Il marketing nelle recenti decisioni della Cassazione e del Garante privacy. Il Registro delle opposizioni

L'Autorità Garante per la protezione dei dati personali e la Corte di Cassazione si sono recentemente pronunciate a tutela di consumatori e utenti, i cui dati personali sono spesso oggetto di campagne promozionali di marketing.

Gli operatori del settore sono tenuti ad osservare molteplici norme per svolgere attività di marketing, da ultimo quelle derivanti dalla nuova disciplina in materia di Registro delle opposizioni. Ci sono, tuttavia, delle modalità, osservando le quali gli operatori possono promuovere, legittimamente, i propri servizi e prodotti.

L'orientamento del Garante privacy e della Cassazione

Con il recente provvedimento n. 49 del 10 febbraio 2022, il Garante esprime un parere che si inserisce nel solco di un ormai noto orientamento, secondo cui la telefonata, finalizzata ad ottenere il consenso per fini di marketing, è da considerarsi di per sé una comunicazione commerciale. Sono, dunque, illegittime le telefonate per il "recupero del consenso" degli interessati.

Il caso portato all'attenzione del Garante riguardava un'agenzia immobiliare che, una volta raccolti tramite Internet i dati di contatto pubblicamente resi disponibili dagli interessati per finalità diverse da quella promozionale, contattava questi ultimi chiedendo loro di esprimere il consenso al trattamento per finalità di marketing.

Due i principali rilievi sollevati dal Garante: da un lato, i dati personali reperibili on line non sono utilizzabili da chiunque, bensì devono essere trattati per gli scopi sottesi alla loro pubblicazione (o, perlomeno, per finalità compatibili con quelle iniziali).

Dall'altro lato, il trattamento dei dati dell'interessato volto a chiedere il consenso a fini di marketing è esso stesso un trattamento per finalità di marketing. Dunque, se effettuato in assenza di idonea base giuridica, esso è illegittimo.

Con ordinanza 28 marzo 2022, n. 9920 la Corte di Cassazione non si discosta da questo orientamento e conferma proprio un provvedimento del Garante, con cui sanzionava Wind Tre S.p.A. per l'invio di comunicazioni volte ad acquisire il consenso al trattamento per finalità di marketing nei confronti di interessati che in precedenza non avevano fornito o avevano revocato tale consenso. In tale occasione, la Cassazione equipara "la mancanza del consenso al dissenso" e afferma che "ove il consenso alle campagne di marketing non sia stato anteriormente prestato, la condizione è nel senso di doversi ritenere che lo stesso sia stato semplicemente già negato al momento del contratto. Cosicché ogni successiva attività integrata da comunicazioni automatizzate, volte a farne mutare il senso, diventa essa stessa un'interferenza illegittima, poiché finalizzata a commercializzare il servizio aggiuntivo nonostante la mancanza del consenso esplicito".

Il Registro pubblico delle opposizioni: i vantaggi per i contraenti e gli obblighi per gli operatori

Con il d.p.r. 27 gennaio 2022, n. 26 il legislatore definisce le modalità di iscrizione e di funzionamento del Registro pubblico delle opposizioni, già disciplinato dalla l. 11 febbraio 2018, n. 5.

Il Registro delle opposizioni oggi può riguardare numerazioni telefoniche fisse e mobili, presenti o meno negli elenchi pubblici dei contraenti, nonché gli indirizzi postali riportati nei medesimi elenchi.

La finalità è di precludere, a favore dei contraenti registrati, il trattamento dei dati di contatto ai fini dell'invio di materiale pubblicitario, di vendita diretta, di comunicazione commerciale o per il compimento di ricerche di mercato, effettuato con o senza operatore (quindi con modalità automatizzate) mediante l'impiego del telefono o della posta cartacea.Non sussiste limite temporale all'iscrizione né è previsto un numero massimo di utenze iscritte. La possibilità di revoca è garantita in qualunque momento, anche nei confronti di uno o più operatori.

L'iscrizione al Registro ha, inoltre, l'effetto di revocare tutti i consensi eventualmente espressi in precedenza al trattamento per fini promozionali, fatti salvi i consensi prestati nell'ambito di specifici rapporti contrattuali in essere ovvero cessati da non più di trenta giorni aventi ad oggetto la fornitura di beni e di servizi.

Dal punto di vista degli operatori, invece, il funzionamento del Registro delle opposizioni si traduce principalmente in un obbligo, previa adesione al Registro, di consultazione degli elenchi ivi presenti con cadenza mensile o, almeno, prima dell'avvio della campagna promozionale. Tali attività (che non consentono alcuna estrazione di dati, ma soltanto appunto una consultazione) avranno però efficacia limitata, pari a 15 giorni e a 30 giorni, per le attività di marketing, rispettivamente, tramite telefono e mediante posta cartacea.

Tra gli altri obblighi a carico degli operatori, il d.p.r. dettaglia l'identificazione della linea chiamante e la fornitura di idonea informativa che rechi l'indicazione delle fonti da cui derivano i dati di contatto (ad esempio, gli elenchi di contraenti) ed ogni elemento utile all'eventuale iscrizione del contraente nel Registro pubblico delle opposizioni.

Le soluzioni compliant per il marketing

Dunque, quali soluzioni conformi alla normativa possono percorrere gli operatori?

La costituzione di una customer base fondata sul consenso degli interessati rappresenta lo scenario che, a condizione del rispetto dei requisiti del consenso previsti dal GDPR, più assicura la legittimità del trattamento di dati personali per fini promozionali.

Tuttavia, occorre prestare attenzione quando ci si affida a partner o terzi fornitori di liste anagrafiche. Sul punto, infatti, l'orientamento del Garante è chiaro: il titolare del trattamento di dati personali cessionario deve assicurarsi che il titolare cedente abbia acquisito e comunicato i dati personali in virtù di un consenso specifico ed informato per lo svolgimento di attività di marketing da parte di terzi.

Con il provvedimento 13 maggio 2021, n. 192 il Garante ha infatti specificato che "il consenso, inizialmente rilasciato ad un titolare del trattamento anche per attività promozionali di terzi, se può risultare idoneo alla comunicazione dei dati stessi a questi ultimi, non può invece estendere la sua efficacia anche a successive cessioni ad ulteriori titolari, poiché le stesse non possono dirsi supportate dal necessario consenso, specifico ed informato dell'interessato".

In altre parole, il Garante nega che "una manifestazione di volontà inizialmente espressa in modo consapevole rispetto a determinati trattamenti possa dispiegare effetti a catena, attraverso successivi passaggi dei dati personali da un titolare all'altro in maniera del tutto imponderabile per l'interessato stesso".

Analogamente, a nulla rileva che l'invio materiale delle comunicazioni commerciali sia stato affidato ad altri soggetti, cui sarebbe riconducibile l'attività di raccolta dei dati personali e l'acquisizione del consenso: il committente di una campagna promozionale, "indipendentemente dalla materiale apprensione dei dati", deve ritenersi titolare del trattamento avendo in concreto determinato le decisioni in ordine alle finalità e modalità del trattamento stesso (così il Garante privacy, nei provvedimenti n. 413 del 25 novembre 2021 e n. 437 del 26 ottobre 2017).

Un'attività di marketing che sembra più agevolmente percorribile, a condizione che siano rispettati i requisiti previsti dall'art. 130, 4° comma del Codice privacy, è quella del c.d. soft spam.

Si tratta dell'attività promozionale effettuata mediante le coordinate di posta elettronica, fornite dall'interessato nel contesto della vendita di prodotti o servizi, che il titolare del trattamento può impiegare per promuovere e commercializzare prodotti o servizi analoghi a quelli oggetto di vendita, purché l'interessato, adeguatamente informato, non si opponga. In altre parole, l'operatore – già titolare del trattamento del dato di contatto dell'interessato – può condurre attività di marketing limitatamente alla promozione di prodotti analoghi a quelli già venduti o forniti all'interessato.

Non si riscontrano definizioni o orientamenti interpretativi del "contesto di vendita" o del concetto di "prodotto analogo", la cui individuazione rimane pertanto nella discrezionalità del titolare del trattamento in osservanza del principio di accountability. Nonostante ciò, il soft spam, se effettuato nel rispetto di quanto sopra, è una modalità legittima di trattamento dei dati per fini di marketing.

In generale, poi, potrebbe essere considerata lecita ogni attività di marketing che rientri tra le aspettative che l'interessato può ragionevolmente nutrire in base alla sua relazione con il titolare del trattamento. È proprio il caso, esemplificato dallo stesso considerando n. 47 GDPR, in cui l'interessato sia un cliente del titolare del trattamento e questi tratti i suoi dati personali per fini di marketing diretto sulla base del proprio legittimo interesse.

Dunque, alcuni strumenti esistono ma vanno utilizzati con cautela, sulla base di un bilanciamento di interessi che deve, da un lato, precedere il trattamento per fini promozionali e, dall'altro, dimostrare che i diritti e le libertà dell'interessato non siano esposti a un rischio elevato derivante dal trattamento.

*a cura dell' Avv. Laura Greco, DigitalMediaLaws

Se questo articolo è stato di tuo interesse ma non sei ancora abbonato a NT+ Diritto approfittane subito,prova 1 mese da € 4,90!Scopri di più