Articolo a cura di: Redazione - Studio Legale Calvello
Un cliente chiede a un’agenzia immobiliare di ricevere via e-mail gli annunci relativi agli appartamenti disponibili in una determinata zona. L’agenzia attiva un alert automatico, inserisce il contatto nel proprio gestionale e comincia a inviargli anche newsletter, proposte commerciali e comunicazioni sulle nuove iniziative. La piattaforma registra le aperture dei messaggi e i clic sugli immobili proposti. È una situazione frequente, nella quale attività apparentemente collegate possono richiedere presupposti giuridici differenti.
Per le agenzie immobiliari, la richiesta di ricevere annunci non equivale necessariamente al consenso per qualsiasi successiva comunicazione pubblicitaria o per il tracciamento delle e-mail. Occorre distinguere il servizio effettivamente richiesto dal cliente, le iniziative promozionali autonome e la raccolta di informazioni sul comportamento del destinatario. Un’impostazione errata del CRM o della piattaforma di invio può determinare trattamenti non conformi al GDPR e al Codice Privacy, con conseguenti reclami, richieste di chiarimenti e possibili contestazioni. La verifica deve riguardare l’intero processo, dalla raccolta del contatto alla gestione delle preferenze e delle revoche.
Alert immobiliari richiesti e proposte commerciali: quando l’agenzia può utilizzare l’indirizzo e-mail del cliente
La prima distinzione riguarda la finalità per cui l’indirizzo e-mail è stato raccolto. Se una persona compila un modulo chiedendo di ricevere annunci di immobili in vendita a Padova, entro un determinato prezzo e con caratteristiche specifiche, l’agenzia può organizzare un servizio di segnalazione coerente con quella richiesta. La base giuridica deve essere individuata considerando il rapporto concretamente instaurato e le caratteristiche del servizio: quando ricorrono i presupposti dell’articolo 6, paragrafo 1, lettera b), del Regolamento (UE) 2016/679, il trattamento necessario a fornire il servizio richiesto può fondarsi sull’esecuzione del contratto o di misure precontrattuali adottate su richiesta dell’interessato.
Questo non significa che ogni messaggio contenente un annuncio immobiliare sia automaticamente una comunicazione di servizio. La qualificazione dipende dalla finalità effettiva, dal contenuto del messaggio e dal rapporto con la richiesta originaria. Un alert che segnala immobili corrispondenti ai criteri impostati dal cliente presenta caratteristiche diverse da una campagna inviata a tutti i contatti per promuovere nuovi incarichi, servizi di valutazione immobiliare o iniziative commerciali dell’agenzia.
Per le comunicazioni promozionali tramite posta elettronica occorre considerare anche l’articolo 130 del D.Lgs. 196/2003. La disciplina italiana prevede, come regola generale, il consenso preventivo per l’utilizzo dell’e-mail a fini di marketing diretto, salve le specifiche eccezioni previste dalla legge. Non è sufficiente invocare genericamente il legittimo interesse previsto dal GDPR per superare i requisiti applicabili alle comunicazioni elettroniche commerciali.
Particolare attenzione richiede il cosiddetto soft spam, disciplinato dall’articolo 130, comma 4, del Codice Privacy. La disposizione consente, a determinate condizioni, l’utilizzo delle coordinate di posta elettronica raccolte nel contesto della vendita di un prodotto o servizio per promuovere propri prodotti o servizi analoghi, purché l’interessato sia adeguatamente informato e possa opporsi secondo le modalità previste. Una semplice richiesta di informazioni su un immobile, una visita o l’iscrizione a un alert non consentono di presumere automaticamente la sussistenza di tutti questi presupposti.
Un problema ricorrente nasce dai moduli presenti sui siti delle agenzie e sui portali immobiliari. Il cliente inserisce i propri dati per ottenere informazioni su un appartamento, ma il contatto viene successivamente trasferito in una mailing list commerciale. L’agenzia deve verificare quali informazioni siano state fornite al momento della raccolta, chi sia il titolare del trattamento, quali finalità siano state dichiarate e se esista una base giuridica adeguata per gli utilizzi successivi.
Lo stesso controllo è necessario quando gli indirizzi provengono da portali come Immobiliare.it o Idealista, da campagne pubblicitarie, da richieste telefoniche o da precedenti trattative. La disponibilità materiale del recapito nel gestionale non attribuisce, da sola, il diritto di utilizzarlo per qualsiasi campagna promozionale. Il fatto che una persona abbia cercato un immobile non implica che abbia accettato di ricevere pubblicità per un periodo indefinito.
Per organizzare correttamente il servizio, l’agenzia dovrebbe distinguere nei propri sistemi la richiesta di alert immobiliari dall’eventuale adesione a comunicazioni commerciali ulteriori. Questa separazione deve essere effettiva: non basta predisporre due caselle nel modulo se il CRM registra un’unica preferenza e tratta indistintamente tutti i contatti. Anche l’informativa deve descrivere con chiarezza le finalità e le rispettive basi giuridiche, secondo i criteri approfonditi nel nostro articolo sulle informative privacy e sui contenuti che devono riportare.
Tracking pixel nelle e-mail immobiliari: consenso, profilazione e controllo delle aperture
Una seconda questione, distinta dalla liceità dell’invio, riguarda il monitoraggio del comportamento del destinatario. Molte piattaforme utilizzate dalle agenzie immobiliari inseriscono nelle e-mail un’immagine invisibile, generalmente denominata tracking pixel, che può consentire di registrare il caricamento del messaggio e di associarlo a un destinatario identificato o identificabile. Altri strumenti permettono di rilevare i clic sui collegamenti agli annunci e di trasferire queste informazioni nel CRM.
Il trattamento può diventare particolarmente invasivo quando l’agenzia utilizza tali dati per ricostruire gli interessi del cliente, attribuirgli un punteggio commerciale o attivare ulteriori comunicazioni automatiche. Un sistema che registra quali appartamenti vengono consultati, quali fasce di prezzo suscitano interesse e con quale frequenza il destinatario interagisce con le proposte può contribuire alla creazione di un profilo individuale. Non si tratta più soltanto di verificare se una comunicazione sia stata inviata.
La liceità dell’invio dell’alert non comporta automaticamente la liceità del tracciamento delle aperture. Le due attività devono essere valutate separatamente, considerando le tecnologie impiegate, le informazioni raccolte, le finalità perseguite e la disciplina applicabile. Il GDPR impone di individuare una base giuridica adeguata, rispettare i principi di trasparenza, minimizzazione e limitazione della conservazione e applicare le regole sulla protezione dei dati fin dalla progettazione.
Per i sistemi di tracciamento che comportano la memorizzazione di informazioni nel dispositivo del destinatario o l’accesso a informazioni già presenti, occorre considerare anche l’articolo 122 del Codice Privacy, alla luce della disciplina sulle comunicazioni elettroniche e delle indicazioni delle autorità competenti. La necessità del consenso e l’eventuale applicabilità di deroghe non possono essere determinate soltanto in base alla denominazione commerciale dello strumento o al fatto che il pixel sia integrato automaticamente nella piattaforma.
Nel caso delle agenzie immobiliari, il problema emerge quando il software attiva il monitoraggio per impostazione predefinita, anche sulle comunicazioni richieste dal cliente. L’agenzia potrebbe ritenere che l’iscrizione agli alert autorizzi tutte le funzionalità statistiche del servizio, senza avere verificato se il tracciamento individuale sia necessario per fornire gli annunci. È invece opportuno esaminare le configurazioni disponibili e distinguere le funzionalità indispensabili da quelle destinate all’analisi commerciale.
Occorre prestare attenzione anche alla differenza tra statistiche aggregate e informazioni individuali. Il fatto che una piattaforma presenti una percentuale complessiva di apertura non dimostra che i dati sottostanti siano stati raccolti in forma anonima. Se il sistema conserva identificativi associati ai destinatari e registra gli eventi individuali, il trattamento deve essere valutato tenendo conto di questa possibilità, anche quando il personale consulta abitualmente soltanto report riepilogativi.
La questione è affrontata più ampiamente nel nostro approfondimento dedicato al tracciamento tramite pixel nelle e-mail e alle indicazioni del Garante Privacy. Per un’agenzia immobiliare, l’applicazione concreta richiede di verificare soprattutto la separazione tra il servizio di alert richiesto, il marketing aggiuntivo e il monitoraggio del comportamento del destinatario.
Un ulteriore elemento riguarda l’affidabilità delle informazioni raccolte. Alcuni programmi di posta elettronica e sistemi di protezione della privacy possono caricare automaticamente contenuti remoti o alterare i dati utilizzati per stimare le aperture. L’agenzia deve quindi evitare di considerare ogni evento registrato dal pixel come prova certa della lettura del messaggio da parte del cliente. Questo limite assume particolare rilievo quando le aperture vengono utilizzate per attribuire priorità commerciali ai contatti o per attivare telefonate e successivi invii.
La configurazione tecnica deve infine permettere di gestire separatamente le preferenze dell’interessato. Un cliente potrebbe voler continuare a ricevere gli immobili corrispondenti alla propria ricerca senza accettare attività di tracciamento facoltative. Quando il trattamento si fonda sul consenso, la sua revoca deve poter essere esercitata senza compromettere ingiustificatamente altri servizi che dispongono di un’autonoma base giuridica. L’agenzia deve verificare che tale distinzione sia rispettata anche nelle automazioni del CRM e nelle impostazioni della piattaforma di invio.
Obblighi GDPR delle agenzie immobiliari: CRM, consensi, responsabilità e controlli sui fornitori
Quando un’agenzia immobiliare utilizza un gestionale per inviare alert, newsletter e proposte commerciali, la conformità al GDPR dipende anche dal modo in cui vengono raccolti, registrati e successivamente utilizzati i dati dei clienti. Il titolare del trattamento deve poter ricostruire la provenienza degli indirizzi e-mail, la finalità per cui sono stati acquisiti, la base giuridica utilizzata e le eventuali preferenze espresse dagli interessati. Queste informazioni devono essere coerenti con le operazioni effettivamente eseguite dal software.
Una criticità frequente riguarda i contatti presenti da anni nel CRM. L’agenzia potrebbe avere raccolto gli indirizzi durante precedenti visite immobiliari, richieste di valutazione o trattative concluse senza conservare una documentazione sufficiente delle condizioni alle quali i dati erano stati acquisiti. La presenza di un indirizzo e-mail nel database non costituisce una prova del consenso al marketing né autorizza automaticamente il tracciamento delle comunicazioni. Prima di utilizzare questi contatti per nuove campagne, occorre verificare se esista una base giuridica applicabile e se le informazioni fornite agli interessati siano ancora adeguate rispetto alle finalità perseguite.
Il problema assume particolare rilievo quando il CRM contiene un’unica voce denominata genericamente “consenso privacy”. Una registrazione di questo tipo potrebbe non consentire di distinguere l’accettazione di un servizio di alert dalla manifestazione di volontà relativa a comunicazioni promozionali o a specifiche attività di tracciamento. Quando il consenso costituisce la base giuridica del trattamento, l’articolo 7 del GDPR richiede al titolare di poter dimostrare che l’interessato lo abbia prestato. È quindi necessario conservare informazioni sufficienti a documentare il contenuto della scelta, il momento in cui è stata effettuata e le modalità utilizzate per raccoglierla.
La stessa attenzione deve essere riservata alla revoca. Se un cliente decide di non ricevere più newsletter commerciali, l’agenzia deve assicurarsi che l’opposizione o la revoca siano recepite dai sistemi interessati. Quando il destinatario intende interrompere soltanto il monitoraggio facoltativo delle aperture, occorre verificare se la piattaforma consenta di disattivare quella funzione mantenendo attivo il servizio di alert legittimamente richiesto. Una revoca registrata nel gestionale ma non trasferita alla piattaforma di invio può determinare la prosecuzione di trattamenti che avrebbero dovuto cessare.
Le agenzie che utilizzano piattaforme esterne devono verificare anche i rapporti con i fornitori. Quando il gestore del CRM o del servizio di invio tratta dati personali per conto dell’agenzia, è necessario disciplinare il rapporto secondo l’articolo 28 del GDPR, individuando le istruzioni impartite, le misure di sicurezza, gli eventuali sub-responsabili e le condizioni applicabili ai trasferimenti internazionali. La semplice sottoscrizione di un abbonamento software non esaurisce gli obblighi del titolare. Per approfondire questo aspetto, abbiamo esaminato le clausole da verificare nei contratti con i responsabili del trattamento ai sensi dell’articolo 28 GDPR.
Occorre inoltre valutare chi possa accedere alle informazioni raccolte. In un’agenzia con più collaboratori, il sistema potrebbe permettere a ogni agente di consultare le aperture delle e-mail, le preferenze immobiliari e la cronologia delle interazioni dei clienti. L’accesso deve essere organizzato secondo le effettive esigenze operative, evitando che informazioni individuali siano disponibili indiscriminatamente a soggetti che non ne hanno necessità. Le autorizzazioni, le istruzioni al personale e i tempi di conservazione devono essere coerenti con le finalità dichiarate.
Per quanto riguarda la documentazione, il trattamento relativo agli alert e alle campagne commerciali deve essere considerato nell’ambito degli adempimenti GDPR applicabili all’organizzazione. Il registro delle attività di trattamento, quando richiesto, deve descrivere correttamente le operazioni svolte. L’eventuale necessità di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR dipende invece dalle caratteristiche concrete del sistema e dalla possibilità che il trattamento presenti un rischio elevato per i diritti e le libertà delle persone fisiche. Non ogni newsletter richiede una DPIA, ma un sistema di profilazione esteso, con monitoraggio sistematico delle interazioni individuali, merita una valutazione specifica.
Quando emergono anomalie, la risposta organizzativa non dovrebbe limitarsi alla modifica dell’informativa. È necessario esaminare la configurazione tecnica, la provenienza dei contatti, le basi giuridiche, le impostazioni di tracciamento e le modalità di gestione delle richieste degli interessati. Un audit privacy aziendale mirato può consentire di individuare le criticità e stabilire quali interventi siano necessari, senza interrompere indiscriminatamente servizi che possono essere gestiti in modo lecito.
Le irregolarità possono determinare reclami al Garante per la protezione dei dati personali, richieste di informazioni, accertamenti e, quando ne ricorrono i presupposti, provvedimenti correttivi o sanzionatori. La valutazione delle conseguenze dipende dalla natura della violazione, dalle circostanze concrete e dai criteri previsti dalla normativa. Per questo, quando un’agenzia scopre di aver utilizzato una mailing list senza un’adeguata verifica dei consensi o di aver attivato un tracciamento non correttamente disciplinato, è opportuno ricostruire tempestivamente i trattamenti effettuati e valutare le misure correttive necessarie.
Consideriamo il caso di un’agenzia immobiliare con più collaboratori che utilizza un CRM collegato al proprio sito web. I potenziali acquirenti possono registrarsi per ricevere annunci corrispondenti alla zona, alla metratura e al prezzo desiderati. Nel tempo, l’agenzia ha iniziato a utilizzare gli stessi indirizzi anche per campagne promozionali generali, mentre la piattaforma registra automaticamente le aperture delle e-mail e i clic sui collegamenti agli immobili.
Durante una verifica emerge che il modulo di registrazione non distingue adeguatamente la richiesta degli alert dall’adesione al marketing. Il CRM conserva un’unica preferenza e non permette di ricostruire con sufficiente precisione le scelte effettuate dai singoli destinatari. Il monitoraggio delle aperture risulta attivo anche per le comunicazioni richieste dai clienti, senza che sia stata svolta una valutazione specifica delle relative condizioni di liceità.
In una situazione di questo tipo, l’intervento professionale deve partire dalla ricostruzione dei flussi di dati e delle configurazioni effettive. Occorre verificare quali comunicazioni rientrino nel servizio richiesto, quali costituiscano marketing autonomo e quali operazioni di tracciamento siano effettuate. La revisione può richiedere la separazione delle preferenze nel CRM, la modifica dei moduli e delle informative, la verifica dei rapporti con i fornitori e la disattivazione delle funzionalità non adeguatamente giustificate. Particolare attenzione deve essere dedicata ai contatti già presenti nel database, per i quali non è possibile presumere l’esistenza di consensi validi soltanto perché in passato hanno ricevuto comunicazioni senza opporsi.
L’esempio mostra perché la conformità non possa essere valutata esclusivamente leggendo il testo dell’informativa: occorre verificare che il funzionamento concreto della piattaforma corrisponda alle finalità dichiarate e alle scelte effettivamente espresse dai clienti.
Domande frequenti sulle e-mail delle agenzie immobiliari e sul tracciamento dei clienti
1. Un’agenzia immobiliare può inviare nuovi annunci a un cliente senza chiedere ogni volta il consenso?
Se il cliente ha richiesto un servizio di alert immobiliari, l’agenzia può inviare le comunicazioni necessarie a soddisfare quella richiesta, purché il trattamento disponga di un’adeguata base giuridica e rimanga coerente con le finalità dichiarate. Occorre invece valutare separatamente l’invio di newsletter generiche, offerte promozionali e comunicazioni non riconducibili al servizio richiesto. Per queste ultime trova applicazione anche la disciplina dell’articolo 130 del Codice Privacy, che prevede il consenso preventivo per il marketing tramite e-mail, salve le specifiche eccezioni normative.
2. Il consenso a ricevere annunci immobiliari autorizza anche l’utilizzo dei tracking pixel?
No, non automaticamente. La richiesta di ricevere annunci e il monitoraggio individuale delle aperture costituiscono operazioni da valutare distintamente. L’agenzia deve verificare le caratteristiche tecniche del pixel, le informazioni raccolte, le finalità perseguite e la disciplina applicabile. Quando il tracciamento richiede il consenso, questo deve rispettare i requisiti previsti dalla normativa e non può essere presunto dalla semplice iscrizione agli alert. Occorre anche verificare se la piattaforma permetta di disattivare il monitoraggio mantenendo attivo il servizio richiesto dal cliente.
3. L’agenzia immobiliare può utilizzare per le newsletter gli indirizzi raccolti durante visite e trattative?
La partecipazione a una visita immobiliare o l’avvio di una trattativa non autorizzano automaticamente l’utilizzo dell’indirizzo e-mail per successive campagne commerciali. L’agenzia deve verificare la finalità originaria della raccolta, le informazioni fornite al cliente e l’eventuale presenza di un consenso valido. L’eccezione del soft spam può trovare applicazione soltanto quando ricorrono le condizioni previste dall’articolo 130, comma 4, del Codice Privacy. Non è quindi sufficiente che il nominativo sia presente nel gestionale o che il cliente abbia avuto precedenti contatti con l’agenzia.
4. Cosa deve fare un’agenzia immobiliare se scopre che il CRM traccia automaticamente tutte le e-mail?
È opportuno verificare immediatamente quali funzionalità siano attive, quali dati vengano registrati e se il tracciamento riguardi anche comunicazioni per le quali non è stata individuata un’adeguata base giuridica. La verifica deve comprendere le impostazioni del software, le informative, le eventuali modalità di raccolta del consenso, i tempi di conservazione e i rapporti con il fornitore. Quando emergono trattamenti non adeguatamente giustificati, occorre valutare la sospensione delle relative funzionalità e predisporre le misure correttive necessarie. La sola modifica dell’informativa non rende automaticamente leciti i trattamenti già effettuati.
5. Quali rischi corre un’agenzia immobiliare che invia pubblicità senza consenso o utilizza tracking pixel irregolari?
Le conseguenze dipendono dalla violazione concretamente accertata. L’agenzia può ricevere richieste di esercizio dei diritti, opposizioni al marketing, reclami al Garante Privacy o richieste di chiarimenti nell’ambito di un accertamento. Quando ricorrono i presupposti normativi, possono essere adottati provvedimenti correttivi e applicate sanzioni amministrative. L’eventuale responsabilità risarcitoria richiede una valutazione autonoma dei relativi presupposti. Per questo è importante conservare la documentazione disponibile, ricostruire le modalità di trattamento e intervenire sulle criticità riscontrate, evitando di considerare ogni irregolarità come una sanzione automaticamente certa.
La gestione delle comunicazioni elettroniche nelle agenzie immobiliari richiede una verifica che tenga conto delle modalità concrete di acquisizione dei clienti, delle finalità degli invii e delle funzionalità utilizzate dal gestionale. Un servizio di alert richiesto, una campagna promozionale e un sistema di tracciamento delle aperture non devono essere trattati automaticamente come un’unica attività. Le differenze incidono sulle basi giuridiche, sulle informazioni da fornire ai destinatari e sulle modalità di gestione delle loro scelte.
Come Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nella valutazione degli adempimenti privacy e nella gestione delle problematiche connesse all’utilizzo dei dati personali. Per le agenzie immobiliari possiamo esaminare le modalità di raccolta dei contatti, le informative, la documentazione dei consensi, le configurazioni del CRM e delle piattaforme di invio, i rapporti con i fornitori e le eventuali criticità emerse a seguito di reclami o contestazioni.
Quando un’agenzia intende attivare nuovi sistemi di comunicazione automatizzata, modificare le proprie campagne commerciali oppure verificare la conformità di strumenti già utilizzati, è possibile richiedere una valutazione professionale attraverso la nostra pagina dedicata alla consulenza privacy e compliance aziendale. L’esame della situazione concreta consente di individuare gli adempimenti applicabili e gli interventi organizzativi e contrattuali eventualmente necessari.
