Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che utilizza Brevo per inviare newsletter e gestire campagne automatizzate deve verificare se il tracciamento delle aperture delle e-mail sia compatibile con i consensi raccolti dai destinatari. Il problema si presenta soprattutto quando la piattaforma contiene contatti acquisiti in momenti diversi, utilizza tracking pixel per registrare le aperture e attiva workflow automatici in base al comportamento degli iscritti. In queste situazioni, il consenso all’invio di comunicazioni commerciali non risolve automaticamente la questione della liceità del monitoraggio individuale delle aperture.
Per l’impresa, il controllo deve riguardare la configurazione effettiva di Brevo, le informazioni fornite agli interessati, la documentazione dei consensi e il funzionamento delle revoche. Una disiscrizione, una modifica delle preferenze o il rifiuto del tracciamento possono richiedere interventi differenti sui contatti e sulle automazioni. Quando queste operazioni non sono coordinate, l’azienda rischia di continuare trattamenti non più autorizzati o di non riuscire a dimostrare la correttezza delle proprie procedure. Una verifica legale e tecnica diventa particolarmente opportuna quando le campagne sono già operative e non è chiaro quali dati vengano effettivamente raccolti.
Brevo è una piattaforma utilizzata dalle imprese per organizzare liste di destinatari, inviare comunicazioni commerciali e automatizzare le attività di email marketing. Tra le funzionalità che possono essere utilizzate vi è il monitoraggio delle aperture mediante immagini di tracciamento, comunemente chiamate tracking pixel. Quando il destinatario visualizza il messaggio e il programma di posta carica l’immagine remota, il sistema può registrare un evento associato alla comunicazione e, secondo la configurazione, al singolo contatto.
Il fatto che questa funzionalità sia disponibile nella piattaforma non significa che il suo utilizzo sia automaticamente lecito. Occorre distinguere il trattamento necessario per inviare la newsletter da quello destinato a conoscere il comportamento del destinatario. Il primo riguarda l’utilizzo dell’indirizzo e-mail per trasmettere la comunicazione; il secondo può comportare la raccolta di informazioni sulle aperture, la loro associazione a identificativi individuali e il successivo impiego per analisi commerciali o decisioni automatizzate.
La distinzione assume rilievo alla luce del Regolamento (UE) 2016/679, del Codice Privacy e della disciplina europea sulla riservatezza delle comunicazioni elettroniche. Per il tracking pixel occorre verificare sia la base giuridica del trattamento dei dati personali sia l’eventuale necessità del consenso preventivo per l’accesso a informazioni presenti nel dispositivo dell’utente o per operazioni equivalenti rilevanti ai sensi della disciplina ePrivacy. Non è corretto presumere che il legittimo interesse dell’azienda o il consenso già acquisito per ricevere messaggi promozionali autorizzino indistintamente ogni forma di tracciamento.
In particolare, quando il pixel è impiegato per registrare aperture individuali a fini di analisi commerciale o profilazione, l’azienda deve verificare la necessità di un consenso specifico, informato e revocabile. Le eventuali deroghe devono essere valutate rispetto alle caratteristiche concrete del trattamento e non possono essere ricavate dalla semplice qualificazione del messaggio come newsletter o comunicazione di servizio. Per approfondire la distinzione tra le diverse finalità, abbiamo esaminato quando serve il consenso ai tracking pixel nelle e-mail e come raccoglierlo.
Un problema frequente riguarda le aziende che utilizzavano già Brevo prima di esaminare separatamente il tracciamento delle aperture. Il database può contenere destinatari iscritti tramite moduli web, clienti provenienti da un gestionale, contatti importati da altre piattaforme e persone che hanno prestato il consenso soltanto all’invio della newsletter. In assenza di una verifica documentale, non è possibile attribuire a tutti questi soggetti la medesima autorizzazione al monitoraggio.
Occorre anche considerare che un’apertura registrata da Brevo non dimostra necessariamente che il destinatario abbia letto personalmente il messaggio. Alcuni programmi di posta utilizzano sistemi di precaricamento o protezione della privacy che possono alterare il significato dell’evento. Il dato deve quindi essere valutato sia sotto il profilo della liceità della raccolta sia rispetto alla sua effettiva attendibilità, soprattutto quando viene utilizzato per attivare ulteriori comunicazioni automatiche.
Come verificare i consensi dei contatti Brevo e gestire correttamente le revoche
La verifica della conformità di Brevo richiede di partire dai dati effettivamente presenti nell’account aziendale. Non basta controllare che un contatto risulti iscritto a una lista o che non sia contrassegnato come disiscritto. È necessario ricostruire quale consenso sia stato raccolto, per quali finalità, attraverso quale procedura e con quali informazioni rese disponibili all’interessato.
Per i contatti acquisiti attraverso moduli di iscrizione, l’azienda dovrebbe poter documentare il testo dell’informativa applicabile al momento della raccolta, le scelte espresse dall’utente e le evidenze disponibili sull’operazione. Il double opt-in può contribuire a dimostrare che l’indirizzo e-mail sia stato confermato attraverso un’apposita procedura, ma non prova, da solo, l’esistenza di un consenso distinto al tracciamento delle aperture. Quest’ultimo deve risultare dalla concreta struttura del modulo e dalle informazioni fornite.
La situazione diventa più complessa quando Brevo riceve contatti da un CRM, da WordPress, da un e-commerce o da un precedente servizio di email marketing. L’importazione di un indirizzo, accompagnata da un attributo generico come “consenso marketing”, non permette necessariamente di stabilire se il destinatario abbia accettato anche il monitoraggio individuale. Prima di attivare il tracking su liste esistenti, occorre quindi verificare il significato dei campi importati e la documentazione disponibile. Sul punto è utile distinguere le verifiche specifiche di Brevo dalla questione generale dei tracking pixel applicati a newsletter già attive e contatti acquisiti in passato.
Una configurazione adeguata deve consentire di distinguere, quando richiesto dalle finalità e dalla disciplina applicabile, il consenso alle comunicazioni promozionali da quello relativo al tracciamento. Questa separazione deve essere rispettata anche nelle operazioni successive. Se un destinatario revoca soltanto l’autorizzazione al monitoraggio, l’azienda deve poter interrompere il trattamento interessato dalla revoca senza presumere necessariamente che egli intenda rinunciare anche alla newsletter.
Per questa ragione, la disiscrizione dalle comunicazioni commerciali e la revoca del consenso al tracking non devono essere considerate operazioni automaticamente equivalenti. Il collegamento tra le due scelte dipende dalle preferenze effettivamente espresse e dalla struttura del sistema. Se Brevo non consente, nella configurazione utilizzata, di applicare una determinata preferenza al singolo destinatario, l’impresa deve individuare una soluzione organizzativa o tecnica che impedisca il trattamento non autorizzato, eventualmente modificando segmenti, modalità di invio o funzionalità di tracciamento.
La revoca deve inoltre produrre effetti sui workflow già avviati. Un contatto potrebbe avere ricevuto la prima e-mail di una sequenza automatica e trovarsi in attesa del messaggio successivo. Se nel frattempo revoca il consenso pertinente, non è sufficiente aggiornare un campo del database: bisogna verificare se le condizioni dell’automazione vengano rivalutate prima dei successivi trattamenti e invii. Le regole di esclusione devono essere controllate concretamente, senza presumere che ogni workflow interrompa automaticamente tutte le attività interessate dalla revoca.
Particolare attenzione richiedono le integrazioni esterne. Un CRM può conservare uno stato di consenso differente rispetto a Brevo e, durante una sincronizzazione successiva, sovrascrivere una preferenza più recente. Analogamente, un modulo WordPress può continuare ad alimentare liste o segmenti con impostazioni non coerenti con quelle adottate nella piattaforma. Il problema non riguarda soltanto la correttezza del dato, ma la possibilità che un consenso revocato venga involontariamente riattivato attraverso un aggiornamento automatico. Per le aziende che utilizzano più sistemi, abbiamo trattato separatamente le revoche del tracking tra CRM e piattaforme newsletter.
La gestione delle revoche deve infine comprendere la valutazione dei dati già raccolti. L’interruzione del tracciamento futuro non comporta necessariamente la cancellazione immediata di qualsiasi informazione preesistente: occorre distinguere i dati utilizzati per la profilazione, quelli conservati per documentare il consenso e la sua revoca e quelli eventualmente necessari per altre finalità lecite. I periodi di conservazione devono essere definiti e documentati, evitando che lo storico delle aperture rimanga disponibile senza una finalità e una base giuridica adeguate.
Per un’azienda che utilizza Brevo in modo continuativo, queste verifiche devono tradursi in procedure comprensibili anche al personale marketing e IT. Il controllo giuridico dei consensi, infatti, deve trovare corrispondenza nelle impostazioni effettive dell’account, nei permessi degli operatori e nelle condizioni che governano gli invii automatici.
Invii automatici con Brevo: obblighi GDPR, responsabilità e controlli per l’azienda
Quando Brevo viene utilizzato per automatizzare le comunicazioni commerciali, la conformità privacy non può essere verificata soltanto al momento dell’iscrizione del destinatario. Occorre esaminare anche le condizioni che determinano l’avvio delle sequenze, i dati utilizzati per selezionare i contatti e le operazioni eseguite dopo una modifica delle preferenze. Un consenso inizialmente valido non autorizza a proseguire indefinitamente un trattamento dopo la sua revoca, né permette di utilizzare i dati raccolti per finalità ulteriori incompatibili con quelle comunicate.
Il problema riguarda soprattutto i workflow che prevedono l’invio di una seconda e-mail quando il destinatario non ha aperto la prima, l’assegnazione di un punteggio commerciale in base alle aperture o il trasferimento dei contatti verso segmenti destinati a campagne successive. In questi casi, il tracking pixel può diventare parte di un trattamento più articolato, nel quale il comportamento individuale viene utilizzato per prendere decisioni sulle comunicazioni future. L’azienda deve verificare che ciascuna operazione sia coerente con le finalità dichiarate e con le condizioni di liceità applicabili.
Un controllo concreto dovrebbe partire dalle impostazioni di Brevo effettivamente disponibili nell’account e nella versione della piattaforma utilizzata. È necessario accertare se il monitoraggio delle aperture sia attivo nelle campagne e nei messaggi automatici, quali eventi vengano registrati, come siano associati ai contatti e se esistano modalità per escludere dal tracciamento i destinatari che non hanno prestato il consenso pertinente. La semplice presenza di un attributo personalizzato relativo alle preferenze privacy non dimostra che la piattaforma lo utilizzi automaticamente per modificare il comportamento delle campagne.
La verifica deve proseguire attraverso prove operative sui workflow. Occorre simulare la revoca del consenso mentre una sequenza è già in corso, controllare gli effetti sugli invii successivi e accertare che eventuali integrazioni esterne non ripristinino impostazioni precedenti. Se l’automazione utilizza eventi di apertura per determinare l’invio di ulteriori messaggi, bisogna verificare che tali eventi siano stati raccolti lecitamente e che il loro successivo utilizzo sia consentito. La questione generale delle automazioni basate sulle aperture delle e-mail, sulla profilazione e sui reinvii richiede valutazioni che vanno oltre la sola configurazione di Brevo.
Sotto il profilo documentale, il titolare del trattamento deve poter dimostrare le scelte effettuate in applicazione degli articoli 5, paragrafo 2, e 24 del GDPR. Per un sistema di email marketing ciò comporta, secondo le caratteristiche del trattamento, la verifica delle informative, delle basi giuridiche, dei tempi di conservazione, delle istruzioni impartite agli operatori e dell’eventuale aggiornamento del registro delle attività di trattamento. Deve essere esaminato anche il rapporto contrattuale con il fornitore della piattaforma, con particolare attenzione agli obblighi previsti dall’articolo 28 del GDPR, ove Brevo operi come responsabile del trattamento.
La valutazione d’impatto sulla protezione dei dati, prevista dall’articolo 35 del GDPR, non è automaticamente obbligatoria per ogni azienda che utilizza tracking pixel. Occorre stabilire se le caratteristiche, la portata, il contesto e le finalità del trattamento possano comportare un rischio elevato per i diritti e le libertà delle persone fisiche. L’impiego di sistemi di profilazione particolarmente estesi, eventualmente combinati con ulteriori informazioni provenienti dal CRM o dall’e-commerce, può rendere necessaria una valutazione più approfondita.
Un’altra questione riguarda la conservazione dei dati. Le informazioni sulle aperture non dovrebbero essere mantenute senza limiti temporali soltanto perché la piattaforma permette di consultarle. L’azienda deve individuare periodi coerenti con le finalità perseguite e distinguere lo storico degli eventi di tracciamento dalle evidenze necessarie per documentare il consenso o la sua revoca. L’articolo 5, paragrafo 1, lettera e), del GDPR impone infatti di limitare la conservazione dei dati personali al tempo necessario rispetto agli scopi del trattamento, salve le condizioni previste dalla normativa per ulteriori conservazioni lecite.
Le responsabilità non vengono meno quando la configurazione tecnica è affidata a un’agenzia marketing o a un consulente informatico. L’impresa, quale titolare del trattamento, deve assicurare che le istruzioni impartite ai fornitori siano coerenti con gli obblighi applicabili e che i controlli previsti siano effettivamente eseguiti. L’eventuale errore dell’operatore esterno richiede una valutazione delle rispettive responsabilità, senza presumere che l’affidamento del servizio trasferisca automaticamente al fornitore tutti gli obblighi del titolare.
Se emergono contatti tracciati senza un’idonea base giuridica, revoche non rispettate o invii automatici proseguiti indebitamente, l’azienda deve valutare tempestivamente la sospensione delle operazioni interessate, la correzione delle impostazioni e la gestione dei dati già raccolti. Non ogni irregolarità costituisce necessariamente una violazione dei dati personali da notificare ai sensi degli articoli 33 e 34 del GDPR: tale obbligo dipende dalla presenza di un data breach e dai relativi presupposti normativi. Un trattamento illecito può comunque esporre l’impresa a reclami, accertamenti e provvedimenti del Garante per la protezione dei dati personali, oltre alle eventuali conseguenze risarcitorie quando ne ricorrano i presupposti.
Per le aziende che utilizzano Brevo con database numerosi, più canali di acquisizione e automazioni già operative, un audit privacy mirato permette di individuare le differenze tra i consensi documentati e i trattamenti effettivamente eseguiti. L’intervento deve coordinare la valutazione giuridica con i controlli tecnici, evitando di considerare sufficiente la sola modifica dell’informativa o l’aggiunta di una casella di consenso nei moduli di iscrizione.
Esempio pratico: un’azienda utilizza Brevo con consensi diversi e automazioni già attive
Consideriamo il caso ipotetico di un’impresa commerciale che utilizza Brevo per inviare newsletter periodiche e gestire sequenze automatiche destinate ai potenziali clienti. Il database comprende contatti raccolti attraverso il sito aziendale e indirizzi importati da un precedente gestionale. Durante una verifica interna emerge che il consenso all’invio delle comunicazioni commerciali è documentato per una parte dei destinatari, mentre non risulta chiaramente ricostruibile l’eventuale autorizzazione al monitoraggio individuale delle aperture.
La situazione richiede di esaminare i moduli di iscrizione, le informative utilizzate nei diversi periodi, gli attributi associati ai contatti e le impostazioni delle campagne. Particolare attenzione viene dedicata a un’automazione che prevede ulteriori invii in funzione delle aperture e alla possibilità che una revoca registrata nel CRM non venga recepita correttamente da Brevo.
In un intervento di questo tipo, noi procederemmo distinguendo i contatti per i quali esistono evidenze adeguate da quelli che richiedono ulteriori verifiche, valutando la sospensione del tracciamento non giustificato e la revisione delle condizioni dei workflow. La riorganizzazione comprenderebbe anche la definizione di procedure per registrare e rispettare le revoche, con verifiche tecniche sul funzionamento delle sincronizzazioni. L’obiettivo sarebbe rendere coerenti le scelte privacy dei destinatari con le operazioni effettivamente svolte dalla piattaforma, documentando le valutazioni e gli interventi effettuati.
FAQ: Brevo, consenso ai tracking pixel e gestione delle automazioni
No. Il consenso a ricevere comunicazioni commerciali non autorizza automaticamente qualsiasi attività di monitoraggio individuale. Quando Brevo utilizza tracking pixel per registrare le aperture, l’azienda deve verificare la disciplina applicabile, le finalità del trattamento e la necessità di un consenso specifico. Occorre inoltre controllare che l’informativa descriva correttamente le operazioni effettuate.
Sì, quando il trattamento per l’invio della newsletter rimane lecito e la revoca riguarda esclusivamente il monitoraggio delle aperture. L’azienda deve rispettare la scelta dell’interessato senza interrompere necessariamente le comunicazioni che questi desidera continuare a ricevere. È però indispensabile verificare che la configurazione di Brevo consenta di applicare concretamente tale distinzione.
Che cosa deve fare l’azienda se Brevo continua a inviare email dopo una revoca?
Occorre verificare quale consenso sia stato revocato, se gli invii successivi rientrino nella finalità interessata e quali condizioni governino i workflow automatici. Se le comunicazioni non risultano più autorizzate, l’azienda deve interrompere gli invii interessati, correggere le impostazioni e accertare che la revoca venga rispettata anche dalle integrazioni con CRM, sito web e altri sistemi collegati. Deve inoltre valutare le conseguenze degli eventuali trattamenti già effettuati.
Il double opt-in di Brevo è sufficiente per dimostrare il consenso al tracking pixel?
Non necessariamente. Il double opt-in può documentare la conferma dell’iscrizione, ma non dimostra da solo che il destinatario abbia accettato anche il tracciamento delle aperture. La validità del consenso dipende dalle informazioni fornite, dalle scelte effettivamente disponibili e dalle evidenze conservate dall’azienda. Per i contatti importati da altri sistemi è necessario verificare anche la documentazione originaria.
Quando è opportuno richiedere un audit GDPR sull’utilizzo di Brevo?
Una verifica professionale è particolarmente opportuna quando l’azienda utilizza liste di contatti raccolti in periodi diversi, non dispone di prove sufficienti dei consensi, ha attivato automazioni basate sulle aperture oppure riceve contestazioni relative al tracciamento o alle disiscrizioni. L’audit deve riguardare le impostazioni effettive della piattaforma, la documentazione privacy e il funzionamento delle procedure di revoca.
Consulenza legale per aziende che utilizzano Brevo: verifica dei consensi, tracking pixel e automazioni GDPR
Se la vostra azienda utilizza Brevo per newsletter, campagne commerciali o invii automatici, possiamo assistervi nella verifica della conformità privacy del tracciamento delle aperture, nella gestione dei consensi e delle revoche e nella revisione delle procedure aziendali. Esaminiamo le criticità giuridiche connesse alla configurazione della piattaforma, alla documentazione dei trattamenti e alle responsabilità dell’impresa, coordinandoci, quando necessario, con i referenti marketing e IT.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, presta assistenza alle imprese in materia di GDPR, privacy aziendale e compliance, anche attraverso attività di consulenza continuativa e supporto al DPO. Per sottoporre una situazione concreta alla nostra valutazione, potete utilizzare il servizio di consulenza privacy e compliance aziendale dello Studio Legale Calvello.
