Articolo a cura di: Redazione - Studio Legale Calvello
Una piattaforma per l’invio di newsletter può raccogliere molte più informazioni del semplice indirizzo e-mail del destinatario. Alcuni servizi registrano automaticamente le aperture dei messaggi, i clic sui collegamenti, gli identificativi associati ai contatti e altri dati utilizzati per elaborare statistiche o attivare campagne successive. Per un’azienda, scegliere il software senza esaminare queste funzionalità significa rischiare di avviare trattamenti di dati personali non adeguatamente valutati.
Il problema riguarda soprattutto le imprese che stanno adottando una nuova piattaforma di email marketing, sostituendo il precedente fornitore oppure affidando la gestione delle newsletter a un’agenzia esterna. Prima di attivare il servizio occorre verificare quali dati vengono effettivamente raccolti, se il tracciamento può essere disabilitato, come vengono gestite le preferenze degli iscritti e quali garanzie offre il fornitore. Noi dello Studio Legale Calvello affrontiamo queste verifiche nell’ambito dell’assistenza alle aziende in materia di GDPR e privacy, distinguendo le funzionalità necessarie all’invio delle comunicazioni da quelle che richiedono ulteriori valutazioni giuridiche.
Le piattaforme di email marketing vengono generalmente scelte sulla base della facilità di utilizzo, dei costi, delle integrazioni con il sito aziendale e delle possibilità di automazione. Le caratteristiche che interessano maggiormente il responsabile marketing, però, possono avere conseguenze rilevanti sul trattamento dei dati personali. Una funzione apparentemente ordinaria, come il rapporto sulle aperture di una newsletter, può comportare l’inserimento nel messaggio di un’immagine invisibile collegata a un identificativo univoco del destinatario.
Quando il programma di posta carica l’immagine, il server può ricevere una richiesta che consente alla piattaforma di registrare informazioni sull’evento. A seconda della configurazione, possono essere trattati l’indirizzo IP, l’orario della richiesta, dati tecnici relativi al dispositivo e identificativi che permettono di associare l’evento a un determinato contatto. Queste informazioni possono essere successivamente utilizzate per individuare i destinatari apparentemente più interessati, segmentare le liste oppure attivare ulteriori comunicazioni commerciali.
La prima verifica riguarda quindi la presenza di tracking pixel e la possibilità di disattivarli effettivamente. Non è sufficiente che il fornitore dichiari genericamente la conformità al GDPR. L’azienda deve comprendere se il tracciamento delle aperture è abilitato per impostazione predefinita, se può essere escluso per tutte le campagne, se esistono impostazioni differenti per le automazioni e se la disattivazione impedisce realmente la raccolta dei dati associati agli eventi di apertura.
Occorre prestare attenzione anche alle funzionalità meno visibili. Alcune piattaforme modificano automaticamente i collegamenti presenti nelle e-mail per misurare i clic, associano identificativi ai destinatari oppure conservano una cronologia delle interazioni consultabile dagli operatori aziendali. Il semplice fatto che una funzione sia inclusa nel software non significa che possa essere utilizzata senza ulteriori condizioni. Per valutare il trattamento bisogna considerare le finalità perseguite, la natura dei dati raccolti, le modalità tecniche e la disciplina applicabile. Per le verifiche specifiche sui collegamenti è possibile consultare anche il nostro approfondimento sul tracciamento dei clic nelle e-mail e sui relativi controlli privacy.
Un altro controllo riguarda le statistiche. Un report che mostra il numero complessivo delle aperture presenta caratteristiche diverse da un sistema che permette di conoscere le interazioni attribuite a ciascun destinatario. La distinzione non dipende soltanto da ciò che viene visualizzato nella dashboard: anche una statistica presentata in forma aggregata può derivare da una raccolta preliminare di dati individuali. Per questo motivo, la visualizzazione di risultati aggregati non dimostra, da sola, che il trattamento sia anonimo o che il tracciamento sia lecito. La questione è approfondita nell’articolo dedicato alle statistiche aggregate sulle aperture delle newsletter e ai limiti del loro utilizzo.
La valutazione deve comprendere le integrazioni con CRM, e-commerce e moduli di iscrizione. Una piattaforma può trasferire automaticamente i dati delle interazioni ad altri sistemi aziendali, utilizzarli per aggiornare il profilo commerciale del cliente oppure alimentare segmentazioni e automazioni. Prima dell’attivazione è necessario ricostruire questi collegamenti, verificando che le impostazioni privacy siano coerenti nei diversi strumenti e che non vengano introdotti trattamenti ulteriori rispetto a quelli valutati dall’azienda.
Consenso, impostazioni predefinite e contratti: cosa controllare prima di scegliere il fornitore
La verifica delle funzionalità tecniche deve essere accompagnata da un esame della disciplina applicabile. Il Regolamento (UE) 2016/679 impone al titolare del trattamento di individuare finalità e basi giuridiche appropriate, rispettare i principi di minimizzazione e trasparenza e adottare misure adeguate fin dalla progettazione del trattamento. Per i tracking pixel nelle comunicazioni elettroniche occorre considerare anche la normativa sulla riservatezza delle comunicazioni e sull’accesso alle informazioni nei dispositivi degli utenti, oltre alle indicazioni delle autorità competenti.
Il consenso raccolto per ricevere comunicazioni promozionali non deve essere considerato automaticamente sufficiente per qualsiasi attività di monitoraggio. L’invio della newsletter e la registrazione delle interazioni individuali possono rispondere a finalità differenti. Quando il tracciamento richiede un consenso specifico, la piattaforma deve consentire all’azienda di rispettare tale requisito e di documentare la scelta dell’interessato. Eventuali eccezioni devono essere valutate in relazione alla funzione concretamente utilizzata, senza presumere che ogni misurazione delle aperture sia automaticamente esente dal consenso. Abbiamo affrontato separatamente questi aspetti nell’articolo sul consenso ai tracking pixel nelle e-mail.
Una piattaforma adeguata alle esigenze dell’impresa dovrebbe permettere di separare operativamente l’invio delle newsletter dalle funzioni di monitoraggio non necessarie. È quindi opportuno verificare se il tracking possa essere disabilitato prima dell’invio, se le preferenze siano registrate e aggiornabili e se la revoca produca effetti anche sulle campagne automatiche. Il sistema deve essere esaminato nella sua configurazione effettiva, perché la disponibilità teorica di una funzione non dimostra che essa operi correttamente nell’ambiente aziendale.
Particolare attenzione merita il rapporto contrattuale con il fornitore. Quando la piattaforma tratta dati personali per conto dell’azienda, deve essere disciplinato il rapporto ai sensi dell’articolo 28 GDPR. Il contratto deve individuare gli elementi richiesti dalla norma, comprese le istruzioni documentate del titolare, le misure di sicurezza, le condizioni di ricorso ad altri responsabili, l’assistenza nell’esercizio dei diritti degli interessati e le modalità di restituzione o cancellazione dei dati alla cessazione del servizio. Per una verifica della documentazione contrattuale è utile il nostro approfondimento sul contratto con il responsabile del trattamento ai sensi dell’articolo 28 GDPR.
Non tutti i trattamenti effettuati dal fornitore sono necessariamente svolti nella medesima veste giuridica. Se il gestore della piattaforma utilizza determinate informazioni per finalità proprie, occorre esaminare separatamente tale attività e chiarire i rispettivi ruoli. La presenza di un accordo sul trattamento dei dati non risolve automaticamente ogni questione relativa alla liceità delle operazioni effettuate dal software.
Un ulteriore elemento riguarda la localizzazione dei dati e gli eventuali trasferimenti verso Paesi esterni allo Spazio economico europeo. L’azienda deve conoscere i soggetti che possono accedere ai dati, i servizi utilizzati per l’elaborazione delle statistiche e gli strumenti giuridici applicabili agli eventuali trasferimenti internazionali. La sola indicazione della sede europea del fornitore o della posizione dei server non esaurisce questa verifica.
Devono essere esaminate anche le possibilità di limitare gli accessi degli operatori, configurare i tempi di conservazione, cancellare le informazioni non più necessarie ed esportare i dati in caso di sostituzione della piattaforma. Sono aspetti che incidono sulla capacità dell’azienda di rispettare concretamente gli obblighi del GDPR durante l’intero rapporto contrattuale.
Per un’impresa che deve scegliere o rinnovare un servizio di email marketing, la documentazione commerciale del fornitore rappresenta soltanto il punto di partenza. Le verifiche devono riguardare il contratto, le impostazioni disponibili e il comportamento effettivo del sistema. Un controllo preventivo consente di individuare eventuali limitazioni tecniche prima che il software venga collegato alle liste dei clienti e utilizzato per campagne aziendali.
Una volta individuata la piattaforma, l’azienda deve verificare il suo funzionamento prima di importare i contatti e avviare le campagne. Il controllo non può limitarsi alla lettura dell’informativa privacy del fornitore o alla presenza di una dichiarazione di conformità al GDPR. Occorre accedere alle impostazioni amministrative, individuare le funzionalità di monitoraggio e verificare quali trattamenti vengono effettivamente attivati durante l’invio e la successiva apertura dei messaggi.
Il primo controllo operativo riguarda il tracciamento delle aperture e dei clic. È opportuno effettuare invii di prova verso caselle di posta controllate dall’azienda, esaminando il codice HTML dei messaggi e le richieste generate dal caricamento delle immagini. Se il tracking viene disabilitato, occorre verificare che la modifica abbia effetto anche sulle campagne programmate, sui modelli riutilizzabili e sulle automazioni già configurate. Alcuni servizi possono prevedere impostazioni distinte per le diverse tipologie di comunicazione.
La verifica deve comprendere la possibilità di utilizzare il servizio senza raccogliere informazioni individuali sulle aperture. Una piattaforma che consente di disabilitare il monitoraggio può risultare più facilmente configurabile secondo il principio di protezione dei dati per impostazione predefinita, previsto dall’articolo 25 GDPR. La conformità, però, dipende dall’insieme delle operazioni effettuate e non dalla semplice presenza di un comando per disattivare il tracking. Per approfondire gli aspetti tecnici è possibile consultare il nostro articolo su tracking pixel, privacy by design, identificativi e minimizzazione dei dati.
Un secondo controllo riguarda la gestione delle preferenze. L’azienda deve poter distinguere gli iscritti che hanno autorizzato determinate attività di monitoraggio da quelli per i quali tali attività non sono consentite. Quando il trattamento richiede il consenso, il sistema deve permettere di registrarlo, conservarne una prova adeguata e gestirne la revoca. La rinuncia al tracciamento non deve essere automaticamente confusa con la richiesta di cancellazione dalla newsletter: sono scelte che possono riguardare trattamenti differenti.
È necessario verificare anche il comportamento delle integrazioni. Se la piattaforma comunica con un CRM o con altri strumenti di marketing, le preferenze dell’interessato devono essere gestite in modo coerente. Un’impostazione modificata nella piattaforma newsletter non dovrebbe essere successivamente sovrascritta da una sincronizzazione automatica che riattiva il monitoraggio senza un valido presupposto. La questione richiede particolare attenzione nei sistemi che utilizzano più database o flussi automatici di aggiornamento dei contatti.
La sicurezza rappresenta un ulteriore elemento della valutazione. Il responsabile IT deve verificare la disponibilità dell’autenticazione a più fattori, la separazione dei privilegi degli utenti, la registrazione degli accessi amministrativi e le modalità di autorizzazione delle agenzie esterne. Occorre comprendere quali operatori possano esportare le liste, consultare le statistiche individuali o modificare le impostazioni relative al trattamento dei dati. Queste verifiche devono essere proporzionate ai rischi e alle caratteristiche del servizio.
La scelta della piattaforma dovrebbe essere accompagnata da una documentazione delle verifiche effettuate. L’azienda può conservare le configurazioni adottate, le informazioni ricevute dal fornitore, gli esiti dei test e le decisioni relative alle funzionalità abilitate. Quando necessario, tali elementi devono essere coordinati con il registro delle attività di trattamento, le informative e la valutazione dei rischi. L’eventuale necessità di una valutazione d’impatto ai sensi dell’articolo 35 GDPR dipende dalle caratteristiche concrete del trattamento e dal rischio elevato che esso può presentare per i diritti e le libertà delle persone fisiche.
Il DPO, quando designato, deve essere coinvolto secondo le funzioni di consulenza e sorveglianza attribuitegli dal GDPR, senza confondere il suo ruolo con quello del titolare che assume le decisioni sul trattamento. Nelle aziende prive di un DPO, ove la nomina non sia obbligatoria, le verifiche possono essere svolte con il supporto di un consulente privacy e dei responsabili tecnici. Noi dello Studio Legale Calvello possiamo assistere l’impresa nella valutazione giuridica delle funzionalità, nell’esame dei rapporti contrattuali e nell’individuazione delle modifiche organizzative necessarie prima dell’utilizzo del servizio.
Consideriamo il caso ipotetico di una società commerciale che decide di sostituire il precedente software newsletter con una piattaforma dotata di funzioni avanzate di automazione. Il responsabile marketing predispone l’importazione dei contatti e configura alcune campagne periodiche, senza accorgersi che il monitoraggio delle aperture e dei clic è abilitato nelle impostazioni iniziali.
Durante una verifica preliminare emerge che il sistema associa gli eventi di apertura ai singoli destinatari e trasferisce alcune informazioni al CRM aziendale. La documentazione privacy predisposta per le precedenti campagne non descrive queste nuove operazioni e non risulta verificata la disponibilità di un presupposto giuridico adeguato per le funzionalità di tracciamento.
In una situazione del genere, l’intervento professionale consiste anzitutto nel ricostruire i flussi di dati, esaminare le impostazioni del software e verificare le condizioni contrattuali del fornitore. Le funzioni di monitoraggio vengono valutate separatamente dall’invio delle newsletter, individuando quelle che possono essere mantenute, quelle da modificare e quelle da disabilitare in assenza dei necessari presupposti.
L’aspetto più delicato riguarda il coordinamento tra piattaforma e CRM, perché una disattivazione limitata al singolo invio potrebbe non incidere sulle automazioni già predisposte. La riorganizzazione richiede quindi controlli tecnici, aggiornamento della documentazione pertinente e definizione delle responsabilità interne. L’esempio mostra perché la verifica privacy deve precedere l’utilizzo operativo della piattaforma, anziché essere affrontata soltanto dopo l’avvio delle campagne.
1. Una piattaforma newsletter dichiarata conforme al GDPR può essere utilizzata senza ulteriori verifiche?
No. Le dichiarazioni del fornitore non sostituiscono le valutazioni che competono all’azienda in qualità di titolare del trattamento. Occorre verificare le funzionalità effettivamente utilizzate, le basi giuridiche applicabili, i contratti, gli eventuali trasferimenti internazionali e le misure di sicurezza.
2. È possibile utilizzare una piattaforma newsletter disattivando il tracking delle aperture?
Sì, se il servizio consente tale configurazione. È necessario controllare che la disattivazione sia effettiva e riguardi anche eventuali campagne automatiche. Devono comunque essere verificati gli altri trattamenti effettuati dalla piattaforma, compreso l’eventuale monitoraggio dei clic.
3. Il contratto con il fornitore della piattaforma newsletter deve rispettare l’articolo 28 GDPR?
Quando il fornitore tratta dati personali per conto dell’azienda in qualità di responsabile del trattamento, è necessario un accordo conforme all’articolo 28 GDPR. Occorre inoltre verificare eventuali trattamenti svolti dal fornitore per finalità proprie e i rapporti con i subresponsabili.
4. Una piattaforma con server europei è automaticamente conforme al GDPR?
No. La localizzazione dei server costituisce soltanto uno degli elementi da verificare. Devono essere considerati anche gli accessi da Paesi terzi, gli eventuali trasferimenti internazionali, le modalità di trattamento, le misure di sicurezza e la conformità delle singole funzionalità utilizzate.
5. Quando è opportuno richiedere un audit privacy della piattaforma newsletter?
La verifica è particolarmente utile prima dell’adozione di un nuovo servizio, in occasione della sostituzione del fornitore, dell’attivazione di funzioni di tracciamento o dell’integrazione con sistemi CRM. Un controllo può essere necessario anche quando emergono dubbi sulla gestione dei consensi, sulle impostazioni automatiche o sulla documentazione contrattuale.
La scelta di una piattaforma newsletter richiede una valutazione che tenga conto delle funzionalità tecniche, dei trattamenti di dati personali e delle responsabilità contrattuali. Noi dello Studio Legale Calvello assistiamo le aziende nella verifica dei sistemi di email marketing, nell’analisi dei tracking pixel, nel controllo degli accordi con i fornitori e nell’individuazione degli adempimenti privacy pertinenti.
Se la vostra impresa deve adottare una nuova piattaforma, sostituire quella esistente oppure verificare le funzioni di tracciamento già attive, potete richiedere una consulenza in materia di privacy e compliance aziendale allo Studio Legale Calvello per esaminare la situazione concreta e valutare gli interventi necessari.
