Articolo a cura di: Redazione - Studio Legale Calvello
Molte aziende utilizzano piattaforme di email marketing e CRM che permettono di attivare campagne automatiche in base all’apertura di un’e-mail, reinviare newsletter ai destinatari che non le hanno aperte oppure assegnare un punteggio commerciale ai contatti più interessati. Queste funzionalità possono comportare trattamenti di dati personali ulteriori rispetto al semplice invio di comunicazioni promozionali, soprattutto quando il comportamento del destinatario viene registrato, associato alla sua identità e utilizzato per prendere decisioni commerciali.
Il problema riguarda la liceità del tracciamento, la profilazione dei clienti, la gestione del consenso e la configurazione delle automazioni. Un’azienda può avere raccolto regolarmente gli indirizzi e-mail per la newsletter senza avere necessariamente una base giuridica adeguata per monitorare individualmente le aperture e utilizzare tali informazioni per classificare i destinatari. Prima di attivare questi sistemi, o quando sono già operativi, occorre verificare le finalità effettive del trattamento, le informazioni fornite agli interessati e le conseguenze delle scelte automatizzate. Nei casi più complessi può essere necessaria una valutazione professionale delle procedure adottate.
Quando l’apertura di un’e-mail attiva automaticamente nuove campagne o decisioni commerciali
Una piattaforma di marketing automation può essere configurata affinché l’apertura di una newsletter produca una conseguenza immediata: il contatto entra in un segmento commerciale, riceve un messaggio successivo oppure viene segnalato al reparto vendite come potenzialmente interessato. Se invece l’e-mail non risulta aperta, il sistema può programmare un secondo invio con un oggetto differente o modificare la sequenza delle comunicazioni.
Queste operazioni vengono spesso presentate come normali funzionalità del software. Dal punto di vista della protezione dei dati personali, però, è necessario distinguere l’invio della comunicazione, la rilevazione individuale dell’apertura e l’utilizzo successivo dell’informazione raccolta. Ciascuna attività deve essere esaminata in relazione alla propria finalità, alla base giuridica applicabile e alle modalità concrete con cui viene eseguita.
Il tracciamento delle aperture avviene frequentemente attraverso un’immagine remota, comunemente denominata tracking pixel, incorporata nel messaggio. Quando il client di posta carica l’immagine, la piattaforma può registrare un evento associato al destinatario. A seconda della configurazione, possono essere trattati identificativi del contatto, orari, informazioni tecniche e altri dati relativi all’interazione. L’evento non dimostra necessariamente che la persona abbia effettivamente letto il contenuto: il caricamento automatico delle immagini, i sistemi di protezione della privacy e i filtri tecnici possono alterare la misurazione.
Questo limite assume particolare importanza quando l’azienda utilizza le aperture come presupposto di decisioni commerciali. Un contatto classificato come inattivo potrebbe avere letto il messaggio senza generare un evento rilevabile; viceversa, un’apertura registrata automaticamente potrebbe essere interpretata come manifestazione di interesse. La qualità e l’affidabilità del dato devono quindi essere considerate anche nella progettazione dei workflow, specialmente quando il risultato determina ulteriori comunicazioni o interventi del personale commerciale.
La questione diventa più delicata con il lead scoring. In questi sistemi il destinatario riceve un punteggio in funzione di determinate interazioni: apertura delle e-mail, frequenza delle visualizzazioni, clic sui collegamenti e altre attività registrate dal CRM. Il punteggio può determinare l’inserimento in una campagna dedicata, l’attribuzione di una priorità commerciale oppure la trasmissione del nominativo a un venditore.
Quando tali operazioni comportano una valutazione automatizzata degli interessi, delle preferenze o del comportamento di una persona fisica, può configurarsi una profilazione ai sensi dell’articolo 4, paragrafo 1, numero 4, del GDPR. Non è necessario che il sistema utilizzi intelligenza artificiale o algoritmi particolarmente complessi: anche regole predeterminate possono realizzare una profilazione quando producono una valutazione automatizzata di aspetti personali.
Non tutte le automazioni costituiscono però profilazione. Un reinvio programmato a tutti i destinatari di una campagna, senza utilizzare dati individuali sul loro comportamento, presenta caratteristiche diverse rispetto a un workflow che seleziona nominativamente chi non ha aperto il primo messaggio. Allo stesso modo, una statistica realmente anonima sul numero complessivo delle aperture deve essere distinta dalla registrazione di eventi riconducibili ai singoli contatti.
Per le aziende che utilizzano strumenti come Mailchimp, Brevo, HubSpot, ActiveCampaign o altre piattaforme analoghe, la verifica deve partire dalle funzionalità effettivamente abilitate. La disponibilità tecnica di un’automazione non costituisce, da sola, una giustificazione giuridica del trattamento. Sul tema dei sistemi di rilevazione delle aperture abbiamo dedicato un approfondimento ai tracking pixel nelle e-mail e alle indicazioni del Garante Privacy, che costituisce un riferimento utile per distinguere il monitoraggio delle comunicazioni dalle successive attività di marketing automatizzato.
Consenso, profilazione e lead scoring: quali condizioni deve verificare l’azienda
La prima verifica riguarda la base giuridica utilizzata per inviare le comunicazioni e quella che può legittimare il successivo monitoraggio del destinatario. Il consenso raccolto per ricevere una newsletter non autorizza automaticamente qualsiasi forma di tracciamento individuale, segmentazione comportamentale o profilazione commerciale. Occorre esaminare il contenuto dell’informativa, le finalità dichiarate, le scelte effettivamente offerte all’interessato e le caratteristiche del trattamento.
Per le comunicazioni promozionali tramite posta elettronica trova applicazione anche l’articolo 130 del Codice Privacy, che disciplina l’impiego di strumenti automatizzati per finalità di marketing e prevede una specifica eccezione, a determinate condizioni, per l’utilizzo degli indirizzi acquisiti nell’ambito della vendita di prodotti o servizi analoghi. Questa disciplina non deve essere confusa con la liceità della profilazione o del tracciamento delle aperture: la possibilità di inviare una comunicazione commerciale non comporta automaticamente la possibilità di monitorare il comportamento del destinatario.
Quando le automazioni utilizzano dati individuali raccolti mediante tracking pixel o strumenti analoghi, devono essere considerate anche le disposizioni applicabili alle tecnologie di tracciamento e alla riservatezza delle comunicazioni elettroniche. La valutazione non può limitarsi alla scelta di una base giuridica ai sensi dell’articolo 6 GDPR, ma deve comprendere l’eventuale necessità di un consenso preventivo per il meccanismo di rilevazione utilizzato. Le deroghe eventualmente applicabili richiedono un esame specifico e non possono essere estese indistintamente alle finalità di marketing comportamentale.
Un’azienda che intenda utilizzare le aperture per assegnare punteggi ai lead deve quindi stabilire con precisione quali dati vengono raccolti, per quali finalità e con quali conseguenze. Se il trattamento si fonda sul consenso, questo deve essere libero, specifico, informato e inequivocabile, secondo gli articoli 4 e 7 GDPR. Le scelte relative al marketing e alla profilazione devono essere organizzate in modo da rispettare la distinzione tra finalità effettivamente autonome, evitando che l’adesione alla newsletter comporti un’accettazione indistinta di trattamenti ulteriori non necessari.
Particolare attenzione richiedono le automazioni già operative da tempo. Un’impresa potrebbe avere raccolto migliaia di contatti attraverso moduli che prevedevano soltanto l’iscrizione alla newsletter, per poi avere attivato successivamente funzionalità di scoring e segmentazione. In una situazione simile, non è sufficiente aggiornare formalmente l’informativa: occorre verificare se i trattamenti ulteriori dispongano di una base giuridica adeguata e se i dati già raccolti possano essere legittimamente utilizzati. Quando il consenso è necessario e non risulta validamente acquisito, l’azienda deve valutare come interrompere le operazioni interessate e regolarizzare i trattamenti futuri.
La configurazione del CRM deve inoltre rispettare le scelte espresse dagli interessati. Se una persona revoca il consenso al tracciamento o alla profilazione, la revoca deve produrre effetti sui workflow collegati, anche quando i dati vengono condivisi tra più applicazioni. Non basta disattivare un pixel se il sistema continua a utilizzare eventi precedentemente registrati per alimentare punteggi commerciali o nuove campagne, senza un’idonea base giuridica. La revoca non rende automaticamente illeciti i trattamenti effettuati prima di essa sulla base di un consenso valido, ma impone di verificare quali operazioni successive debbano cessare.
Un ulteriore profilo riguarda l’articolo 22 GDPR, relativo alle decisioni basate unicamente su trattamenti automatizzati che producono effetti giuridici o incidono in modo analogamente significativo sulla persona. Il semplice lead scoring commerciale non ricade automaticamente in questa disposizione. Occorre valutare la natura delle decisioni adottate, il grado di intervento umano e le conseguenze concrete per l’interessato. Un punteggio utilizzato per stabilire la priorità di un contatto commerciale presenta caratteristiche differenti rispetto a un sistema che determina automaticamente l’accesso a condizioni contrattuali particolarmente rilevanti.
Le informazioni sul trattamento devono essere comprensibili e coerenti con il funzionamento effettivo delle automazioni. Gli articoli 13 e 14 GDPR richiedono di comunicare le informazioni pertinenti sulle finalità, sulle basi giuridiche, sui destinatari dei dati e sui tempi di conservazione. Quando ricorrono i presupposti previsti dalla normativa, devono essere fornite anche le informazioni specifiche relative ai processi decisionali automatizzati. Per i sistemi di profilazione, assumono particolare rilievo anche il diritto di opposizione al marketing diretto e alla profilazione a esso connessa, disciplinato dall’articolo 21 GDPR.
La verifica deve comprendere infine la durata della conservazione degli eventi di apertura e dei punteggi assegnati. Mantenere indefinitamente lo storico delle interazioni di un contatto non è giustificato dalla sola utilità commerciale del dato. L’azienda deve definire criteri di conservazione proporzionati alle finalità, verificare le impostazioni del software e stabilire quando cancellare o rendere effettivamente anonime le informazioni non più necessarie.
Come verificare le automazioni email già attive: responsabilità, controlli e rischi GDPR
Quando un’azienda utilizza già un sistema di marketing automation, la verifica della conformità GDPR deve partire dal funzionamento concreto delle campagne, non soltanto dalla documentazione predisposta al momento dell’attivazione del servizio. Un CRM può contenere automazioni configurate anni prima, successivamente modificate dal personale commerciale o da un’agenzia esterna, senza che sia stata effettuata una nuova valutazione delle finalità e delle modalità di trattamento. Il rischio è che aperture, mancate aperture e punteggi commerciali continuino a essere utilizzati anche quando non sussistono le condizioni giuridiche per farlo.
Il primo controllo riguarda la ricostruzione dei workflow. Occorre individuare quali eventi attivano le automazioni, quali informazioni vengono registrate e quali conseguenze producono. Un sistema che reinvia automaticamente una newsletter ai destinatari classificati come non attivi presenta caratteristiche differenti rispetto a un CRM che combina aperture, clic e precedenti acquisti per attribuire un punteggio commerciale. Nel secondo caso, l’azienda deve esaminare anche la logica di segmentazione, i criteri di classificazione e l’eventuale utilizzo del risultato da parte degli addetti alle vendite.
La verifica deve poi comprendere la documentazione privacy. Il registro delle attività di trattamento previsto dall’articolo 30 GDPR, quando applicabile, deve rappresentare correttamente le operazioni effettuate. Le informative devono descrivere le finalità pertinenti, mentre le evidenze relative al consenso devono permettere di ricostruire le scelte effettivamente compiute dagli interessati. Un’automazione non può essere considerata regolare soltanto perché il destinatario compare in una lista di contatti contrassegnata come autorizzata al marketing.
Un problema frequente riguarda la mancata distinzione tra il consenso all’invio della newsletter e quello eventualmente necessario per il tracciamento e la profilazione. Se la piattaforma consente di attivare separatamente queste funzionalità, l’azienda deve verificare che la configurazione rispetti le scelte dell’interessato. La gestione delle revoche richiede particolare attenzione quando il CRM e il servizio di invio utilizzano archivi differenti. Un contatto potrebbe risultare escluso dal tracciamento in una piattaforma ma continuare a essere classificato attraverso dati conservati nell’altra. Abbiamo approfondito questa criticità nell’articolo dedicato alle revoche del tracking tra CRM e piattaforma newsletter.
Il principio di protezione dei dati fin dalla progettazione e per impostazione predefinita, previsto dall’articolo 25 GDPR, richiede di valutare quali funzionalità siano effettivamente necessarie. Non tutte le informazioni disponibili nel software devono essere necessariamente raccolte o utilizzate. Un’impresa che vuole misurare l’andamento generale delle campagne potrebbe non avere bisogno di conservare uno storico individuale delle aperture per ogni destinatario. Se invece intende utilizzare tali informazioni per il lead scoring, deve giustificare le finalità perseguite e predisporre misure proporzionate ai rischi.
Per i trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’articolo 35 GDPR prevede la valutazione d’impatto sulla protezione dei dati, o DPIA. La presenza di un sistema di lead scoring non rende automaticamente obbligatoria una DPIA, ma impone di esaminare le caratteristiche del trattamento, la sistematicità del monitoraggio, l’eventuale combinazione di informazioni provenienti da fonti differenti e le conseguenze delle valutazioni automatizzate. Nei casi in cui ricorrano i presupposti normativi, la valutazione deve precedere l’avvio del trattamento e deve essere riesaminata quando cambiano i rischi.
Le responsabilità devono essere chiarite anche nei rapporti con i fornitori. L’azienda che determina finalità e mezzi essenziali del trattamento opera normalmente come titolare, mentre la piattaforma o l’agenzia che tratta dati personali per suo conto può assumere il ruolo di responsabile ai sensi dell’articolo 28 GDPR. La qualificazione dipende dalle attività effettivamente svolte e non dalla denominazione commerciale del contratto. Occorre quindi verificare gli accordi, le istruzioni documentate, gli eventuali sub-responsabili, le misure di sicurezza e i trasferimenti internazionali di dati.
Se un’agenzia ha configurato autonomamente il lead scoring, ciò non esonera l’azienda dai propri obblighi. Il titolare deve conoscere le finalità perseguite, autorizzare i trattamenti pertinenti e poter dimostrare di avere adottato misure organizzative adeguate. La ripartizione delle responsabilità può diventare più complessa quando il fornitore determina autonomamente ulteriori finalità di utilizzo dei dati, circostanza che richiede una valutazione specifica dei ruoli privacy.
Un ulteriore controllo riguarda l’affidabilità tecnica dei dati. Alcuni sistemi di posta elettronica possono caricare automaticamente le immagini remote o adottare meccanismi di protezione che rendono gli eventi di apertura poco rappresentativi del comportamento effettivo dell’utente. Utilizzare questi eventi per attribuire punteggi, classificare clienti o attivare telefonate commerciali può quindi produrre valutazioni inesatte. Per comprendere le conseguenze operative di tali limitazioni è utile l’approfondimento sulle aperture delle e-mail e Apple Mail Privacy Protection.
Quando emergono irregolarità, l’intervento deve essere proporzionato al problema riscontrato. Può essere necessario disattivare determinati trigger, interrompere l’utilizzo di dati raccolti senza un’idonea base giuridica, modificare le informative, riorganizzare la gestione dei consensi oppure rivedere i criteri di scoring. Se i dati sono stati trattati illecitamente, occorre valutarne anche la cancellazione o le altre misure correttive appropriate. L’eventuale presenza di una violazione dei dati personali deve essere esaminata separatamente, perché un trattamento privo di adeguata base giuridica non costituisce automaticamente un data breach ai sensi dell’articolo 4, numero 12, GDPR.
Le irregolarità possono esporre l’impresa a reclami degli interessati, richieste di chiarimenti e interventi dell’Autorità di controllo. Le conseguenze dipendono dalla natura della violazione, dalle disposizioni applicabili e dalle circostanze concrete. Per questo motivo, quando un’azienda scopre che il proprio CRM utilizza aperture e punteggi commerciali senza una precedente valutazione privacy, è opportuno effettuare una verifica documentata prima di proseguire con le medesime modalità operative.
Consideriamo il caso ipotetico di una società commerciale che utilizza una piattaforma di email marketing collegata al proprio CRM. Il sistema registra le aperture delle newsletter, attribuisce punteggi ai contatti e segnala ai venditori quelli considerati maggiormente interessati. I destinatari che non risultano avere aperto il primo messaggio ricevono automaticamente una seconda comunicazione. Durante una verifica interna emerge che i moduli di iscrizione prevedono il consenso alla newsletter, ma non descrivono chiaramente le successive attività di tracciamento individuale e profilazione.
In una situazione del genere, il nostro intervento professionale consisterebbe anzitutto nella ricostruzione dei flussi informativi e delle automazioni attive, con l’esame delle basi giuridiche, delle informative, delle evidenze del consenso e dei rapporti con i fornitori. Particolare attenzione richiederebbe la distinzione tra i contatti che possono ricevere comunicazioni promozionali e quelli per i quali è lecito utilizzare ulteriori informazioni comportamentali.
La riorganizzazione potrebbe comportare la sospensione dei workflow non adeguatamente giustificati, la revisione delle impostazioni del CRM e l’introduzione di controlli sulle revoche e sulla conservazione dei dati. L’obiettivo sarebbe ricondurre le automazioni a finalità definite, verificabili e compatibili con le condizioni di liceità applicabili, senza presumere che l’intero sistema di comunicazione commerciale debba necessariamente essere disattivato.
FAQ: automazioni email, profilazione e lead scoring nel GDPR
Il reinvio automatico non è vietato in quanto tale, ma occorre verificare come viene individuato il destinatario. Se la selezione dipende dal tracciamento individuale delle aperture, il trattamento deve rispettare le condizioni di liceità applicabili alla tecnologia utilizzata e alle finalità perseguite. Il consenso all’invio della newsletter non autorizza automaticamente il monitoraggio del comportamento del destinatario. Anche la successiva comunicazione deve rispettare le regole applicabili al marketing elettronico.
Il lead scoring basato sulle aperture delle e-mail costituisce profilazione?
Può costituire profilazione ai sensi dell’articolo 4, paragrafo 1, numero 4, GDPR quando il sistema utilizza automaticamente le interazioni associate a una persona fisica per valutarne interessi, preferenze o comportamento commerciale. Non è necessario utilizzare intelligenza artificiale: anche un sistema che assegna punteggi predeterminati alle aperture e ai clic può integrare una profilazione. La qualificazione dipende dal funzionamento effettivo del trattamento.
Occorre distinguere il consenso all’invio delle comunicazioni, quello eventualmente richiesto per il tracciamento e la base giuridica della successiva profilazione. Quando il consenso è necessario per finalità autonome, deve essere sufficientemente specifico e non può essere ricavato automaticamente dalla semplice iscrizione alla newsletter. La necessità di raccogliere consensi distinti dipende dalle finalità, dalle tecnologie impiegate e dalle condizioni di liceità applicabili. L’azienda deve poter dimostrare la validità delle scelte raccolte.
Un’azienda può continuare a utilizzare i punteggi commerciali dopo la revoca del consenso?
La revoca del consenso impone di interrompere i trattamenti che si fondano su quella base giuridica, salvo che sussista un’altra base giuridica effettivamente applicabile, nel rispetto dei requisiti normativi. Se il punteggio deriva da attività di profilazione fondate sul consenso revocato, l’azienda deve verificare anche l’utilizzo successivo dei dati già raccolti. Quando l’interessato esercita il diritto di opposizione al marketing diretto ai sensi dell’articolo 21 GDPR, i dati personali non possono più essere trattati per tale finalità, compresa la profilazione connessa.
Quando è opportuno richiedere un audit GDPR sulle automazioni email?
Una verifica professionale è particolarmente opportuna quando l’azienda utilizza workflow basati sulle aperture senza avere documentato le relative finalità, ha introdotto il lead scoring dopo la raccolta dei consensi, utilizza più piattaforme collegate oppure non riesce a gestire correttamente le revoche. L’audit permette di esaminare configurazioni tecniche, basi giuridiche, informative, conservazione dei dati e responsabilità dei fornitori, individuando gli interventi necessari in relazione ai trattamenti effettivamente svolti.
Consulenza legale per verificare automazioni email, profilazione e lead scoring aziendale
Le automazioni basate sulle aperture delle e-mail richiedono una valutazione che tenga conto del funzionamento concreto delle piattaforme, delle finalità commerciali perseguite e delle disposizioni applicabili alla protezione dei dati personali. Un sistema tecnicamente efficiente può presentare criticità giuridiche quando utilizza informazioni comportamentali senza una base giuridica adeguata oppure non rispetta le scelte espresse dai destinatari.
Come Studio Legale Calvello, assistiamo le imprese nella verifica della conformità GDPR dei sistemi di email marketing e marketing automation, con particolare attenzione al tracciamento delle aperture, alla profilazione commerciale, ai reinvii automatici e al lead scoring. Possiamo esaminare le configurazioni esistenti, la documentazione privacy, i rapporti con le piattaforme e le eventuali criticità emerse durante l’utilizzo dei sistemi.
Quando l’azienda intende introdurre nuove automazioni oppure deve correggere trattamenti già attivi, valutiamo gli adempimenti applicabili e le possibili misure organizzative e contrattuali, anche nell’ambito di un servizio di consulenza privacy continuativa o con il coinvolgimento del DPO, ove nominato.
Per richiedere una valutazione delle automazioni email e dei sistemi di profilazione utilizzati dalla vostra azienda, potete contattare il nostro Studio attraverso la pagina dedicata alla consulenza legale in materia di privacy, GDPR e compliance aziendale.
