Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che utilizza una newsletter per mantenere i rapporti con i clienti, presentare nuovi servizi o sviluppare opportunità commerciali deve verificare come sono stati raccolti gli indirizzi email e su quale base giuridica vengono utilizzati. Disporre di un elenco di contatti non significa essere autorizzati a inviare comunicazioni promozionali. Il problema riguarda anche le imprese che utilizzano piattaforme professionali di email marketing, moduli di iscrizione sul sito o database gestiti dal proprio ufficio commerciale.
Il GDPR e l’articolo 130 del Codice Privacy impongono regole specifiche, la cui applicazione dipende dalla natura delle comunicazioni e dal rapporto con i destinatari. Un consenso raccolto in modo scorretto, oppure impossibile da dimostrare, può esporre la società a reclami, accertamenti del Garante Privacy e provvedimenti sanzionatori. Per questo, prima di avviare una newsletter o utilizzare un archivio già esistente, occorre verificare la legittimità degli invii e l’adeguatezza delle procedure aziendali.
La prima distinzione riguarda il contenuto delle email. Una comunicazione necessaria per eseguire un contratto, come la conferma di un ordine o un avviso relativo a un servizio acquistato, non equivale a una newsletter destinata a promuovere prodotti, iniziative commerciali o nuove offerte. Per l’invio di comunicazioni promozionali tramite posta elettronica, la regola generale prevista dall’articolo 130 del D.Lgs. 196/2003 è il consenso preventivo del destinatario. Il fatto che una newsletter contenga informazioni utili, aggiornamenti normativi o articoli di approfondimento non esclude automaticamente la finalità promozionale, soprattutto quando viene utilizzata per sviluppare il rapporto commerciale con i destinatari.
La regola interessa anche il marketing tra imprese. L’indirizzo email di un professionista o di un dipendente, pur essendo pubblicato sul sito della società per cui lavora, non diventa liberamente utilizzabile per campagne promozionali. Analogamente, la disponibilità di un indirizzo generico aziendale non autorizza automaticamente l’invio di newsletter non richieste. L’impresa deve distinguere tra la possibilità di contattare un soggetto per ragioni inerenti a un rapporto professionale e l’utilizzo sistematico dell’indirizzo per attività di marketing.
Esiste una specifica eccezione, comunemente definita soft spam, disciplinata dall’articolo 130, comma 4, del Codice Privacy. Quando un’azienda ha ottenuto le coordinate di posta elettronica di un cliente nel contesto della vendita di un prodotto o servizio, può utilizzarle, alle condizioni previste dalla norma, per promuovere propri prodotti o servizi analoghi senza richiedere un nuovo consenso. Il destinatario deve essere stato adeguatamente informato e deve poter rifiutare tale utilizzo inizialmente e in occasione di ogni successiva comunicazione, in maniera agevole e gratuita.
Questa eccezione non costituisce un’autorizzazione generale a utilizzare qualsiasi database commerciale. Occorre verificare l’effettiva esistenza del precedente rapporto di vendita, la provenienza dell’indirizzo, l’analogia tra i prodotti o servizi e la possibilità concreta di esercitare l’opposizione. Una richiesta di preventivo, la partecipazione a una fiera o la semplice compilazione di un modulo di contatto non possono essere automaticamente equiparate a una vendita già effettuata.
Un problema frequente riguarda le aziende che inseriscono nella propria piattaforma newsletter tutti i contatti presenti nel gestionale. Clienti, potenziali clienti, fornitori e nominativi raccolti durante eventi commerciali possono essere stati acquisiti per finalità differenti. Prima di utilizzare questi dati per invii periodici occorre verificare, per ciascuna provenienza, se esiste un consenso valido oppure se ricorrono effettivamente le condizioni di una diversa base di liceità applicabile alla specifica attività.
La distinzione assume particolare rilievo per le imprese che operano nel B2B e per gli e-commerce, dove l’acquisizione di contatti commerciali avviene attraverso canali differenti. Il trattamento dei dati per finalità contrattuali e quello per finalità promozionali devono essere valutati separatamente. Un’azienda che ha già predisposto la propria documentazione generale può comunque avere procedure di raccolta del consenso non adeguate alle modalità concrete con cui svolge l’attività di marketing.
Come raccogliere un consenso valido: checkbox, informativa privacy e prova dell’iscrizione
Quando il consenso costituisce la base giuridica del trattamento, deve rispettare i requisiti previsti dagli articoli 4, 6 e 7 del Regolamento (UE) 2016/679. Deve essere libero, specifico, informato e inequivocabile, manifestato attraverso una dichiarazione o un’azione positiva chiara. Una casella già selezionata, il silenzio dell’utente o l’accettazione indistinta di tutte le condizioni del sito non costituiscono modalità idonee per raccogliere un valido consenso alla newsletter.
Nel modulo di iscrizione, l’azienda deve rendere comprensibile la finalità del trattamento. Una formulazione che richieda genericamente di accettare la privacy può risultare insufficiente, perché l’utente deve poter distinguere l’informativa sul trattamento dei dati dalla scelta di ricevere comunicazioni promozionali. La checkbox destinata al consenso marketing, quando necessaria, deve essere separata dalle dichiarazioni indispensabili per utilizzare il servizio richiesto e non deve essere preselezionata.
Questo aspetto diventa particolarmente delicato nei moduli di richiesta preventivo, nelle pagine di registrazione e durante il checkout di un e-commerce. L’azienda non dovrebbe subordinare un servizio alla prestazione di un consenso promozionale non necessario per erogarlo. Se un cliente acquista un prodotto, il trattamento dei dati indispensabili alla vendita segue una propria base giuridica; l’eventuale iscrizione alla newsletter richiede una valutazione autonoma, tenendo conto anche delle condizioni previste per il soft spam.
Accanto al modulo deve essere resa disponibile un’informativa conforme agli articoli 12 e 13 del GDPR. Il destinatario deve poter conoscere l’identità del titolare, le finalità perseguite, la base giuridica, i destinatari dei dati, i tempi o criteri di conservazione e le modalità di esercizio dei propri diritti. Deve essere informato della possibilità di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca. La revoca deve risultare semplice quanto la prestazione del consenso.
La corretta predisposizione dell’informativa richiede di considerare il funzionamento effettivo della newsletter. Se la piattaforma registra aperture, clic sui collegamenti o comportamenti degli iscritti per effettuare analisi individuali e profilazione, questi trattamenti devono essere esaminati specificamente. Non è sufficiente descrivere genericamente l’invio di comunicazioni informative quando il sistema viene utilizzato anche per monitorare gli interessi dei destinatari e personalizzare le campagne.
Un ulteriore problema riguarda la dimostrazione del consenso. L’articolo 7, paragrafo 1, del GDPR stabilisce che il titolare deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso. La presenza di un indirizzo email nella lista degli iscritti, da sola, non prova che l’iscrizione sia avvenuta correttamente. L’azienda dovrebbe quindi predisporre un sistema documentabile che consenta di ricostruire la modalità di acquisizione, il momento della scelta, la finalità accettata e il testo informativo reso disponibile.
Il sistema di double opt-in, attraverso il quale l’utente conferma l’iscrizione mediante un collegamento ricevuto via email, può contribuire a rendere più attendibile la prova dell’adesione e a ridurre le iscrizioni effettuate con indirizzi appartenenti a terzi. Non costituisce però un obbligo generalizzato espressamente previsto dal GDPR per ogni newsletter, né sana un’informativa carente o una richiesta di consenso formulata in modo scorretto. La scelta della procedura deve essere valutata in rapporto alle caratteristiche del trattamento e alla necessità di documentarne la liceità.
Le aziende che utilizzano WordPress, WooCommerce, Mailchimp, Brevo o altri strumenti di email marketing devono verificare che le informazioni raccolte dai moduli siano effettivamente registrate e conservate in modo coerente con la procedura dichiarata. Occorre prestare attenzione anche ai trasferimenti automatici dal sito al CRM, alle importazioni manuali di contatti e alla sincronizzazione delle revoche. La conformità non dipende dal nome del software utilizzato, ma dalle impostazioni adottate, dai trattamenti effettivamente svolti e dalle responsabilità dei soggetti coinvolti.
Quando la piattaforma o l’agenzia incaricata tratta dati personali per conto dell’impresa, occorre valutare la corretta qualificazione del rapporto e, ricorrendone i presupposti, la stipulazione di un accordo ai sensi dell’articolo 28 GDPR. Per approfondire questo aspetto abbiamo esaminato anche quando un’agenzia web deve essere nominata responsabile del trattamento. La responsabilità di definire finalità e basi giuridiche dell’attività di marketing resta in capo all’azienda titolare del trattamento, che deve poter verificare le procedure utilizzate dai propri fornitori.
Consensi irregolari, database esistenti e revoche: quali controlli deve effettuare l’azienda
La corretta raccolta del consenso non esaurisce gli obblighi dell’impresa. Una newsletter inizialmente conforme può diventare problematica quando vengono importati nuovi indirizzi, cambiano le finalità commerciali oppure le richieste di disiscrizione non vengono recepite da tutti i sistemi utilizzati. Il titolare del trattamento deve poter dimostrare la liceità dell’utilizzo dei dati durante l’intero periodo in cui vengono impiegati per le comunicazioni promozionali. Questo richiede procedure che coinvolgano concretamente l’ufficio marketing, i responsabili commerciali e chi amministra il sito o il CRM aziendale.
Una situazione frequente riguarda le aziende che possiedono database costruiti nel corso degli anni. Gli indirizzi possono provenire da precedenti piattaforme newsletter, vecchi moduli di registrazione, contatti acquisiti durante fiere o elenchi trasferiti da collaboratori commerciali. Prima di utilizzare questi archivi occorre ricostruire la provenienza dei dati, verificare quale informativa sia stata resa disponibile e accertare l’esistenza di un consenso documentabile, quando necessario. Il semplice possesso di un database storico non costituisce una base giuridica sufficiente per avviare una campagna promozionale.
Se la società non riesce a dimostrare la legittimità dell’utilizzo di determinati indirizzi, deve valutare la sospensione degli invii verso quei contatti fino al completamento delle verifiche. Non è corretto presumere che una comunicazione inviata per chiedere un nuovo consenso sia sempre consentita: anche una richiesta di autorizzazione a ricevere pubblicità può avere natura promozionale e deve rispettare le regole applicabili alle comunicazioni elettroniche. La possibilità di recuperare un archivio dipende quindi dalle circostanze concrete, dalla provenienza dei dati e dalle basi giuridiche effettivamente disponibili.
Un altro controllo riguarda la revoca del consenso e la gestione delle disiscrizioni. Ai sensi dell’articolo 7, paragrafo 3, del GDPR, l’interessato deve poter revocare il consenso in qualsiasi momento e con modalità semplici. Per le comunicazioni di marketing diretto rileva anche il diritto di opposizione previsto dall’articolo 21 del Regolamento. Una volta ricevuta una revoca o un’opposizione valida, l’azienda deve interrompere il trattamento per la finalità interessata, senza subordinare la cessazione degli invii a procedure inutilmente complesse.
Il collegamento di disiscrizione presente nelle newsletter deve quindi funzionare effettivamente. Se un destinatario viene eliminato dalla piattaforma di email marketing ma rimane attivo nel CRM, una successiva sincronizzazione potrebbe reinserirlo tra gli iscritti. Per prevenire questa situazione occorre coordinare le liste, registrare le opposizioni e, quando necessario, conservare in modo proporzionato le informazioni indispensabili a evitare nuovi invii indesiderati. La cancellazione dalla lista promozionale non comporta necessariamente l’eliminazione immediata di ogni dato riferito al cliente, qualora esistano altre finalità legittime di conservazione.
Particolare attenzione richiedono anche i tempi di conservazione. Il GDPR non stabilisce una durata unica valida per tutti i consensi newsletter. L’azienda deve individuare periodi o criteri coerenti con le finalità perseguite, la natura dei rapporti commerciali e i principi di limitazione della conservazione e minimizzazione dei dati. La presenza di un consenso originariamente valido non autorizza automaticamente a mantenere indefinitamente informazioni non più necessarie. Sul tema abbiamo approfondito come definire correttamente i tempi di conservazione dei dati personali.
Quando l’impresa utilizza una piattaforma esterna, deve verificare anche chi può accedere agli elenchi, quali dati vengono esportati, come sono gestite le cancellazioni e se il fornitore effettua trasferimenti verso Paesi esterni allo Spazio economico europeo. L’eventuale utilizzo di strumenti di tracciamento delle aperture o dei clic richiede un esame specifico delle funzionalità attivate e delle regole applicabili. La documentazione contrattuale del fornitore, da sola, non dimostra che ogni funzione utilizzata dall’azienda sia conforme.
Le irregolarità possono emergere attraverso il reclamo di un destinatario, una richiesta di accesso ai dati o un accertamento del Garante per la protezione dei dati personali. In queste circostanze l’impresa deve poter ricostruire le modalità di raccolta del consenso, la provenienza del contatto e le comunicazioni effettivamente inviate. La mancata disponibilità delle registrazioni, l’utilizzo di consensi generici o il mancato rispetto delle opposizioni possono assumere rilievo nella valutazione della violazione e delle eventuali misure correttive o sanzionatorie.
Le conseguenze non sono automatiche né identiche per ogni irregolarità. L’autorità valuta le circostanze del caso secondo i criteri previsti dal GDPR, considerando, tra gli altri elementi, natura, gravità e durata della violazione, categorie di dati coinvolte e misure adottate dal titolare. Per questo un’azienda che scopre criticità nelle proprie procedure dovrebbe intervenire tempestivamente, documentando le verifiche e le correzioni effettuate. Quando il problema riguarda campagne già inviate senza una base giuridica adeguata, può essere opportuno esaminare anche i rischi e le possibili sanzioni dell’email marketing senza consenso, distinguendo la regolarizzazione delle procedure dalla gestione di eventuali contestazioni già ricevute.
Consideriamo il caso ipotetico di una società commerciale che utilizza un’unica piattaforma newsletter per comunicare con clienti e potenziali acquirenti. Nel database sono presenti indirizzi raccolti attraverso il sito aziendale, richieste di preventivo, acquisti e partecipazioni a eventi di settore. Dopo aver ricevuto alcune richieste di cancellazione, la direzione decide di verificare la procedura di iscrizione e scopre che non tutti i contatti dispongono di una registrazione attendibile del consenso.
La verifica giuridica deve partire dalla distinzione tra le diverse modalità di acquisizione. Per i clienti già acquisiti occorre esaminare se ricorrano le condizioni del soft spam; per gli altri nominativi bisogna verificare la presenza di un consenso valido o di un diverso presupposto legittimo applicabile. L’intervento comprende l’esame dei moduli, delle informative, delle registrazioni disponibili e del funzionamento delle disiscrizioni. La difficoltà maggiore consiste nel distinguere gli indirizzi utilizzabili da quelli per cui manca una base giuridica dimostrabile, senza presumere che tutti i contatti presenti nel gestionale possano ricevere le stesse comunicazioni.
La società può quindi riorganizzare gli archivi in base alla provenienza dei dati e alle condizioni che consentono il trattamento, sospendere gli invii non giustificati e correggere i moduli di acquisizione. Una procedura interna deve stabilire chi può importare nuovi contatti, quali verifiche effettuare e come registrare revoche e opposizioni. La soluzione concreta dipende dalla documentazione disponibile e dalle caratteristiche dell’attività commerciale, non dalla semplice installazione di una nuova piattaforma newsletter.
Un’azienda può inviare newsletter ai propri clienti senza richiedere un nuovo consenso?
Sì, ma soltanto quando ricorrono le condizioni previste dall’articolo 130, comma 4, del Codice Privacy. L’azienda deve aver ottenuto l’indirizzo email nel contesto della vendita di un prodotto o servizio e utilizzarlo per promuovere propri prodotti o servizi analoghi. Il cliente deve essere stato informato e deve poter opporsi facilmente e gratuitamente, sia al momento della raccolta sia in ogni successiva comunicazione. Questa possibilità, conosciuta come soft spam, non si estende automaticamente ai potenziali clienti che hanno semplicemente richiesto informazioni o preventivi.
Il double opt-in è obbligatorio per una newsletter conforme al GDPR?
Il GDPR non impone espressamente il double opt-in come procedura obbligatoria per tutte le newsletter. L’azienda deve però essere in grado di dimostrare che il destinatario ha prestato un consenso valido, quando richiesto. La conferma dell’iscrizione attraverso un collegamento ricevuto via email può rafforzare la documentazione disponibile e ridurre il rischio di iscrizioni effettuate da terzi. Rimane necessario conservare informazioni attendibili sulla raccolta del consenso e sull’informativa resa disponibile.
Possiamo utilizzare una vecchia lista newsletter se non abbiamo conservato le prove del consenso?
La mancanza delle registrazioni costituisce una criticità, perché l’articolo 7 del GDPR pone a carico del titolare l’onere di dimostrare il consenso. Occorre verificare la provenienza degli indirizzi, le modalità originarie di acquisizione e l’eventuale esistenza di altri elementi documentali. Se non è possibile dimostrare una base giuridica adeguata, l’azienda deve evitare di proseguire gli invii promozionali verso quei contatti. Anche l’eventuale richiesta di un nuovo consenso tramite email deve essere valutata alla luce delle regole sulle comunicazioni commerciali.
Il consenso alla newsletter deve essere rinnovato ogni anno?
Non esiste nel GDPR una scadenza annuale generalizzata del consenso newsletter. La sua validità dipende dal rispetto dei requisiti normativi, dalla permanenza delle finalità originarie e dalle circostanze concrete del trattamento. L’impresa deve comunque stabilire criteri appropriati di conservazione dei dati e verificare che le informazioni utilizzate siano ancora necessarie. Modifiche sostanziali delle finalità possono richiedere una nuova valutazione della base giuridica e, quando necessario, un nuovo consenso.
Chi risponde se una newsletter viene inviata senza consenso dall’agenzia marketing incaricata?
La responsabilità dipende dai ruoli effettivamente ricoperti e dalle condotte dei soggetti coinvolti. Quando l’azienda determina le finalità e i mezzi essenziali del trattamento, mantiene gli obblighi propri del titolare anche se affida materialmente gli invii a un fornitore esterno. L’agenzia può assumere responsabilità proprie in relazione al ruolo svolto e agli obblighi applicabili. È quindi necessario verificare i rapporti contrattuali, le istruzioni impartite e le modalità con cui vengono acquisiti e utilizzati i contatti.
Newsletter aziendale e GDPR: richiedi una valutazione delle procedure di raccolta del consenso
Se la tua azienda utilizza una newsletter, dispone di un database di contatti raccolti nel tempo oppure ha dubbi sulla validità dei consensi acquisiti, è opportuno verificare le procedure prima di proseguire con gli invii promozionali. Un modulo di iscrizione apparentemente corretto non è sufficiente se l’impresa non riesce a dimostrare il consenso, gestire le revoche o distinguere i contatti utilizzabili legittimamente.
Noi dello Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nella valutazione degli obblighi privacy, nell’esame delle informative e delle procedure di raccolta del consenso, nella verifica dei database commerciali e nella gestione delle criticità connesse alle comunicazioni promozionali. L’intervento viene definito considerando le modalità effettive di acquisizione dei contatti, gli strumenti utilizzati e gli eventuali problemi già riscontrati.
Se desideri verificare la conformità della newsletter aziendale o affrontare una contestazione relativa all’utilizzo dei dati per finalità di marketing, richiedi una valutazione legale sulla gestione del consenso e sugli adempimenti GDPR della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.
