Civile

Sommario: 1. Il tema – 2. Il marketing nel GDPR: il consenso del soggetto interessato – 3. Il cd. soft-spam (o marketing diretto), basato sul legittimo interesse del Titolare del trattamento.

1. Il tema.

Al fine di individuare quali sono le sorti dell’attività di marketing alla luce della nuove disposizioni in materia di data protection, risulta necessario prendere, innanzitutto, come riferimento il Regolamento UE n. 679/2016 (di seguito “GDPR”), il Titolo X (intitolato “Comunicazioni Elettroniche”) del D.Lgs. n. 196/2003 (cd. Codice della Privacy) così come armonizzato dal D.Lgs. n. 101/2018 ed, infine, i numerosi provvedimenti[1] mediante i quali il Garante della protezione dei dati personali (di seguito “Garante”) è intervenuto sull’argomento, fornendo chiarimenti e prescrivendo misure[2].

2. Il marketing nel GDPR: il consenso del soggetto interessato.

E’ necessario, in primo luogo, fare riferimento all’insieme di quelle norme che il GDPR individua come condizioni di liceità del trattamento e, dunque in particolar modo, l’articolo 6 paragrafo 1 lettera a) del GDPR, il quale subordina la liceità del trattamento alla presenza del consenso espresso del soggetto interessato, ora definito all’articolo 4 n. 11 del GDPR come “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con il quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”: nello specifico, in ossequio all’art. 5 del GDPR per poter essere valido il consenso deve essere informato (ossia preceduto da chiare indicazioni date dal Titolare del trattamento in modo tale che l’interessato sappia a cosa sta acconsentendo), espresso con un atto inequivocabile (ossia, con una dichiarazione scritta o orale), specifico (ovvero, prestato per ciascuna finalità di trattamento idoneamente indicata all’interno dell’informativa ex art. 13 del GDPR) ed, infine, espresso liberamente (cioè sulla base di una scelta che non sia condizionata da raggiri, coercizioni o conseguenze negative prospettate al soggetto interessato dal Titolare del trattamento).   

La centralità che viene riconosciuta al consenso quale caposaldo della disciplina in materia di data protection è determinata dal fatto che rappresenta una delle principali espressioni del diritto all’autodeterminazione ed al controllo sui propri dati personali, elementi sui quali si fonda il cd. right of privacy.

Fatte queste premesse, preme ora osservare come il Garante, all’interno del Provvedimento n. 330 del 4.7.2013[3], ha chiarito due aspetti di importanza fondamentale: il primo consiste nel fatto che risulta sufficiente richiedere al soggetto interessato un unico consenso per attività riconducibili lato sensu al marketing, quali l’invio di materiale pubblicitario, la vendita diretta, il compimento di ricerche di mercato e la comunicazione commerciale; il secondo aspetto è, invece, rappresentato dal fatto che il consenso, prestato dal soggetto interessato per la ricezione di comunicazioni commerciali tramite modalità automatizzate (es. fax, sms, email, mms, telefonate registrate), si estende anche alle modalità tradizionali di contatto meno invasive (es. posta cartacea, chiamate tramite operatore), senza tuttavia – si noti – che valga il medesimo contrario.

In aggiunta, con specifico riguardo al trattamento per finalità di natura promozionale per il tramite di strumenti cd. automatizzati ovvero a questi equiparabili si ricorda che è stata elaborata un apposita disposizione normativa ossia l’art. 130 del Codice della Privacy (rimasto, seppur con parziali integrazioni, nella versione novellata da parte del D.Lgs. n. 101/2018), il quale afferma che – fermo restando il combinato disposto tra gli artt. 8 e 21 del D.Lgs. n. 70 del 9.4.2003 – le comunicazioni elettroniche (es. posta elettronica, telefax, mms, sms), l’uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l’intervento di un operatore ovvero le comunicazioni effettuate con qualsivoglia altra modalità differente da quelle poc’anzi descritte (ivi incluse le modalità tradizionali) ai fini dell’invio ai relativi destinatari di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale sono consentiti unicamente con il consenso[4] (cd. opt-in) del contraente (il quale può essere sia una persona fisica che una persona giuridica) ovvero dell’utente (il quale, all’opposto, può essere rappresentato soltanto da una persona fisica)[5].

3. Il cd. soft-spam (o marketing diretto), basato sul legittimo interesse del Titolare del trattamento.

A fianco della condizione di liceità del trattamento rappresentata dal consenso ex art. 6 paragrafo 1 lettera a) del GDPR si registra quella del cd. legittimo interesse del Titolare del trattamento, il quale consente, in via potenziale, di poter essere utilizzato quale base giuridica dei trattamenti ai fini di marketing senza la necessità di richiedere, da parte del Titolare del trattamento, uno specifico consenso del soggetto interessato, sempreché tale legittimo interesse risulti prevalente rispetto ai diritti ed alle libertà fondamentali del soggetto interessato, così come ricordato dal Considerando n. 47 del GDPR[6]. 

La deroga al principio del cd. opt-in nell’ambito delle comunicazioni commerciali effettuate con mezzi automatizzati si basa sulla considerazione che, nell’ambito di una relazione di clientela preesistente, appare ragionevole consentire al Titolare del trattamento, che ha legittimamente ottenuto le coordinate elettroniche dei propri clienti, di continuare ad utilizzarle per finalità commerciali[7]. Pertanto, ai sensi del combinato disposto tra l’art. 130 comma IV del novellato Codice della Privacy[8] e l’art. 13 della Direttiva n. 2002/58/CE[9] il Titolare del trattamento è legittimato ad utilizzare le coordinate di posta elettronica ricevute in occasione di un precedente rapporto commerciale per inviare successivamente ai propri clienti comunicazioni relative ai propri prodotti o servizi, anche a prescindere dal consenso dei clienti medesimi.

Tutto ciò risulta possibile soltanto al ricorrere di determinate circostanze tese a delimitare l’ambito di applicazione di tale regime derogatorio: infatti, è stato specificamente previsto che il cliente venga preventivamente ed adeguatamente informato circa l’ulteriore utilizzo delle sue coordinate di posta elettronica per le citate finalità, e che, in particolar modo, non rifiuti tale uso in occasione sia della prima sia delle successive comunicazioni; in aggiunta, è stato previsto, altresì, che l’offerta riguardi servizi analoghi a quelli oggetto del rapporto preesistente, rispetto ai quali il soggetto interessato ha già manifestato il proprio interesse e che a quest’ultimo sia consentito, in modo chiaro e distinto, di opporsi al suddetto trattamento in qualunque momento, gratuitamente ed in maniera agevole.

Da ultimo, ugual discorso deve essere affrontato con riguardo al cd. soft-spam effettuato mediante i recapiti di posta cartacea forniti dal soggetto interessato al Titolare del trattamento in un precedente rapporto commerciale, in relazione ai quali il Garante, mediante il Provvedimento del 19.6.2008[10], ha confermato che tale attività promozionale risulta lecita a condizione che riguardi – pure in tal caso – beni e servizi del Titolare analoghi a quelli oggetto della vendita, e che il soggetto interessato, in occasione sia della raccolta dei dati sia dell’invio di ogni comunicazione commerciale, venga informato della possibilità di opporsi, in ogni momento, al trattamento in maniera agevole e gratuita, nonché della possibilità di ottenere un immediato riscontro che confermi l’interruzione di tale trattamento ed, infine, a condizione che il medesimo soggetto interessato non si opponga inizialmente o in occasione di successive comunicazioni a tale uso.