Le Linee guida del Garante privacy contro le offerte commerciali indesiderate

Anna Costagliola

Nella Gazzetta ufficiale n. 174 del 26 luglio sono state pubblicate le «Linee guida in materia di attività promozionale e contrasto allo spam», adottate dal Garante per la protezione dei dati personali ed il cui contenuto era stato anticipato con un comunicato stampa del 23 luglio.

In materia di spamming, dove per tale si intende l’invio di comunicazioni promozionali e di materiale pubblicitario senza il consenso dei destinatari, il Garante, con il provvedimento generale del 29 maggio 2003, ha dettato «Regole per un corretto uso dei sistemi automatizzati e l’invio di comunicazioni elettroniche», basato sulla normativa al tempo in vigore e, in particolare, sulla legge 31 dicembre 1996, n. 675.

Successivamente è entrato in vigore il Codice della privacy, che ha abrogato e sostituito la suddetta legge e le altre disposizioni in materia di protezione dei dati personali, ribadendone i principi nel mutato panorama normativo. Più recentemente, in particolare dal 2009 in poi, sono state effettuate varie modifiche del Codice che hanno inciso peraltro sulla sfera dei soggetti tutelati e sui diritti azionabili dai destinatari dello spam, determinando l’esigenza di intervenire nuovamente sul tema.

Tanto premesso, anche se in misura minore rispetto al passato, continuano in ogni caso a pervenire all’Autorità segnalazioni, reclami e ricorsi relativamente alle tradizionali forme di spam tipizzate dal Codice. Inoltre, sono progressivamente emersi profili problematici e nuove forme di spam, che possono comportare modalità sempre più insidiose e invasive della sfera personale degli interessati. Fra questi sono, ad esempio, il cd. «marketing virale», le comunicazioni promozionali inviate tramite piattaforme tecnologiche di proprietà di soggetti terzi spesso situati all’estero e non agevolmente individuabili, il cd. «marketing mirato», grazie all’uso di meccanismi di profilazione dell’utente, e il cd. «social spam». Oltretutto, sempre più spesso lo spam coinvolge anche i minori ai quali è doveroso assicurare una tutela rafforzata da parte dell’ordinamento giuridico e, quindi, una particolare attenzione anche da parte del Garante.

Tali ultimi rilievi hanno pertanto indotto il Garante medesimo ad adottare le Linee guida in oggetto con le seguenti finalità:

a) tenere conto del mutato quadro normativo attualmente vigente in materia, alla luce dell’entrata in vigore del Codice e delle modifiche normative successive, nonché del diritto comunitario, con l’ulteriore obiettivo di assicurare l’uniforme applicazione della stessa normativa e l’osservanza del fondamentale principio di certezza del diritto;

b) chiarire alcuni profili problematici relativi alle diverse modalità di spam, affinché gli operatori del settore possano conformarsi alla disciplina sul trattamento dei dati personali;

c) inquadrare alcune nuove forme di spam, con l’intento di limitare i rischi connessi alle novità tecnologiche, pur nella necessaria consapevolezza del carattere parziale e non risolutivo dello strumento del diritto rispetto a tecnologie in continua evoluzione, peraltro sempre più avanzate e di rapida diffusione.

Queste in sintesi le principali regole contenute nelle Linee guida:

1) Offerte commerciali e spam

– invio di offerte commerciali solo con il consenso preventivo. Per poter inviare comunicazioni promozionali e materiale pubblicitario tramite sistemi automatizzati (telefonate preregistrate, e-mail, fax, sms, mms) è necessario aver prima acquisito il consenso dei destinatari. Tale consenso deve essere specifico, libero, informato e documentato per iscritto;

– maggiori controlli su chi realizza campagne di marketing. Chi commissiona campagne promozionali deve esercitare adeguati controlli per evitare che agenti, subagenti o altri soggetti a cui ha demandato i contatti con i potenziali clienti effettuino spam;

– consenso per l’uso dei dati presenti su Internet e social network. E’ necessario lo specifico consenso del destinatario per inviare messaggi promozionali agli utenti di Facebook, Twitter e altri social network (ad esempio pubblicandoli sulla loro bacheca virtuale) o di altri servizi di messaggistica e Voip sempre più diffusi come Skype, WhatsApp, Viber, Messenger, etc. Il fatto che i dati siano accessibili in Rete non significa che possano essere liberamente usati per inviare comunicazioni promozionali automatizzate o per altre attività di marketing «virale» o «mirato»;

– passaparola senza consenso. Non è necessario il consenso per inviare e-mail o sms con offerte promozionali ad amici a titolo personale (il cosiddetto «passaparola»).

2) Semplificazioni per le aziende in regola

– e-mail promozionali ai propri clienti. Ok all’invio di messaggi promozionali, tramite e-mail, ai propri clienti su beni o servizi analoghi a quelli già acquistati (cosiddetto soft spam);

– promozioni per «fan di marchi o aziende». Un’impresa o società può inviare offerte commerciali ai propri «follower» sui social network quando dalla loro iscrizione alla pagina aziendale si evinca chiaramente l’interesse o il consenso a ricevere messaggi pubblicitari concernenti il marchio, il prodotto o il servizio offerto;

– consenso unico valido per diverse attività. Basta un unico consenso per tutte le attività di marketing (come l’invio di materiale pubblicitario o lo svolgimento di ricerche di mercato); il consenso prestato per l’invio di comunicazioni commerciali tramite modalità automatizzate (come e-mail o sms) copre anche quelle effettuate tramite posta cartacea o con telefonate tramite operatore. Le aziende che intendono raccogliere i dati personali degli utenti per comunicarli o cederli ad altri soggetti a fini promozionali, possono acquisire un unico consenso valido per tutti i soggetti terzi indicati nell’apposita informativa fornita all’interessato.

3) Tutele e sanzioni contro lo spam

– tutele per i singoli utenti. Le persone che ricevono spam possono presentare segnalazioni, reclami o ricorsi al Garante e comunque esercitare tutti i diritti previsti dal Codice privacy, inclusa la richiesta di sanzioni contro chi invia messaggi indesiderati (nei casi più gravi possono arrivare fino a circa 500.000 euro);

– tutele per le società. Le «persone giuridiche», pur non potendo più chiedere l’intervento formale del Garante per la privacy, possono comunque comunicare eventuali violazioni. Hanno invece la possibilità di rivolgersi all’Autorità giudiziaria per azioni civili o penali contro gli spammer.

Contestualmente alle Linee guida, allo scopo di semplificare ulteriormente gli adempimenti in materia di marketing diretto, il Garante ha adottato anche un apposito documento sul consenso al trattamento dei dati personali, anch’esso pubblicato nella Gazzetta ufficiale n. 174 del 26 luglio.