di spazi di lavoro condivisi per vari tipi di professionisti, prenotabili e accessibili tramite app, senza receptionist, senza personale fisso, senza chiavi da consegnare. Dietro quella semplicità e necessità si nascondeva però un intero sistema di trattamenti potenzialmente ad alto rischio: verifica della posizione per sbloccare l’ingresso, funzione mappa, l’ipotesi di riconoscimento facciale in fase di registrazione, telecamere intelligenti, un chatbot AI, verifica documentale dei professionisti in onboarding.
Quando approcciamo questi tipi di trattamento, ciò che fa la differenza è inviare a lavorare al trattamento prima del lancio, non dopo un problema — ed è la differenza che ha reso possibile tutto il resto. Ci siamo posti allora le seguenti domande:
-
01La verifica di posizione per aprire la porta è tracciamento o verifica puntuale di prossimità?
-
02Il riconoscimento facciale è davvero necessario, o bastano alternative meno invasive?
-
03Qual è la base giuridica corretta per ciascuna funzione: mappa, GPS, pricing dinamico?
Il progetto presentava tre rischi principali.
-
01Il primo era il rischio di bloccare il lancioUna conformità non scomposta per bene, scoperta all’ultimo miglio su un prodotto già pronto.
-
02Il secondo era il rischio di scegliere lo strumento più invasivoLa biometria, categoria particolare ex art. 9 GDPR, quando alternative meno impattanti — OTP, SPID, CIE — raggiungono lo stesso risultato. Seguire il principio di minimizzazione è sempre il nostro obiettivo, senza cambiare o modificare l’intento e l’efficienza che il cliente richiede.
-
03Il terzo era il rischio di confondere trattamenti diversiGeolocalizzazione continuativa e verifica puntuale, dato dichiarato e GPS automatico, richiedono basi giuridiche opposte
Non abbiamo iniziato dalla normativa, ma dal prodotto. Prima di parlare di basi giuridiche, ci siamo seduti con il team a capire cosa succedeva davvero, bit per bit, a ogni singola funzione.
-
01Audit architetturale prima della normaSessione di audit tecnico-legale per capire bit per bit cosa il cliente voleva implementare. Distinzione tra geolocalizzazione continuativa e verifica puntuale di prossimità, incrocio con i provvedimenti del Garante su flotte aziendali e smart working per estrarne i principi applicabili a un servizio consumer, e raccomandazione di una DPIA ex art. 35 GDPR.
-
02Una base giuridica per ogni funzione, non per il prodottoFunzione mappa: dato dichiarato dall’utente = esecuzione contrattuale, nessun consenso. GPS automatico per precompilare la ricerca = consenso, revocabile con un tap.
-
03Trasparenza e intervento umano per ogni decisione automatizzataChatbot conforme all’art. 50 dell’AI Act, con dichiarazione esplicita e invito a non condividere dati sensibili in chat. Moderazione automatica dichiarata. Verifica documentale dei professionisti (KYC/OCR) con controllo umano obbligatorio su ogni esito negativo, coerente con l’art. 22 GDPR sulle decisioni automatizzate.
-
04Un playbook pronto per prodotto e sviluppoInformativa calibrata su un marketplace a due lati: piattaforma titolare per account e sicurezza, professionista titolare autonomo per il servizio ricevuto. Age gate a 14 anni, doppio consenso granulare per marketing e comunicazione a terzi, disclaimer sulla verifica di maggiore età e autorizzazioni per prestazioni normativamente vincolate.
Cosa abbiamo prodotto concretamente?
-
Deliveralbe 01Parere di conformità GDPRbase giuridica difendibile per ogni funzione del prodotto — geolocalizzazione, biometria, pricing dinamico
-
Deliveralbe 02DPIAsu geolocalizzazione e, se attivato, riconoscimento facciale
-
Deliveralbe 03Informativa privacy per un marketplace a due latipiattaforma e professionisti, con disclosure AI obbligatoria
-
Deliveralbe 04Playbook di copy e diciture di trasparenzaonboarding, chatbot, KYC, pricing dinamico, aggiornato di pari passo con il prodotto
-
Deliveralbe 05Supporto continuativo su nuove funzionalitàclassificazione di ogni nuovo consenso o touchpoint AI in roadmap