L’accesso tramite SPID rende più rapida l’identificazione dell’utente, ma non elimina gli obblighi di trasparenza a carico dell’operatore. Quando una promozione senza deposito è collegata a un conto di gioco o a un servizio soggetto a verifica dell’identità, il trattamento dei dati personali deve rispettare il Regolamento generale sulla protezione dei dati, il Codice privacy italiano e le regole applicabili al gioco a distanza.
Quali dati può trasmettere SPID
Durante l’autenticazione, il gestore dell’identità digitale comunica al fornitore del servizio gli attributi necessari a riconoscere la persona. In base al livello di verifica e alla procedura adottata, possono essere coinvolti nome, cognome, codice fiscale, data e luogo di nascita, estremi del documento e recapiti. Non è però corretto considerare SPID come un’autorizzazione generale alla raccolta di ogni informazione disponibile.
Il principio di minimizzazione impone all’operatore di richiedere soltanto i dati pertinenti rispetto allo scopo dichiarato. L’informativa deve inoltre chiarire chi tratta i dati, per quali finalità, con quale base giuridica, per quanto tempo e con quali destinatari. L’identità digitale serve all’autenticazione; non equivale automaticamente al consenso per comunicazioni commerciali, profilazione o condivisione con soggetti terzi.
Promozioni e verifiche obbligatorie
Un bonus senza deposito può richiedere controlli ulteriori rispetto al semplice accesso. Gli operatori devono verificare l’identità del cliente, l’età e, nei casi previsti, gli elementi necessari agli obblighi antiriciclaggio. Per le attività di gioco regolamentato possono inoltre essere rilevanti le disposizioni dell’Agenzia delle Dogane e dei Monopoli e le misure di tutela del giocatore.
In questo contesto, la ricerca di un bonus senza deposito con spid dovrebbe partire dalla lettura dell’informativa privacy e dei termini della promozione, non soltanto dal valore dell’offerta. Occorre verificare quali dati siano obbligatori, se il bonus comporti l’apertura di un conto, quali comunicazioni siano facoltative e se esistano condizioni legate alla conservazione dei documenti.
Consenso, contratto e obblighi di legge
Il consenso è soltanto una delle basi giuridiche previste dal GDPR. L’apertura e la gestione del rapporto contrattuale possono giustificare determinati trattamenti, mentre l’identificazione del cliente e la conservazione di alcune registrazioni possono dipendere da obblighi normativi. In questi casi l’utente non può pretendere che ogni dato venga cancellato immediatamente dopo la revoca del consenso, perché l’operatore potrebbe doverlo conservare per un periodo stabilito dalla legge.
Diversa è la situazione delle finalità facoltative. Newsletter, messaggi promozionali, profilazione e analisi delle preferenze richiedono una scelta libera, specifica e informata, quando la base giuridica utilizzata è il consenso. Il rifiuto di queste attività non dovrebbe impedire l’accesso al servizio principale o alla procedura essenziale di verifica.
Come revocare il consenso
La revoca deve essere semplice quanto la sua prestazione. Di norma può essere effettuata dall’area personale, attraverso un collegamento presente nelle comunicazioni commerciali oppure contattando il titolare indicato nell’informativa. È opportuno conservare la richiesta e la relativa conferma, soprattutto quando la revoca riguarda attività di marketing persistenti.
La revoca produce effetti per il futuro e non rende illecito il trattamento svolto prima della richiesta. Se il consenso è stato utilizzato per più finalità, l’utente può domandare che venga ritirato soltanto per alcune di esse. L’operatore deve aggiornare le liste di contatto e interrompere le campagne, salvo che disponga di un’altra base giuridica valida.
Diritti e cautele pratiche
Gli interessati possono chiedere accesso ai dati, rettifica, limitazione del trattamento e, nei presupposti previsti, cancellazione o portabilità. Le richieste devono essere rivolte al titolare del trattamento, i cui recapiti figurano nell’informativa. Prima di accettare una promozione è prudente controllare anche l’autenticità del sito, la presenza di canali di assistenza, le regole di autoesclusione e l’eventuale trasferimento dei dati fuori dallo Spazio economico europeo.
SPID riduce i passaggi di identificazione, ma non sostituisce la lettura delle condizioni privacy. Una scelta consapevole richiede di distinguere i dati necessari all’accesso da quelli raccolti per finalità commerciali e di sapere in anticipo come interrompere i trattamenti facoltativi.