Articolo a cura di: Redazione - Studio Legale Calvello
Un cliente può voler continuare a ricevere la newsletter aziendale senza consentire che l’impresa registri quando apre le e-mail o ne analizzi il comportamento attraverso strumenti di tracciamento. Per chi gestisce campagne di email marketing, questa richiesta pone un problema concreto: interrompere il monitoraggio del destinatario senza cancellarlo dalla mailing list e senza compromettere il consenso eventualmente prestato per ricevere le comunicazioni. Non basta modificare l’informativa privacy o aggiungere un collegamento per disiscriversi. Occorre verificare come funzionano la piattaforma di invio, le preferenze degli iscritti e gli eventuali sistemi collegati. Una gestione inadeguata della revoca può esporre l’azienda a reclami e contestazioni, soprattutto quando il tracciamento prosegue nonostante la volontà espressa dall’interessato.
Il problema nasce quando l’azienda considera l’iscrizione alla newsletter e il monitoraggio delle interazioni del destinatario come un’unica operazione. Nella pratica, molte piattaforme di email marketing permettono di registrare l’apertura dei messaggi mediante tracking pixel, associare i clic a un determinato contatto e utilizzare queste informazioni per analizzare l’interesse verso prodotti o servizi. L’impresa può così disporre di dati individuali sulle campagne, anche quando il destinatario ritiene di avere semplicemente autorizzato la ricezione di comunicazioni commerciali.
Dal punto di vista della protezione dei dati personali, occorre distinguere la finalità di invio della newsletter dalla finalità di monitoraggio individuale delle aperture e delle altre interazioni. Il fatto che un cliente abbia acconsentito a ricevere messaggi promozionali non autorizza automaticamente ogni ulteriore trattamento dei suoi dati. Per il tracciamento mediante pixel devono essere valutate le condizioni previste dalla disciplina applicabile, comprese le indicazioni del Garante per la protezione dei dati personali e l’eventuale necessità di acquisire uno specifico consenso.
Quando il tracciamento si fonda sul consenso, l’articolo 7, paragrafo 3, del Regolamento (UE) 2016/679 riconosce all’interessato il diritto di revocarlo in qualsiasi momento. La revoca non pregiudica la liceità del trattamento effettuato prima che venga esercitata, ma impedisce di continuare a utilizzare quella base giuridica per i trattamenti successivi. La disposizione richiede anche che revocare il consenso sia facile quanto prestarlo. Una procedura che costringa il destinatario ad abbandonare completamente la newsletter per sottrarsi al solo monitoraggio può risultare incompatibile con tale principio, quando le due finalità sono distinte e l’invio delle comunicazioni può proseguire lecitamente senza tracciamento.
Immaginiamo un’impresa che invia periodicamente aggiornamenti commerciali a clienti e potenziali clienti. Un destinatario comunica di voler continuare a ricevere le offerte, ma chiede che non siano più registrate le aperture delle e-mail. Se l’azienda risponde che l’unica possibilità è cancellarsi dalla mailing list, il problema non riguarda soltanto la qualità del servizio: occorre verificare se sia stata effettivamente predisposta una modalità adeguata di esercizio della revoca. La richiesta dovrebbe poter essere recepita mantenendo attiva l’iscrizione, purché quest’ultima disponga di un’autonoma e valida base giuridica.
La distinzione deve essere considerata già nella progettazione dei moduli di iscrizione e delle procedure di gestione dei consensi. Se l’azienda utilizza un unico consenso per finalità effettivamente autonome, oppure rende obbligatorio il monitoraggio individuale per ricevere una newsletter che potrebbe essere inviata senza tale funzione, deve riesaminare la configurazione adottata. La questione riguarda sia la validità delle scelte iniziali sia la possibilità di modificarle successivamente.
Per comprendere quali trattamenti richiedano una manifestazione di volontà distinta, abbiamo approfondito anche quando serve il consenso ai tracking pixel nelle e-mail e come raccoglierlo. Nella gestione della revoca, però, la verifica deve proseguire oltre il modulo di iscrizione: l’azienda deve essere tecnicamente in grado di rispettare la nuova preferenza del destinatario.
Come organizzare la revoca del tracking senza cancellare il contatto dalla mailing list
La soluzione organizzativa dipende dalle funzionalità della piattaforma utilizzata e dal modo in cui l’impresa conserva e aggiorna i consensi. Il primo controllo riguarda la possibilità di gestire separatamente lo stato dell’iscrizione alla newsletter e l’autorizzazione al tracciamento. Per ogni destinatario devono poter essere individuate le preferenze applicabili, senza confondere la revoca del monitoraggio con la revoca del consenso all’invio delle comunicazioni.
Una modalità consiste nel predisporre un sistema di gestione delle preferenze, accessibile attraverso un collegamento nelle comunicazioni oppure mediante un’altra procedura semplice ed effettivamente utilizzabile. Il destinatario può così mantenere attiva la newsletter e modificare la scelta relativa al monitoraggio. Non esiste un obbligo generalizzato di adottare uno specifico software o un determinato modello grafico di preference center: ciò che conta è che il meccanismo sia coerente con le finalità del trattamento, consenta l’esercizio effettivo della revoca e non introduca ostacoli ingiustificati.
Il passaggio successivo riguarda il funzionamento concreto degli invii. Registrare nel database che un contatto ha revocato il consenso non è sufficiente se le e-mail successive continuano a contenere pixel capaci di identificarlo e monitorarne le aperture. Occorre verificare che la piattaforma escluda il tracciamento per quel destinatario e che la modifica venga applicata anche alle campagne programmate, ai messaggi automatizzati e agli eventuali flussi commerciali ancora attivi.
Quando il software non consente di disattivare il tracking individualmente, l’azienda deve valutare soluzioni alternative. Può essere necessario modificare le impostazioni delle campagne, predisporre invii privi di strumenti di monitoraggio per determinati contatti oppure scegliere una piattaforma che permetta una gestione più granulare delle preferenze. La semplice suddivisione degli iscritti in due liste non costituisce, da sola, una misura sufficiente: bisogna verificare che il sistema non riattivi automaticamente il monitoraggio e che le informazioni sulle preferenze rimangano coerenti.
Merita attenzione anche il rapporto tra pixel di apertura e tracciamento dei collegamenti presenti nei messaggi. Disattivare il primo non significa necessariamente interrompere ogni forma di monitoraggio. Alcune piattaforme sostituiscono i collegamenti originali con URL intermedi che consentono di registrare i clic e associarli al destinatario. Se la revoca riguarda anche questa attività, l’azienda deve verificare che le successive comunicazioni non continuino a raccogliere dati individuali attraverso strumenti equivalenti.
Per le imprese che utilizzano sistemi CRM, software di marketing automation o servizi esterni, la procedura deve individuare chi riceve la richiesta, dove viene registrata e quali applicazioni devono essere aggiornate. Il titolare del trattamento deve inoltre poter documentare le scelte effettuate e verificare che le istruzioni impartite agli eventuali responsabili del trattamento siano rispettate. Le attività svolte dal fornitore devono essere coerenti con il rapporto disciplinato dall’articolo 28 GDPR, quando ricorrono i presupposti per la sua qualificazione come responsabile.
È opportuno verificare periodicamente il funzionamento della revoca attraverso prove effettive di invio, utilizzando contatti di test con preferenze differenti. Il controllo deve riguardare il contenuto tecnico delle e-mail, le impostazioni della piattaforma e la corretta applicazione delle richieste ricevute. In questa fase può essere utile il supporto del DPO, quando nominato, oppure di un professionista incaricato di verificare la conformità dei trattamenti. L’azienda mantiene comunque la responsabilità delle decisioni relative alle finalità e ai mezzi del trattamento.
Obblighi GDPR, responsabilità e controlli quando il destinatario revoca il tracciamento
La gestione della revoca del consenso deve essere inserita nelle procedure aziendali di trattamento dei dati personali. Il Regolamento (UE) 2016/679 richiede che il titolare sia in grado di dimostrare il rispetto dei principi applicabili, secondo quanto previsto dall’articolo 5, paragrafo 2. Per un’impresa che utilizza tracking pixel nelle newsletter, questo significa poter ricostruire quale consenso sia stato raccolto, quando sia intervenuta la revoca e quali misure siano state adottate per interrompere il monitoraggio.
La documentazione deve essere proporzionata alle caratteristiche del trattamento. È opportuno conservare evidenza della richiesta di revoca, della relativa registrazione e dell’aggiornamento delle preferenze, evitando di raccogliere informazioni ulteriori rispetto a quelle necessarie. La conservazione della prova della revoca deve essere distinta dall’utilizzo dei dati per finalità di marketing o profilazione: il fatto che l’interessato abbia ritirato il consenso al monitoraggio non impedisce automaticamente di conservare le informazioni strettamente necessarie a dimostrare il rispetto della sua scelta, purché sussistano un’idonea base giuridica e tempi di conservazione appropriati.
Un aspetto delicato riguarda i dati raccolti prima della revoca. L’articolo 7 GDPR stabilisce che il ritiro del consenso non pregiudica la liceità dei trattamenti precedentemente effettuati sulla base di un consenso valido. Questo non significa, però, che l’azienda possa conservare indefinitamente lo storico individuale delle aperture e dei clic. Occorre verificare se esista ancora una finalità legittima di conservazione, se il trattamento disponga di una base giuridica adeguata e se siano applicabili richieste di cancellazione o altri diritti dell’interessato.
La revoca deve essere recepita anche dalle persone e dai fornitori che intervengono nella gestione delle campagne. Quando l’ufficio marketing utilizza una piattaforma esterna, il responsabile IT gestisce le integrazioni e un’agenzia prepara gli invii, l’assenza di istruzioni coordinate può determinare la prosecuzione involontaria del monitoraggio. L’azienda deve individuare le responsabilità operative, disciplinare i rapporti con i fornitori e verificare che le configurazioni tecniche siano coerenti con le preferenze registrate.
Particolare attenzione merita il caso in cui il destinatario abbia revocato il consenso ma continui a ricevere e-mail contenenti identificativi utilizzati per registrarne le aperture. Una simile situazione richiede di accertare se il trattamento sia effettivamente proseguito, quali dati siano stati raccolti e per quanto tempo. La mancata osservanza di una revoca può integrare una violazione della disciplina sulla protezione dei dati personali, da valutare in relazione alle concrete circostanze, senza che ogni errore tecnico comporti automaticamente una sanzione.
Se l’interessato presenta un reclamo al Garante Privacy, l’impresa deve poter spiegare come funziona il sistema, quali richieste sono state ricevute e quali interventi sono stati effettuati. In presenza di una contestazione, assumono rilievo la documentazione disponibile, le verifiche tecniche e la capacità di ricostruire il trattamento. L’azienda deve inoltre valutare se l’eventuale irregolarità richieda ulteriori interventi correttivi e se ricorrano, in concreto, i presupposti di una violazione dei dati personali soggetta agli specifici obblighi previsti dagli articoli 33 e 34 GDPR. La sola prosecuzione illecita di un trattamento non costituisce necessariamente un data breach.
Per prevenire problemi ricorrenti, consigliamo di inserire la gestione delle revoche nelle verifiche periodiche della compliance privacy. Il controllo dovrebbe accertare che le richieste vengano effettivamente recepite, che il monitoraggio individuale venga disattivato nei sistemi interessati e che eventuali modifiche alla piattaforma non compromettano le preferenze già espresse. Quando la gestione delle revoche coinvolge più applicazioni, è utile approfondire anche come evitare riattivazioni involontarie del tracking tra CRM e piattaforma newsletter.
Il DPO, quando presente, può svolgere le proprie funzioni di consulenza e sorveglianza sull’osservanza della normativa, mentre l’azienda deve assicurare che le indicazioni operative siano concretamente attuate. Qualora emergano carenze nella raccolta dei consensi, nella configurazione della piattaforma o nella gestione delle richieste degli interessati, può essere opportuno effettuare un audit mirato e predisporre un piano di adeguamento, senza attendere una contestazione esterna.
Esempio pratico: un cliente revoca il tracking ma vuole continuare a ricevere le offerte
Consideriamo il caso di una società commerciale che invia newsletter periodiche attraverso una piattaforma di email marketing. Un cliente, regolarmente iscritto, comunica di voler continuare a ricevere aggiornamenti e promozioni, ma chiede che l’azienda smetta di registrare le aperture dei messaggi. L’ufficio marketing scopre che il software distingue soltanto tra contatti iscritti e disiscritti, mentre il monitoraggio delle aperture è attivato automaticamente per tutte le campagne.
In una situazione di questo tipo, l’intervento professionale deve partire dalla verifica delle finalità del trattamento, dei consensi raccolti e delle funzionalità effettivamente disponibili. La soluzione può richiedere una modifica delle impostazioni di invio, una gestione separata dei destinatari che non autorizzano il tracking oppure l’adozione di strumenti tecnici differenti. L’elemento più delicato consiste nell’assicurare che la revoca produca effetti concreti sui messaggi successivi, senza determinare la cancellazione ingiustificata del cliente dalla newsletter.
La procedura deve poi essere documentata e comunicata al personale incaricato. Prima di considerare risolto il problema, è necessario verificare mediante invii di prova che le comunicazioni destinate ai contatti che hanno revocato il consenso non contengano strumenti di tracciamento individuale incompatibili con la scelta espressa. Si tratta di un esempio organizzativo: le modalità di intervento dipendono dalla piattaforma utilizzata, dalla configurazione dei trattamenti e dalle caratteristiche delle campagne.
Sì. Quando l’invio della newsletter e il monitoraggio individuale delle aperture costituiscono finalità distinte, la revoca del consenso al tracciamento non comporta automaticamente la cancellazione dalla mailing list. L’azienda può continuare a inviare le comunicazioni se dispone di una valida base giuridica per farlo e rispetta la scelta dell’interessato di non essere monitorato.
Non necessariamente. Se il destinatario vuole interrompere soltanto il tracciamento, un collegamento che consente esclusivamente la cancellazione dalla newsletter potrebbe non assicurare un esercizio adeguato della revoca. L’articolo 7, paragrafo 3, GDPR richiede che ritirare il consenso sia facile quanto prestarlo. L’azienda deve quindi verificare che esista una modalità effettiva per revocare il consenso al monitoraggio senza rinunciare alle comunicazioni che possono continuare a essere inviate lecitamente.
Occorre valutare una soluzione tecnica alternativa, come la configurazione di campagne prive di tracciamento per i contatti interessati oppure l’utilizzo di un sistema che consenta di gestire separatamente le preferenze. Le limitazioni del software non giustificano la prosecuzione di un trattamento privo della necessaria base giuridica. La soluzione deve essere verificata mediante controlli effettivi sugli invii.
Dopo la revoca del consenso l’azienda deve cancellare anche i dati sulle aperture già raccolti?
La revoca non rende automaticamente illeciti i trattamenti effettuati in precedenza sulla base di un consenso valido. L’azienda deve però verificare se possa ancora conservare i dati individuali raccolti, considerando finalità, base giuridica, tempi di conservazione ed eventuali richieste di cancellazione. Non è corretto presumere che lo storico delle aperture possa essere mantenuto indefinitamente.
Cosa rischia l’azienda se continua a tracciare le e-mail dopo la revoca?
La prosecuzione del monitoraggio senza un’idonea base giuridica può determinare una violazione del GDPR, con possibili reclami, accertamenti del Garante Privacy e provvedimenti correttivi o sanzionatori. Le conseguenze dipendono dalle circostanze concrete, dalla natura del trattamento e dalle disposizioni violate. È opportuno interrompere tempestivamente il trattamento non autorizzato, verificare l’estensione del problema e documentare gli interventi effettuati.
La revoca del consenso al tracking richiede una procedura che funzioni concretamente, dalla ricezione della richiesta fino alla disattivazione del monitoraggio nelle comunicazioni successive. Quando la piattaforma non permette di distinguere le preferenze degli iscritti, i consensi sono stati raccolti in modo non adeguato oppure il tracciamento continua dopo la revoca, l’azienda deve valutare gli interventi necessari per correggere il trattamento.
Come Studio Legale Calvello, assistiamo le imprese nella verifica della conformità GDPR delle newsletter, nell’organizzazione delle procedure di revoca, nella revisione dei rapporti con i fornitori di email marketing e nella gestione di eventuali reclami o contestazioni. Possiamo intervenire attraverso una consulenza mirata oppure nell’ambito di un servizio continuativo di assistenza privacy e compliance aziendale.
Per sottoporci una problematica relativa alla gestione dei consensi, alla revoca del tracciamento o all’adeguamento delle campagne di email marketing, è possibile richiedere una consulenza privacy e GDPR per la propria azienda.
