Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che organizza un webinar, un convegno o un evento commerciale deve gestire correttamente i dati personali fin dal primo invito. Gli indirizzi e-mail utilizzati per promuovere l’iniziativa, le informazioni raccolte attraverso il modulo di iscrizione, gli eventuali contatti messi a disposizione degli sponsor e i sistemi che registrano aperture, clic e partecipazione possono comportare trattamenti distinti, soggetti a presupposti giuridici differenti. Il problema si presenta soprattutto quando l’evento viene utilizzato per acquisire nuovi clienti, alimentare il CRM o avviare successive campagne commerciali.
Non è sufficiente predisporre un’informativa generica o inserire una casella di consenso nel modulo di registrazione. Occorre verificare quali comunicazioni siano necessarie per organizzare l’evento, quali abbiano finalità promozionali, chi possa utilizzare i dati raccolti e quali informazioni vengano effettivamente registrate dalle piattaforme tecnologiche. Noi assistiamo le imprese nella valutazione di questi trattamenti, nella predisposizione della documentazione e nella gestione delle criticità che possono derivare da reclami, controlli o utilizzi dei dati non adeguatamente autorizzati.
Inviti e iscrizioni a eventi e webinar: quando l’azienda può utilizzare gli indirizzi e-mail
Il primo problema riguarda la provenienza dei contatti. Un’impresa può voler invitare a un webinar i propri clienti, i fornitori, i nominativi presenti nel CRM, i professionisti incontrati durante una fiera oppure potenziali clienti individuati attraverso attività commerciali. La circostanza che un indirizzo appartenga a un’azienda o sia pubblicamente disponibile non autorizza automaticamente il suo utilizzo per inviare comunicazioni promozionali.
Per gli inviti trasmessi mediante posta elettronica occorre considerare il Regolamento (UE) 2016/679 (GDPR), il Codice Privacy e, in particolare, l’articolo 130 del D.Lgs. 196/2003. Quando l’invito costituisce una comunicazione commerciale, la regola generale è il consenso preventivo del destinatario, salve le specifiche eccezioni previste dalla normativa. La disciplina riguarda anche gli indirizzi professionali riferibili a persone fisiche e non può essere aggirata qualificando il messaggio come semplice comunicazione informativa.
Un webinar gratuito dedicato alle novità normative, alla formazione professionale o alla presentazione di un prodotto può avere caratteristiche differenti. Occorre esaminare la finalità effettiva dell’iniziativa, il contenuto dell’invito e il rapporto già esistente con il destinatario. Un incontro formativo riservato ai dipendenti, una comunicazione necessaria all’esecuzione di un contratto e un evento organizzato per acquisire nuovi clienti non devono essere trattati come situazioni equivalenti.
Particolare attenzione richiede l’utilizzo delle liste clienti. L’articolo 130, comma 4, del Codice Privacy prevede una specifica eccezione per l’impiego della posta elettronica ai fini della vendita diretta di prodotti o servizi propri analoghi a quelli già acquistati dal cliente, alle condizioni stabilite dalla disposizione. Non è quindi corretto presumere che qualsiasi cliente possa ricevere inviti a webinar promozionali senza consenso. Bisogna verificare la natura del rapporto precedente, l’analogia tra i servizi, le informazioni già fornite e la possibilità di opporsi al trattamento.
Il rischio aumenta quando l’azienda utilizza contatti raccolti in occasione di precedenti eventi, biglietti da visita, elenchi di partecipanti a fiere o database acquisiti da terzi. La disponibilità materiale dell’indirizzo non dimostra che il destinatario abbia autorizzato nuove iniziative commerciali. In questi casi è necessario ricostruire la provenienza dei dati, le finalità originarie della raccolta e le condizioni che consentono un eventuale utilizzo successivo.
Una volta ricevuta l’iscrizione, l’organizzatore deve distinguere le comunicazioni necessarie alla partecipazione dalle attività di marketing. La conferma della registrazione, il collegamento per accedere al webinar, le informazioni organizzative e l’eventuale invio dell’attestato possono trovare una base giuridica diversa dal consenso promozionale, in relazione al servizio richiesto e al rapporto instaurato con l’interessato. L’invio successivo di offerte commerciali, newsletter o comunicazioni pubblicitarie richiede invece una valutazione autonoma.
Questa distinzione deve essere rispettata anche nella configurazione delle piattaforme. Un sistema che inserisce automaticamente ogni iscritto nella mailing list commerciale può determinare un trattamento ulteriore rispetto alla semplice gestione dell’evento. La presenza di un pulsante per accettare la privacy non rende automaticamente legittima tale operazione: occorre distinguere la presa visione dell’informativa dall’eventuale manifestazione di consenso per finalità facoltative.
Per approfondire la disciplina generale delle comunicazioni promozionali abbiamo esaminato anche i rischi dell’e-mail marketing senza consenso per le aziende. Nell’organizzazione di eventi, questa verifica deve essere effettuata prima di avviare gli inviti, perché un database già utilizzato impropriamente può generare ulteriori criticità quando viene trasferito nella piattaforma webinar o condiviso con soggetti esterni.
Sponsor, piattaforme webinar e tracciamento dei partecipanti: come distinguere finalità e responsabilità
Quando un evento coinvolge sponsor o partner commerciali, la gestione dei dati diventa più articolata. L’organizzatore può raccogliere nominativi, indirizzi e-mail, qualifiche professionali, società di appartenenza e informazioni sulle preferenze dei partecipanti. Gli sponsor possono essere interessati a ricevere tali dati per contattare successivamente gli iscritti, proporre servizi o misurare il ritorno economico della sponsorizzazione. Queste attività non sono automaticamente comprese nella finalità originaria di iscrizione all’evento.
Occorre anzitutto stabilire quale ruolo assuma ciascun soggetto. L’organizzatore e lo sponsor possono operare come titolari autonomi del trattamento quando determinano separatamente finalità e mezzi dei rispettivi trattamenti. Se decidono congiuntamente finalità e mezzi di determinate operazioni, può configurarsi una contitolarità ai sensi dell’articolo 26 GDPR. La qualificazione non dipende dalla denominazione utilizzata nel contratto di sponsorizzazione, ma dall’effettiva organizzazione delle attività e dalle decisioni assunte sui dati personali.
Se uno sponsor riceve l’elenco degli iscritti per effettuare proprie campagne commerciali, l’organizzatore deve verificare la liceità della comunicazione e lo sponsor deve disporre di un valido presupposto per il successivo utilizzo dei contatti. Un consenso generico a ricevere informazioni sull’evento non equivale necessariamente all’autorizzazione a essere contattati da imprese terze. L’identità dei destinatari dei dati, o almeno le informazioni richieste dalla disciplina applicabile per renderli adeguatamente individuabili, deve essere comunicata con sufficiente chiarezza.
La raccolta di consensi distinti per organizzatore e sponsor può essere necessaria per separare le rispettive comunicazioni commerciali. La soluzione concreta dipende dal numero dei soggetti coinvolti, dalle finalità perseguite e dalle modalità di comunicazione dei dati. In ogni caso, l’eventuale consenso deve essere libero, specifico, informato e inequivocabile, senza essere confuso con l’accettazione delle condizioni necessarie per partecipare all’iniziativa.
Il problema non riguarda soltanto gli elenchi esportati dopo il webinar. Durante eventi in presenza, la scansione di badge o codici QR presso gli stand può consentire agli sponsor di acquisire immediatamente informazioni sui partecipanti. Negli eventi online, funzionalità analoghe possono essere realizzate mediante aree riservate, report condivisi, questionari, chat e strumenti di lead generation. Per ciascuna modalità occorre verificare quali dati vengano comunicati, a chi, per quali finalità e con quali informazioni preventive.
Un secondo livello di attenzione riguarda il tracciamento dei partecipanti ai webinar. Molte piattaforme registrano l’orario di accesso, la durata della partecipazione, le domande formulate, le risposte ai sondaggi e le interazioni con i contenuti. Questi dati possono essere necessari per documentare una presenza, ad esempio nell’ambito di un’attività formativa, oppure essere utilizzati per attribuire punteggi commerciali ai partecipanti e individuare quelli considerati più interessati a un prodotto.
Le due finalità richiedono valutazioni differenti. La registrazione delle presenze, quando necessaria per erogare o documentare il servizio richiesto, deve essere limitata alle informazioni pertinenti. L’impiego degli stessi dati per profilazione commerciale, segmentazione del CRM o campagne pubblicitarie successive costituisce un utilizzo ulteriore, per il quale occorre individuare una base giuridica adeguata e rispettare gli obblighi di trasparenza. Quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche, deve essere valutata la necessità di una DPIA, valutazione d’impatto sulla protezione dei dati, ai sensi dell’articolo 35 GDPR.
Una questione specifica riguarda i pixel di tracciamento inseriti nelle e-mail di invito, conferma o promemoria. Tali strumenti possono rilevare informazioni sull’apertura dei messaggi e sull’interazione del destinatario, anche quando quest’ultimo non compie un’azione consapevole di conferma. La loro presenza deve essere esaminata separatamente dalla legittimità dell’invio dell’e-mail: il fatto che una comunicazione organizzativa possa essere trasmessa senza consenso marketing non autorizza automaticamente qualsiasi monitoraggio incorporato nel messaggio.
Abbiamo approfondito questa distinzione nell’articolo dedicato al consenso ai tracking pixel nelle e-mail e nella trattazione delle e-mail di servizio e transazionali contenenti sistemi di tracciamento. Per gli eventi aziendali, il controllo deve comprendere anche i collegamenti personalizzati, gli identificativi associati agli iscritti e le automazioni che trasferiscono al CRM le informazioni sulle aperture o sui clic.
Infine, l’azienda deve verificare i rapporti contrattuali con i fornitori tecnologici. La piattaforma utilizzata per gestire iscrizioni e partecipazioni può operare come responsabile del trattamento ai sensi dell’articolo 28 GDPR, quando tratta i dati per conto dell’organizzatore. In tale situazione occorre un accordo conforme alla normativa, accompagnato da istruzioni documentate, verifiche sulle misure di sicurezza, sui subresponsabili e sugli eventuali trasferimenti di dati verso Paesi terzi. Se il fornitore tratta determinati dati per finalità proprie, tali operazioni richiedono una qualificazione distinta.
La documentazione deve corrispondere al funzionamento effettivo del sistema. Un’informativa corretta sul piano formale non risolve le criticità di una piattaforma che condivide automaticamente i contatti con gli sponsor, attiva funzionalità di profilazione non previste o conserva informazioni per periodi incompatibili con le finalità dichiarate. È quindi necessario esaminare congiuntamente configurazioni tecniche, accordi contrattuali e modalità concrete di utilizzo dei dati.
Obblighi GDPR, controlli e responsabilità nella gestione dei dati dei partecipanti
La conformità GDPR di un evento aziendale non si esaurisce nella predisposizione del modulo di iscrizione. L’impresa deve poter dimostrare che le informazioni raccolte vengono utilizzate per finalità determinate, che gli accessi sono limitati ai soggetti autorizzati e che le eventuali attività promozionali successive rispettano le condizioni previste dalla normativa. Questa verifica diventa particolarmente importante quando l’organizzazione coinvolge ufficio marketing, reparto commerciale, agenzie esterne, fornitori tecnologici e sponsor.
Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR richiede al titolare del trattamento di essere in grado di dimostrare il rispetto dei principi applicabili. Per un webinar ciò significa, concretamente, documentare le basi giuridiche delle diverse operazioni, predisporre informative coerenti con i trattamenti effettivi e conservare, quando il consenso costituisce la base giuridica, elementi idonei a provarne l’acquisizione.
Particolare attenzione merita il modulo di registrazione al webinar. I dati obbligatori devono essere proporzionati alle esigenze organizzative. Nome, indirizzo e-mail e informazioni necessarie alla partecipazione possono essere pertinenti, mentre la richiesta del numero di telefono, della posizione aziendale o di ulteriori informazioni professionali deve essere valutata rispetto alle finalità perseguite. Se questi dati vengono raccolti principalmente per qualificare commercialmente i partecipanti, tale utilizzo deve risultare chiaramente dall’informativa e deve disporre di un’idonea base giuridica.
L’informativa deve identificare il titolare del trattamento, descrivere le finalità, indicare le basi giuridiche, le categorie di destinatari, i periodi di conservazione o i criteri utilizzati per determinarli e gli altri elementi richiesti dagli articoli 13 e 14 GDPR, secondo le circostanze. Quando i dati vengono comunicati agli sponsor, occorre chiarire quali informazioni saranno trasferite e per quali utilizzi. Se vengono impiegati strumenti di profilazione o tracciamento individuale, la descrizione deve corrispondere alle funzionalità realmente attivate.
Un altro problema frequente riguarda la conservazione dei dati dopo l’evento. L’azienda può avere necessità di mantenere informazioni sulle iscrizioni per esigenze amministrative, contrattuali o documentali. Questo non significa che tutti i dati raccolti possano essere conservati indefinitamente nel CRM o utilizzati senza limiti per iniziative commerciali. Devono essere individuati periodi di conservazione appropriati alle singole finalità, distinguendo i dati necessari per documentare la partecipazione da quelli trattati per marketing o profilazione.
Le piattaforme webinar possono conservare anche registri degli accessi, identificativi tecnici, report di partecipazione e risultati dei questionari. L’impresa deve verificare se tali informazioni siano effettivamente necessarie, chi possa consultarle e quando debbano essere cancellate o anonimizzate. Per i trattamenti soggetti all’obbligo di registrazione previsto dall’articolo 30 GDPR, occorre assicurare che il registro delle attività di trattamento rappresenti correttamente anche le operazioni connesse all’organizzazione degli eventi.
Le verifiche devono comprendere la sicurezza delle informazioni. Un elenco di iscritti inviato a uno sponsor non autorizzato, una comunicazione trasmessa mostrando gli indirizzi di tutti i destinatari oppure l’accesso indebito ai report della piattaforma possono costituire violazioni di dati personali. In queste situazioni l’azienda deve accertare rapidamente la natura dell’incidente, i dati coinvolti, i possibili effetti sugli interessati e le misure necessarie per contenere la violazione.
Quando si verifica un data breach relativo ai partecipanti a un webinar, trovano applicazione gli articoli 33 e 34 GDPR. La notifica al Garante deve essere effettuata, ove dovuta, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione. La comunicazione agli interessati è richiesta quando ricorrono i presupposti previsti dall’articolo 34. Non ogni incidente determina automaticamente entrambi gli obblighi, ma ogni violazione deve essere valutata e documentata secondo la disciplina applicabile.
Abbiamo approfondito le modalità di intervento nell’articolo dedicato al data breach aziendale e alle attività da svolgere nelle prime 72 ore. Nel caso degli eventi, l’accertamento deve considerare anche i soggetti esterni che hanno ricevuto i dati, le esportazioni effettuate e le eventuali campagne commerciali già avviate.
Le criticità possono emergere anche attraverso una richiesta di cancellazione, un’opposizione alle comunicazioni commerciali o un reclamo presentato da un partecipante che abbia ricevuto messaggi da uno sponsor senza comprenderne la provenienza. L’organizzatore deve poter ricostruire il percorso dei dati e verificare se la comunicazione al soggetto terzo fosse lecita. La semplice presenza di una clausola nel contratto di sponsorizzazione non sostituisce gli obblighi verso gli interessati.
In caso di contestazione, assumono rilievo le informative effettivamente utilizzate, le registrazioni dei consensi, gli accordi con i fornitori, le configurazioni della piattaforma e le procedure interne. L’assenza di documentazione può rendere difficile dimostrare la correttezza del trattamento, anche quando l’impresa ritenga di avere operato sulla base di autorizzazioni valide.
Le conseguenze dipendono dalla natura della violazione, dalla gravità, dalla durata, dal numero di interessati coinvolti e dagli altri criteri previsti dall’articolo 83 GDPR. Possono assumere rilievo anche le disposizioni del Codice Privacy applicabili alle comunicazioni elettroniche. Non ogni irregolarità comporta necessariamente una sanzione pecuniaria, ma la gestione non conforme dei dati può determinare richieste di chiarimenti, provvedimenti correttivi, reclami e, nei casi previsti, responsabilità risarcitorie.
Per le aziende che organizzano regolarmente webinar commerciali, eventi formativi o iniziative con numerosi sponsor, può essere opportuno effettuare un audit privacy del processo di iscrizione e gestione dei partecipanti. Il controllo dovrebbe partire dai moduli e dalle piattaforme effettivamente utilizzati, verificare le modalità di raccolta e trasferimento dei dati e individuare le eventuali modifiche necessarie. Il DPO, quando designato, deve essere coinvolto secondo i compiti previsti dall’articolo 39 GDPR, ferma restando la responsabilità del titolare per le decisioni sul trattamento.
Esempio pratico: un webinar aziendale con sponsor e utilizzo commerciale dei contatti
Consideriamo il caso di una società che organizza un webinar gratuito rivolto a imprenditori e responsabili aziendali, finanziato anche attraverso la partecipazione di alcuni sponsor. Il modulo di iscrizione raccoglie nome, cognome, indirizzo e-mail, azienda e ruolo professionale. Al termine dell’evento, l’organizzatore intende trasferire agli sponsor l’elenco dei partecipanti e utilizzare i report della piattaforma per individuare i contatti commercialmente più interessanti.
Il problema emerge quando si verifica che l’informativa descrive soltanto la gestione dell’iscrizione, mentre la casella di consenso riguarda genericamente le comunicazioni promozionali dell’organizzatore. Non è chiarito che i dati potranno essere comunicati agli sponsor per loro autonome iniziative commerciali. La piattaforma registra anche la durata della partecipazione e le risposte ai sondaggi, successivamente associate ai nominativi presenti nel CRM.
In una situazione di questo tipo, l’intervento professionale consiste anzitutto nella ricostruzione dei flussi informativi e nella qualificazione delle finalità perseguite. Occorre verificare le basi giuridiche, distinguere le comunicazioni organizzative dal marketing, definire i ruoli degli sponsor e valutare la liceità delle attività di tracciamento. L’aspetto più delicato riguarda l’utilizzo dei dati già raccolti, perché un’eventuale modifica dell’informativa non rende automaticamente legittimi trattamenti precedenti privi dei necessari presupposti.
La riorganizzazione può richiedere la modifica del modulo di registrazione, la separazione delle preferenze commerciali, la revisione degli accordi con gli sponsor e la limitazione dei report accessibili ai diversi soggetti. Devono essere esaminate anche le informazioni già esportate e le comunicazioni eventualmente avviate. L’obiettivo è definire un processo coerente con le finalità effettive dell’evento e documentare le decisioni adottate dall’azienda.
Domande frequenti su privacy, sponsor e tracciamento dei webinar
1. Un’azienda può invitare i propri clienti a un webinar senza chiedere un nuovo consenso?
Dipende dalla natura dell’invito, dal rapporto esistente e dalle condizioni in cui sono stati raccolti gli indirizzi e-mail. Se il messaggio ha finalità promozionali, occorre verificare la presenza di un consenso valido oppure l’applicabilità di una specifica eccezione, come quella prevista dall’articolo 130, comma 4, del Codice Privacy. Il semplice fatto che il destinatario sia già cliente non autorizza qualsiasi comunicazione commerciale.
2. Gli sponsor possono ricevere automaticamente gli indirizzi e-mail dei partecipanti?
No. La comunicazione dei dati agli sponsor deve avere una base giuridica appropriata ed essere accompagnata dalle informazioni richieste dalla normativa. Se gli sponsor intendono utilizzare gli indirizzi per proprie campagne promozionali, occorre verificare anche la liceità di tali comunicazioni. La partecipazione a un evento sponsorizzato non equivale automaticamente al consenso a ricevere pubblicità da tutti i partner.
3. È possibile registrare chi partecipa al webinar e per quanto tempo rimane collegato?
Sì, quando il trattamento dispone di una base giuridica adeguata e rispetta i principi di necessità, proporzionalità e trasparenza. La registrazione delle presenze per documentare un’attività formativa deve essere distinta dall’utilizzo dei tempi di collegamento per profilazione commerciale. Le informazioni raccolte e i periodi di conservazione devono essere coerenti con le finalità dichiarate.
4. Le e-mail di conferma e promemoria del webinar possono contenere tracking pixel?
La natura organizzativa del messaggio non rende automaticamente lecito il tracciamento. Occorre valutare le caratteristiche tecniche dello strumento, le informazioni raccolte, le finalità e la disciplina applicabile. L’invio di una comunicazione necessaria alla partecipazione e il monitoraggio individuale della sua apertura sono operazioni che devono essere esaminate separatamente.
5. Cosa deve fare l’azienda se uno sponsor utilizza i dati dei partecipanti senza autorizzazione?
È necessario ricostruire quali dati siano stati comunicati, in base a quali accordi e per quali finalità. Occorre verificare se vi sia stata una comunicazione illecita o una violazione di dati personali, valutare le misure di contenimento e accertare gli eventuali obblighi previsti dal GDPR. La responsabilità dei soggetti coinvolti dipende dai rispettivi ruoli e dalle operazioni concretamente effettuate.
Consulenza legale GDPR per eventi, webinar e gestione dei dati degli sponsor
Lo Studio Legale Calvello assiste le aziende nella verifica della conformità GDPR delle iniziative promozionali e formative, con particolare attenzione alle iscrizioni, agli inviti e-mail, alla condivisione dei dati con gli sponsor e al tracciamento dei partecipanti. Possiamo intervenire nella revisione delle informative, dei consensi, degli accordi con i fornitori e delle procedure di gestione dei dati, nonché nell’esame di contestazioni o utilizzi non autorizzati.
Se la vostra azienda organizza webinar o eventi commerciali e deve verificare la liceità dei trattamenti effettuati, potete richiedere una consulenza allo Studio Legale Calvello in materia di privacy e compliance aziendale per esaminare la situazione concreta e individuare gli interventi giuridici e organizzativi necessari.
