Guida alla governance dei dati della concessionaria e al GDPR

1. Inventariate le finalità prima dei sistemi

La stessa persona può essere un lead, un acquirente, un finanziato, un utente del veicolo, un cliente dell'assistenza, un reclamante o un dipendente. Lo stesso VIN può comparire in valutazione, immatricolazione, finanziamento, assicurazione, garanzia, riparazione, assistenza stradale e servizi connessi. Un inventario dei soli sistemi non può mostrare se il riutilizzo è lecito o previsto.

Create una mappa del trattamento per finalità. Per ogni attività, registrate interessati, categorie, fonte, base giuridica, destinatari, trasferimenti, conservazione, sicurezza, decisioni automatizzate e responsabile. Collegatela al registro delle attività di trattamento ex articolo 30 dove applicabile. Distinguete i dati necessari per eseguire un contratto dal marketing e dall'analisi facoltativi. Non raggruppate finalità non correlate in un unico consenso.

Il GDPR richiede liceità, correttezza e trasparenza; limitazione delle finalità; minimizzazione; esattezza; limitazione della conservazione; sicurezza; e responsabilizzazione. [1] Questi principi non sono solo requisiti documentali. Dovrebbero cambiare quali campi del CRM sono obbligatori, quali ruoli possono esportare un elenco clienti e quando i dati di lead obsoleti vengono rimossi.

2. Classificate i dati di cliente e veicolo nel contesto

Nomi, indirizzi e-mail personali, numeri di telefono, firme e dettagli finanziari sono chiaramente dati personali. I dati del veicolo necessitano di un'analisi contestuale. Un VIN, un'immatricolazione, una traccia di localizzazione, un pattern di guida, uno storico di assistenza o un identificatore di bordo possono riferirsi a un proprietario, detentore, conducente o passeggero identificabile. La pseudonimizzazione riduce il rischio ma non porta necessariamente i dati fuori dal GDPR se la ri-identificazione resta possibile.

Le linee guida del Comitato Europeo per la Protezione dei Dati sui veicoli connessi sottolineano che gran parte dei dati generati dal veicolo è personale ed evidenziano localizzazione, dati biometrici e dati relativi a infrazioni come categorie particolarmente sensibili nel contesto. Favoriscono l'elaborazione locale dove possibile e il controllo dell'utente sulla raccolta. [2]

Classificate i campi per sensibilità e finalità, non per applicazione. I dati registrati possono essere ordinari in un flusso di lavoro e rivelatori se combinati. Le note in testo libero sono particolarmente rischiose perché il personale può inserire dettagli su salute, famiglia, finanze o reclami senza struttura. Usate suggerimenti, formazione e campi ristretti per ridurre la raccolta non necessaria.

3. Risolvete i ruoli tra concessionaria, gruppo, OEM e fornitori

Una concessionaria è spesso titolare per l'attività di vendita e assistenza, ma le relazioni variano. Un OEM può essere un titolare indipendente per garanzia o servizi connessi, un contitolare per una campagna determinata congiuntamente, o ricevere dati secondo un altro accordo definito. Un fornitore DMS agisce comunemente come responsabile del trattamento per i dati ospitati della concessionaria ma può essere titolare per la propria amministrazione degli account o i log di sicurezza.

Non copiate un'etichetta di ruolo da un contratto senza verificarla nella realtà. Chiedetevi chi decide finalità e mezzi essenziali, chi risponde alle richieste sui diritti, chi notifica a chi una violazione, quali sub-responsabili sono coinvolti e se i dati sono usati per addestrare modelli o confrontare i clienti. Documentate le basi di condivisione e la minimizzazione dei dati a ogni interfaccia.

L'accesso ai veicoli connessi ora si interseca anche con il Data Act dell'UE. Le linee guida automotive non vincolanti 2025 della Commissione Europea spiegano come i concetti del Data Act si applicano ai dati del veicolo, sottolineando che il GDPR continua ad applicarsi ai dati personali. [3] Un diritto di accesso o condivisione dei dati di prodotto non è un permesso generale di ignorare la normativa sulla privacy.

4. Progettate base giuridica e trasparenza intorno al percorso

Questa tabella è un punto di partenza, non una determinazione legale. Le regole di e-privacy e marketing diretto variano per canale e attuazione nazionale. Il consenso deve essere libero, specifico, informato, inequivocabile e revocabile. Il legittimo interesse richiede valutazioni di finalità, necessità e bilanciamento.

Fornite informative a più livelli nei momenti significativi, non un'unica pagina privacy remota. Spiegate il trattamento essenziale alla richiesta, prova su strada, acquisto, assistenza e connessione dell'app. Rendete facile cambiare le preferenze e propagate la revoca a ogni sistema di campagna rilevante.

5. Controllate identità, accuratezza, accesso e conservazione

L'abbinamento cliente aiuta la continuità ma può anche unire scorrettamente due persone. Usate identificatori verificati, livelli di confidenza, revisione per unioni rilevanti e una traccia di audit reversibile. Preservate quale fonte ha fornito un valore. Una concessionaria dovrebbe poter spiegare perché una persona ha ricevuto un messaggio e correggere rapidamente un cambio di proprietà.

Implementate l'accesso basato sui ruoli e la separazione dei compiti. Un venditore può aver bisogno di contatto attuale e contesto di trattativa, non di esportazioni illimitate o dati paghe. Il reporting di gruppo può richiedere dati di filiale aggregati invece del dettaglio a livello cliente. Rivedete i ruoli privilegiati e gli account inattivi. Registrate l'accesso ai dataset ad alto rischio e indagate sulle esportazioni massive.

Impostate la conservazione per tipo di record e finalità. Documenti fiscali, contratti, evidenze di garanzia, lead senza esito, registrazioni delle chiamate, dati di localizzazione e campioni di addestramento del modello necessitano di periodi diversi. Considerate i termini di prescrizione e i blocchi legali, poi eliminate o anonimizzate. Testate i backup e le integrazioni a valle così che una cancellazione lato front-end non sia solo estetica.

6. Operativizzate diritti, DPIA e incidenti

Costruite un processo di accettazione verificato per richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità. Cercate per identificatori di cliente e veicolo tra i sistemi CRM, DMS, chiamate, documenti e marketing. Rivedete i dati di terze parti e i diritti di altre persone prima della divulgazione. Registrate la decisione e la data di risposta.

Usate una valutazione d'impatto sulla protezione dei dati dove il trattamento è probabile che crei un rischio elevato, specialmente monitoraggio sistematico, nuovi dati connessi o decisioni automatizzate significative. Una DPIA dovrebbe influenzare la progettazione prima del lancio. Non è un modulo di approvazione retrospettivo.

Preparate il triage delle violazioni. Il personale dovrebbe riconoscere fatture indirizzate erroneamente, esportazioni esposte, compromissione degli account e ransomware come possibili incidenti sui dati personali. Raccogliete rapidamente i fatti, contenete l'accesso, preservate le evidenze e supportate la valutazione del titolare sugli obblighi di notifica. Il GDPR fissa un periodo di notifica all'autorità di controllo di 72 ore dove è soddisfatta la soglia di rischio applicabile. [1]

Dove si colloca Omnetic

I moduli documentati di Omnetic portano il contesto di cliente, veicolo, trattativa, comunicazione, ispezione, stock e pricing nei flussi di lavoro operativi. Questa continuità può sostenere accuratezza, visibilità della fonte e meno passaggi di consegna incontrollati. Non stabilisce di per sé la conformità al GDPR.

I concessionari dovrebbero chiedere a Omnetic i ruoli di titolare e responsabile, le posizioni dei dati, i sub-responsabili, il comportamento di conservazione ed eliminazione, i controlli di accesso, i log di audit, il supporto all'esportazione, i termini per gli incidenti e i dettagli sul trattamento IA. Le scelte di paese, pacchetto e distribuzione possono cambiare la risposta.