Articolo a cura di: Redazione - Studio Legale Calvello
Le newsletter editoriali sono diventate per quotidiani online, editori digitali e società di informazione uno strumento per mantenere un rapporto diretto con gli abbonati e offrire spazi pubblicitari agli inserzionisti. Il problema privacy emerge quando l’editore utilizza tracking pixel per conoscere chi apre le e-mail, analizzare le abitudini di lettura e predisporre report sulle campagne sponsorizzate. In questi casi occorre distinguere l’invio dei contenuti editoriali dalla raccolta di informazioni sul comportamento dei destinatari e dalla loro eventuale comunicazione a soggetti terzi.
Il Regolamento (UE) 2016/679, il Codice Privacy e le disposizioni applicabili al tracciamento delle comunicazioni elettroniche impongono di valutare le finalità perseguite, la base giuridica, la trasparenza verso gli abbonati e i rapporti con piattaforme tecnologiche e inserzionisti. Per gli editori che utilizzano newsletter sponsorizzate, una verifica legale diventa particolarmente opportuna quando i dati di apertura sono associati a singoli destinatari, utilizzati per profilazione pubblicitaria o condivisi con concessionarie e sponsor.
Una società editoriale che invia periodicamente newsletter ai propri abbonati può avere interesse a conoscere il numero di messaggi consegnati, le aperture registrate e l’interazione con i contenuti pubblicati. Queste informazioni vengono utilizzate per valutare l’andamento delle iniziative editoriali e, quando la newsletter contiene pubblicità, per documentare agli inserzionisti la diffusione delle campagne acquistate.
Il tracking pixel è generalmente una risorsa grafica di dimensioni minime, incorporata nel messaggio e richiamata da un server quando il programma di posta elettronica carica le immagini. La richiesta può consentire al gestore del sistema di registrare informazioni sull’apertura, associandole a un identificativo presente nell’indirizzo della risorsa. A seconda della configurazione, possono essere trattati anche dati tecnici relativi alla connessione, al dispositivo o al momento del caricamento.
Quando l’identificativo permette di ricondurre l’evento a un abbonato, direttamente o attraverso il database della piattaforma, siamo in presenza di un trattamento di dati personali. Non è necessario che il report mostri il nome e il cognome del lettore: può essere sufficiente che l’editore disponga degli elementi per collegare l’apertura a un indirizzo e-mail o a un profilo individuale.
Occorre anche considerare che l’apertura registrata non dimostra necessariamente che il destinatario abbia letto il contenuto. Alcuni programmi di posta utilizzano sistemi di precaricamento o protezione della privacy che possono alterare le statistiche. Il dato raccolto deve quindi essere interpretato correttamente, soprattutto quando viene utilizzato per rendicontare prestazioni pubblicitarie contrattualmente concordate.
La questione diventa più delicata quando il monitoraggio non si limita a conteggiare le aperture, ma consente di ricostruire quali newsletter siano state visualizzate da uno stesso abbonato, quali argomenti attirino maggiormente la sua attenzione e quali messaggi sponsorizzati abbiano generato interazioni. La raccolta sistematica di queste informazioni può permettere di costruire profili individuali relativi agli interessi editoriali e commerciali dei destinatari.
Per esempio, una newsletter dedicata all’economia potrebbe consentire all’editore di individuare gli abbonati che aprono frequentemente contenuti su investimenti, assicurazioni o servizi bancari. Se tali informazioni vengono utilizzate per selezionare pubblicità personalizzate o creare segmenti destinati agli inserzionisti, il trattamento assume caratteristiche ulteriori rispetto alla semplice distribuzione del prodotto editoriale.
Il fatto che una persona abbia volontariamente sottoscritto un abbonamento, anche a pagamento, non significa che abbia automaticamente autorizzato qualsiasi forma di tracciamento delle proprie letture. La finalità editoriale, quella statistica e quella pubblicitaria devono essere esaminate separatamente, verificando quali operazioni siano effettivamente necessarie e quali richiedano specifici presupposti di liceità.
Un’ulteriore distinzione riguarda le informazioni comunicate agli sponsor. Un report contenente dati effettivamente anonimi e aggregati presenta implicazioni diverse rispetto a un documento che consenta di identificare gli abbonati che hanno aperto una determinata comunicazione. Anche quando l’inserzionista riceve soltanto risultati complessivi, resta necessario verificare la liceità delle operazioni attraverso le quali l’editore ha raccolto le informazioni originarie.
Per le imprese editoriali che intendono verificare la conformità dei propri sistemi, il primo controllo deve quindi riguardare il funzionamento concreto della piattaforma: quali informazioni raccoglie, se utilizza identificativi individuali, per quanto tempo conserva i dati e quali soggetti possono consultarli. Su questi aspetti si innestano gli obblighi di informazione, le eventuali richieste di consenso e le responsabilità derivanti dalla gestione delle campagne sponsorizzate.
Consenso, GDPR e comunicazione dei dati agli inserzionisti: quali regole deve rispettare l’editore
La disciplina applicabile alle newsletter editoriali con tracking pixel richiede di considerare congiuntamente il GDPR e le regole speciali in materia di comunicazioni elettroniche. In particolare, l’articolo 122 del D.Lgs. 196/2003, nel quadro della normativa ePrivacy, disciplina l’archiviazione di informazioni nell’apparecchiatura terminale dell’utente e l’accesso a informazioni già archiviate, prevedendo specifiche condizioni e deroghe.
Non è corretto ritenere che ogni pixel presente in una newsletter sia automaticamente soggetto alla medesima disciplina, indipendentemente dal suo funzionamento. Occorre verificare le operazioni tecniche effettivamente eseguite, la loro riconducibilità alle disposizioni speciali e l’eventuale applicabilità delle deroghe previste dalla legge. Per i sistemi di tracciamento individuale utilizzati a fini pubblicitari o di profilazione, la necessità di acquisire un consenso preventivo costituisce un aspetto che l’editore deve esaminare con particolare attenzione.
Quando il consenso è richiesto, deve rispettare le condizioni degli articoli 4 e 7 del GDPR: essere libero, specifico, informato e inequivocabile. L’adesione alla newsletter non può essere considerata automaticamente equivalente all’accettazione del monitoraggio individuale delle aperture o della comunicazione dei dati agli inserzionisti. La separazione delle finalità assume particolare rilievo quando l’abbonato desidera ricevere i contenuti editoriali senza essere sottoposto a ulteriori attività di profilazione.
La base giuridica deve essere individuata per ciascuna operazione, senza presumere che il legittimo interesse dell’editore alla misurazione dell’audience sia sempre sufficiente. Quando trova applicazione una disposizione speciale che richiede il consenso per una determinata tecnologia di tracciamento, il ricorso al legittimo interesse previsto dall’articolo 6 del GDPR non consente di eludere tale requisito.
Per approfondire il quadro relativo alle tecnologie di monitoraggio delle e-mail, abbiamo dedicato uno specifico contributo alle indicazioni del Garante Privacy sui tracking pixel nelle e-mail e nelle newsletter. L’analisi deve comunque essere adattata alle caratteristiche della piattaforma utilizzata dall’editore e alle finalità effettivamente perseguite.
Un secondo profilo riguarda la distinzione tra dati utilizzati internamente dall’editore e informazioni trasmesse agli inserzionisti. La società editoriale può predisporre report con il numero complessivo di invii, aperture o interazioni, ma deve verificare che tali documenti non permettano di identificare indirettamente singoli abbonati. L’aggregazione, da sola, non equivale necessariamente ad anonimizzazione: la presenza di segmenti molto ristretti o la possibilità di incrociare i risultati con altri dati può rendere identificabili le persone interessate.
Se lo sponsor riceve dati individuali, identificativi pseudonimi riconducibili agli abbonati o informazioni che consentono di seguirne il comportamento, occorre definire la finalità della comunicazione, la relativa base giuridica e il ruolo assunto da ciascun soggetto. A seconda delle attività concretamente svolte, editore e inserzionista possono operare come titolari autonomi oppure, quando determinano congiuntamente finalità e mezzi essenziali di uno stesso trattamento, come contitolari ai sensi dell’articolo 26 del GDPR.
La qualificazione non dipende dalla denominazione attribuita al contratto commerciale. Un inserzionista che riceve esclusivamente statistiche realmente anonime si trova in una posizione diversa rispetto a uno sponsor che partecipa alla definizione delle modalità di tracciamento o utilizza dati personali degli abbonati per successive iniziative pubblicitarie.
Un’attenzione distinta deve essere riservata al fornitore della piattaforma newsletter. Quando il servizio tratta dati personali per conto dell’editore, il rapporto deve essere disciplinato da un accordo conforme all’articolo 28 del GDPR. È necessario verificare le istruzioni impartite, gli eventuali sub-responsabili, le misure di sicurezza, la conservazione delle informazioni e gli eventuali trasferimenti verso Paesi terzi. Se il fornitore utilizza alcuni dati per finalità proprie, occorre valutare separatamente tali attività e la relativa qualificazione giuridica.
Le informative rivolte agli abbonati devono descrivere in modo comprensibile le operazioni effettivamente svolte. Non è sufficiente un generico riferimento a finalità statistiche o al miglioramento del servizio quando il sistema permette di associare le aperture ai singoli destinatari e utilizzare tali informazioni per la pubblicità. Devono essere chiariti, secondo quanto richiesto dagli articoli 13 e 14 del GDPR, le finalità, le basi giuridiche, i destinatari o le categorie di destinatari, i periodi di conservazione e i diritti esercitabili dagli interessati.
Per gli editori che utilizzano già sistemi di monitoraggio, la revisione delle informative deve accompagnarsi a una verifica dei consensi raccolti e delle impostazioni tecniche. Una dichiarazione formalmente corretta non risolve il problema se la piattaforma continua a registrare aperture individuali anche per destinatari che non hanno prestato il consenso necessario o lo hanno successivamente revocato. Le modalità di raccolta del consenso e i requisiti delle relative informative sono approfonditi nei nostri contributi sul consenso ai tracking pixel nelle e-mail e sull’informativa privacy relativa ai sistemi di tracciamento.
La corretta organizzazione dei rapporti tra editore, piattaforma tecnologica e inserzionisti richiede quindi di ricostruire il percorso dei dati, dalla registrazione dell’apertura fino alla produzione del report pubblicitario. È proprio in questo passaggio che possono emergere trattamenti non adeguatamente documentati, comunicazioni a terzi non previste dall’informativa o utilizzi ulteriori delle informazioni raccolte sugli abbonati.
Obblighi dell’editore, controlli sui report pubblicitari e rischi di contestazione GDPR
Per un editore che utilizza newsletter sponsorizzate, la conformità al GDPR non può essere verificata limitandosi al modulo di iscrizione o all’informativa privacy. Occorre esaminare l’intero processo attraverso il quale vengono raccolti i dati degli abbonati, registrate le aperture, elaborate le statistiche e trasmesse le informazioni agli inserzionisti. Il sistema deve essere valutato considerando le funzionalità effettivamente attive, comprese quelle abilitate automaticamente dalla piattaforma di invio.
Il primo controllo riguarda la separazione tra le attività necessarie alla distribuzione della newsletter e quelle destinate alla misurazione del comportamento individuale. La gestione dell’abbonamento, l’invio delle comunicazioni richieste e la registrazione delle informazioni necessarie al funzionamento del servizio devono essere distinti dal monitoraggio delle letture utilizzato per finalità pubblicitarie. Quando quest’ultimo richiede il consenso, l’editore deve poter dimostrare che il tracciamento viene attivato soltanto nei confronti degli interessati che lo hanno validamente prestato.
La verifica deve riguardare anche gli abbonati già presenti nel database. Un consenso raccolto in passato per ricevere contenuti editoriali non può essere automaticamente esteso a nuove finalità di profilazione o comunicazione dei dati agli sponsor. Se l’editore introduce successivamente strumenti di monitoraggio individuale, deve accertare se le autorizzazioni disponibili siano sufficienti e, quando necessario, acquisire un consenso specifico prima di attivare le nuove operazioni. Abbiamo approfondito questo problema nell’articolo dedicato alle newsletter già attive e alla gestione dei vecchi contatti e consensi.
Un ulteriore aspetto riguarda la possibilità di revocare il consenso al tracciamento senza dover necessariamente rinunciare alla newsletter. Quando le due finalità sono giuridicamente e tecnicamente separabili, la piattaforma deve consentire di mantenere l’abbonamento editoriale disattivando le operazioni per le quali il consenso è stato revocato. La revoca deve produrre effetti anche sugli eventuali sistemi collegati, evitando che sincronizzazioni automatiche o successive importazioni dei contatti riattivino il monitoraggio. Sul punto rinviamo al nostro approfondimento sulla revoca del tracciamento senza rinunciare alla newsletter.
Per quanto riguarda i report destinati agli inserzionisti, l’editore dovrebbe stabilire preventivamente quali informazioni siano realmente necessarie per documentare l’esecuzione della campagna. Se lo sponsor deve conoscere il numero complessivo delle aperture o dei clic, occorre valutare se sia possibile utilizzare dati effettivamente anonimi, evitando la trasmissione di identificativi individuali. La semplice eliminazione del nome dell’abbonato non è sufficiente quando altri elementi consentono di ricostruirne l’identità.
La minimizzazione dei dati, prevista dall’articolo 5 del GDPR, richiede di limitare le informazioni trattate a quelle adeguate, pertinenti e necessarie rispetto alle finalità perseguite. Questo principio interessa sia i dati raccolti attraverso il tracking pixel sia il contenuto dei report pubblicitari. Una concessionaria che riceve statistiche aggregate non dovrebbe ottenere automaticamente accesso all’intero database degli abbonati o alla cronologia individuale delle aperture.
La società editoriale deve inoltre verificare i tempi di conservazione. I dati utilizzati per elaborare una campagna pubblicitaria non possono essere mantenuti indefinitamente soltanto perché la piattaforma consente di consultarli. Occorre definire periodi coerenti con le finalità, distinguendo le informazioni operative necessarie alla gestione del servizio da quelle impiegate per analisi statistiche, profilazione e rendicontazione commerciale.
Queste attività devono trovare riscontro nella documentazione privacy. Il registro delle attività di trattamento, quando dovuto, deve rappresentare correttamente le operazioni effettuate; gli accordi con i fornitori devono disciplinare le rispettive responsabilità e le istruzioni operative devono limitare l’accesso ai dati al personale autorizzato. Se il sistema comporta una profilazione sistematica suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone, occorre valutare la necessità di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR.
La presenza di numerosi abbonati, la combinazione di dati provenienti da più fonti e la possibilità di ricostruire interessi individuali possono incidere sulla valutazione dei rischi. La DPIA non è automaticamente obbligatoria per qualsiasi newsletter sponsorizzata, ma la sua necessità deve essere verificata considerando natura, ambito, contesto e finalità del trattamento.
Particolare attenzione merita anche la correttezza dei report commerciali. Le aperture registrate dai sistemi di posta elettronica possono dipendere da caricamenti automatici delle immagini e non corrispondere a effettive letture. Presentare agli inserzionisti questi dati come numero certo di persone che hanno letto il messaggio può generare problemi di attendibilità della rendicontazione. Abbiamo esaminato questo fenomeno nell’articolo dedicato ad Apple Mail Privacy Protection e all’affidabilità dei report sulle aperture delle e-mail.
Le conseguenze di una gestione irregolare possono comprendere reclami degli abbonati, richieste di esercizio dei diritti, accertamenti del Garante per la protezione dei dati personali e, quando ne ricorrono i presupposti, provvedimenti correttivi o sanzionatori. La gravità della violazione deve essere valutata considerando le circostanze concrete, le categorie di dati coinvolte, il numero degli interessati e gli altri criteri previsti dall’articolo 83 del GDPR. Non ogni irregolarità determina automaticamente una sanzione pecuniaria.
Se l’editore scopre che i dati individuali degli abbonati sono stati comunicati agli inserzionisti senza un adeguato presupposto giuridico, deve verificare l’estensione del trattamento, interrompere le operazioni non conformi e valutare le misure correttive necessarie. Qualora si sia verificata anche una violazione di sicurezza dei dati personali, occorre esaminare separatamente gli eventuali obblighi previsti dagli articoli 33 e 34 del GDPR. Una comunicazione illecita non costituisce automaticamente un data breach: la qualificazione dipende dalle modalità e dalle circostanze dell’accaduto.
Per gli editori che gestiscono più newsletter, database e contratti pubblicitari, un audit privacy mirato ai sistemi di tracciamento e alla reportistica verso gli inserzionisti permette di individuare le operazioni effettivamente svolte e stabilire quali interventi siano necessari. La verifica dovrebbe coinvolgere le funzioni editoriali, commerciali e informatiche, con il supporto del DPO quando nominato, così da rendere coerenti le scelte tecniche con gli obblighi giuridici e con gli impegni assunti nei confronti degli sponsor.
Consideriamo il caso di una società editoriale che gestisce diverse newsletter tematiche, alcune gratuite e altre riservate agli abbonati. Per documentare i risultati delle campagne pubblicitarie, la società utilizza una piattaforma che registra le aperture associate ai singoli indirizzi e-mail e consente al reparto commerciale di esportare report dettagliati destinati agli inserzionisti.
Durante una verifica interna emerge che il modulo di iscrizione informa gli utenti della presenza di contenuti sponsorizzati, ma non descrive adeguatamente il monitoraggio individuale delle letture. Alcuni report permettono inoltre di associare le interazioni pubblicitarie a identificativi riconducibili agli abbonati. Il problema riguarda quindi sia la liceità del tracciamento sia le modalità di comunicazione delle informazioni ai soggetti esterni.
In una situazione di questo tipo, il nostro intervento professionale partirebbe dall’analisi della configurazione della piattaforma, dei consensi disponibili e degli accordi con gli inserzionisti. Verificheremmo quali dati siano effettivamente necessari per rendicontare le campagne, distinguendo le statistiche aggregate dalle informazioni individuali. L’aspetto più delicato sarebbe stabilire se e in quali condizioni il monitoraggio possa proseguire e quali dati possano essere legittimamente comunicati agli sponsor.
La riorganizzazione potrebbe prevedere la disattivazione delle funzioni non giustificate, la revisione delle informative, l’adeguamento dei meccanismi di consenso e la predisposizione di report pubblicitari privi di dati identificativi, quando compatibile con le finalità perseguite. Le misure concrete dipenderebbero dall’architettura tecnica e dai rapporti contrattuali esistenti, senza presumere che una medesima soluzione sia appropriata per ogni editore.
Il monitoraggio individuale delle aperture deve rispettare il GDPR e le disposizioni applicabili alle tecnologie di tracciamento. Quando è richiesto il consenso preventivo, l’editore non può considerare sufficiente la semplice iscrizione alla newsletter. Occorre verificare le finalità del trattamento, le informazioni raccolte e il funzionamento tecnico del pixel, distinguendo le attività necessarie all’erogazione del servizio editoriale da quelle utilizzate per analisi comportamentali e pubblicità.
L’editore può predisporre report contenenti statistiche effettivamente anonime, purché anche la raccolta e l’elaborazione dei dati originari avvengano nel rispetto della normativa. Se vengono comunicati dati personali, identificativi pseudonimi o informazioni riconducibili ai singoli abbonati, occorre individuare una base giuridica adeguata, informare correttamente gli interessati e definire i ruoli privacy dei soggetti coinvolti. La presenza di un contratto pubblicitario non autorizza automaticamente la condivisione dei dati individuali.
Il pagamento dell’abbonamento non costituisce, di per sé, un’autorizzazione al monitoraggio individuale delle letture. È necessario distinguere le operazioni effettivamente necessarie all’esecuzione del contratto dai trattamenti ulteriori destinati alla profilazione o alla misurazione pubblicitaria. L’eventuale applicabilità di deroghe al consenso deve essere valutata in relazione al funzionamento concreto della tecnologia e alle disposizioni normative pertinenti.
Un editore può fornire agli sponsor statistiche aggregate senza identificare gli abbonati?
La comunicazione di dati effettivamente anonimi non costituisce, in quanto tale, un trattamento di dati personali soggetto al GDPR. L’editore deve però verificare che le informazioni aggregate non consentano di identificare indirettamente i destinatari, anche mediante incroci con altri dati. Resta distinta la valutazione della liceità della raccolta originaria: trasformare successivamente i dati individuali in statistiche anonime non rende automaticamente lecito un tracciamento effettuato senza i presupposti richiesti.
Cosa deve fare una società editoriale che utilizza già tracking pixel senza aver verificato la conformità GDPR?
È opportuno effettuare una verifica delle impostazioni della piattaforma, delle informative, dei consensi disponibili e dei report trasmessi agli inserzionisti. Se emergono trattamenti privi dei necessari presupposti, occorre valutare la sospensione delle relative funzionalità e predisporre le misure correttive. La revisione deve comprendere anche i rapporti contrattuali con i fornitori tecnologici e gli sponsor, la conservazione dei dati e le modalità di esercizio dei diritti degli abbonati.
Le società editoriali che utilizzano newsletter per distribuire contenuti e commercializzare spazi pubblicitari devono poter documentare la liceità delle attività di tracciamento e delle informazioni comunicate agli inserzionisti. La presenza di piattaforme esterne, database di abbonati e sistemi di reportistica individuale richiede una valutazione coordinata degli aspetti giuridici, contrattuali e organizzativi.
Come Studio Legale Calvello, assistiamo le imprese nella verifica della conformità GDPR delle newsletter editoriali, nell’analisi dei tracking pixel, nella revisione delle informative e dei meccanismi di consenso, nella regolamentazione dei rapporti con fornitori e inserzionisti e nella gestione di eventuali contestazioni relative al trattamento dei dati personali.
Per richiedere una valutazione della propria organizzazione editoriale, delle modalità di tracciamento degli abbonati o dei report pubblicitari trasmessi agli sponsor, è possibile contattare lo Studio Legale Calvello per una consulenza in materia di privacy e compliance aziendale.
