Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che utilizza una piattaforma per inviare newsletter può raccogliere informazioni sui destinatari senza rendersene pienamente conto. Alcuni software, infatti, inseriscono nelle e-mail piccoli elementi grafici invisibili, denominati tracking pixel, che permettono di rilevare l’apertura dei messaggi e, secondo la configurazione adottata, ulteriori informazioni sulle interazioni degli utenti. Il problema si presenta quando il modulo di iscrizione contiene una generica informativa sul trattamento dei dati personali, ma non spiega che le comunicazioni ricevute potranno essere monitorate.
Le indicazioni del Garante per la protezione dei dati personali sui tracking pixel nelle e-mail richiedono alle imprese di verificare la trasparenza dei trattamenti effettuati. Non basta dichiarare che l’indirizzo e-mail sarà utilizzato per inviare comunicazioni commerciali: occorre descrivere le ulteriori operazioni di trattamento effettivamente svolte, distinguere le finalità perseguite e indicare le relative basi giuridiche. Per le aziende che utilizzano newsletter, sistemi CRM e piattaforme di marketing automation, questo comporta una revisione coordinata dei moduli di raccolta dei contatti, delle informative privacy e delle comunicazioni inviate agli iscritti.
Il primo controllo che consigliamo alle aziende riguarda il funzionamento effettivo della piattaforma utilizzata per l’invio delle comunicazioni. Molti servizi di email marketing consentono di conoscere quante volte un messaggio viene aperto, quali destinatari risultano averlo visualizzato e quando si verifica l’apertura. Queste informazioni possono essere associate all’indirizzo e-mail, al profilo del cliente o ai dati presenti nel gestionale commerciale. In tali circostanze il tracking pixel non rappresenta una semplice funzionalità statistica, ma uno strumento attraverso il quale vengono effettuate operazioni di trattamento di dati personali.
La circostanza che il sistema sia attivato automaticamente dal fornitore non esonera l’azienda dalle proprie responsabilità. Il titolare del trattamento deve conoscere quali informazioni vengono raccolte, per quali finalità sono utilizzate e se i dati sono riferibili direttamente o indirettamente a persone fisiche identificabili. Deve anche verificare se la piattaforma utilizzi i dati esclusivamente per fornire il servizio richiesto oppure li tratti per proprie finalità, situazione che richiede un’ulteriore valutazione dei ruoli privacy.
L’informativa privacy prevista dagli articoli 12 e 13 del Regolamento (UE) 2016/679 deve consentire all’interessato di comprendere le caratteristiche essenziali del trattamento prima che i dati siano raccolti. Quando l’azienda acquisisce direttamente l’indirizzo e-mail attraverso un modulo di iscrizione, l’informativa deve essere resa in quel momento. Se il sistema prevede anche il monitoraggio delle aperture mediante pixel, tale attività deve essere descritta in maniera comprensibile, senza nasconderla dietro formule generiche come “analisi statistiche” o “miglioramento dei servizi”.
La questione diventa particolarmente delicata quando l’informativa dichiara soltanto che i dati saranno utilizzati per l’invio della newsletter. Un destinatario che comunica il proprio indirizzo per ricevere aggiornamenti non è necessariamente consapevole che l’azienda possa registrare le aperture dei messaggi, collegarle al suo nominativo e utilizzare queste informazioni per valutare il suo interesse verso determinati prodotti o servizi. La trasparenza richiesta dal GDPR impone di rendere riconoscibili tali operazioni e le rispettive finalità.
Occorre distinguere anche l’obbligo di informativa dall’eventuale obbligo di acquisire il consenso. Informare il destinatario dell’esistenza del tracking pixel non significa, di per sé, essere autorizzati ad attivarlo. La liceità dell’impiego dello strumento deve essere verificata separatamente, tenendo conto del GDPR, dell’articolo 122 del Codice Privacy e delle indicazioni dell’Autorità. Per approfondire questo aspetto abbiamo dedicato un’analisi specifica al consenso ai tracking pixel nelle e-mail e alle modalità per raccoglierlo.
Per l’impresa il problema non riguarda soltanto la correttezza formale del documento. Se l’informativa non corrisponde alle operazioni realmente svolte dalla piattaforma, la documentazione privacy può risultare incompleta anche quando il modulo di iscrizione è stato predisposto da un professionista o contiene un collegamento alla privacy policy aziendale. La verifica deve quindi partire dalle funzionalità tecniche effettivamente attive e proseguire con l’analisi del testo comunicato agli interessati.
Quali informazioni devono comparire nell’informativa sui tracking pixel e come inserirle nei moduli
La redazione dell’informativa deve partire dall’individuazione delle finalità per cui l’azienda utilizza i tracking pixel. Se la piattaforma rileva l’apertura delle newsletter per misurare il rendimento delle campagne, questa finalità deve essere descritta. Se le informazioni vengono associate al singolo destinatario per segmentare i contatti, personalizzare le successive comunicazioni o attivare automatismi commerciali, occorre rappresentare anche tali ulteriori utilizzi. Una formulazione che richiami genericamente l’elaborazione di statistiche non è sufficiente a descrivere trattamenti individualizzati o attività di profilazione.
È necessario precisare quali categorie di dati personali vengono effettivamente raccolte. A seconda delle caratteristiche della piattaforma, possono comprendere l’identificativo del destinatario, l’indirizzo e-mail associato al messaggio, la data e l’ora dell’apertura, informazioni tecniche relative alla richiesta di caricamento dell’immagine e altri dati ricavabili dal funzionamento del sistema. Non bisogna però attribuire automaticamente a ogni pixel la raccolta di tutte queste informazioni. Alcuni servizi utilizzano meccanismi di protezione della privacy che possono alterare o rendere meno attendibili i dati rilevati.
L’informativa deve indicare la base giuridica applicabile alle singole finalità. Per i trattamenti che richiedono il consenso, il testo deve spiegare come questo viene raccolto e come può essere successivamente revocato. Qualora l’azienda ritenga applicabile una specifica deroga al consenso, deve verificarne i presupposti senza considerare sufficiente la semplice qualificazione del trattamento come statistico o tecnico. L’eventuale assenza dell’obbligo di consenso non elimina automaticamente gli obblighi di trasparenza previsti dal GDPR.
Un ulteriore elemento riguarda i tempi di conservazione dei dati ricavati dal tracciamento. L’azienda deve indicare il periodo previsto oppure, quando non sia possibile determinarlo anticipatamente, i criteri utilizzati per stabilirlo. È necessario distinguere la conservazione dell’indirizzo e-mail nella lista degli iscritti da quella delle informazioni relative alle aperture. I due trattamenti possono avere finalità differenti e non devono necessariamente condividere gli stessi termini di conservazione.
Devono essere riportate, secondo quanto richiesto dagli articoli 13 e 14 del GDPR, anche le informazioni relative all’identità e ai dati di contatto del titolare, agli eventuali contatti del DPO, ai destinatari o alle categorie di destinatari dei dati, agli eventuali trasferimenti verso Paesi terzi e ai diritti esercitabili dagli interessati. Se i dati sono utilizzati per processi decisionali automatizzati che rientrano nell’articolo 22 del GDPR, devono essere fornite le ulteriori informazioni previste dalla normativa. Non ogni sistema di segmentazione commerciale integra automaticamente tale fattispecie.
Particolare attenzione merita il rapporto con il fornitore del servizio newsletter. Quando una piattaforma esterna tratta dati personali per conto dell’azienda, occorre verificare l’accordo previsto dall’articolo 28 del GDPR e le effettive modalità del trattamento. L’informativa deve essere coerente con queste verifiche, soprattutto quando il servizio comporta il ricorso a ulteriori fornitori o trasferimenti internazionali di dati personali.
Quanto alla collocazione, nel modulo di iscrizione è possibile utilizzare un’informativa articolata su più livelli, purché le informazioni siano facilmente accessibili e il destinatario possa comprendere il trattamento prima di fornire i propri dati. Un testo sintetico può richiamare le principali finalità e rinviare, mediante un collegamento chiaramente identificabile, all’informativa completa. La presenza di un link non giustifica però una presentazione ambigua delle operazioni di monitoraggio né sostituisce le eventuali modalità necessarie per raccogliere un consenso valido.
Lo stesso criterio vale per i moduli realizzati con WordPress, Contact Form 7 o altri strumenti di acquisizione dei contatti. Il contenuto dell’informativa deve corrispondere alle funzionalità effettivamente utilizzate, indipendentemente dalla tecnologia con cui è stato costruito il sito. Quando l’azienda raccoglie l’indirizzo e-mail attraverso più canali, per esempio un modulo newsletter, una landing page commerciale e una procedura di registrazione, deve verificare che le informazioni rese nei diversi punti di raccolta siano coerenti.
Per approfondire gli elementi generali richiesti dalla normativa abbiamo predisposto una guida dedicata alle informative privacy e ai contenuti che devono prevedere. Nel caso dei tracking pixel, il documento deve essere adattato alle specifiche modalità con cui vengono raccolti e utilizzati i dati delle aperture, evitando formule standard che non descrivano il funzionamento reale del servizio.
Obblighi dell’azienda, responsabilità e rischi quando l’informativa sui tracking pixel è incompleta
Una volta individuati i dati raccolti attraverso i tracking pixel e predisposta l’informativa, l’azienda deve verificare che quanto dichiarato ai destinatari corrisponda alle modalità effettive di funzionamento del servizio. La conformità non dipende soltanto dalla presenza di un documento formalmente corretto: occorre controllare che le impostazioni della piattaforma newsletter, le finalità del trattamento e le modalità di raccolta del consenso siano coerenti con le informazioni fornite agli interessati.
Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR impone al titolare di essere in grado di dimostrare il rispetto dei principi applicabili al trattamento. Nel caso delle newsletter aziendali, questo significa poter documentare quali funzionalità di tracciamento sono state attivate, quali dati vengono raccolti, quali informazioni sono state comunicate agli iscritti e quali verifiche sono state effettuate sulla liceità delle operazioni.
Una criticità ricorrente riguarda l’utilizzo di informative privacy predisposte prima dell’introduzione di strumenti di monitoraggio delle aperture. L’azienda può avere raccolto correttamente gli indirizzi e-mail per l’invio delle newsletter e avere successivamente attivato una funzione statistica della piattaforma, senza aggiornare la documentazione. In questa situazione occorre distinguere la finalità originaria di invio delle comunicazioni dal nuovo trattamento collegato al tracciamento, verificando se siano necessarie ulteriori informazioni e una distinta base di liceità.
La presenza di un consenso valido all’invio di comunicazioni commerciali non comporta automaticamente la liceità del monitoraggio delle aperture. Analogamente, l’aggiornamento dell’informativa non può sanare, da solo, un’attività di tracciamento effettuata in assenza dei presupposti richiesti dalla normativa. Per questa ragione consigliamo di verificare separatamente la trasparenza del trattamento, la base giuridica e le condizioni tecniche di attivazione dei pixel, evitando di considerare la semplice accettazione della privacy policy come un’autorizzazione generale a qualsiasi successivo utilizzo dei dati.
Un altro problema riguarda la coerenza tra le diverse informative aziendali. Il modulo di iscrizione può rinviare a una privacy policy pubblicata sul sito, mentre le newsletter contengono un collegamento a una versione differente del documento. Se le informazioni non coincidono oppure non descrivono le effettive modalità di monitoraggio, il destinatario potrebbe non comprendere quali trattamenti vengono effettuati. È quindi opportuno verificare che i testi utilizzati nei diversi canali siano aggiornati e che le modifiche vengano documentate.
Quando il sistema di tracciamento è gestito attraverso un fornitore esterno, il titolare deve inoltre conoscere le funzionalità disponibili e le impostazioni effettivamente applicate. La semplice dichiarazione del fornitore secondo cui la piattaforma è conforme al GDPR non sostituisce le verifiche che competono all’azienda. Devono essere esaminati i ruoli dei soggetti coinvolti, le istruzioni impartite, le condizioni contrattuali e le eventuali operazioni di trattamento effettuate per finalità proprie del provider. Abbiamo approfondito questi profili nell’articolo dedicato ai tracking pixel gestiti da agenzie marketing e alle responsabilità di aziende, agenzie e piattaforme.
Le conseguenze di un’informativa incompleta dipendono dalle caratteristiche della violazione. L’omissione di informazioni dovute può integrare una violazione degli obblighi di trasparenza del GDPR; se il tracking è stato effettuato senza il necessario consenso o in assenza di un’altra condizione legittimante, possono emergere ulteriori profili di illiceità. Il Garante per la protezione dei dati personali dispone dei poteri correttivi previsti dall’articolo 58 del GDPR, che comprendono, secondo i presupposti del caso, ammonimenti, ordini di adeguamento, limitazioni del trattamento e sanzioni amministrative pecuniarie.
Le violazioni degli obblighi informativi previsti dagli articoli 12, 13 e 14 del GDPR rientrano nel sistema sanzionatorio dell’articolo 83, paragrafo 5, del Regolamento. La disposizione prevede, nei casi applicabili, sanzioni fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi normativi, non di importi automaticamente applicabili: l’eventuale sanzione deve essere valutata considerando i criteri stabiliti dal Regolamento e le circostanze concrete della violazione.
Quando un’azienda scopre che le newsletter sono state inviate con pixel di tracciamento non adeguatamente descritti nell’informativa, è opportuno ricostruire le modalità del trattamento, verificare se la funzione debba essere temporaneamente disattivata e individuare le misure correttive necessarie. L’analisi deve considerare anche le informazioni già raccolte e le condizioni che ne consentono l’eventuale ulteriore conservazione o utilizzo. La cancellazione dei dati, l’aggiornamento delle informative e la revisione delle impostazioni tecniche sono interventi da valutare in relazione alla situazione concreta.
Il DPO, quando nominato, deve essere coinvolto nelle verifiche pertinenti alle proprie funzioni di consulenza e sorveglianza sull’osservanza della normativa. Resta comunque in capo al titolare del trattamento la responsabilità delle decisioni relative alle finalità, ai mezzi e alla liceità del trattamento. Per le imprese che utilizzano più piattaforme o gestiscono liste di contatti particolarmente articolate, può risultare necessario un controllo coordinato tra direzione aziendale, responsabili marketing, reparto IT e consulente privacy.
Per una verifica complessiva delle funzionalità tecniche e organizzative abbiamo predisposto un approfondimento su tracking pixel nelle e-mail aziendali e controlli necessari per la conformità privacy. Nell’ambito dell’informativa, l’obiettivo specifico è accertare che ogni trattamento effettivamente svolto sia rappresentato in modo corretto, comprensibile e coerente con la documentazione aziendale.
Consideriamo il caso di una società commerciale che utilizza da alcuni anni una piattaforma per inviare newsletter ai propri clienti. Il modulo di iscrizione presente sul sito contiene un’informativa privacy che descrive esclusivamente l’invio di comunicazioni promozionali. Durante una verifica interna emerge che il software registra anche le aperture dei messaggi e associa tali informazioni ai singoli indirizzi e-mail, rendendole consultabili dal personale commerciale.
In una situazione di questo tipo, l’intervento professionale consiste anzitutto nell’esaminare le impostazioni della piattaforma e individuare i dati effettivamente trattati. Occorre poi verificare la base giuridica delle diverse finalità, il contenuto dell’informativa originaria e le modalità con cui i destinatari sono stati informati. Particolare attenzione deve essere riservata alla distinzione tra il consenso eventualmente raccolto per ricevere la newsletter e quello eventualmente necessario per il monitoraggio delle aperture.
Sulla base delle verifiche, l’azienda può procedere alla revisione dell’informativa, all’adeguamento del modulo di iscrizione e alla riconfigurazione delle funzionalità di tracciamento. Deve inoltre valutare la posizione dei contatti già presenti nel database e la gestione dei dati precedentemente raccolti. L’esempio mostra perché l’aggiornamento del solo testo della privacy policy non è necessariamente sufficiente: la documentazione deve essere coordinata con le impostazioni del software e con le effettive modalità di trattamento.
Domande frequenti sull’informativa privacy dei tracking pixel nelle e-mail
Sì, quando i tracking pixel comportano un trattamento di dati personali, l’azienda deve fornire agli interessati le informazioni previste dal GDPR. L’informativa deve descrivere le finalità del monitoraggio, le categorie di dati raccolti, la base giuridica applicabile e gli altri elementi richiesti dagli articoli 13 e 14 del Regolamento. Una generica dichiarazione sull’invio di comunicazioni commerciali non è sufficiente a descrivere il tracciamento delle aperture, soprattutto quando i dati vengono associati ai singoli destinatari.
È sufficiente inserire un collegamento alla privacy policy nel modulo di iscrizione?
Il collegamento a un’informativa completa può essere utilizzato nell’ambito di un sistema informativo articolato su più livelli, purché il documento sia facilmente accessibile e le informazioni siano rese nei tempi previsti dalla normativa. Il testo deve descrivere concretamente il funzionamento dei tracking pixel. Il semplice inserimento di un link alla privacy policy non sostituisce l’eventuale consenso necessario per attivare il tracciamento e non rende conforme un’informativa che omette le effettive finalità del trattamento.
Quando vengono introdotte nuove attività di tracciamento o modificate le finalità del trattamento, l’azienda deve verificare la necessità di fornire informazioni aggiornate anche ai destinatari già presenti nel database. La modalità dipende dalle informazioni precedentemente rese e dalle caratteristiche del nuovo trattamento. L’aggiornamento documentale non rende automaticamente lecite le operazioni già effettuate. Per la gestione delle liste esistenti abbiamo predisposto un approfondimento su newsletter già attive, tracking pixel e gestione dei vecchi contatti e consensi.
Nell’informativa bisogna indicare anche le statistiche aggregate sulle aperture?
La risposta dipende dalle operazioni effettivamente svolte. Se il sistema raccoglie inizialmente informazioni riferibili a singoli destinatari e soltanto successivamente produce statistiche aggregate, occorre considerare anche il trattamento individuale che precede l’aggregazione. Se invece vengono trattati esclusivamente dati effettivamente anonimi, non riferibili a persone fisiche identificabili, il GDPR non si applica a tali dati. La qualificazione delle statistiche non può basarsi soltanto sulla denominazione utilizzata dal fornitore. Abbiamo esaminato questa distinzione nell’articolo dedicato a misurazione delle aperture delle newsletter e limiti delle statistiche aggregate senza consenso.
Chi deve predisporre e verificare l’informativa sui tracking pixel aziendali?
La responsabilità della corretta informazione agli interessati compete al titolare del trattamento. La redazione e la verifica possono essere affidate a professionisti esperti in protezione dei dati personali, con il coinvolgimento del DPO quando nominato e delle funzioni aziendali che gestiscono concretamente la piattaforma newsletter. Una valutazione legale coordinata con le verifiche tecniche permette di individuare eventuali differenze tra quanto dichiarato nell’informativa e quanto effettivamente effettuato dal software, nonché di definire gli interventi necessari.
Un’informativa privacy incompleta può esporre l’azienda a contestazioni anche quando il sistema di tracciamento è stato attivato automaticamente dalla piattaforma utilizzata per l’invio delle newsletter. Per verificare la conformità occorre esaminare le informazioni fornite agli iscritti, le finalità del monitoraggio, le basi giuridiche applicabili e il funzionamento effettivo degli strumenti informatici.
Come Studio Legale Calvello assistiamo le imprese nella revisione delle informative privacy, nell’adeguamento dei moduli di iscrizione, nella verifica dei trattamenti effettuati attraverso tracking pixel e nella gestione delle criticità relative alla protezione dei dati personali. L’intervento può riguardare una specifica campagna di email marketing oppure inserirsi in un’attività più ampia di consulenza GDPR e supporto al titolare del trattamento.
Se la vostra azienda utilizza newsletter, CRM o piattaforme di marketing automation e deve verificare se le informazioni rese ai destinatari siano corrette e complete, potete richiedere una consulenza allo Studio Legale Calvello per valutare la documentazione esistente, individuare le eventuali criticità e definire gli adeguamenti necessari.
