E-mail pubblicitarie: illecito l'invio senza consenso, nonostante il link per disiscriversi
La prassi di scrivere, in calce al messaggio inviato via e-mail, una frase riguardante la possibilità di esprimere la volontà di non ricevere più tali comunicazioni promozionali, con relativo link, non "sana" l'illiceità del trattamento
Il Garante privacy ha recentemente ribadito che l'invio di e-mail pubblicitarie è subordinato al consenso dell'interessato alla ricezione di tali messaggi. La presenza, nelle e-mail promozionali inviate senza consenso, di un link per disiscriversi non rende lecito l'invio.
Quindi, l'invio di e-mail con finalità di marketing rappresenta un trattamento illecito di dati personali se la società, che invia il messaggio di posta elettronica, preventivamente non acquisisce uno specifico ed idoneo consenso all'invio di tali comunicazioni da parte del potenziale cliente/utente (in termini privacy, dell'interessato).
La prassi di scrivere, in calce al messaggio inviato via e-mail, una frase riguardante la possibilità di esprimere la volontà di non ricevere più tali comunicazioni promozionali, con relativo link, non "sana" l'illiceità del trattamento.
Il caso
L'intervento sanzionatorio dell'Autorità di controllo ( doc. web n. 9899880 ) segue il reclamo di un utente che lamentava la ricezione di e-mail promozionali indesiderate, senza aver appunto acconsentito a tali invii.
La società si era difesa dichiarando di aver estratto i nominativi da diversi elenchi pubblici e che l'invio delle e-mail era diretto, oltre che al reclamante, anche ad altri professionisti. Ad avviso della società, il dato personale dell'e-mail sarebbe stato trattato sulla base di un legittimo interesse.
I chiarimenti del Garante privacy
Il Garante per la protezione dei dati personali, a seguito dell'istruttoria, ha ricordato che l'attività promozionale svolta attraverso canali di comunicazione elettronica (tra cui rientra anche l'e-mail) è soggetta alla speciale disciplina originata dalla Direttiva 2002/58/CE, recepita nell'ordinamento italiano con il Titolo X del Codice privacy, dedicato specificatamente alle "Comunicazioni elettroniche".
In particolare, l'articolo 130 del Codice privacy , rubricato "Comunicazione indesiderate", prevede che l'invio di comunicazioni con modalità automatizzate è consentito solo con il consenso del contraente o utente potendosi ammettere una specifica deroga esclusivamente nel caso in cui l'indirizzo e-mail sia stato rilasciato dall'interessato nel contesto di una vendita di beni o servizi analoghi (comma 4 dell'articolo in commento).
Tale deroga non risultava, tuttavia, applicabile nel caso di specie dal momento che le persone contattate, come il reclamante, non avevano rilasciato il proprio indirizzo e-mail nel contesto di un rapporto contrattuale pregresso, non avendo avuto alcuna conoscenza né del titolare né del trattamento.
Relativamente poi alla questione concernente l'utilizzo di fonti pubbliche per raccogliere dati destinati all'attività promozionale, il Garante privacy ribadisce concetti già espressi in passato.
Come precisato con le Linee guida del 4 luglio 2013 in materia di attività promozionale e contrasto allo spam , "senza il consenso (…) non è possibile inviare comunicazioni promozionali con i predetti strumenti neanche nel caso in cui i dati personali siano tratti da registri pubblici, elenchi, siti web atti o documenti conosciuti o conoscibili da chiunque. Analogamente, senza il consenso preventivo degli interessati, non è lecito utilizzare per inviare e-mail promozionali gli indirizzi pec contenuti nell'indice nazionale degli indirizzi pec delle imprese e dei professionisti (…) istituito per favorire la presentazione di istanze, dichiarazioni e dati, nonché lo scambio di informazioni e documenti tra la pubblica amministrazione e le imprese e i professionisti in modalità telematica".
Sempre in tale ambito, più recentemente, il Garante ha ricordato che la presenza dei dati in elenchi pubblici o in fonti liberamente accessibili, come i siti web o i social network, non ne autorizza l'utilizzo per finalità promozionali poiché tali finalità sono incompatibili con quelle originarie e, pertanto, non rientranti fra le legittime aspettative degli interessati.
Di conseguenza, rispetto alla fattispecie in esame, è risultato evidente che nessuna e-mail promozionale poteva essere inviata al reclamante, così come agli altri destinatari, senza un idoneo e specifico consenso.
Inoltre, non ha alcuna rilevanza il fatto che fosse disponibile un link per manifestare l'opposizione alla ricezione della e-mail poiché, prima ancora del suo contenuto e delle eventuali misure di contenimento del pregiudizio, è lo stesso invio dell'e-mail ad essere illecito.
Per tali ragioni, l'Autorità di controllo ha ritenuto integrata la violazione dell'articolo 6, par. 1, lett. a) del GDPR e del sopra citato articolo 130 del Codice privacy, comminando una sanzione di € 10.000 alla società.
