Articolo a cura di: Redazione - Studio Legale Calvello
Le associazioni e gli enti del Terzo settore utilizzano le newsletter per mantenere i rapporti con soci, volontari e donatori, comunicare le proprie attività e promuovere campagne di raccolta fondi. Quando queste comunicazioni contengono tracking pixel capaci di rilevare l’apertura delle e-mail, però, la gestione dei dati personali richiede verifiche ulteriori rispetto a quelle necessarie per il semplice invio dei messaggi. Occorre distinguere le comunicazioni associative dalle iniziative promozionali, individuare la base giuridica di ciascun trattamento e verificare se il monitoraggio delle aperture sia effettivamente lecito.
Il problema riguarda anche gli enti che affidano le newsletter a piattaforme esterne o ad agenzie di comunicazione. Il fatto che il tracciamento sia attivato automaticamente dal software non esonera l’organizzazione dalle proprie responsabilità. Per il consiglio direttivo, il responsabile della raccolta fondi e chi gestisce la comunicazione, la questione è particolarmente delicata quando gli indirizzi provengono da donazioni effettuate anni prima, da moduli di adesione associativa o da iniziative pubbliche nelle quali non era stato previsto il monitoraggio individuale dei destinatari.
Newsletter a soci e donatori: quando l’associazione può utilizzare gli indirizzi e-mail raccolti
La prima verifica riguarda la finalità per la quale l’associazione ha acquisito l’indirizzo e-mail. Un socio può averlo comunicato per ricevere convocazioni assembleari, informazioni relative alla propria iscrizione o comunicazioni necessarie alla partecipazione alla vita associativa. Un donatore, invece, può averlo fornito per ottenere una ricevuta, ricevere informazioni sulla destinazione del contributo oppure mantenere un rapporto continuativo con l’ente. Queste situazioni non attribuiscono automaticamente all’organizzazione il diritto di utilizzare gli indirizzi per qualsiasi newsletter.
Il Regolamento (UE) 2016/679 impone di individuare una base giuridica adeguata alla specifica finalità del trattamento. Per le comunicazioni strettamente necessarie alla gestione del rapporto associativo può trovare applicazione, secondo le circostanze, una base diversa dal consenso, come l’esecuzione di obblighi derivanti dall’adesione associativa. Quando invece l’ente invia campagne promozionali, richieste di nuove donazioni o comunicazioni assimilabili al marketing diretto, occorre considerare anche l’articolo 130 del Codice Privacy, che disciplina l’utilizzo della posta elettronica per comunicazioni promozionali.
La semplice iscrizione all’associazione o l’effettuazione di una donazione non equivalgono necessariamente al consenso a ricevere comunicazioni promozionali. Anche quando l’ente persegue finalità solidaristiche e non distribuisce utili, la natura non commerciale dell’organizzazione non rende automaticamente libere le attività di comunicazione promozionale. La qualificazione concreta del messaggio e la disciplina applicabile devono essere valutate considerando contenuto, destinatari, finalità e modalità di raccolta dei contatti.
Un esempio ricorrente riguarda l’associazione che raccoglie indirizzi durante una manifestazione benefica e successivamente li inserisce nella piattaforma newsletter. Se l’indirizzo era stato richiesto esclusivamente per inviare una ricevuta o informazioni sull’evento, l’utilizzo per campagne periodiche di fundraising costituisce un trattamento ulteriore che richiede una specifica valutazione. Non è sufficiente inserire nell’e-mail un collegamento per disiscriversi: la possibilità di opposizione o revoca non sostituisce una base giuridica che doveva già esistere prima dell’invio.
La situazione diventa più complessa quando l’associazione conserva un database unico comprendente soci, ex soci, volontari, donatori occasionali e sostenitori abituali. Per ciascuna tipologia di contatto possono essere differenti le finalità originarie, le informazioni ricevute e le condizioni che consentono successive comunicazioni. Un controllo dei consensi e della provenienza degli indirizzi permette di individuare le posizioni documentate, quelle che richiedono ulteriori verifiche e quelle che non dovrebbero essere utilizzate per determinati invii.
Particolare attenzione richiedono gli enti la cui attività può rivelare informazioni sulle convinzioni religiose, sulle opinioni politiche, sull’appartenenza sindacale o sulle condizioni di salute delle persone coinvolte. In questi casi, l’appartenenza a una determinata mailing list o le informazioni ricavabili dalle interazioni con le comunicazioni possono comportare il trattamento di categorie particolari di dati ai sensi dell’articolo 9 GDPR. La valutazione deve quindi considerare anche la natura delle informazioni effettivamente trattate e le condizioni specifiche previste dalla normativa.
Molte piattaforme utilizzate dalle associazioni consentono di conoscere quante persone hanno aperto una newsletter, quali collegamenti hanno selezionato e quali destinatari risultano maggiormente interessati alle campagne. Per rilevare l’apertura del messaggio viene spesso incorporata un’immagine invisibile, comunemente denominata tracking pixel, che può richiamare una risorsa remota quando il programma di posta elettronica carica il contenuto dell’e-mail.
Il caricamento può consentire al sistema di associare l’evento a un identificativo del destinatario, registrare informazioni tecniche e aggiornare il profilo delle interazioni. Il funzionamento effettivo dipende dalla piattaforma e dal programma di posta utilizzato: alcuni sistemi di protezione della privacy possono alterare o impedire il rilevamento, rendendo i dati sulle aperture non sempre rappresentativi delle letture effettive.
Dal punto di vista giuridico, il consenso a ricevere una newsletter non autorizza automaticamente qualsiasi forma di monitoraggio individuale delle aperture. L’invio del messaggio e la raccolta di informazioni sul comportamento del destinatario devono essere esaminati separatamente, verificando la disciplina applicabile, la finalità del tracciamento e le eventuali condizioni richieste per il suo utilizzo.
Il riferimento normativo comprende il GDPR e, per le tecnologie che rientrano nel relativo ambito applicativo, le disposizioni del Codice Privacy che recepiscono la disciplina europea sulle comunicazioni elettroniche. L’articolo 122 del Codice Privacy assume rilievo per le operazioni di archiviazione di informazioni o accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente. La sua applicabilità a una specifica tecnologia deve essere valutata sulla base del funzionamento concreto, senza presumere che ogni immagine remota comporti automaticamente lo stesso trattamento.
Per le associazioni è importante distinguere le statistiche complessive, utilizzate per valutare l’andamento delle campagne, dai sistemi che consentono di identificare il singolo donatore e ricostruirne le interazioni. Anche quando il report finale mostra soltanto percentuali aggregate, la piattaforma potrebbe aver raccolto preliminarmente dati individuali. La sola presentazione aggregata dei risultati non basta quindi a qualificare come anonimo l’intero trattamento.
Il rischio aumenta quando i dati sulle aperture vengono collegati al gestionale dei donatori. Un ente potrebbe, ad esempio, classificare i sostenitori in base alla frequenza di lettura, attivare solleciti automatici oppure selezionare le persone alle quali proporre nuove donazioni. Queste attività richiedono di esaminare anche l’eventuale profilazione, la trasparenza delle informazioni rese agli interessati e la compatibilità con le finalità originarie della raccolta.
Il fatto che Mailchimp, Brevo o un’altra piattaforma rendano disponibile il tracciamento non significa che la relativa funzione possa essere utilizzata senza verifiche. L’associazione deve conoscere quali dati vengono raccolti, se siano associabili ai singoli destinatari, per quanto tempo siano conservati e quali soggetti possano accedervi. Quando il fornitore tratta dati personali per conto dell’ente, occorre disciplinare il rapporto secondo l’articolo 28 GDPR e verificare gli eventuali trasferimenti verso Paesi terzi.
Per approfondire la disciplina specifica del monitoraggio delle e-mail, abbiamo dedicato un’analisi al provvedimento del Garante Privacy sui tracking pixel nelle newsletter e un approfondimento alle condizioni per raccogliere il consenso al tracciamento. Per gli enti del Terzo settore, queste verifiche devono essere integrate con le caratteristiche del rapporto associativo, le modalità di raccolta delle donazioni e l’eventuale trattamento di informazioni particolarmente riservate.
Obblighi GDPR per le associazioni: informative, consensi, fornitori e controlli sui dati dei donatori
Quando un’associazione utilizza una piattaforma per inviare newsletter a soci e donatori, la conformità al GDPR deve essere verificata sull’intero processo di trattamento. Non basta controllare il testo dell’informativa o la presenza di una casella per il consenso. Occorre ricostruire come vengono acquisiti gli indirizzi, quali comunicazioni sono inviate, se vengono raccolti dati sulle aperture e sui clic e come queste informazioni vengono successivamente utilizzate. Il consiglio direttivo deve poter comprendere quali trattamenti sono effettivamente svolti dall’organizzazione e quali decisioni sono state affidate ai fornitori esterni.
La prima attività consiste nel distinguere le finalità. L’invio delle comunicazioni necessarie alla gestione del rapporto associativo, le newsletter informative, le campagne di raccolta fondi e il monitoraggio delle interazioni possono richiedere presupposti giuridici differenti. Quando è necessario il consenso, questo deve essere libero, specifico, informato e inequivocabile, secondo gli articoli 4 e 7 GDPR. L’ente deve inoltre essere in grado di dimostrare quando e attraverso quali modalità sia stato raccolto. Un consenso generico alla privacy o una casella preselezionata non costituiscono una soluzione adeguata per autorizzare indistintamente newsletter promozionali e tracciamento individuale.
Per le organizzazioni che utilizzano tracking pixel, è necessario verificare separatamente le condizioni di liceità del monitoraggio. Se la tecnologia e le finalità del trattamento richiedono un consenso preventivo, il sistema deve consentire di raccoglierlo prima dell’attivazione del tracciamento. Deve essere possibile gestire anche la successiva revoca, senza confonderla con la cancellazione dalla newsletter. Un donatore potrebbe infatti voler continuare a ricevere aggiornamenti sulle attività dell’associazione, opponendosi però alla rilevazione individuale delle aperture. Le impostazioni della piattaforma devono essere coerenti con questa scelta.
Un altro problema riguarda le mailing list già esistenti. Molte associazioni conservano contatti raccolti attraverso moduli cartacei, eventi pubblici, precedenti campagne di fundraising o vecchi siti internet. Quando non è possibile ricostruire la provenienza degli indirizzi o dimostrare l’esistenza di una base giuridica adeguata, l’ente deve valutare quali trattamenti possano proseguire e quali debbano essere sospesi. Non è corretto presumere che il rapporto instaurato in passato autorizzi automaticamente nuove finalità di marketing o profilazione. Per questa specifica situazione abbiamo approfondito le verifiche necessarie nell’articolo dedicato alle newsletter già attive e alla gestione dei vecchi contatti e consensi.
L’informativa deve descrivere in modo comprensibile le finalità perseguite, le basi giuridiche, le categorie di dati trattati, i destinatari, i tempi di conservazione e le modalità di esercizio dei diritti. Se vengono utilizzati strumenti per monitorare le aperture o analizzare le interazioni dei destinatari, queste operazioni devono essere rappresentate correttamente. La documentazione deve corrispondere alle funzioni realmente attive: un’informativa che dichiara l’utilizzo di sole statistiche anonime non è adeguata se il sistema conserva identificativi individuali collegati ai profili dei donatori.
Occorre poi esaminare il rapporto con la piattaforma newsletter, il fornitore del CRM e l’eventuale agenzia incaricata della comunicazione. Quando questi soggetti trattano dati personali per conto dell’associazione, il rapporto deve essere disciplinato mediante un accordo conforme all’articolo 28 GDPR. Devono essere verificate le istruzioni impartite, le misure di sicurezza, gli eventuali subresponsabili e i trasferimenti internazionali. La scelta di un servizio largamente utilizzato nel settore non sostituisce la valutazione del suo concreto funzionamento.
La gestione delle newsletter deve trovare riscontro anche nella documentazione interna dell’ente, compreso il registro delle attività di trattamento quando applicabile. Per le associazioni che effettuano profilazioni sistematiche o trattano dati particolarmente delicati, occorre valutare se ricorrano le condizioni che rendono necessaria una valutazione d’impatto ai sensi dell’articolo 35 GDPR. Non ogni newsletter richiede una DPIA, ma la combinazione tra monitoraggio individuale, informazioni riservate e analisi sistematica dei comportamenti può rendere necessaria una verifica approfondita del rischio.
Il mancato rispetto delle disposizioni applicabili può determinare reclami degli interessati, richieste di chiarimenti del Garante Privacy, provvedimenti correttivi e, nei casi previsti dalla normativa, sanzioni amministrative. La responsabilità del trattamento non viene meno perché l’associazione opera senza scopo di lucro o perché la gestione tecnica è affidata a volontari. L’ente deve poter documentare le valutazioni effettuate e le misure adottate, tenendo conto delle proprie dimensioni, delle attività svolte e dei rischi effettivi per le persone interessate.
Consideriamo il caso di un ente del Terzo settore che gestisce un database di soci e donatori raccolti nel corso degli anni. L’organizzazione invia periodicamente aggiornamenti sui progetti finanziati e richieste di sostegno economico attraverso una piattaforma che registra automaticamente le aperture delle e-mail. Il responsabile della comunicazione utilizza i report per individuare i destinatari più attivi e programmare successivi invii, senza che sia stata effettuata una verifica specifica dei consensi e delle informazioni fornite agli interessati.
Durante una revisione della gestione privacy emerge che gli indirizzi provengono da fonti differenti: moduli di adesione associativa, donazioni online, iniziative benefiche e precedenti campagne. Alcuni moduli prevedevano l’iscrizione alla newsletter, altri riguardavano esclusivamente la gestione della donazione. La piattaforma conserva inoltre informazioni individuali sulle aperture, successivamente collegate al gestionale dei sostenitori.
In una situazione di questo tipo, il nostro intervento professionale consisterebbe anzitutto nel ricostruire le finalità dei trattamenti e la provenienza dei contatti, verificando le basi giuridiche degli invii e del monitoraggio. La maggiore attenzione sarebbe rivolta alla distinzione tra comunicazioni associative, sollecitazioni di nuove donazioni e analisi individuale delle interazioni, perché il medesimo indirizzo potrebbe essere utilizzabile per una finalità ma non per un’altra.
Sulla base delle verifiche, l’ente potrebbe dover riorganizzare le liste, aggiornare le informative, modificare le impostazioni della piattaforma e predisporre modalità distinte di gestione dei consensi e delle revoche. Per i contatti privi di presupposti adeguati sarebbe necessario valutare la sospensione dei trattamenti interessati. La soluzione concreta dipenderebbe dalla documentazione disponibile, dalle caratteristiche del software e dalle attività effettivamente svolte dall’associazione.
Dipende dalla finalità della comunicazione. Le e-mail necessarie alla gestione del rapporto associativo, come convocazioni assembleari e comunicazioni strettamente collegate all’iscrizione, possono trovare una base giuridica diversa dal consenso. Le newsletter che promuovono campagne di raccolta fondi, iniziative commerciali o altre attività promozionali richiedono invece una valutazione specifica, anche alla luce dell’articolo 130 del Codice Privacy. L’iscrizione all’associazione non autorizza automaticamente qualsiasi comunicazione promozionale.
Chi ha effettuato una donazione può ricevere automaticamente altre richieste di contributo?
La donazione non costituisce, da sola, un’autorizzazione generale a ricevere successive campagne di fundraising. L’associazione deve verificare quali informazioni siano state fornite al donatore, per quale finalità sia stato raccolto l’indirizzo e-mail e quale disciplina si applichi alle comunicazioni successive. La possibilità di disiscriversi non sostituisce il consenso preventivo quando questo è richiesto. Occorre prestare particolare attenzione ai contatti raccolti attraverso eventi benefici, moduli cartacei e precedenti campagne.
Non automaticamente. L’invio della newsletter e il monitoraggio individuale delle aperture costituiscono operazioni che devono essere valutate distintamente. Quando il tracciamento richiede il consenso, questo deve essere raccolto secondo le condizioni previste dalla normativa applicabile. L’associazione deve inoltre verificare se la piattaforma consenta di disattivare il monitoraggio per i destinatari che non lo hanno autorizzato o che abbiano successivamente revocato il consenso, senza interrompere necessariamente l’invio delle comunicazioni legittimamente richieste.
Un ente del Terzo settore può utilizzare statistiche aggregate sulle aperture senza consenso?
La risposta dipende dal funzionamento concreto del sistema. Se la piattaforma registra inizialmente aperture riconducibili ai singoli destinatari e soltanto successivamente presenta risultati aggregati, il trattamento individuale deve comunque essere valutato. Non è sufficiente che il responsabile della comunicazione visualizzi soltanto una percentuale complessiva. Occorre verificare quali informazioni siano effettivamente raccolte, se siano identificabili i destinatari e quali disposizioni disciplinino la tecnologia utilizzata. Abbiamo approfondito questo problema nell’articolo sulle statistiche aggregate delle aperture delle newsletter e i limiti del trattamento senza consenso.
Che cosa deve fare un’associazione se scopre di avere utilizzato tracking pixel senza una base giuridica adeguata?
L’ente dovrebbe verificare tempestivamente le funzioni attive, le categorie di dati raccolti, le finalità perseguite e le condizioni di liceità del trattamento. Quando il monitoraggio risulta privo dei presupposti necessari, occorre interrompere le operazioni non conformi, valutare la gestione dei dati già acquisiti e correggere informative, consensi e impostazioni della piattaforma. Deve essere esaminata anche l’eventuale necessità di ulteriori adempimenti, tenendo conto delle caratteristiche della violazione. La semplice disattivazione del pixel non risolve automaticamente le irregolarità relative ai trattamenti precedenti.
La gestione delle newsletter di associazioni, fondazioni ed enti del Terzo settore richiede particolare attenzione quando gli stessi indirizzi vengono utilizzati per comunicazioni associative, campagne di raccolta fondi e monitoraggio delle interazioni dei destinatari. La presenza di database storici, fornitori esterni e sistemi automatici di tracciamento può rendere necessaria una revisione delle basi giuridiche, delle informative e delle procedure di gestione dei consensi.
Come Studio Legale Calvello, assistiamo associazioni ed enti nella verifica della conformità GDPR delle newsletter, nell’analisi dei tracking pixel, nella revisione della documentazione privacy e nella gestione delle criticità relative ai dati personali di soci, volontari e donatori. Possiamo intervenire anche quando l’organizzazione abbia ricevuto reclami, richieste di cancellazione o contestazioni riguardanti comunicazioni e-mail e trattamenti non correttamente autorizzati.
Per sottoporre alla nostra attenzione la gestione delle newsletter e valutare gli interventi necessari, è possibile richiedere una consulenza legale in materia di privacy e compliance, descrivendo le modalità di raccolta dei contatti, le piattaforme utilizzate e gli eventuali problemi già riscontrati.
