Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che invia newsletter commerciali ha interesse a conoscere quante persone aprono le comunicazioni, quali campagne ottengono maggiore attenzione e se gli investimenti nell’email marketing producono risultati. Il problema nasce quando queste informazioni vengono raccolte attraverso tracking pixel che registrano le aperture dei singoli destinatari, anche se la piattaforma restituisce all’azienda soltanto percentuali e statistiche aggregate.
Il fatto che un report mostri esclusivamente dati aggregati non significa che il monitoraggio sia automaticamente anonimo o utilizzabile senza consenso. Occorre verificare come vengono raccolte le informazioni, se i destinatari sono identificabili durante il trattamento e quali tecnologie vengono impiegate. Per l’impresa, la distinzione incide sulla liceità del sistema di misurazione, sulle impostazioni della piattaforma newsletter e sulle responsabilità derivanti da un eventuale tracciamento non conforme.
Molte piattaforme di email marketing consentono di visualizzare il tasso di apertura delle newsletter, il numero di destinatari che hanno aperto un messaggio e l’andamento delle campagne nel tempo. Un responsabile marketing potrebbe quindi ritenere che, utilizzando soltanto questi risultati complessivi, l’azienda non effettui alcun trattamento di dati personali riferibili ai destinatari.
Questa conclusione trascura il funzionamento tecnico dei sistemi di rilevazione. Le statistiche aggregate possono essere il risultato di una precedente raccolta di informazioni individuali. Per esempio, una newsletter può contenere un’immagine invisibile, comunemente denominata tracking pixel, caricata da un server quando il destinatario apre il messaggio e il programma di posta consente il caricamento delle immagini remote.
La richiesta al server può comportare la trasmissione di informazioni tecniche, tra cui l’indirizzo IP, identificativi associati al messaggio e dati relativi al momento del caricamento. Quando il collegamento contiene un identificativo univoco, il sistema può associare l’evento a un determinato destinatario, anche se l’interfaccia utilizzata dall’azienda presenta soltanto un risultato complessivo.
Immaginiamo una società che invii una newsletter a 10.000 contatti e riceva un report secondo cui il 35% dei messaggi risulta aperto. Il dato percentuale, considerato isolatamente, potrebbe non permettere di identificare alcuna persona. Ciò non chiarisce, però, se per calcolarlo il fornitore abbia precedentemente registrato le aperture dei singoli indirizzi email, conservato identificativi individuali oppure elaborato informazioni riconducibili agli interessati.
L’aggregazione successiva non rende retroattivamente anonima la raccolta originaria. Se il sistema ha trattato dati personali per produrre il report, tale trattamento deve rispettare il GDPR. Quando il rilevamento comporta anche l’accesso a informazioni presenti nell’apparecchiatura terminale del destinatario, occorre esaminare le ulteriori condizioni previste dalla disciplina ePrivacy e dall’articolo 122 del Codice Privacy.
Per questo motivo non è sufficiente chiedere al fornitore se le statistiche siano aggregate. È necessario comprendere se il sistema effettui un monitoraggio individuale prima dell’aggregazione, quali identificativi utilizzi e se sia possibile ottenere informazioni statistiche attraverso modalità tecniche differenti.
Il tema assume particolare rilievo alla luce delle indicazioni del Garante per la protezione dei dati personali sui tracking pixel nelle comunicazioni elettroniche, approfondite nel nostro articolo dedicato alle indicazioni del Garante Privacy sui tracking pixel nelle email e nelle newsletter. La valutazione deve riguardare il funzionamento effettivo del sistema, non soltanto il nome attribuito alle statistiche dalla piattaforma commerciale.
Quando è possibile misurare le aperture senza consenso: anonimizzazione, base giuridica e limiti del legittimo interesse
La possibilità di utilizzare statistiche sulle newsletter senza raccogliere uno specifico consenso per il tracciamento dipende dalle operazioni concretamente effettuate. Occorre distinguere la consultazione di informazioni realmente anonime dalla raccolta di dati personali destinati a essere successivamente aggregati, considerando anche le regole applicabili alle tecnologie utilizzate per rilevare le aperture.
Il GDPR non si applica alle informazioni effettivamente anonime, ossia ai dati che non riguardano una persona identificata o identificabile, tenendo conto dei mezzi ragionevolmente utilizzabili per identificarla. Un report contenente esclusivamente risultati statistici non riconducibili ai singoli destinatari può quindi essere utilizzato senza che la sua consultazione costituisca, di per sé, un trattamento di dati personali.
Questo non significa che qualsiasi procedura capace di produrre un report anonimo sia automaticamente lecita. Se l’azienda o il fornitore raccolgono inizialmente dati identificativi attraverso tracking pixel, la successiva anonimizzazione non elimina la necessità di verificare la liceità della raccolta. Anche la trasformazione dei dati personali in informazioni anonime costituisce un’operazione di trattamento soggetta alle regole applicabili.
Una distinzione particolarmente importante riguarda l’anonimizzazione e la pseudonimizzazione. Nel primo caso, quando il processo è effettivo e sufficientemente resistente alla reidentificazione, le informazioni non permettono più di individuare gli interessati con mezzi ragionevolmente utilizzabili. Nel secondo caso, invece, i dati possono essere attribuiti nuovamente a una persona mediante informazioni aggiuntive e rimangono dati personali ai sensi del GDPR.
La semplice sostituzione dell’indirizzo email con un codice numerico, oppure la visualizzazione di percentuali ricavate da eventi individuali, non costituisce necessariamente anonimizzazione. Bisogna considerare anche gli identificativi conservati dal fornitore, i log tecnici, le possibilità di collegamento con il database dei contatti e l’eventuale disponibilità di report dettagliati non visibili all’azienda cliente.
Un altro punto riguarda il legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), del GDPR. L’impresa potrebbe ritenere di poter utilizzare questa base giuridica perché la misurazione dell’efficacia delle campagne costituisce un’esigenza commerciale ordinaria. Il legittimo interesse può essere rilevante per determinati trattamenti di dati personali, ma richiede una valutazione delle condizioni applicabili e dei diritti degli interessati.
Il legittimo interesse non rappresenta una deroga generale al consenso eventualmente richiesto dalla normativa ePrivacy. Quando il tracking pixel realizza operazioni soggette all’articolo 122 del Codice Privacy, non è sufficiente invocare l’interesse dell’azienda a conoscere il tasso di apertura delle newsletter. Occorre verificare se ricorrano le condizioni per una specifica eccezione prevista dalla disciplina oppure se sia necessario acquisire preventivamente il consenso.
La valutazione non cambia soltanto perché l’azienda dichiara di non voler conoscere i nomi dei destinatari che hanno aperto il messaggio. La finalità statistica e l’assenza di un’intenzione di profilazione individuale sono elementi da considerare, ma non sostituiscono l’esame delle modalità tecniche di raccolta.
Esistono, peraltro, strumenti di misurazione che non richiedono necessariamente il monitoraggio individuale delle aperture. L’azienda può utilizzare informazioni sui messaggi inviati, sulle consegne e sugli errori di recapito, valutando per ciascuna metrica se siano trattati dati personali e quale disciplina trovi applicazione. Può anche ricorrere a indicatori commerciali complessivi, purché le relative modalità di raccolta siano lecite.
Queste soluzioni non producono necessariamente lo stesso risultato dell’open tracking. Il numero dei messaggi consegnati non coincide con quello delle email effettivamente lette e il tasso di apertura rilevato mediante pixel è comunque una misura indiretta, influenzata dalle impostazioni dei programmi di posta e dai sistemi di protezione della privacy.
Per le aziende che intendono conservare strumenti di analisi delle campagne senza utilizzare il tracciamento individuale, la scelta richiede quindi una verifica congiunta della tecnologia, delle informazioni effettivamente raccolte e della base giuridica applicabile. La configurazione concreta deve permettere di distinguere ciò che può essere misurato lecitamente da ciò che richiede condizioni ulteriori.
Per un’azienda che utilizza una piattaforma di email marketing, la verifica della conformità non può limitarsi alla lettura dell’informativa del fornitore o alla presenza di una funzione denominata “statistiche anonime”. Occorre ricostruire il percorso delle informazioni, dal momento in cui il destinatario riceve la newsletter fino alla produzione del report utilizzato dall’ufficio marketing. La questione decisiva è stabilire se, prima di ottenere il risultato aggregato, il sistema abbia effettuato operazioni di tracciamento soggette al consenso.
Il primo controllo riguarda le modalità di rilevazione delle aperture. L’azienda deve verificare se nei messaggi siano inseriti tracking pixel, immagini remote con identificativi univoci o altri strumenti che permettano al server di registrare eventi associabili ai destinatari. Deve poi accertare quali informazioni vengano effettivamente raccolte, per quanto tempo siano conservate e se il fornitore possa collegarle agli indirizzi email presenti nella lista dei contatti.
Una piattaforma potrebbe mostrare all’impresa soltanto un tasso di apertura complessivo, mantenendo nei propri sistemi registrazioni individuali utilizzabili per ulteriori elaborazioni. In questa situazione, la limitazione delle informazioni visibili all’azienda non coincide necessariamente con l’anonimizzazione del trattamento. Occorre considerare anche le operazioni effettuate dal fornitore per conto del titolare e quelle eventualmente svolte per finalità proprie.
Un secondo controllo riguarda le impostazioni della piattaforma. Alcuni servizi consentono di disattivare il monitoraggio delle aperture, mentre altri prevedono funzionalità di tracciamento abilitate automaticamente. L’azienda deve verificare se il tracking sia effettivamente disabilitato quando manca il consenso necessario, senza presumere che l’assenza di report individuali comporti anche l’assenza della raccolta. Per approfondire gli aspetti tecnici e organizzativi, abbiamo esaminato le funzioni delle piattaforme newsletter da verificare prima di utilizzare i tracking pixel.
Particolare attenzione richiedono i servizi che combinano newsletter, CRM e strumenti di marketing automation. Anche quando il report principale contiene dati aggregati, gli eventi di apertura potrebbero alimentare segmentazioni, punteggi attribuiti ai contatti o processi automatici. La verifica deve quindi riguardare tutte le funzionalità che utilizzano le informazioni raccolte, comprese quelle non immediatamente visibili nella schermata delle statistiche.
Sul piano documentale, il titolare del trattamento deve poter dimostrare di aver valutato le caratteristiche del sistema. Quando vengono trattati dati personali, assumono rilievo l’informativa privacy, l’individuazione della base giuridica, gli eventuali meccanismi di acquisizione e gestione del consenso, i tempi di conservazione e gli accordi con il fornitore ai sensi dell’articolo 28 del GDPR, ove quest’ultimo operi come responsabile del trattamento.
Il contratto con il fornitore non dovrebbe limitarsi a richiamare genericamente la conformità al GDPR. È opportuno comprendere quali dati siano trattati per produrre le statistiche, se siano utilizzati subfornitori, quali informazioni siano conservate nei log e se siano previste operazioni ulteriori rispetto alle istruzioni dell’azienda. Quando il fornitore determina autonomamente finalità e mezzi di determinati trattamenti, occorre valutare la corretta qualificazione dei rispettivi ruoli.
Se l’azienda utilizza già un sistema di misurazione delle aperture senza aver verificato le condizioni di liceità, è opportuno esaminare tempestivamente la configurazione esistente. Qualora emerga un tracciamento privo del consenso richiesto, la risposta può comprendere la disattivazione delle funzionalità interessate, la verifica dei dati precedentemente raccolti e l’aggiornamento delle procedure interne. La gestione delle informazioni storiche richiede una valutazione specifica: non è corretto presumere che la loro semplice aggregazione successiva risolva ogni irregolarità.
Il DPO, quando nominato, può essere coinvolto nella valutazione dei rischi e nella verifica delle misure adottate, nell’ambito delle funzioni previste dall’articolo 39 del GDPR. La responsabilità delle decisioni sul trattamento rimane in capo al titolare. Nei casi in cui siano presenti configurazioni tecniche complesse o dubbi sull’applicabilità delle deroghe al consenso, può risultare necessaria una valutazione legale coordinata con il responsabile IT e con il fornitore della piattaforma.
Esempio pratico: una società utilizza statistiche aggregate ma la piattaforma registra le aperture individuali
Consideriamo il caso esemplificativo di una società commerciale che invia periodicamente newsletter a clienti e potenziali clienti. L’ufficio marketing consulta esclusivamente report aggregati, contenenti il numero complessivo delle aperture e il tasso percentuale di ciascuna campagna. La direzione ritiene quindi che non sia necessario raccogliere un consenso specifico per il monitoraggio.
Durante una verifica privacy emerge che la piattaforma inserisce automaticamente un tracking pixel in ogni newsletter e associa gli eventi di apertura a identificativi univoci. Sebbene l’azienda non utilizzi i report individuali, il fornitore conserva informazioni che possono essere collegate ai singoli destinatari.
La verifica richiede di esaminare la documentazione tecnica del servizio, le impostazioni di tracciamento e le condizioni contrattuali. Occorre distinguere i dati effettivamente anonimi dalle informazioni personali raccolte prima dell’aggregazione e stabilire se le operazioni effettuate richiedano il consenso ai sensi della disciplina applicabile.
Una possibile riorganizzazione consiste nel disattivare il monitoraggio delle aperture per i destinatari privi del consenso necessario, verificare le informazioni già conservate e individuare indicatori alternativi per valutare l’andamento delle campagne. La società può continuare a svolgere attività di email marketing nei limiti consentiti dalla normativa, senza considerare il tracciamento individuale una funzione indispensabile della newsletter. L’eventuale mantenimento di strumenti di rilevazione deve invece essere subordinato alla verifica delle condizioni giuridiche e tecniche applicabili.
Dipende dalle modalità tecniche utilizzate per rilevare le aperture. La disponibilità di un dato percentuale aggregato non esclude che siano stati precedentemente raccolti dati personali attraverso tracking pixel. Se la rilevazione comporta operazioni soggette al consenso ai sensi della disciplina ePrivacy, la sola finalità statistica non consente di prescinderne. Occorre distinguere l’utilizzo di informazioni realmente anonime dalla raccolta individuale necessaria per produrle.
Non necessariamente. Un risultato statistico può essere anonimo quando non permette di identificare i destinatari, neppure indirettamente attraverso mezzi ragionevolmente utilizzabili. Questo non significa che siano anonimi anche i dati raccolti per elaborarlo. Se la piattaforma registra inizialmente aperture associate a indirizzi email o identificativi univoci, tali informazioni possono costituire dati personali anche quando il report finale mostra soltanto valori complessivi.
Il legittimo interesse dell’azienda permette di utilizzare tracking pixel senza consenso?
Il legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), del GDPR non sostituisce il consenso eventualmente richiesto dall’articolo 122 del Codice Privacy. La volontà di misurare l’efficacia delle campagne commerciali non costituisce, da sola, una deroga alle regole sul tracciamento. È necessario verificare le caratteristiche della tecnologia impiegata, le operazioni effettuate e l’eventuale applicabilità delle eccezioni previste dalla normativa.
Se la piattaforma mostra soltanto statistiche aggregate, l’azienda è responsabile del tracciamento?
L’azienda che determina le finalità e i mezzi essenziali del trattamento rimane responsabile delle scelte effettuate in qualità di titolare, anche quando utilizza un fornitore esterno. Deve quindi verificare quali informazioni siano raccolte dalla piattaforma e se il monitoraggio rispetti le condizioni di liceità applicabili. La circostanza che il fornitore mostri esclusivamente report aggregati non esonera automaticamente l’impresa dai propri obblighi. Occorre inoltre valutare gli eventuali trattamenti autonomamente effettuati dal fornitore.
L’impresa può prendere in considerazione indicatori alternativi, come il numero di messaggi inviati, gli errori di recapito e i risultati commerciali complessivi delle campagne. Anche queste misurazioni devono essere valutate in relazione ai dati utilizzati e alle modalità di raccolta. Non esiste un sistema alternativo che consenta automaticamente di conoscere le aperture effettive senza alcuna forma di rilevazione. La scelta delle metriche deve quindi bilanciare le esigenze informative dell’azienda con le condizioni giuridiche applicabili alle singole tecnologie.
Le aziende che utilizzano piattaforme di email marketing devono poter distinguere le statistiche effettivamente anonime dai report aggregati prodotti attraverso il monitoraggio individuale dei destinatari. Una configurazione non verificata può comportare trattamenti di dati personali privi delle necessarie condizioni di liceità, anche quando l’impresa non consulta informazioni riferite ai singoli contatti.
Come Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nella verifica giuridica dei sistemi di tracciamento delle newsletter, nella valutazione delle basi giuridiche, nell’esame dei rapporti con i fornitori e nell’adeguamento delle procedure privacy aziendali. Possiamo intervenire anche quando il monitoraggio delle aperture è già attivo e occorre valutare le informazioni precedentemente raccolte, le impostazioni della piattaforma e le misure correttive appropriate.
Per richiedere una valutazione della situazione aziendale e individuare gli interventi necessari è possibile contattare lo Studio Legale Calvello per una consulenza in materia di privacy, GDPR e compliance aziendale.
