Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda affida a un’agenzia esterna la gestione delle newsletter e delle campagne di email marketing. L’agenzia utilizza una piattaforma che inserisce automaticamente tracking pixel nei messaggi per rilevare le aperture, associare i comportamenti ai singoli destinatari e produrre report commerciali. Se il tracciamento non rispetta la normativa privacy, chi ne risponde: l’azienda committente, l’agenzia marketing oppure il fornitore della piattaforma?
La risposta dipende dalle effettive funzioni svolte dai diversi soggetti, dalle decisioni sulle finalità e sui mezzi del trattamento e dagli accordi che regolano il servizio. Affidare il marketing a un fornitore esterno non trasferisce automaticamente a quest’ultimo le responsabilità del titolare del trattamento. Per l’impresa diventa quindi necessario verificare chi ha deciso di attivare i pixel, quali dati vengono raccolti, se esiste un’idonea base giuridica e quali controlli sono stati effettuati sui fornitori. Quando emergono tracciamenti non autorizzati, documentazione contrattuale insufficiente o contestazioni degli interessati, può essere opportuna una verifica legale della filiera.
Molte imprese esternalizzano completamente le attività di email marketing. L’agenzia prepara i contenuti, organizza le liste dei destinatari, configura le campagne e analizza i risultati attraverso piattaforme specializzate. L’azienda riceve periodicamente report sulle aperture e sui clic, senza necessariamente conoscere le tecnologie utilizzate per raccogliere quelle informazioni.
Il problema nasce quando il servizio comprende strumenti di tracciamento individuale che l’impresa non ha espressamente valutato. Un tracking pixel può consistere in una risorsa grafica remota, spesso invisibile, caricata dal client di posta elettronica quando il messaggio viene visualizzato. La richiesta al server può consentire di registrare informazioni sull’evento e di associarle, attraverso identificativi, a uno specifico destinatario. L’effettiva raccolta dipende anche dalle impostazioni del client, dai sistemi di protezione della privacy e dalle caratteristiche della piattaforma.
Il trattamento può quindi andare oltre la semplice spedizione della newsletter. Se la piattaforma registra quali contatti hanno aperto un messaggio, quando si è verificata l’apertura e come queste informazioni vengono utilizzate nelle successive campagne, l’azienda deve considerare anche il trattamento dei dati comportamentali. La circostanza che l’agenzia abbia attivato materialmente la funzione non esonera il committente dagli obblighi che gli competono come titolare.
Ai sensi dell’articolo 4, paragrafo 1, numero 7, del Regolamento (UE) 2016/679, il titolare è il soggetto che determina le finalità e i mezzi del trattamento, da solo o insieme ad altri. Quando l’impresa decide di utilizzare i dati dei propri clienti per campagne commerciali, stabilisce gli obiettivi dell’attività e incarica l’agenzia di eseguirla per suo conto, normalmente conserva il ruolo di titolare rispetto a quei trattamenti.
Questo comporta l’obbligo di verificare la liceità del tracciamento, l’adeguatezza dell’informativa, la gestione delle preferenze degli interessati e le garanzie offerte dai fornitori. Il consenso eventualmente raccolto per ricevere comunicazioni promozionali non deve essere considerato automaticamente sufficiente per qualsiasi ulteriore attività di monitoraggio individuale. Occorre valutare separatamente le operazioni effettivamente svolte e le condizioni applicabili, tenendo conto anche della disciplina italiana sulle comunicazioni elettroniche.
Le indicazioni del Garante per la protezione dei dati personali in materia di tracking pixel nelle email richiedono particolare attenzione alla trasparenza del trattamento, alle condizioni di utilizzo delle tecnologie di tracciamento e alle eventuali deroghe previste dalla normativa. Per approfondire questi aspetti abbiamo predisposto una analisi delle indicazioni del Garante sui tracking pixel nelle email e nelle newsletter.
Una criticità frequente riguarda i contratti che affidano genericamente all’agenzia la gestione delle campagne e l’analisi delle prestazioni, senza specificare se sia consentito tracciare individualmente le aperture, quali informazioni possano essere raccolte e per quanto tempo debbano essere conservate. In queste situazioni non basta stabilire chi abbia materialmente inserito il pixel. Occorre ricostruire le decisioni assunte dall’azienda, le istruzioni impartite all’agenzia e le impostazioni effettivamente utilizzate.
La ripartizione delle responsabilità deve essere effettuata considerando il funzionamento concreto del servizio, non soltanto le qualifiche riportate nei contratti. Il GDPR distingue il titolare del trattamento, il responsabile che opera per conto del titolare e i soggetti che determinano congiuntamente finalità e mezzi di uno stesso trattamento. Nel marketing digitale possono intervenire più operatori, ciascuno con compiti differenti e, talvolta, con ruoli diversi rispetto a singole operazioni.
L’azienda committente è normalmente titolare quando decide di utilizzare i propri contatti per attività promozionali e stabilisce gli scopi delle campagne. L’agenzia marketing può essere responsabile del trattamento ai sensi dell’articolo 28 GDPR quando gestisce gli invii, configura gli strumenti e analizza i risultati esclusivamente per conto dell’impresa, seguendone le istruzioni documentate.
Il fatto che l’agenzia scelga autonomamente alcuni strumenti tecnici non determina necessariamente un cambiamento di ruolo. Un responsabile può disporre di margini decisionali sui mezzi tecnici e organizzativi non essenziali del servizio. La situazione cambia quando l’agenzia determina autonomamente finalità proprie oppure assume decisioni essenziali sul trattamento che non possono essere ricondotte alle istruzioni del committente.
Se, ad esempio, l’agenzia utilizza i dati sulle aperture delle newsletter dei propri clienti per costruire autonomamente profili destinati ad altre attività commerciali, occorre verificare se stia operando come titolare autonomo per quelle ulteriori finalità. La contitolarità prevista dall’articolo 26 GDPR può invece configurarsi quando azienda e agenzia determinano congiuntamente finalità e mezzi essenziali del medesimo trattamento. La semplice collaborazione commerciale non comporta, di per sé, una contitolarità.
Un’analisi distinta riguarda la piattaforma utilizzata per spedire le email. Il fornitore del software può operare come responsabile del trattamento per le attività eseguite per conto dell’azienda o dell’agenzia. Può anche trattare determinati dati per finalità proprie, assumendo rispetto a quelle specifiche operazioni un diverso ruolo giuridico. Non è quindi corretto attribuire automaticamente alla piattaforma un’unica qualifica valida per tutti i dati e tutte le funzionalità.
Quando l’agenzia è responsabile del trattamento e utilizza una piattaforma esterna per svolgere il servizio, quest’ultima può assumere la posizione di subresponsabile. In tal caso devono essere rispettate le condizioni previste dall’articolo 28 GDPR, comprese quelle relative all’autorizzazione del titolare e agli obblighi contrattuali da imporre al subfornitore. Se invece l’impresa ha un rapporto contrattuale diretto con la piattaforma, la configurazione dei ruoli può essere differente.
Per questa ragione consigliamo di esaminare congiuntamente il contratto commerciale con l’agenzia, l’accordo sul trattamento dei dati, le condizioni della piattaforma e le impostazioni delle campagne. Un accordo formalmente corretto non dimostra, da solo, che il servizio sia effettivamente gestito secondo le istruzioni impartite.
Il contratto previsto dall’articolo 28 GDPR deve disciplinare, tra gli altri aspetti, l’oggetto e la durata del trattamento, le sue finalità, le categorie di dati e interessati, gli obblighi del responsabile, il ricorso ai subresponsabili, le misure di sicurezza, l’assistenza al titolare e le modalità di restituzione o cancellazione dei dati al termine del rapporto. Nel caso dei tracking pixel è opportuno che le istruzioni specifichino anche quali funzioni di monitoraggio possano essere attivate, con quali condizioni e quali controlli debbano precedere eventuali modifiche della configurazione.
La questione si collega alla disciplina generale dei rapporti tra agenzia web e azienda ai fini della nomina a responsabile del trattamento, ma richiede un esame ulteriore delle tecnologie effettivamente impiegate nelle comunicazioni elettroniche.
Occorre poi verificare dove siano trattati i dati e quali soggetti possano accedervi. Se la piattaforma o alcuni subfornitori comportano trasferimenti di dati personali verso Paesi terzi, devono essere esaminati i presupposti e le garanzie richiesti dal capo V del GDPR. La sola presenza di un contratto con un fornitore europeo non permette di escludere trasferimenti internazionali o accessi da Paesi esterni allo Spazio economico europeo.
La distinzione dei ruoli incide anche sulle responsabilità in caso di violazione. Gli articoli 82 e 83 GDPR prevedono regimi differenti per il risarcimento dei danni e per le sanzioni amministrative, da applicare secondo i rispettivi presupposti. Un’eventuale clausola contrattuale di manleva tra azienda e agenzia può disciplinare determinati rapporti economici interni, ma non elimina gli obblighi stabiliti dalla normativa nei confronti degli interessati e delle autorità di controllo.
Per valutare correttamente l’esposizione dell’impresa è quindi necessario distinguere le violazioni riconducibili alle decisioni del titolare, quelle derivanti dall’inosservanza degli obblighi propri del responsabile e quelle conseguenti ad attività autonome del fornitore. Questa ricostruzione deve essere sostenuta da documenti, istruzioni e verifiche tecniche, soprattutto quando l’azienda non dispone di una conoscenza diretta delle funzionalità attivate dall’agenzia.
Contratti, controlli e responsabilità: cosa deve verificare l’azienda quando il tracking è gestito da fornitori esterni
Una volta individuati i ruoli dei soggetti coinvolti, l’azienda deve verificare se il tracciamento delle email sia effettivamente conforme alle condizioni stabilite dalla normativa. Il controllo non può limitarsi alla presenza di un contratto con l’agenzia marketing o alla dichiarazione del fornitore secondo cui la piattaforma rispetta il GDPR. È necessario accertare quali funzioni siano attive, quali dati vengano raccolti e chi abbia autorizzato le relative operazioni.
Il primo elemento riguarda le istruzioni impartite all’agenzia. Quando questa opera come responsabile del trattamento, il contratto previsto dall’articolo 28 GDPR deve essere accompagnato da indicazioni sufficientemente precise sulle attività consentite. Se l’agenzia può modificare autonomamente le impostazioni della piattaforma, attivare il monitoraggio individuale delle aperture o collegare i dati raccolti a sistemi di profilazione, l’impresa deve stabilire quali decisioni richiedano una preventiva autorizzazione e quali verifiche debbano essere effettuate.
Particolare attenzione merita la configurazione iniziale del software. Alcune piattaforme possono prevedere funzionalità di analisi delle aperture già abilitate oppure facilmente attivabili durante la creazione delle campagne. L’azienda non dovrebbe presumere che le impostazioni predefinite siano necessariamente compatibili con le proprie finalità e con i consensi eventualmente raccolti. Il principio di protezione dei dati fin dalla progettazione e per impostazione predefinita, previsto dall’articolo 25 GDPR, richiede di valutare concretamente le modalità di trattamento adottate.
Un secondo controllo riguarda la gestione dei consensi e delle preferenze dei destinatari. L’agenzia deve conoscere quali contatti possano ricevere comunicazioni promozionali e quali ulteriori trattamenti siano consentiti. Se il tracciamento individuale richiede uno specifico consenso, la piattaforma deve permettere di rispettare tale scelta e di gestirne l’eventuale revoca. Occorre evitare che un aggiornamento delle liste, una nuova automazione o una sincronizzazione con il CRM riattivino funzioni di monitoraggio precedentemente disabilitate.
La revoca del consenso al tracciamento non coincide necessariamente con la cancellazione dalla newsletter. Quando le finalità sono distinte e il trattamento lo consente, l’interessato deve poter esercitare separatamente le proprie scelte. Abbiamo approfondito questa problematica nell’articolo dedicato alla revoca del tracciamento delle newsletter senza rinunciare alle comunicazioni.
Il terzo elemento riguarda la documentazione. L’azienda deve poter ricostruire le finalità del monitoraggio, le categorie di informazioni raccolte, i soggetti che vi accedono, i tempi di conservazione e le eventuali comunicazioni a terzi. Quando ricorrono i presupposti previsti dall’articolo 30 GDPR, queste attività devono trovare adeguata rappresentazione nel registro dei trattamenti. Occorre inoltre verificare la completezza delle informative e valutare, nei casi previsti dall’articolo 35, la necessità di una valutazione d’impatto sulla protezione dei dati.
Un aspetto spesso trascurato riguarda l’accesso dell’agenzia ai report delle campagne. I dati relativi alle aperture possono essere consultati da operatori diversi, esportati in file, trasferiti ad altri strumenti o conservati dopo la conclusione del rapporto commerciale. Le istruzioni devono quindi disciplinare gli accessi autorizzati, le modalità di utilizzo delle informazioni e la restituzione o cancellazione dei dati al termine dell’incarico, tenendo conto degli eventuali obblighi di conservazione applicabili.
È opportuno verificare anche le condizioni contrattuali della piattaforma. Il fatto che il servizio sia fornito da un operatore conosciuto non esclude la necessità di esaminare il relativo accordo sul trattamento dei dati, l’elenco dei subresponsabili, le misure di sicurezza e le eventuali operazioni svolte per finalità proprie. Quando il software viene scelto e gestito dall’agenzia, l’azienda deve poter ottenere le informazioni necessarie per valutare la filiera dei trattamenti.
Le verifiche assumono particolare rilievo quando emerge una possibile violazione. Se l’azienda scopre che l’agenzia ha attivato tracking pixel senza una valutazione preventiva o in contrasto con le istruzioni ricevute, occorre anzitutto ricostruire le operazioni effettuate e valutarne la liceità. In funzione delle circostanze può essere necessario sospendere il tracciamento, modificare le configurazioni, aggiornare la documentazione e individuare eventuali ulteriori adempimenti.
Non ogni irregolarità nel tracciamento costituisce automaticamente un data breach. La violazione dei dati personali definita dall’articolo 4, numero 12, GDPR presuppone una violazione di sicurezza che comporti, accidentalmente o in modo illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali. Un trattamento privo di idonea base giuridica può essere illecito senza integrare necessariamente tale fattispecie. La distinzione incide sugli obblighi di notifica previsti dagli articoli 33 e 34 GDPR.
Quando l’irregolarità determina una contestazione del Garante o una richiesta risarcitoria, la ripartizione delle responsabilità richiede l’esame delle condotte concretamente attribuibili ai diversi soggetti. L’azienda non può limitarsi ad affermare che il servizio era stato esternalizzato, così come non è corretto presumere che l’agenzia risponda automaticamente di ogni violazione. Occorre verificare le istruzioni impartite, gli obblighi contrattuali, le decisioni autonome dei fornitori e l’eventuale inosservanza delle disposizioni del GDPR.
In presenza di criticità, consigliamo di conservare la documentazione relativa alle configurazioni utilizzate, alle comunicazioni con l’agenzia e agli accordi applicabili, evitando interventi che compromettano la ricostruzione dei fatti. La successiva regolarizzazione del servizio deve essere accompagnata da controlli proporzionati alla natura dei trattamenti e alla struttura dell’impresa.
Esempio pratico: un’azienda scopre che l’agenzia marketing ha attivato il tracciamento delle aperture senza istruzioni specifiche
Consideriamo il caso ipotetico di una società commerciale che affida a un’agenzia esterna la gestione delle newsletter destinate ai propri clienti. Il contratto prevede l’invio delle comunicazioni e la predisposizione di report periodici, ma non disciplina espressamente il monitoraggio individuale delle aperture. Durante una verifica interna emerge che la piattaforma utilizzata dall’agenzia associa gli eventi di apertura ai singoli indirizzi email e conserva i relativi dati.
La società non dispone di documentazione sufficiente per stabilire se tale funzione sia stata autorizzata, se i destinatari abbiano ricevuto informazioni adeguate e quali condizioni giuridiche consentano il trattamento. La questione richiede quindi una valutazione coordinata del contratto con l’agenzia, dell’accordo ai sensi dell’articolo 28 GDPR, delle impostazioni della piattaforma e dei consensi eventualmente raccolti.
In una situazione di questo tipo, il nostro intervento professionale sarebbe diretto anzitutto a ricostruire i ruoli e le responsabilità dei soggetti coinvolti, verificare la liceità delle operazioni e individuare le misure correttive necessarie. Particolare attenzione andrebbe riservata alla distinzione tra le decisioni assunte dall’azienda e quelle eventualmente adottate autonomamente dall’agenzia. In base agli esiti della verifica, si potrebbe procedere alla revisione delle istruzioni contrattuali, alla modifica delle configurazioni di tracciamento e all’aggiornamento della documentazione privacy.
Domande frequenti sulla responsabilità dei tracking pixel gestiti da agenzie marketing
Se l’agenzia marketing attiva i tracking pixel senza avvisare l’azienda, chi risponde?
La responsabilità dipende dai ruoli effettivi, dalle istruzioni impartite e dalle condotte dei soggetti coinvolti. L’agenzia che opera come responsabile del trattamento deve rispettare gli obblighi previsti dal GDPR e le istruzioni documentate del titolare. L’azienda conserva gli obblighi che le competono, compresa la scelta di fornitori che presentino garanzie sufficienti. La responsabilità non può essere attribuita automaticamente a uno solo dei soggetti senza esaminare il caso concreto.
È sufficiente nominare l’agenzia responsabile del trattamento per essere in regola?
No. La nomina ai sensi dell’articolo 28 GDPR è necessaria quando ricorrono i presupposti del rapporto tra titolare e responsabile, ma deve corrispondere alle attività effettivamente svolte. Occorre verificare anche la liceità del tracciamento, le informative, le istruzioni, le misure di sicurezza, gli eventuali subresponsabili e le configurazioni della piattaforma.
Sì, quando ricorrono i presupposti previsti dalla normativa. Il fornitore può assumere il ruolo di responsabile, subresponsabile oppure titolare autonomo rispetto a determinate operazioni. La sua responsabilità deve essere valutata considerando il ruolo effettivamente svolto, gli obblighi applicabili e le eventuali violazioni commesse.
L’azienda può rivalersi sull’agenzia marketing per una sanzione privacy?
Un’eventuale azione nei confronti dell’agenzia richiede di verificare il contratto, le obbligazioni assunte, la condotta contestata e i presupposti della responsabilità. Le clausole di manleva o di ripartizione dei rischi possono assumere rilievo nei rapporti interni, ma non modificano automaticamente le responsabilità stabilite dal GDPR nei confronti dell’autorità di controllo e degli interessati.
Occorre verificare quali funzioni siano attive, quali dati siano stati raccolti e per quali finalità. È necessario ricostruire i rapporti con l’agenzia e la piattaforma, valutare la liceità delle operazioni e adottare le misure correttive appropriate. Quando emergono possibili violazioni, reclami o richieste del Garante, è opportuno procedere con una valutazione legale documentata prima di definire gli interventi.
Consulenza legale per aziende: verifica dei tracking pixel, contratti con agenzie marketing e responsabilità GDPR
Quando un’azienda affida le newsletter e le attività di email marketing a soggetti esterni, la corretta ripartizione delle responsabilità deve essere verificata insieme alla conformità effettiva dei trattamenti. Contratti incompleti, istruzioni generiche e funzioni di tracciamento attivate senza adeguati controlli possono esporre l’impresa a contestazioni e rendere più complessa la gestione dei rapporti con i fornitori.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella valutazione dei rapporti con agenzie marketing e piattaforme digitali, nella revisione degli accordi GDPR, nella verifica dei trattamenti e nella gestione delle criticità privacy. Possiamo intervenire sia in fase preventiva sia quando siano già emerse irregolarità o contestazioni.
Per sottoporci una situazione aziendale concreta e richiedere una valutazione professionale è possibile utilizzare la pagina dedicata alla consulenza privacy e compliance aziendale dello Studio Legale Calvello.
