Nei giorni scorsi il Garante per la protezione dei dati personali con un comunicato stampa ha pubblicato le Linee guida del Garante privacy contro le offerte commerciali indesiderate "per combattere il marketing selvaggio e favorire pratiche commerciali "amiche" di utenti e consumatori".
Il provvedimento definisce un quadro unitario di regole per le imprese che devono avviare compagne pubblicitarie, e un insieme di accorgimenti per gli utenti che vogliono difendersi dall'invadenza dello spam, cioè dell'invio di pubblicità promozionali. Il Garante rileva, infatti, che, se pur diminuite nel tempo, continuano a pervenire reclami e segnalazioni relative alle varie forme di spam, e in special modo alle nuove pratiche di marketing virale e social spam.
Innanzitutto si ribadisce che l'invio di comunicazione promozionali e materiale pubblicitario tramite sistemi automatizzati è subordinato al preventivo consenso. L'interessato deve essere previamente informato riguardo una serie di elementi obbligatori, in particolare le modalità utilizzate per il trattamento dei dati, e la finalità del trattamento. Il consenso, quindi, deve essere preventivo, libero (cioè non preimpostato), informato e documentato in forma scritta (va bene anche la selezione di una casella sul sito web, come da direttiva 2002/58/CE, Considerando 17, poi eventualmente richiedendo conferma via mail al fine di identificare l'interessato), oltre che specifico cioè legato alla particolare finalità.
Quindi non è lecito inviare una comunicazione promozionale con la quale contestualmente si chiede il consenso al trattamento dei dati per finalità promozionali. E senza il consenso preventivo non è possibile nemmeno inviare comunicazioni promozionali tramite sistema automatizzati, neanche nel caso in cui i dati personali siano estratti da pubblici registri o elenchi (come l'indice nazionale degli indirizzi per delle imprese e dei professionisti), siti web o atti e documenti pubblici. Infatti in tali casi mancherebbe la specificità del consenso. Ovviamente se la finalità promozionale è attinente allo scopo dell'elenco, tale divieto decade.
È, invece, possibile contattare telefonicamente i numeri presenti in elenchi telefonici se non iscritti nel Registro pubblico delle opposizioni.
La specificità del consenso determina la necessità di ottenere un previo consenso per ciascuna finalità (marketing, profilazione, comunicazione a terzi dei dati) e per ciascuna modalità del trattamento. Per evitare una moltiplicazione eccessiva dei consensi e a fini di semplificazione, il consenso può però essere unico qualora i trattamenti perseguano la medesima finalità. Così nel caso di marketing diretto tramite modalità automatizzate di contatto, il consenso vale anche per il trattamento mediante modalità tradizionali (posta cartacea o chiamate telefoniche tramite operatore). Ovviamente in tali casi occorre chiarire nell'informativa quali modalità sono legate a quel consenso. E per i sistemi automatizzati occorre comunque garantire la privacy dei soggetti, per cui in caso di invio di mail a una mailing list gli indirizzi mail devono essere riservati (funzione ccn).
In questa prospettiva il Garante chiarisce che in caso di cessione di dati personali a terzi (acquisto di banche dati o liste contatti) il trattamento dei dati da parte del terzo è possibile solo laddove gli interessati siano stati previamente informati sulla cessione dei dati e abbiano consentito alla medesima cessione, con precisa indicazione dei soggetti ai quali i dati vengono trasferiti e i settori merceologici nei quali operano. In caso contrario il soggetto terzo che ha acquisito la banca dati dovrà previamente ottenere un nuovo e specifico consenso da tutti i soggetti.
Una causa di esonero dal richiedere il consenso è prevista dall'art. 24 del Codice Privacy. Nel cosiddetto "soft spam", cioè le comunicazioni pubblicitarie via mail, il Garante ne consente l'invio se la mail è la medesima usata dell'interessato nel contesto della vendita di un prodotto o servizio, e la pubblicità abbia ad oggetti servizi analoghi, purché ovviamente l'interessato non rifiuti tale uso.
Un problema di rilievo riguarda la titolarità del trattamento di dati personali nell'ipotesi di soggetti che si avvalgono di agenti esterni per le attività promozionali. Fermo restando che ai fini dell'individuazione della titolarità occorre esaminare anche elementi extracontrattuali, quali il reale controllo esercitato, è necessario riconoscere la titolarità del trattamenti in capo alla società promotrice che si avvale dei soggetti esterni quando la prima impartisce specifiche e vincolanti istruzioni. In tal caso i soggetti esterni devono essere designati responsabili del trattamento con tutte le conseguenze del caso.
Particolare attenzione è rivolta alle nuove forme di spam. Ad esempio, in relazione allo spam sui social network, l'Autorità ricorda che la circostanza che determinati dati siano pubblici non autorizza il loro utilizzo per comunicazioni promozionali. Occorre sempre il consenso.
Questa disciplina riguarda sia i social network, come Facebook, sia i messaggi privati, sia quelli pubblici sulle bacheche virtuali, sia l'uso di servizi come Skype, WhatsApp, Viber, ecc... decisamente molto pericolosi sotto questo profilo perché comportano la condivisione indifferenziata dei contatti.
Quindi, l'invio di pubblicità sia in privato che su una bacheca pubblica o nella mail collegata al social, richiede un preventivo consenso, a meno che l'utente non sia fan di una determinata pagina o impresa, o sia iscritto ad un gruppo di follower di un marchio, nel quale caso la comunicazione promozionale relativa all'impresa o al marchio può considerarsi lecita se dal contesto si evince inequivocabilmente che l'interessato abbia voluto manifestare la volontà di consentire alla ricezione dei messaggi. In questa ottica la cancellazione dal gruppo o dalla pagina fan deve intendersi come revoca del consenso.
Non è invece necessario il consenso per l'invio di mail o sms con offerte promozionali ad amici a titolo personale (cosiddetto "passaparola").
Il "marketing virale" è una evoluzione del passaparola, e fa riferimento all'attività di utenti che suggeriscono o raccomandano ad altri utenti l'utilizzo di un prodotto. Il soggetto promotore, però, offre un incentivo o bonus ai destinatari delle comunicazioni che si offrono di inoltrare a terzi la comunicazione promozionale ricevuta.
Il soggetto che effettua il passaparola non è normalmente sottoposto alle orme del Codice, ma lo diventa nel caso in cui il messaggio sia inviato tramite servizi automatizzati ad una molteplicità di destinatari i cui dati siano reperiti sul web o tramite elenchi pubblici.
Infine, il provvedimento del Garante ricorda che le sanzioni nei casi più gravi possono arrivare fino a 500mila euro, e in taluni casi le condotte diventano anche reati penali.
Mentre le persone fisiche possono rivolgersi al Garante, le persone giuridiche non possono più esercitare i diritti di cui al Codice in quanto, a seguito del Decreto Legge 201 del 2011, non sono più considerabili "interessati".
Tuttavia detti soggetti si possono avvalere degli ordinari strumenti di tutela, quali azioni civili e penali.
