Articolo a cura di: Redazione - Studio Legale Calvello
Le aziende cosmetiche utilizzano sempre più spesso questionari sulla pelle, test digitali, consulenze personalizzate e informazioni sugli acquisti per proporre prodotti attraverso newsletter e campagne di email marketing. Il problema nasce quando i dati raccolti per individuare una crema o suggerire una routine skincare vengono impiegati anche per classificare i clienti, costruire profili commerciali e inviare comunicazioni personalizzate. Alcune informazioni, come quelle relative ad allergie, dermatiti o patologie cutanee, possono inoltre rientrare tra i dati relativi alla salute, soggetti a una tutela rafforzata.
Per un’impresa del settore beauty, la presenza di un consenso alla newsletter non risolve automaticamente ogni questione. Occorre verificare quali informazioni vengono raccolte, per quali finalità sono utilizzate, se vengono trasferite al CRM o alla piattaforma di marketing e quali condizioni giuridiche consentono la profilazione. Quando questi passaggi non sono stati valutati, l’azienda può trovarsi a utilizzare dati personali per finalità diverse da quelle originariamente comunicate, con conseguenti rischi di reclami, contestazioni e interventi del Garante Privacy.
Un’azienda che vende cosmetici può raccogliere informazioni sulle preferenze dei clienti per offrire un servizio personalizzato. Pensiamo a un e-commerce che propone un questionario per individuare prodotti adatti alla pelle secca, grassa o sensibile. Il cliente risponde alle domande, riceve un suggerimento e può successivamente acquistare i prodotti consigliati. Se le risposte vengono conservate e utilizzate per segmentare il database, selezionare le offerte commerciali o alimentare campagne automatiche, l’impresa deve valutare il trattamento anche sotto il profilo della profilazione disciplinata dall’articolo 4, paragrafo 1, numero 4, del Regolamento (UE) 2016/679.
La profilazione non richiede necessariamente sistemi particolarmente sofisticati. Può derivare anche dall’impiego automatizzato di informazioni relativamente semplici, quando queste vengono utilizzate per valutare o prevedere preferenze, interessi o comportamenti individuali. Un CRM che distingue i clienti interessati ai prodotti antietà da quelli che acquistano cosmetici per pelli sensibili può svolgere attività di profilazione, a seconda delle modalità concrete con cui vengono elaborati i dati. Non ogni segmentazione commerciale costituisce però automaticamente una profilazione ai sensi del GDPR: occorre esaminare se il sistema effettui una valutazione automatizzata di aspetti personali.
La situazione diventa più delicata quando il questionario contiene domande su acne, dermatite atopica, rosacea, allergie o altre condizioni dermatologiche. Queste informazioni possono rivelare lo stato di salute della persona e ricadere nell’articolo 9 del GDPR. Non è sufficiente definirle genericamente preferenze cosmetiche per sottrarle alla disciplina prevista per le categorie particolari di dati personali. La qualificazione dipende dal contenuto delle informazioni e da ciò che esse rivelano sulla persona, anche attraverso elaborazioni o collegamenti con altri dati.
Occorre quindi distinguere il trattamento necessario per fornire una raccomandazione cosmetica richiesta dal cliente dall’eventuale utilizzo successivo delle stesse informazioni per finalità pubblicitarie. Un consumatore può accettare di compilare un test sulla pelle per ricevere un consiglio senza voler essere inserito in un segmento commerciale identificato attraverso una condizione dermatologica. La raccolta iniziale del dato non autorizza automaticamente ogni successivo impiego.
Un ulteriore problema riguarda le aziende che combinano i risultati dei questionari con lo storico degli acquisti, le visite alle pagine dell’e-commerce e le interazioni con le newsletter. L’integrazione di queste informazioni può consentire una conoscenza molto dettagliata delle abitudini e delle caratteristiche individuali. Quando vengono coinvolti dati relativi alla salute, il trattamento richiede una verifica specifica delle condizioni previste dall’articolo 9 del GDPR, oltre alla presenza di un’idonea base giuridica ai sensi dell’articolo 6.
Per la direzione aziendale e per i responsabili marketing, il primo controllo consiste quindi nel ricostruire il percorso effettivo delle informazioni: dal questionario iniziale alla scheda cliente, dal CRM alla piattaforma newsletter, fino alle regole che determinano quali messaggi vengono inviati. È su questo percorso, spesso distribuito tra più software e fornitori, che devono essere individuate le finalità del trattamento e le relative responsabilità.
Il consenso alla ricezione di comunicazioni promozionali e quello relativo all’eventuale profilazione devono essere valutati in relazione alle rispettive finalità. Per l’invio di email pubblicitarie trova applicazione anche l’articolo 130 del Codice Privacy, che prevede specifiche condizioni per il marketing elettronico e una disciplina particolare per l’utilizzo dell’indirizzo email acquisito nell’ambito della vendita di prodotti o servizi analoghi. Questa disciplina non costituisce, da sola, un’autorizzazione a utilizzare dati dermatologici per costruire profili commerciali.
Quando la profilazione comporta il trattamento di dati relativi alla salute, l’azienda deve individuare una delle condizioni che consentono di superare il divieto generale previsto dall’articolo 9 del GDPR. Per attività di marketing personalizzato basate su tali informazioni può assumere rilievo il consenso esplicito dell’interessato, purché siano rispettati tutti i requisiti di validità e le ulteriori disposizioni applicabili. Non basta una casella preselezionata o un’accettazione generica delle condizioni di vendita. La manifestazione di volontà deve essere libera, specifica, informata e inequivocabile; per il trattamento delle categorie particolari di dati, quando si utilizza questa condizione, deve essere anche esplicita.
Un modulo che richiede un unico consenso per ricevere newsletter, ottenere consigli skincare e autorizzare la profilazione mediante informazioni dermatologiche può risultare inadeguato quando comprende finalità distinte che richiedono scelte autonome. L’azienda deve verificare quali trattamenti siano effettivamente necessari per il servizio richiesto e quali siano invece facoltativi. L’accesso a una funzione di analisi della pelle non dovrebbe essere subordinato indiscriminatamente all’accettazione di comunicazioni pubblicitarie non necessarie alla sua erogazione.
La distinzione deve risultare comprensibile anche nell’informativa privacy. Il cliente deve poter conoscere quali dati vengono utilizzati per fornire il consiglio cosmetico, se le risposte vengono conservate, se sono impiegate per costruire un profilo commerciale e quali soggetti partecipano al trattamento. Se un sistema automatizzato seleziona prodotti e messaggi in base alle caratteristiche della pelle, l’informativa deve descrivere in maniera adeguata queste finalità, evitando formulazioni generiche che non consentano di comprendere l’effettivo utilizzo delle informazioni. Per verificare i contenuti necessari della documentazione, abbiamo approfondito anche quali informazioni devono contenere le informative privacy aziendali.
Un’attenzione specifica merita il cosiddetto soft spam. La possibilità, prevista dall’articolo 130, comma 4, del Codice Privacy, di utilizzare a determinate condizioni l’indirizzo email acquisito in occasione di una vendita per promuovere prodotti o servizi analoghi non permette di estendere indiscriminatamente il trattamento a informazioni sanitarie o a forme ulteriori di profilazione. Un’azienda cosmetica che utilizza lo storico degli acquisti per proporre prodotti analoghi si trova in una situazione diversa da quella di un’impresa che seleziona offerte sulla base di allergie o patologie dichiarate durante un test.
Il consenso deve inoltre poter essere revocato con modalità semplici. Se il cliente revoca l’autorizzazione alla profilazione, l’impresa deve assicurarsi che la scelta venga recepita anche dai sistemi collegati. La sola cancellazione da una lista newsletter potrebbe non essere sufficiente quando il profilo continua a essere utilizzato dal CRM, da un software di marketing automation o da un fornitore esterno. Occorre distinguere la revoca del consenso alla profilazione dalla disiscrizione dalle comunicazioni promozionali, perché le due decisioni possono avere effetti diversi sui trattamenti ancora consentiti.
Queste verifiche devono essere accompagnate da una documentazione coerente con l’organizzazione aziendale. La prova dei consensi, la descrizione delle finalità, le regole di conservazione e le istruzioni impartite ai soggetti autorizzati devono corrispondere al funzionamento reale dei sistemi. Per le imprese che utilizzano strumenti digitali complessi, la conformità non può essere valutata esaminando soltanto il testo della privacy policy o il modulo di iscrizione alla newsletter. È opportuno verificare anche i rapporti con i fornitori e le condizioni contrattuali applicabili, comprese quelle previste dall’articolo 28 del GDPR per i responsabili del trattamento.
Obblighi GDPR, controlli sul CRM e responsabilità delle aziende cosmetiche
La conformità delle newsletter personalizzate non dipende soltanto dalla corretta raccolta del consenso. Un’azienda cosmetica deve verificare come vengono effettivamente trattati i dati sulla pelle, quali informazioni raggiungono la piattaforma di email marketing e se le attività di profilazione corrispondono alle finalità dichiarate agli interessati. Il problema si presenta soprattutto quando il sistema commerciale è cresciuto nel tempo, attraverso l’integrazione di e-commerce, questionari skincare, CRM e strumenti di marketing automation, senza una revisione complessiva delle procedure privacy.
Una prima verifica riguarda il registro delle attività di trattamento, quando previsto dall’articolo 30 del GDPR. Le operazioni di raccolta dei dati dermatologici, elaborazione dei profili e invio delle comunicazioni commerciali devono essere rappresentate correttamente, distinguendo le finalità e le categorie di informazioni utilizzate. L’eventuale presenza di dati relativi alla salute richiede particolare attenzione anche nelle imprese di dimensioni contenute, poiché le deroghe all’obbligo di tenuta del registro non possono essere valutate considerando soltanto il numero dei dipendenti. Per gli aggiornamenti necessari abbiamo dedicato un approfondimento al registro dei trattamenti e alle situazioni che richiedono una revisione.
Un secondo controllo riguarda i fornitori tecnologici. La piattaforma newsletter, il CRM, il software utilizzato per analizzare la pelle e l’eventuale agenzia incaricata delle campagne possono accedere a informazioni personali per conto dell’azienda. Occorre stabilire il ruolo effettivo di ciascun soggetto, verificare quando sia necessaria la designazione a responsabile del trattamento ai sensi dell’articolo 28 del GDPR e controllare le istruzioni impartite, le misure di sicurezza, i subresponsabili e gli eventuali trasferimenti di dati verso Paesi esterni allo Spazio economico europeo.
Particolare attenzione richiedono i sistemi che trasferiscono automaticamente le risposte ai questionari nel database commerciale. Un’informazione relativa a una patologia cutanea, raccolta per formulare un consiglio individuale, potrebbe essere replicata in più piattaforme e resa accessibile a operatori che non hanno necessità di conoscerla. In questi casi il principio di minimizzazione dei dati, previsto dall’articolo 5 del GDPR, impone di verificare quali informazioni siano realmente necessarie per ciascuna finalità. Può essere opportuno separare i dati utilizzati per fornire il servizio cosmetico da quelli destinati alle comunicazioni commerciali, evitando trasferimenti indiscriminati.
La conservazione costituisce un ulteriore punto da esaminare. Le risposte a un test sulla pelle non devono necessariamente rimanere nel CRM per tutta la durata del rapporto commerciale. L’azienda deve stabilire tempi di conservazione giustificati dalle finalità perseguite e prevedere procedure per la cancellazione o l’anonimizzazione dei dati quando non siano più necessari, tenendo conto degli eventuali obblighi di legge e delle altre basi che ne consentano legittimamente la conservazione.
Quando l’impresa utilizza algoritmi di analisi della pelle, fotografie del viso o sistemi di profilazione particolarmente articolati, deve valutare anche la necessità di una valutazione d’impatto sulla protezione dei dati (DPIA). L’articolo 35 del GDPR la richiede quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La presenza di dati relativi alla salute, l’eventuale trattamento su larga scala, la combinazione di più fonti informative e l’impiego di tecnologie innovative sono elementi da considerare nella valutazione. La DPIA non è automaticamente obbligatoria per qualsiasi newsletter cosmetica, ma non può essere esclusa senza esaminare le caratteristiche effettive del trattamento. Sul punto abbiamo approfondito quando un’azienda deve effettuare una DPIA.
La verifica deve comprendere anche gli strumenti di tracciamento delle newsletter. Alcune piattaforme registrano aperture, clic e interazioni attraverso pixel invisibili o collegamenti identificativi. Se queste informazioni vengono associate al profilo dermatologico del cliente, l’azienda può ottenere ulteriori indicazioni sulle sue preferenze e sui suoi comportamenti. Occorre quindi distinguere il trattamento dei dati per l’invio della comunicazione dalle eventuali attività di monitoraggio e profilazione, valutando le condizioni applicabili a ciascuna operazione. Abbiamo esaminato specificamente il tema nell’articolo dedicato ai tracking pixel nelle email e newsletter e alle indicazioni del Garante Privacy.
Le carenze possono emergere durante un audit interno, a seguito di una richiesta di accesso o cancellazione presentata da un cliente oppure attraverso un reclamo al Garante. Le possibili conseguenze dipendono dalla natura della violazione, dalle informazioni coinvolte e dalle circostanze concrete. Possono comprendere ordini di adeguamento, limitazioni del trattamento e sanzioni amministrative nei casi previsti dal GDPR. Qualora si verifichi una violazione della sicurezza dei dati personali, l’impresa deve inoltre valutare gli obblighi di notifica e comunicazione previsti dagli articoli 33 e 34 del Regolamento.
Per le aziende cosmetiche che svolgono attività sistematiche di profilazione, il coinvolgimento del responsabile della protezione dei dati (DPO/RPD), quando nominato, può contribuire alla verifica delle procedure e alla valutazione dei rischi. L’obbligo di nomina deve essere accertato secondo l’articolo 37 del GDPR, considerando le attività principali dell’organizzazione, la natura dei trattamenti e la loro eventuale realizzazione su larga scala. La sola appartenenza al settore cosmetico non rende automaticamente obbligatoria la designazione. Per le imprese che effettuano profilazione dei clienti abbiamo approfondito quando può essere necessario un DPO per e-commerce e aziende che profilano i clienti.
Consideriamo il caso ipotetico di un’azienda cosmetica che vende prodotti attraverso il proprio e-commerce e propone ai clienti un questionario online per individuare la routine skincare più adatta. Il modulo raccoglie informazioni sul tipo di pelle, sulle preferenze cosmetiche e sull’eventuale presenza di allergie o disturbi dermatologici. Al termine del test, il cliente riceve alcuni suggerimenti e viene inserito nel database commerciale.
Nel tempo, l’azienda collega il questionario al CRM e alla piattaforma newsletter. Le risposte vengono utilizzate per creare segmenti di clienti e inviare automaticamente promozioni mirate. Durante una verifica emerge che il modulo contiene un consenso generico alle comunicazioni commerciali, mentre l’informativa non descrive adeguatamente l’utilizzo dei dati dermatologici per la profilazione. Si rileva inoltre che alcune informazioni vengono conservate nella piattaforma marketing anche dopo la disiscrizione del cliente dalla newsletter.
In una situazione di questo tipo, il nostro intervento professionale consisterebbe anzitutto nella ricostruzione dei flussi informativi e nell’esame delle basi giuridiche dei trattamenti. Occorrerebbe distinguere i dati necessari per fornire il consiglio cosmetico da quelli destinati alla profilazione commerciale, verificare i consensi e valutare le condizioni previste dall’articolo 9 del GDPR. L’analisi dovrebbe comprendere anche i contratti con i fornitori, le modalità di conservazione e la gestione delle revoche.
La riorganizzazione potrebbe richiedere la modifica del questionario, l’aggiornamento dell’informativa, la separazione dei consensi e la revisione delle regole automatiche del CRM. Per i dati già raccolti sarebbe necessario verificare se esistano condizioni valide per continuarne il trattamento e, in caso contrario, individuare le misure appropriate, compresa l’interruzione degli utilizzi non consentiti e la cancellazione delle informazioni prive di una giustificazione giuridica per la loro ulteriore conservazione.
Sì, ma deve verificare la natura dei dati raccolti, le finalità del trattamento e le condizioni giuridiche applicabili. Le informazioni sulle preferenze cosmetiche non sono necessariamente dati relativi alla salute, mentre quelle riguardanti allergie, patologie o condizioni dermatologiche possono rientrare nell’articolo 9 del GDPR. Quando vengono utilizzate per profilazione commerciale, può essere necessario acquisire un consenso esplicito, distinto da quello previsto per l’invio delle comunicazioni promozionali.
Non automaticamente. L’autorizzazione a ricevere email pubblicitarie non comprende necessariamente l’elaborazione automatizzata delle informazioni personali per costruire profili commerciali. L’azienda deve individuare un’idonea base giuridica per ciascuna finalità e, quando il trattamento coinvolge dati relativi alla salute, rispettare anche le condizioni previste dall’articolo 9 del GDPR. Le scelte dell’interessato devono essere adeguatamente documentate.
I questionari skincare e i test online sulla pelle richiedono una DPIA?
Non in tutti i casi. La valutazione d’impatto è obbligatoria quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. Occorre considerare la tipologia dei dati, la scala del trattamento, le tecnologie utilizzate e l’eventuale combinazione delle informazioni con altre fonti. Un sistema che analizza condizioni dermatologiche e alimenta una profilazione commerciale estesa richiede una valutazione particolarmente attenta.
Deve verificare tempestivamente le operazioni effettuate, le basi giuridiche eventualmente applicabili e la possibilità di proseguire legittimamente il trattamento. Se mancano le condizioni necessarie, occorre interrompere gli utilizzi non consentiti, correggere le procedure e valutare la sorte dei dati già raccolti. La semplice modifica dell’informativa o la raccolta di nuovi consensi non rende automaticamente leciti i trattamenti effettuati in precedenza.
Quando conviene rivolgersi a un avvocato privacy o a un DPO esterno per il marketing cosmetico?
Una valutazione professionale è particolarmente opportuna quando l’azienda utilizza dati dermatologici, questionari skincare, CRM integrati e campagne automatizzate oppure deve rispondere a reclami o contestazioni. L’assistenza può riguardare l’analisi dei consensi, la revisione delle informative, i contratti con i fornitori, l’eventuale DPIA e l’organizzazione delle procedure interne. La necessità di nominare un DPO deve essere verificata separatamente, sulla base dei presupposti previsti dall’articolo 37 del GDPR.
Le aziende cosmetiche che raccolgono informazioni sulla pelle e le utilizzano per newsletter personalizzate devono poter dimostrare la liceità dei trattamenti e la coerenza tra consensi, informative e funzionamento effettivo delle piattaforme digitali. Le criticità possono riguardare anche sistemi già operativi da anni, soprattutto quando nuovi strumenti di profilazione vengono collegati a database commerciali esistenti.
Come Studio Legale Calvello, assistiamo le imprese nella verifica della conformità GDPR, nell’analisi dei trattamenti di marketing e profilazione, nella revisione della documentazione privacy e nella gestione delle problematiche connesse all’utilizzo dei dati personali dei clienti. Possiamo intervenire anche quando siano emerse irregolarità, richieste degli interessati o contestazioni che richiedono una valutazione giuridica specifica.
Per sottoporre alla nostra attenzione le procedure di newsletter, i questionari skincare o i sistemi di profilazione utilizzati dalla vostra azienda, potete richiedere una consulenza legale in materia di privacy e compliance aziendale. Esamineremo le caratteristiche del trattamento e le possibili attività di verifica o adeguamento in relazione alle esigenze concrete dell’impresa.
