L’accesso a un bonus senza deposito tramite SPID può apparire semplice, ma comporta il trattamento di dati personali in più fasi. L’utente non comunica soltanto le informazioni necessarie per creare un account: può entrare in contatto con il gestore del servizio, con il proprio identity provider e con eventuali fornitori tecnici incaricati della verifica dell’identità. Per questo la convenienza dell’offerta dovrebbe essere valutata insieme alle condizioni sulla privacy.

Quali dati vengono trattati

Durante l’autenticazione SPID, il gestore riceve gli attributi indispensabili per identificare la persona e verificare i requisiti di accesso. La quantità di informazioni trasferite può variare in base al servizio richiesto e agli accordi tecnici tra i soggetti coinvolti. Generalmente possono essere trattati nome, cognome, codice fiscale, data e luogo di nascita, indirizzo e-mail e altri dati necessari all’apertura del conto.

Il principio di minimizzazione, previsto dal Regolamento generale sulla protezione dei dati, impone di raccogliere soltanto ciò che è pertinente. L’operatore dovrebbe quindi spiegare con chiarezza quali dati sono obbligatori, quali facoltativi e per quali finalità vengono utilizzati. La richiesta di informazioni aggiuntive non strettamente collegate al servizio merita particolare attenzione.

Ruoli dell’identity provider e dell’operatore

Lo SPID non equivale a un’autorizzazione generale a utilizzare tutti i dati disponibili sull’identità digitale. L’identity provider gestisce l’autenticazione secondo le proprie regole e informative, mentre l’operatore che offre il servizio deve indicare autonomamente finalità, basi giuridiche, tempi di conservazione e destinatari dei dati ricevuti.

È importante distinguere il trattamento necessario all’esecuzione del servizio dal consenso per comunicazioni commerciali. La registrazione e i controlli previsti dalla normativa possono avere una base giuridica diversa dal marketing. Un consenso valido deve essere libero, specifico, informato e separato: non dovrebbe essere una condizione nascosta per accedere a una funzione che non dipende dalla pubblicità.

Bonus e comunicazioni promozionali

Chi confronta un bonus senza deposito con spid dovrebbe leggere anche l’informativa sul trattamento dei dati e le preferenze di contatto, non soltanto i requisiti economici. Le comunicazioni via e-mail, SMS, telefono o notifiche possono essere soggette a regole differenti, soprattutto quando includono messaggi promozionali o profilazione.

Il consenso ai messaggi pubblicitari non dovrebbe estendersi automaticamente alla condivisione dei dati con partner commerciali. È inoltre utile verificare se il gestore utilizza cookie, strumenti di analisi o sistemi di profilazione per personalizzare le offerte. In questi casi l’informativa dovrebbe chiarire la logica generale del trattamento e le modalità per opporsi alle attività non necessarie.

Come revocare il consenso

La revoca deve essere possibile in qualsiasi momento e con la stessa facilità con cui il consenso è stato prestato. Di norma si può intervenire dal pannello dell’account, usare il link di disiscrizione presente nelle comunicazioni oppure contattare il servizio privacy indicato nell’informativa. La revoca non rende illecito il trattamento effettuato prima della richiesta, ma impedisce di proseguirlo sulla base del consenso.

Se l’utente revoca soltanto il marketing, il gestore non dovrebbe cancellare automaticamente l’account quando esiste un’altra base giuridica per mantenere il rapporto o rispettare obblighi normativi. La cessazione delle comunicazioni commerciali può quindi essere distinta dalla chiusura del profilo e dalla richiesta di cancellazione dei dati.

Diritti, conservazione e controlli

L’interessato può chiedere accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento e, nei casi previsti, portabilità o opposizione. La richiesta dovrebbe essere inviata ai contatti del titolare del trattamento, conservando una copia della comunicazione. I tempi di conservazione devono essere proporzionati alle finalità: alcuni dati possono dover restare archiviati per obblighi fiscali, antiriciclaggio o di vigilanza, mentre altri dovrebbero essere eliminati quando non più necessari.

Prima di procedere, è prudente controllare l’informativa completa, l’identità del titolare, l’eventuale trasferimento di dati fuori dallo Spazio economico europeo e le procedure per presentare un reclamo al Garante per la protezione dei dati personali. Una scelta consapevole non dipende soltanto dal valore del bonus, ma anche dalla trasparenza con cui il servizio tratta e conserva l’identità digitale dell’utente.