Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che invia newsletter, offerte commerciali o comunicazioni ai propri clienti può utilizzare collegamenti che registrano quando un destinatario clicca e quale contenuto consulta. Questo sistema, spesso attivo nelle piattaforme di email marketing, permette di misurare l’interesse verso prodotti e servizi, ma può comportare un trattamento di dati personali anche in assenza di tracking pixel. Il fatto che un’e-mail non contenga immagini invisibili non significa che i collegamenti siano privi di strumenti di tracciamento. Per il titolare del trattamento occorre verificare quali informazioni vengono raccolte, se il destinatario è identificabile, quali finalità vengono perseguite e se il sistema rispetta la normativa applicabile. Quando i clic vengono associati a singoli clienti o utilizzati per successive iniziative commerciali, la verifica deve riguardare l’intero funzionamento della piattaforma, non soltanto il contenuto del messaggio.
Come funziona il tracciamento dei clic nelle e-mail e perché può creare problemi privacy
Il tracciamento dei clic, comunemente denominato click tracking, consente al mittente di sapere se un collegamento inserito in un’e-mail è stato selezionato dal destinatario. Molte piattaforme di newsletter realizzano questa funzione sostituendo l’indirizzo originale del collegamento con un URL che passa attraverso un server di tracciamento. Quando il destinatario clicca, il sistema registra l’evento e lo reindirizza alla pagina richiesta. L’operazione può avvenire senza che l’utente percepisca il passaggio intermedio.
Il collegamento può contenere un identificativo univoco associato all’indirizzo e-mail, alla campagna o al singolo messaggio. Il server può raccogliere ulteriori informazioni, come data e ora del clic, indirizzo IP e dati tecnici relativi alla richiesta. Se queste informazioni permettono di identificare direttamente o indirettamente una persona fisica, siamo in presenza di un trattamento di dati personali ai sensi dell’articolo 4 del Regolamento (UE) 2016/679. Anche un identificativo pseudonimo rimane un dato personale quando può essere ricondotto al destinatario.
Il problema si presenta soprattutto quando l’azienda ritiene di effettuare una semplice misurazione statistica, mentre la piattaforma conserva una cronologia individuale dei collegamenti selezionati. Un’impresa potrebbe, ad esempio, inviare una newsletter contenente tre offerte e successivamente individuare quali clienti hanno consultato ciascuna proposta. Se il sistema collega questi comportamenti alle schede del CRM, le informazioni possono essere utilizzate per segmentare i contatti, assegnare punteggi commerciali o predisporre comunicazioni personalizzate. La finalità effettiva del trattamento diventa quindi determinante per la valutazione giuridica.
Occorre distinguere il tracciamento dei clic dal rilevamento delle aperture mediante tracking pixel. Il pixel può registrare il caricamento di una risorsa remota incorporata nel messaggio; il click tracking, invece, può funzionare attraverso un collegamento modificato o un servizio di reindirizzamento. I due sistemi possono essere utilizzati insieme oppure separatamente. Disabilitare il monitoraggio delle aperture non comporta necessariamente la disattivazione del tracciamento dei collegamenti.
Per questo motivo, quando verifichiamo la conformità di un sistema di email marketing, consideriamo anche le funzioni di riscrittura degli URL, i domini intermedi, gli identificativi presenti nei collegamenti e l’eventuale integrazione con strumenti di analisi del sito web. Particolare attenzione richiede il passaggio dalla semplice registrazione del clic alla successiva osservazione della navigazione sul sito aziendale: si tratta di operazioni che possono coinvolgere tecnologie e finalità differenti, ciascuna da valutare secondo le regole applicabili.
Consenso, base giuridica e informativa: quali regole deve rispettare l’azienda che traccia i clic
La prima verifica riguarda la distinzione tra liceità dell’invio dell’e-mail e liceità del successivo monitoraggio del comportamento del destinatario. Un’azienda può disporre di una base giuridica valida per inviare una newsletter senza che ciò autorizzi automaticamente qualsiasi forma di tracciamento individuale. Il consenso eventualmente raccolto per ricevere comunicazioni promozionali deve essere esaminato rispetto alle effettive operazioni di monitoraggio, alle finalità dichiarate e alle informazioni fornite all’interessato.
Il quadro normativo comprende il GDPR, il D.Lgs. 196/2003 e, quando ne ricorrono i presupposti, le disposizioni relative alla riservatezza delle comunicazioni elettroniche e all’accesso alle informazioni contenute nei dispositivi degli utenti. L’articolo 122 del Codice Privacy assume rilievo per le tecnologie che comportano memorizzazione di informazioni o accesso a informazioni già archiviate nell’apparecchiatura terminale. Non ogni collegamento tracciato può essere qualificato automaticamente nello stesso modo: occorre esaminare il funzionamento tecnico, i dati effettivamente acquisiti e le finalità perseguite.
La valutazione della base giuridica prevista dall’articolo 6 GDPR deve quindi essere distinta dall’eventuale necessità di un consenso specifico derivante dalla disciplina sulle comunicazioni elettroniche. Il legittimo interesse non può essere utilizzato per superare un obbligo di consenso previsto da una disposizione speciale. Nei casi in cui tale obbligo non trovi applicazione, il ricorso al legittimo interesse richiede comunque una valutazione documentata della necessità del trattamento e del bilanciamento con i diritti e le aspettative degli interessati. La mera utilità commerciale del monitoraggio non è sufficiente a dimostrarne la liceità.
Per un’impresa che utilizza collegamenti personalizzati nelle newsletter, è necessario verificare se l’informativa descriva correttamente la raccolta dei dati relativi ai clic, le finalità statistiche o commerciali, i destinatari delle informazioni, i tempi di conservazione e i diritti esercitabili. Quando il tracciamento comporta profilazione, l’informativa deve consentire al destinatario di comprendere anche come i suoi comportamenti possano incidere sulla selezione delle comunicazioni successive. Un riferimento generico all’utilizzo di strumenti di marketing potrebbe non rappresentare adeguatamente il trattamento effettivamente svolto.
Un ulteriore controllo riguarda i fornitori. Le piattaforme di email marketing possono gestire direttamente i server di reindirizzamento, conservare i log e mettere a disposizione dell’azienda report individuali. Occorre stabilire il ruolo privacy del fornitore in relazione alle singole attività, verificare l’eventuale contratto ai sensi dell’articolo 28 GDPR e accertare se siano coinvolti sub-responsabili o trasferimenti di dati verso Paesi terzi. La disponibilità di un contratto standard non sostituisce la verifica delle operazioni concretamente effettuate.
La documentazione aziendale deve essere coerente con queste scelte. Il registro dei trattamenti, quando applicabile, deve rappresentare le attività svolte; i tempi di conservazione devono essere giustificati e le impostazioni della piattaforma devono rispettare i principi di minimizzazione e protezione dei dati fin dalla progettazione. Se il monitoraggio presenta un rischio elevato per i diritti e le libertà delle persone, occorre valutare la necessità di una DPIA ai sensi dell’articolo 35 GDPR. Non si tratta di un adempimento automaticamente obbligatorio per ogni newsletter, ma di una valutazione collegata alle caratteristiche e ai rischi del trattamento.
Per approfondire il rapporto tra informazione e consenso nelle tecnologie di monitoraggio delle e-mail, abbiamo trattato separatamente le condizioni per raccogliere il consenso ai tracking pixel e le informazioni da fornire ai destinatari. Nel caso dei clic, l’analisi deve estendersi ai collegamenti riscritti e ai dati registrati dopo la selezione del link, anche quando il rilevamento delle aperture è stato disabilitato.
Quali controlli deve effettuare l’azienda sui link tracciati, sui fornitori e sui dati raccolti
La conformità del tracciamento dei clic non può essere valutata esclusivamente leggendo l’informativa privacy o verificando la presenza di un consenso. Occorre esaminare concretamente il funzionamento del sistema utilizzato dall’impresa. Una piattaforma di email marketing può registrare il clic su un collegamento, associarlo a un destinatario identificabile, conservarlo nella cronologia del contatto e trasmetterlo a un CRM. Queste operazioni devono essere ricostruite per stabilire quali trattamenti siano effettivamente svolti, da quali soggetti e per quali finalità.
Il primo controllo riguarda le impostazioni della piattaforma. È necessario verificare se il click tracking sia attivo automaticamente, se possa essere disabilitato separatamente dal monitoraggio delle aperture e se sia possibile distinguere le statistiche aggregate dai report individuali. Un sistema che permette di conoscere il numero complessivo di clic su una campagna presenta caratteristiche diverse da uno che registra nominativamente ogni collegamento selezionato. La distinzione deve però essere effettiva: un report aggregato non rende anonimo il trattamento se il fornitore continua a conservare dati individuali riconducibili ai destinatari.
Un secondo controllo riguarda gli identificativi incorporati negli URL. I collegamenti possono contenere codici univoci che permettono alla piattaforma di riconoscere il destinatario senza riportarne esplicitamente l’indirizzo e-mail. Occorre verificare quali informazioni siano accessibili attraverso tali codici, per quanto tempo rimangano utilizzabili e se possano essere trasmesse a soggetti ulteriori durante il reindirizzamento. Particolare attenzione richiedono i parametri inseriti negli indirizzi web, perché potrebbero essere acquisiti anche dai sistemi di analisi del sito di destinazione o da altri servizi coinvolti nella navigazione.
La verifica deve estendersi ai log dei server di tracciamento, ai tempi di conservazione e alle autorizzazioni di accesso. L’azienda dovrebbe conoscere quali dati vengono registrati, dove sono conservati, chi può consultarli e secondo quali criteri vengono cancellati. Conservare indefinitamente la cronologia dei clic di ciascun cliente, senza una finalità documentata che giustifichi tale durata, può risultare incompatibile con il principio di limitazione della conservazione previsto dall’articolo 5 GDPR.
Quando il tracciamento è gestito da una piattaforma esterna, è necessario verificare anche le condizioni contrattuali, le misure di sicurezza, gli eventuali sub-responsabili e i trasferimenti internazionali. Il titolare deve poter comprendere se il fornitore utilizzi i dati esclusivamente per erogare il servizio richiesto oppure anche per proprie finalità. Nel primo caso occorre verificare la disciplina del rapporto ai sensi dell’articolo 28 GDPR; eventuali trattamenti autonomi richiedono una distinta valutazione dei ruoli e delle responsabilità.
Un ulteriore problema emerge quando le informazioni sui clic vengono trasferite automaticamente al CRM aziendale. Il responsabile commerciale potrebbe visualizzare quali clienti hanno consultato una determinata offerta e utilizzare questi dati per stabilire chi contattare telefonicamente o a chi inviare ulteriori comunicazioni. Il passaggio dalla misurazione statistica all’utilizzo individuale del comportamento del destinatario può modificare la valutazione delle finalità, della base giuridica e delle informazioni da fornire. Occorre verificare anche le autorizzazioni degli utenti interni e le regole applicate alle successive attività commerciali.
Quando il sistema è già operativo, consigliamo di ricostruire le configurazioni esistenti prima di modificarle, verificando quali trattamenti siano stati effettuati e quali dati siano ancora conservati. Se emergono criticità, l’impresa deve valutare la sospensione delle funzioni non adeguatamente giustificate, la revisione delle informative e delle impostazioni, la gestione dei dati precedentemente raccolti e l’eventuale aggiornamento della documentazione privacy. Non è sufficiente introdurre un nuovo testo di consenso per considerare automaticamente regolari i trattamenti già svolti.
Queste verifiche possono essere inserite nell’attività di controllo del DPO, quando nominato, oppure affidate a un professionista incaricato della compliance GDPR. Per le aziende che intendono verificare il proprio sistema di marketing digitale, abbiamo approfondito anche come si svolge un audit privacy aziendale e come applicare concretamente la privacy by design e by default.
Consideriamo il caso di una società commerciale che utilizza una piattaforma per inviare newsletter periodiche ai propri clienti. L’azienda ha disattivato il monitoraggio delle aperture, ritenendo così di aver eliminato il tracciamento individuale, ma durante una verifica emerge che i collegamenti presenti nei messaggi continuano a essere riscritti automaticamente. Ogni clic viene registrato e associato alla scheda del destinatario, rendendo disponibile al reparto commerciale la cronologia delle offerte consultate.
In una situazione di questo tipo, il nostro intervento consiste anzitutto nel ricostruire il funzionamento tecnico della piattaforma, esaminare le impostazioni attive e verificare la documentazione privacy. L’aspetto più delicato riguarda la distinzione tra le statistiche necessarie a valutare l’andamento delle campagne e il monitoraggio individuale utilizzato per successive iniziative commerciali. Occorre quindi verificare la liceità dei diversi trattamenti, la posizione del fornitore e le informazioni rese ai destinatari.
Sulla base delle risultanze, l’azienda può valutare la disattivazione delle funzioni non adeguatamente giustificate, la separazione delle finalità statistiche da quelle di profilazione e la revisione delle procedure interne. L’esempio mostra perché disabilitare i tracking pixel non equivale necessariamente a interrompere il monitoraggio dei destinatari e perché una verifica privacy deve comprendere anche i collegamenti presenti nelle e-mail.
Domande frequenti sul tracciamento dei clic nelle e-mail e sugli obblighi GDPR
Non esiste una risposta valida per qualsiasi sistema di tracciamento. Occorre verificare la tecnologia utilizzata, le informazioni raccolte e le finalità del trattamento. Quando trovano applicazione disposizioni specifiche che richiedono il consenso, questo non può essere sostituito dal legittimo interesse. Negli altri casi, la base giuridica deve essere individuata secondo l’articolo 6 GDPR. Il consenso all’invio della newsletter non autorizza automaticamente il monitoraggio individuale dei clic.
Se l’azienda disattiva i tracking pixel, può continuare a registrare i clic sui collegamenti?
Dal punto di vista tecnico, sì. Il tracciamento dei clic può funzionare attraverso collegamenti personalizzati e server di reindirizzamento, indipendentemente dal rilevamento delle aperture. La disattivazione dei pixel non rende automaticamente lecito il click tracking. L’azienda deve verificare separatamente le due funzionalità e accertare quali dati personali continuino a essere raccolti.
È possibile utilizzare i clic sulle e-mail per individuare i clienti interessati a un’offerta?
Il collegamento tra i clic e le schede dei clienti può costituire un trattamento finalizzato alla profilazione commerciale, a seconda delle modalità concrete di utilizzo. Occorre verificare la base giuridica, le informazioni fornite agli interessati e le eventuali condizioni richieste dalla disciplina sulle comunicazioni elettroniche. Se i dati vengono utilizzati per attivare ulteriori comunicazioni promozionali, deve essere verificata anche la liceità di queste successive attività.
L’azienda che determina finalità e mezzi del trattamento conserva le responsabilità proprie del titolare, anche quando utilizza un fornitore esterno. La piattaforma può operare come responsabile del trattamento oppure, per determinate attività, assumere un diverso ruolo privacy. Occorre verificare i rapporti contrattuali, le istruzioni impartite e le operazioni concretamente svolte. L’affidamento del servizio a un soggetto esterno non esonera automaticamente l’impresa dai propri obblighi GDPR.
Cosa deve fare un’azienda che scopre di aver tracciato i clic senza adeguate verifiche privacy?
È opportuno ricostruire le modalità del trattamento, individuare i dati raccolti e verificare la liceità delle operazioni effettuate. In presenza di criticità, l’azienda deve valutare la sospensione delle funzioni interessate, la revisione delle informative e delle impostazioni, nonché la gestione dei dati già conservati. Se emerge anche una violazione della sicurezza dei dati personali, occorre valutare separatamente gli eventuali obblighi previsti dagli articoli 33 e 34 GDPR. La sola irregolarità della base giuridica non costituisce automaticamente un data breach.
Consulenza privacy e GDPR per verificare il tracciamento dei clic nelle e-mail aziendali
Un sistema di email marketing può raccogliere informazioni sui destinatari anche quando i tracking pixel sono disabilitati. Per un’azienda che utilizza newsletter, CRM e automazioni commerciali, è opportuno verificare la configurazione dei collegamenti, le finalità del monitoraggio, la base giuridica, i rapporti con i fornitori e la documentazione privacy.
Lo Studio Legale Calvello assiste le imprese nella verifica della conformità GDPR dei sistemi di tracciamento delle e-mail, nell’analisi delle criticità, nell’adeguamento delle procedure e nella gestione delle eventuali contestazioni. Possiamo intervenire su sistemi già operativi oppure prima dell’attivazione di nuove funzionalità di monitoraggio, anche nell’ambito di un incarico di consulenza privacy continuativa o di DPO esterno.
Per sottoporre alla nostra attenzione il sistema utilizzato dalla vostra azienda e valutare le verifiche necessarie, potete richiedere una consulenza in materia di privacy e compliance aziendale allo Studio Legale Calvello.
