Articolo a cura di: Redazione - Studio Legale Calvello
Un e-commerce può inviare ogni giorno newsletter promozionali, messaggi per recuperare carrelli abbandonati e conferme d’ordine senza sapere che il software utilizzato registra anche l’apertura delle e-mail da parte dei clienti. Questa funzione, spesso attiva nelle piattaforme di marketing automation, può comportare un trattamento di dati personali distinto dall’invio del messaggio e richiedere specifiche verifiche ai sensi del GDPR e del Codice Privacy. Il problema diventa particolarmente delicato quando il tracciamento viene applicato indistintamente alle comunicazioni commerciali e a quelle necessarie per gestire gli acquisti.
Per un’impresa che vende online occorre distinguere le diverse finalità delle comunicazioni, verificare quali informazioni vengono effettivamente raccolte e stabilire quando il consenso sia necessario. Le indicazioni del Garante Privacy sui tracking pixel nelle e-mail impongono di prestare attenzione anche alle configurazioni tecniche dei fornitori. Una verifica legale e organizzativa può essere opportuna quando l’azienda utilizza sistemi automatici di recupero dei carrelli, analisi delle aperture o profilazione dei clienti senza averne valutato preventivamente le implicazioni.
Newsletter, carrelli abbandonati e conferme d’ordine: perché il tracciamento delle e-mail crea problemi diversi
Nel commercio elettronico le comunicazioni inviate ai clienti possono avere finalità molto differenti, anche quando vengono gestite attraverso un’unica piattaforma. Una newsletter che propone nuovi prodotti, un messaggio che invita a completare un acquisto e una conferma d’ordine rispondono a esigenze diverse. Questa distinzione assume rilievo quando nelle e-mail vengono inseriti tracking pixel, identificativi individuali o altri strumenti capaci di rilevare le interazioni del destinatario.
Un tracking pixel è generalmente una piccola risorsa remota incorporata nel messaggio, spesso un’immagine invisibile. Quando il programma di posta la richiede al server, il sistema può registrare informazioni quali il momento della richiesta, l’indirizzo IP e un identificativo associato al messaggio o al destinatario. A seconda della configurazione, tali dati possono essere collegati all’account del cliente, allo storico degli acquisti e alle successive attività commerciali. La richiesta della risorsa non dimostra necessariamente che una persona abbia effettivamente letto il contenuto, perché alcuni programmi di posta precaricano le immagini o adottano sistemi di protezione della riservatezza.
Nel caso delle newsletter promozionali, il problema riguarda anzitutto la legittimità dell’invio della comunicazione commerciale. L’articolo 130 del Codice Privacy disciplina l’utilizzo della posta elettronica per finalità di marketing, prevedendo il consenso preventivo, salvo specifiche eccezioni, tra cui quella relativa alla promozione di prodotti o servizi propri analoghi a quelli già acquistati, alle condizioni stabilite dal comma 4. La possibilità di inviare legittimamente una newsletter non significa però che l’azienda possa automaticamente monitorare le aperture individuali o utilizzare i dati raccolti per profilare il destinatario. La liceità dell’invio e quella del tracciamento devono essere esaminate separatamente.
Le e-mail per il recupero dei carrelli abbandonati presentano ulteriori criticità. Quando un visitatore inserisce alcuni prodotti nel carrello e abbandona il sito prima di completare l’acquisto, il sistema può utilizzare l’indirizzo e-mail acquisito durante il checkout per inviargli un promemoria. Se il messaggio mira a convincere il destinatario a concludere una vendita, magari attraverso uno sconto o un’offerta personalizzata, assume normalmente una finalità promozionale. Non è sufficiente definirlo comunicazione di servizio per sottrarlo alla disciplina applicabile al marketing elettronico.
La situazione richiede particolare attenzione quando il destinatario non ha mai effettuato un acquisto presso il negozio online. La semplice introduzione dell’indirizzo e-mail nel modulo di pagamento non equivale, di per sé, al consenso per ricevere successive comunicazioni commerciali. Anche quando esiste un precedente rapporto di clientela, occorre verificare concretamente se ricorrano tutte le condizioni previste per l’eventuale applicazione dell’eccezione relativa ai clienti esistenti. Il tracciamento delle aperture costituisce poi una questione ulteriore rispetto alla possibilità di inviare il promemoria.
Diversa è la funzione delle conferme d’ordine, delle comunicazioni di spedizione e degli aggiornamenti necessari all’esecuzione del contratto. L’e-commerce può dover utilizzare l’indirizzo e-mail del cliente per comunicare l’avvenuta ricezione dell’ordine, trasmettere informazioni contrattuali o aggiornare lo stato della consegna. La necessità di inviare tali messaggi non rende però automaticamente necessario conoscere se il destinatario li abbia aperti, quante volte li abbia visualizzati o da quale dispositivo.
Il rischio aumenta quando lo stesso software inserisce automaticamente il pixel di tracciamento in tutte le comunicazioni, senza distinguere le newsletter dalle e-mail transazionali. L’impresa potrebbe così raccogliere dati sulle interazioni dei clienti anche attraverso messaggi che questi ultimi devono ricevere per completare o gestire un acquisto. Per valutare la conformità del sistema occorre quindi esaminare il contenuto dei messaggi, la finalità dell’invio, le informazioni raccolte e l’effettiva necessità delle funzioni di monitoraggio.
Quando serve il consenso per tracciare le e-mail di un e-commerce e quali deroghe possono essere applicate
La disciplina del tracciamento delle e-mail deve essere ricostruita considerando il Regolamento (UE) 2016/679, il Codice Privacy e le indicazioni del Garante per la protezione dei dati personali. Il riferimento specifico è costituito anche dal provvedimento del Garante Privacy sui tracking pixel nelle e-mail e nelle newsletter, che affronta le condizioni di utilizzo di queste tecnologie, le informazioni da rendere agli interessati e i limiti delle possibili deroghe al consenso.
Il primo passaggio consiste nel distinguere la base giuridica del trattamento dei dati necessario per inviare una comunicazione dalle condizioni che consentono l’impiego di strumenti di tracciamento. L’articolo 6 del GDPR individua le possibili basi giuridiche del trattamento, mentre l’articolo 122 del Codice Privacy contiene disposizioni specifiche relative all’accesso e all’archiviazione di informazioni nei dispositivi degli utenti. Quando la tecnologia utilizzata rientra nell’ambito di applicazione di questa disciplina, la sola individuazione di una base giuridica ai sensi del GDPR non consente di superare l’eventuale requisito del consenso previsto dalla normativa speciale.
Per le newsletter commerciali, il consenso eventualmente raccolto per ricevere messaggi promozionali non deve essere confuso con quello relativo alla raccolta di informazioni sulle aperture e sulle interazioni individuali. Il fatto che un cliente abbia accettato di ricevere offerte non autorizza automaticamente qualsiasi forma di monitoraggio del suo comportamento. Occorre verificare se il tracciamento sia stato descritto in modo comprensibile, quali finalità persegua e se la scelta dell’interessato sia sufficientemente specifica.
Il problema è ancora più evidente quando l’e-commerce utilizza i dati di apertura per attivare ulteriori iniziative commerciali. Una piattaforma potrebbe, per esempio, individuare i clienti che aprono ripetutamente un messaggio relativo a un prodotto e inserirli in una sequenza automatizzata di offerte. In questo caso il tracciamento non serve soltanto a produrre statistiche sull’efficacia della newsletter, ma alimenta un processo di analisi del comportamento individuale. La relativa valutazione deve considerare anche le regole sulla profilazione e le caratteristiche effettive del trattamento.
Per le comunicazioni transazionali occorre distinguere l’utilità del messaggio dall’eventuale necessità tecnica del monitoraggio. La conferma d’ordine può essere necessaria per documentare e gestire un acquisto, ma la registrazione dell’apertura non è automaticamente indispensabile alla sua trasmissione. Le eventuali deroghe al consenso devono essere valutate restrittivamente, in relazione alla funzione concreta dello strumento e alle condizioni indicate dalla disciplina applicabile. Non è sufficiente che il fornitore qualifichi il tracciamento come tecnico o necessario.
Una verifica specifica riguarda le e-mail che combinano finalità contrattuali e commerciali. Una conferma d’ordine contenente suggerimenti di acquisto, offerte personalizzate o collegamenti a campagne promozionali può presentare trattamenti ulteriori rispetto alla semplice gestione del contratto. L’azienda deve individuare quali dati vengono utilizzati per ciascuna finalità e non può considerare ogni attività di marketing automaticamente coperta dalla necessità di eseguire l’ordine.
Neppure il ricorso a statistiche aggregate consente, da solo, di escludere l’applicazione della disciplina privacy. Se per produrre un report complessivo la piattaforma raccoglie inizialmente informazioni riconducibili ai singoli destinatari, occorre valutare anche quella fase del trattamento. L’eventuale anonimizzazione successiva non elimina retroattivamente gli obblighi applicabili alla raccolta. Per questo motivo è necessario distinguere tra dati effettivamente anonimi, informazioni pseudonimizzate e identificativi che consentono di ricostruire il comportamento del singolo cliente.
Un ulteriore elemento riguarda la libertà del consenso. Il cliente deve poter ricevere le comunicazioni necessarie alla gestione del proprio acquisto senza essere costretto ad accettare un monitoraggio commerciale non necessario. Quando l’azienda utilizza una piattaforma che non permette di disattivare il tracking sulle e-mail transazionali, la limitazione tecnica del software non costituisce una giustificazione autonoma per raccogliere dati in assenza dei presupposti richiesti. La configurazione del servizio deve essere valutata anche sotto il profilo della protezione dei dati fin dalla progettazione e per impostazione predefinita.
La corretta gestione del consenso richiede infine di considerare le revoche e le opposizioni dei clienti. Un utente potrebbe voler continuare a ricevere una newsletter senza accettare il tracciamento individuale, oppure opporsi alle comunicazioni commerciali pur mantenendo attivo il proprio account e-commerce. Le preferenze devono essere rispettate nei diversi sistemi coinvolti, evitando che una successiva sincronizzazione tra negozio online e piattaforma di marketing riattivi funzioni precedentemente disabilitate. Le modalità operative dipendono dalle caratteristiche della piattaforma, ma la responsabilità di verificare che il trattamento sia lecito rimane in capo al titolare.
Per verificare la conformità GDPR di un e-commerce non è sufficiente controllare l’informativa privacy pubblicata sul sito o verificare la presenza di una casella per il consenso alle newsletter. Occorre esaminare concretamente il funzionamento delle comunicazioni automatiche e delle piattaforme utilizzate, individuando quali e-mail contengono strumenti di tracciamento, quali dati vengono raccolti e per quali finalità vengono successivamente utilizzati. Il controllo deve comprendere sia le campagne promozionali sia i messaggi generati durante il processo di acquisto.
La prima attività consiste nella ricognizione dei flussi di comunicazione. Un negozio online può utilizzare WooCommerce, Shopify, PrestaShop o altre piattaforme di commercio elettronico, integrate con servizi esterni di email marketing e marketing automation. In alcuni casi le conferme d’ordine vengono inviate direttamente dal sistema di vendita, mentre le newsletter e i promemoria dei carrelli abbandonati sono gestiti da applicazioni differenti. In altri casi un unico fornitore controlla tutte le comunicazioni. Questa organizzazione può rendere difficile individuare le funzioni di monitoraggio effettivamente attive.
Le verifiche devono riguardare anche le impostazioni predefinite dei software. Alcune piattaforme consentono di registrare automaticamente le aperture delle e-mail, associare identificativi ai destinatari e costruire segmenti di clientela in base alle interazioni rilevate. L’azienda deve accertare se tali funzioni siano attive, se possano essere disabilitate per determinate categorie di messaggi e se le preferenze privacy dei clienti vengano rispettate. La presenza di una funzione all’interno del software non costituisce, da sola, una base giuridica per utilizzarla.
Particolare attenzione richiede il recupero dei carrelli abbandonati. Prima di attivare un’automazione, l’impresa deve verificare come viene acquisito l’indirizzo e-mail, se il destinatario abbia già concluso precedenti acquisti e se esistano i presupposti per inviargli comunicazioni commerciali. Occorre inoltre distinguere il semplice invio del promemoria dalla raccolta di informazioni sulle aperture e dai successivi trattamenti destinati alla profilazione. Un sistema che invia offerte personalizzate sulla base delle interazioni registrate presenta caratteristiche differenti rispetto a un messaggio privo di monitoraggio individuale.
Per le conferme d’ordine e le altre e-mail transazionali, la verifica dovrebbe partire dalla necessità delle singole informazioni raccolte. Se l’obiettivo è comunicare al cliente che l’acquisto è stato ricevuto o che il prodotto è stato spedito, occorre chiedersi quale funzione svolga il pixel di apertura. Quando il monitoraggio non è necessario per la finalità perseguita e non ricorrono altri presupposti che ne consentano l’impiego, può essere necessario disattivarlo. La stessa attenzione riguarda le comunicazioni relative ai pagamenti, alla gestione dell’account e agli aggiornamenti contrattuali.
La verifica tecnica deve essere accompagnata dall’esame della documentazione privacy. Le informative devono descrivere correttamente le finalità dei trattamenti, le categorie di dati raccolti, le basi giuridiche applicabili e gli altri elementi richiesti dagli articoli 13 e 14 del GDPR. La documentazione deve corrispondere al funzionamento effettivo dei sistemi. Un’informativa che descrive genericamente l’invio di comunicazioni commerciali potrebbe non rappresentare adeguatamente un trattamento che comprende il monitoraggio individuale delle aperture e l’utilizzo dei risultati per successive campagne personalizzate. Sul punto è possibile consultare anche il nostro approfondimento dedicato a quali informazioni inserire nelle informative relative ai tracking pixel.
Devono essere esaminati anche i rapporti contrattuali con i fornitori. Quando una piattaforma tratta dati personali per conto dell’e-commerce, occorre verificare la corretta disciplina del rapporto ai sensi dell’articolo 28 del GDPR, le istruzioni impartite, gli eventuali sub-responsabili e le condizioni di trasferimento dei dati verso Paesi terzi. L’impresa deve comprendere quali informazioni il fornitore raccoglie, per quanto tempo le conserva e se le utilizza esclusivamente per le finalità concordate oppure anche per proprie finalità, da valutare separatamente.
La revisione deve comprendere il registro delle attività di trattamento, quando previsto, le procedure di gestione dei consensi e le misure di conservazione dei dati. Se il tracciamento alimenta processi di profilazione particolarmente invasivi, occorre valutare anche la necessità di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR, considerando natura, ambito, contesto, finalità e rischi del trattamento. La DPIA non è automaticamente obbligatoria per qualsiasi newsletter o sistema di recupero dei carrelli, ma deve essere effettuata quando ricorrono i presupposti normativi.
Un aspetto operativo spesso trascurato riguarda la sincronizzazione delle preferenze tra il sito e-commerce e i servizi esterni. Il cliente può revocare il consenso attraverso il collegamento presente nella newsletter, mentre il negozio online continua a conservare una precedente autorizzazione. Se i sistemi non comunicano correttamente, le successive automazioni potrebbero riattivare il monitoraggio. Occorre quindi predisporre procedure che consentano di registrare e rispettare le scelte degli interessati, distinguendo la revoca del consenso al tracciamento dall’eventuale opposizione alle comunicazioni promozionali.
Quando emergono irregolarità, l’intervento deve essere proporzionato alla situazione riscontrata. Può essere necessario modificare le configurazioni tecniche, sospendere determinate automazioni, aggiornare informative e procedure oppure riesaminare le modalità di acquisizione del consenso. Nei casi in cui siano già stati raccolti dati senza adeguati presupposti, occorre valutare anche la gestione delle informazioni esistenti e le eventuali ulteriori conseguenze. Per un’azienda che utilizza diversi strumenti integrati, una consulenza GDPR aziendale può consentire di affrontare congiuntamente gli aspetti giuridici, contrattuali e organizzativi, evitando interventi limitati alla sola modifica delle caselle di consenso.
Consideriamo il caso di un’azienda che vende prodotti online attraverso una piattaforma e-commerce collegata a un servizio di marketing automation. Il sistema invia newsletter agli iscritti, promemoria ai visitatori che interrompono il checkout e conferme d’ordine ai clienti. Durante una verifica interna emerge che il monitoraggio delle aperture è attivo su tutte le comunicazioni, comprese quelle transazionali, mentre il consenso raccolto attraverso il sito riguarda soltanto l’invio di offerte commerciali.
La situazione richiede una verifica distinta dei diversi flussi. Per le newsletter occorre esaminare la documentazione del consenso e le finalità del monitoraggio. Per i carrelli abbandonati bisogna accertare se i destinatari abbiano già acquistato e quali presupposti consentano l’invio dei promemoria. Per le conferme d’ordine è necessario verificare se il tracciamento svolga una funzione effettivamente necessaria oppure costituisca una raccolta aggiuntiva di informazioni sulle interazioni dei clienti.
Un possibile intervento consiste nel ricostruire le configurazioni delle piattaforme, separare le comunicazioni commerciali da quelle contrattuali, disabilitare le funzioni di monitoraggio prive di adeguati presupposti e aggiornare le procedure di gestione delle preferenze. L’aspetto più delicato riguarda il coordinamento tra il negozio online e il fornitore esterno, affinché le modifiche non compromettano l’invio delle comunicazioni necessarie alla gestione degli acquisti. L’esempio illustra una possibile modalità di intervento, da adattare alle caratteristiche tecniche e giuridiche dell’impresa.
Domande frequenti sul tracciamento delle e-mail negli e-commerce
Un e-commerce può inviare e-mail per recuperare i carrelli abbandonati senza consenso?
Non sempre. Se il messaggio ha finalità promozionale, l’invio deve rispettare l’articolo 130 del Codice Privacy. La semplice introduzione dell’indirizzo e-mail durante il checkout non autorizza automaticamente l’invio di solleciti commerciali. L’eventuale applicazione dell’eccezione prevista per i clienti esistenti richiede la verifica delle condizioni stabilite dalla legge, compresa l’esistenza di una precedente vendita e la promozione di prodotti o servizi propri analoghi. La liceità dell’invio non comporta automaticamente quella del tracciamento delle aperture.
È possibile inserire tracking pixel nelle conferme d’ordine e nelle e-mail di spedizione?
La possibilità di utilizzare tracking pixel nelle comunicazioni transazionali dipende dalla finalità concreta e dalle caratteristiche tecniche del trattamento. L’invio di una conferma d’ordine può essere necessario per l’esecuzione del contratto, ma il monitoraggio dell’apertura non diventa automaticamente necessario per questa ragione. Occorre verificare se ricorrano le condizioni previste dalla normativa e dalle indicazioni del Garante Privacy per un’eventuale deroga al consenso. Se il tracciamento serve a finalità commerciali o di profilazione, deve essere valutato separatamente.
Non automaticamente. Il consenso all’invio di comunicazioni promozionali e quello relativo al tracciamento individuale possono riguardare finalità e operazioni differenti. L’azienda deve verificare quali informazioni siano state fornite al cliente e se il trattamento richieda una manifestazione di volontà specifica. Il problema assume particolare rilievo quando i dati sulle aperture vengono utilizzati per segmentare i destinatari, personalizzare le offerte o attivare ulteriori automazioni commerciali.
WooCommerce, Shopify e le piattaforme di email marketing sono automaticamente conformi al GDPR?
No. L’utilizzo di una piattaforma diffusa non garantisce, di per sé, la conformità dei trattamenti effettuati dall’e-commerce. Il titolare deve verificare le funzioni attive, le modalità di raccolta dei dati, le impostazioni relative al consenso e i rapporti contrattuali con i fornitori. Occorre prestare attenzione soprattutto alle integrazioni che inseriscono automaticamente identificativi o pixel nelle newsletter, nei promemoria dei carrelli abbandonati e nelle comunicazioni transazionali. La verifica deve riguardare la configurazione effettivamente utilizzata dall’azienda.
Cosa deve fare un e-commerce che scopre di aver tracciato le e-mail dei clienti senza un consenso valido?
L’azienda deve anzitutto ricostruire quali comunicazioni siano state monitorate, quali dati siano stati raccolti e su quali presupposti giuridici si sia basato il trattamento. Se emergono attività prive delle condizioni richieste, occorre valutare la sospensione o la modifica delle funzioni interessate, la gestione dei dati già acquisiti e l’aggiornamento della documentazione privacy. La scoperta di un trattamento irregolare non comporta automaticamente un obbligo di notifica come data breach: tale obbligo presuppone una violazione di sicurezza dei dati personali e la valutazione dei relativi rischi. Quando esistono reclami, contestazioni o richieste del Garante Privacy, è opportuno esaminare tempestivamente la situazione con un professionista.
Un e-commerce che utilizza newsletter, recupero dei carrelli abbandonati e comunicazioni automatiche deve poter distinguere i trattamenti necessari alla gestione degli acquisti dalle attività di marketing e monitoraggio dei clienti. Quando più piattaforme operano contemporaneamente, verificare la liceità del tracciamento richiede un esame delle configurazioni tecniche, dei consensi, delle informative e dei rapporti con i fornitori.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella verifica e nell’adeguamento della gestione privacy e GDPR, anche con riferimento ai sistemi di email marketing, alle automazioni commerciali e al trattamento dei dati dei clienti. Possiamo esaminare le criticità riscontrate, individuare gli interventi giuridici e organizzativi necessari e assistere l’impresa in presenza di reclami o contestazioni.
Per richiedere una valutazione della situazione del proprio e-commerce è possibile contattare lo Studio Legale Calvello per una consulenza in materia di privacy e compliance aziendale.
