Articolo a cura di: Redazione - Studio Legale Calvello
Ricevere una newsletter non significa necessariamente accettare che il mittente registri quando viene aperta, quali collegamenti vengono selezionati o altre informazioni sull’attività del destinatario. Molte comunicazioni commerciali utilizzano pixel invisibili, immagini remote e link personalizzati per raccogliere dati che possono essere associati a una persona identificata o identificabile. Il problema riguarda anche le aziende, i cui amministratori, dirigenti e dipendenti ricevono quotidianamente newsletter professionali, aggiornamenti normativi e comunicazioni dai fornitori.
Limitare questo monitoraggio senza rinunciare alle informazioni ricevute è possibile, ma occorre distinguere le protezioni tecniche disponibili nelle caselle di posta dai diritti riconosciuti dalla normativa sulla protezione dei dati personali. Per le imprese che inviano newsletter, la stessa questione richiede una verifica delle modalità di raccolta dei dati, delle preferenze espresse dagli iscritti e della legittimità degli strumenti utilizzati.
Una newsletter può contenere elementi che permettono al mittente o alla piattaforma utilizzata per l’invio di raccogliere informazioni sul comportamento del destinatario. Il sistema più conosciuto è il tracking pixel, generalmente costituito da una piccola immagine caricata da un server esterno quando il programma di posta visualizza il messaggio. L’immagine può essere invisibile e associata a un identificativo che consente di collegare la richiesta di caricamento a uno specifico destinatario.
Quando il contenuto remoto viene richiesto, il server può registrare informazioni quali l’orario della richiesta, l’indirizzo IP dal quale proviene e determinati dati tecnici relativi al dispositivo o al programma utilizzato. La quantità e l’affidabilità delle informazioni dipendono dal funzionamento del servizio di posta, dall’eventuale utilizzo di server intermedi e dalle protezioni attivate. Non è quindi corretto presumere che ogni caricamento del pixel corrisponda a una lettura effettiva del messaggio.
Alcuni servizi, tra cui Apple Mail con le proprie funzionalità di protezione della privacy, possono caricare contenuti remoti attraverso sistemi che rendono meno attendibile l’associazione tra caricamento dell’immagine e comportamento reale dell’utente. Anche altri fornitori di posta possono utilizzare meccanismi di intermediazione. Per questo motivo le statistiche sulle aperture non rappresentano necessariamente una misurazione precisa delle newsletter effettivamente lette.
Un secondo sistema riguarda i collegamenti personalizzati. Il destinatario che seleziona un link può essere indirizzato inizialmente verso un server di tracciamento, che registra l’interazione prima di trasferirlo alla pagina richiesta. Bloccare le immagini remote non impedisce automaticamente questa forma di monitoraggio. Lo stesso vale per eventuali identificativi presenti negli indirizzi web o per le successive attività di tracciamento effettuate sul sito di destinazione.
Per un’azienda che riceve numerose comunicazioni commerciali, queste tecnologie possono consentire a soggetti esterni di ricostruire determinate interazioni con le newsletter inviate a caselle professionali. Per un’impresa che utilizza strumenti di email marketing, invece, occorre verificare quali informazioni siano effettivamente raccolte, per quali finalità vengano utilizzate e se il destinatario sia stato adeguatamente informato. La distinzione tra semplice invio della newsletter e monitoraggio individuale delle interazioni assume particolare rilievo nella valutazione della conformità al GDPR.
Il primo intervento consiste nel verificare le impostazioni del programma di posta elettronica. Numerosi client consentono di impedire il caricamento automatico delle immagini esterne oppure di limitarlo in determinate circostanze. Poiché il funzionamento di molti pixel dipende proprio dalla richiesta di un’immagine remota, questa configurazione può ridurre la possibilità che il mittente registri l’apertura del messaggio attraverso tale tecnologia.
In Microsoft Outlook e negli ambienti Microsoft 365, le opzioni disponibili dipendono dalla versione del programma e dalle configurazioni adottate dall’organizzazione. Le aziende possono valutare impostazioni centralizzate o istruzioni rivolte ai dipendenti, verificando le funzionalità effettivamente disponibili nei client utilizzati. In Google Workspace e Gmail occorre considerare anche il funzionamento dei sistemi di gestione e intermediazione delle immagini, che possono limitare l’esposizione diretta di alcune informazioni senza eliminare necessariamente ogni possibilità di tracciamento.
Chi utilizza Apple Mail può verificare le impostazioni relative alla protezione della privacy e al caricamento dei contenuti remoti. È importante comprendere che tali funzioni possono ostacolare la ricostruzione delle abitudini di lettura, ma non equivalgono sempre al blocco completo di ogni richiesta verso server esterni. Analogamente, Thunderbird e altri programmi di posta permettono di gestire la visualizzazione dei contenuti remoti, con differenze che dipendono dalla versione e dalla configurazione.
La disattivazione delle immagini automatiche può rendere alcune newsletter meno leggibili, soprattutto quando le informazioni sono inserite prevalentemente in elementi grafici. Il destinatario può quindi valutare il caricamento selettivo dei contenuti, tenendo presente che autorizzare le immagini di un determinato messaggio potrebbe consentire anche il caricamento di eventuali pixel presenti al suo interno. Quando disponibile, la visualizzazione in formato testuale costituisce un’ulteriore possibilità per ridurre l’esposizione a questi meccanismi.
Per limitare il monitoraggio dei clic è necessaria una cautela diversa. Prima di aprire un collegamento, può essere utile verificarne la destinazione effettiva e riconoscere eventuali passaggi attraverso domini di tracciamento. Non tutti i collegamenti intermedi sono necessariamente illeciti o utilizzati per profilare il destinatario, ma la presenza di identificativi individuali richiede attenzione. L’utilizzo di un browser con protezioni antitracciamento può limitare alcune attività successive alla visita, senza impedire necessariamente la registrazione del clic da parte del servizio che gestisce il collegamento.
Per le imprese, queste misure possono essere integrate nelle policy aziendali sull’utilizzo delle e-mail e degli strumenti informatici. Le istruzioni devono essere proporzionate alle esigenze operative e alle caratteristiche dei sistemi utilizzati, evitando configurazioni che impediscano la ricezione di comunicazioni necessarie all’attività professionale.
Le protezioni tecniche, però, non sostituiscono l’esercizio dei diritti previsti dal GDPR. Un destinatario può avere interesse a continuare a ricevere aggiornamenti commerciali pur non volendo essere sottoposto a monitoraggio individuale delle aperture o dei clic. In questo caso occorre verificare la base giuridica del trattamento, l’eventuale consenso prestato e le modalità con cui il mittente permette di modificare le preferenze. L’azienda che invia newsletter deve considerare questi aspetti già nella progettazione del servizio, anziché affidare la tutela della riservatezza esclusivamente alle impostazioni tecniche dei destinatari.
Consenso, diritto di opposizione e revoca del tracciamento: cosa prevede il GDPR
Il destinatario di una newsletter può voler continuare a ricevere comunicazioni informative o commerciali senza consentire che ogni apertura venga registrata e associata al proprio indirizzo email. Questa esigenza richiede di distinguere il trattamento necessario per gestire l’iscrizione e inviare i messaggi dalle ulteriori attività di monitoraggio individuale. La circostanza che un utente abbia richiesto una newsletter non autorizza automaticamente qualsiasi forma di tracciamento delle sue interazioni.
Il Regolamento (UE) 2016/679 impone al titolare del trattamento di individuare una base giuridica appropriata per ciascuna finalità, rispettare i principi di trasparenza e minimizzazione e fornire informazioni comprensibili sulle modalità di utilizzo dei dati personali. Per i sistemi che comportano l’accesso a informazioni presenti nel dispositivo del destinatario o la memorizzazione di informazioni nello stesso, occorre considerare anche la disciplina applicabile alle comunicazioni elettroniche, compreso l’articolo 122 del Codice Privacy, secondo i presupposti della specifica tecnologia impiegata.
Quando il tracciamento richiede il consenso, questo deve essere libero, specifico, informato e inequivocabile. Il consenso eventualmente raccolto per l’invio della newsletter non può essere considerato automaticamente esteso al monitoraggio individuale delle aperture, dei clic o alla profilazione. Occorre valutare separatamente le finalità e le operazioni effettivamente svolte, evitando di presentare come indispensabile alla ricezione delle comunicazioni un trattamento che non lo sia realmente.
Il destinatario che ha prestato il consenso al tracciamento può revocarlo ai sensi dell’articolo 7 del GDPR. La revoca deve essere possibile con la stessa facilità con cui il consenso è stato prestato e non pregiudica la liceità del trattamento effettuato precedentemente sulla base di un consenso valido. Se il trattamento di monitoraggio è distinto dall’invio della newsletter, la revoca relativa al primo non comporta necessariamente la cancellazione dell’iscrizione al servizio informativo.
Un’altra tutela è rappresentata dal diritto di opposizione previsto dall’articolo 21 del GDPR. Quando i dati personali sono trattati per finalità di marketing diretto, l’interessato può opporsi in qualsiasi momento al trattamento per tali finalità, compresa la profilazione nella misura in cui sia connessa al marketing diretto. L’esercizio di questo diritto deve essere distinto dalla richiesta di interrompere esclusivamente una specifica attività di tracciamento, perché gli effetti dipendono dall’oggetto dell’opposizione e dalle finalità del trattamento.
Per le aziende che gestiscono newsletter, il problema operativo consiste nel verificare se la piattaforma consenta di conservare l’iscrizione disattivando le funzioni di monitoraggio individuale. La gestione delle preferenze deve essere coerente con le scelte effettivamente espresse dagli interessati. Se un destinatario revoca il consenso al tracking, il sistema non dovrebbe continuare a utilizzare identificativi individuali per la finalità revocata, né riattivare automaticamente il monitoraggio in occasione di successive campagne.
La questione assume particolare rilievo quando i dati sono distribuiti tra piattaforma newsletter, CRM aziendale e strumenti di automazione commerciale. Una preferenza modificata in un sistema potrebbe non essere immediatamente recepita dagli altri. Per questo motivo è opportuno predisporre procedure che consentano di verificare l’effettiva applicazione delle revoche e la corretta sincronizzazione delle impostazioni. Abbiamo approfondito questi aspetti nell’articolo dedicato alla revoca del tracciamento senza rinunciare alla newsletter.
Dal punto di vista della compliance, il titolare deve poter ricostruire quali trattamenti vengono effettuati, con quali strumenti e sulla base di quali presupposti. La presenza di una semplice informativa generale non è sufficiente a dimostrare che tutte le operazioni di tracciamento siano lecite. È necessario verificare la configurazione concreta della piattaforma, le informazioni rese agli iscritti e la gestione delle preferenze. Quando emergono criticità, un intervento di consulenza GDPR aziendale può aiutare a individuare le modifiche giuridiche e organizzative necessarie, mantenendo il servizio di newsletter nei limiti consentiti dalla normativa.
Esempio pratico: un’azienda vuole proteggere le caselle professionali senza perdere gli aggiornamenti ricevuti
Consideriamo il caso di una società di servizi nella quale dirigenti e dipendenti ricevono quotidianamente newsletter da fornitori, associazioni professionali e operatori commerciali. Il responsabile IT rileva che alcune comunicazioni contengono immagini remote e collegamenti personalizzati, potenzialmente utilizzabili per registrare le interazioni dei destinatari. La direzione intende limitare queste attività senza compromettere la ricezione degli aggiornamenti necessari al lavoro.
Una possibile modalità di intervento consiste nell’esaminare le configurazioni dei client di posta utilizzati, individuare le funzioni di protezione disponibili e definire istruzioni proporzionate per il personale. Occorre prestare particolare attenzione alle newsletter che richiedono il caricamento di immagini per rendere comprensibili le informazioni e ai collegamenti che transitano attraverso sistemi di tracciamento. La società può quindi valutare impostazioni differenziate, evitando blocchi indiscriminati che ostacolerebbero le normali attività aziendali.
Parallelamente, per le newsletter alle quali l’impresa è iscritta, possono essere verificate le preferenze privacy e le eventuali possibilità di disattivare il monitoraggio individuale. Quando il fornitore del servizio non distingue chiaramente tra iscrizione e tracking, è opportuno richiedere informazioni sulle finalità e sulle modalità del trattamento. L’intervento permette di affrontare il problema attraverso misure tecniche e verifiche giuridiche coordinate, senza presumere che una singola impostazione possa eliminare ogni forma di monitoraggio.
Sì, in molti casi è possibile ridurre il monitoraggio attraverso le impostazioni del programma di posta e, quando previsto, modificando le preferenze privacy presso il mittente. La possibilità di continuare a ricevere le comunicazioni dopo la revoca del consenso al tracking dipende dalla distinzione tra le finalità del trattamento e dalle caratteristiche del servizio. Il semplice blocco delle immagini remote non impedisce necessariamente il tracciamento dei clic.
Disattivare le immagini nelle email impedisce qualsiasi tracciamento?
No. Questa misura può impedire il funzionamento dei pixel che richiedono il caricamento di immagini esterne, ma non elimina automaticamente altri sistemi di monitoraggio. I collegamenti personalizzati, gli identificativi presenti negli URL e le tecnologie utilizzate nei siti raggiunti tramite la newsletter possono continuare a raccogliere informazioni, secondo le rispettive modalità di funzionamento.
Non esiste una risposta valida per ogni configurazione tecnica. Occorre esaminare il funzionamento del sistema, le informazioni raccolte, le finalità perseguite e la disciplina applicabile. Quando il tracciamento comporta operazioni soggette al requisito del consenso, non è sufficiente richiamare genericamente il legittimo interesse dell’impresa. Anche le eventuali deroghe devono essere valutate sulla base dei loro specifici presupposti.
Il dipendente può proteggere la propria casella aziendale dal tracciamento esterno?
Le impostazioni di protezione possono essere disponibili anche nelle caselle professionali, ma il dipendente deve rispettare le configurazioni e le policy legittimamente adottate dall’organizzazione. Per le aziende è opportuno definire regole uniformi e comprensibili, tenendo conto delle esigenze di sicurezza informatica, riservatezza e continuità operativa.
Una verifica professionale può essere utile quando l’azienda utilizza piattaforme che registrano aperture e clic individuali, non dispone di preferenze separate per il tracking, riceve richieste di opposizione o revoca oppure deve verificare la conformità delle proprie campagne. L’analisi deve riguardare i trattamenti effettivi, le basi giuridiche, le informative e i rapporti con i fornitori tecnologici.
Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione dei trattamenti di dati personali connessi alle comunicazioni elettroniche e alle attività di marketing. Possiamo esaminare le modalità di tracciamento utilizzate, verificare la documentazione privacy e supportare l’azienda nell’individuazione di misure tecniche e organizzative proporzionate.
Per richiedere una valutazione delle procedure aziendali o delle funzionalità di tracciamento delle newsletter è possibile utilizzare la pagina dedicata alla consulenza privacy e compliance aziendale dello Studio Legale Calvello.
