Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda invia un preventivo, una proposta commerciale o una comunicazione importante e vuole sapere se il cliente l’ha letta. Alcuni programmi di posta elettronica e CRM permettono di ricevere notifiche quando il destinatario apre il messaggio, anche senza richiedere una conferma di lettura. Ma è lecito controllare l’apertura delle e-mail inviate ai clienti senza informarli? La risposta dipende dalla tecnologia utilizzata, dai dati raccolti e dalla finalità del monitoraggio. Il tracciamento può infatti comportare un trattamento di dati personali soggetto al GDPR e alle disposizioni del Codice Privacy sulle tecnologie di tracciamento. Per l’impresa è necessario distinguere la semplice verifica della consegna dal controllo delle aperture, soprattutto quando quest’ultimo avviene attraverso pixel invisibili o strumenti commerciali attivati automaticamente.

Come sapere se un cliente ha aperto un’e-mail e quali problemi privacy possono sorgere

Quando un responsabile commerciale invia un preventivo, sapere se il destinatario lo ha ricevuto può essere utile per organizzare il successivo contatto. La situazione cambia quando l’azienda vuole conoscere il momento esatto in cui il cliente apre il messaggio, quante volte lo consulta o se torna a visualizzarlo nei giorni successivi. Queste informazioni possono essere raccolte attraverso strumenti di email tracking integrati nei CRM, nelle applicazioni di posta elettronica o in estensioni installate dai singoli dipendenti.

Una delle tecniche più diffuse consiste nell’inserimento di un tracking pixel, generalmente un’immagine di dimensioni minime caricata da un server esterno quando il programma di posta visualizza il messaggio. L’immagine può essere associata a un identificativo univoco, collegato all’indirizzo e-mail del destinatario. Il sistema registra così un evento di caricamento che viene interpretato come apertura della comunicazione. A seconda della configurazione possono essere raccolti anche informazioni temporali, dati tecnici della connessione e ulteriori elementi relativi all’interazione con il messaggio.

Per l’azienda, il problema non riguarda soltanto la presenza di un’immagine invisibile. Quando le informazioni raccolte sono riferibili a una persona fisica identificata o identificabile, siamo in presenza di un trattamento di dati personali. Questo vale anche nei rapporti commerciali tra imprese: l’indirizzo e-mail nominativo di un amministratore, di un responsabile acquisti o di un referente aziendale non perde la propria natura di dato personale perché utilizzato nell’attività professionale.

Occorre distinguere tre situazioni. La ricevuta tecnica di consegna segnala, nei limiti del sistema utilizzato, che il messaggio è stato accettato dall’infrastruttura di destinazione. La conferma di lettura tradizionale può richiedere un’interazione del destinatario, che in molti programmi può rifiutarla. Il tracking pixel, invece, può registrare il caricamento di una risorsa remota senza che il destinatario abbia consapevolmente richiesto una conferma. Queste modalità non sono equivalenti sotto il profilo tecnico e giuridico.

Un ulteriore elemento riguarda l’affidabilità del risultato. Un’e-mail segnalata come aperta non dimostra necessariamente che il cliente abbia letto il contenuto. Alcuni servizi di posta caricano preventivamente le immagini per ragioni di sicurezza o riservatezza; altri le bloccano. Il messaggio può essere visualizzato in anteprima, inoltrato oppure elaborato da sistemi automatici. La registrazione dell’apertura, quindi, non costituisce di per sé una prova certa dell’effettiva conoscenza del preventivo o della proposta commerciale.

Questa distinzione assume particolare rilievo quando l’impresa intende utilizzare il tracciamento per dimostrare che il cliente ha ricevuto una comunicazione, conosceva determinate condizioni contrattuali o era stato informato di una scadenza. Il dato generato dal pixel non deve essere confuso con una prova giuridicamente affidabile della ricezione e della lettura. Quando occorre documentare la consegna di comunicazioni aventi rilevanza legale, devono essere valutati strumenti appropriati, come la PEC nei casi in cui risulti idonea, senza attribuire al normale email tracking effetti probatori che non possiede automaticamente.

Tracciamento delle e-mail commerciali e GDPR: quando serve il consenso del cliente

La liceità del monitoraggio deve essere valutata considerando sia il Regolamento (UE) 2016/679 sia la disciplina nazionale applicabile alle tecnologie che consentono di accedere a informazioni presenti nel dispositivo dell’utente o di memorizzarvi informazioni. In particolare, l’articolo 122 del D.Lgs. 196/2003, nel quadro della disciplina ePrivacy, prevede regole specifiche per tali operazioni, con eccezioni circoscritte. La circostanza che il destinatario abbia richiesto un preventivo o intrattenga già un rapporto commerciale con l’azienda non autorizza automaticamente il monitoraggio individuale delle aperture.

Occorre anzitutto verificare come funziona concretamente lo strumento. Un pixel associato a un identificativo individuale, che consente di ricostruire le aperture del singolo destinatario attraverso il caricamento di risorse remote, presenta caratteristiche diverse da una semplice ricevuta tecnica di consegna. Quando la tecnologia ricade nell’ambito dell’articolo 122 del Codice Privacy, il consenso costituisce la regola generale, salvo che ricorrano effettivamente i presupposti di una delle eccezioni previste. Non è sufficiente qualificare il trattamento come utile all’organizzazione commerciale per considerarlo necessario alla trasmissione della comunicazione.

Per le imprese è particolarmente importante non confondere la base giuridica prevista dall’articolo 6 GDPR con le condizioni richieste dalla normativa ePrivacy. Il legittimo interesse può essere rilevante per determinati trattamenti di dati personali, previa verifica dei relativi presupposti, ma non permette di superare un obbligo di consenso eventualmente imposto dalla disciplina specifica sulle tecnologie di tracciamento. Anche l’esistenza di un contratto con il cliente non rende automaticamente indispensabile conoscere quante volte quest’ultimo abbia aperto un’e-mail.

Consideriamo il caso di una società che invia una proposta economica dopo aver ricevuto una richiesta di informazioni. L’utilizzo dell’indirizzo e-mail per rispondere alla richiesta può trovare una propria giustificazione giuridica. Diversa è la decisione di inserire nel messaggio un identificativo invisibile per registrare le aperture e trasmettere tali informazioni al reparto commerciale. La seconda attività persegue una finalità ulteriore, che richiede una valutazione autonoma. Il fatto che entrambe le operazioni siano realizzate mediante lo stesso messaggio non comporta che condividano necessariamente le medesime condizioni di liceità.

Lo stesso ragionamento vale per i rapporti B2B. L’invio di un preventivo al responsabile acquisti di un’altra società non esclude l’applicazione della normativa sulla protezione dei dati personali. La disciplina va verificata anche quando il destinatario utilizza un indirizzo aziendale e il messaggio riguarda esclusivamente una trattativa professionale.

Quando il trattamento richiede il consenso, questo deve possedere i requisiti previsti dagli articoli 4 e 7 GDPR: deve essere libero, specifico, informato e inequivocabile, oltre che documentabile. Non possiamo presumere che l’accettazione di un preventivo, la richiesta di informazioni commerciali o l’autorizzazione a ricevere comunicazioni promozionali comprendano necessariamente anche il consenso al tracciamento individuale delle aperture. Occorre verificare quali informazioni siano state fornite e quali finalità siano state effettivamente accettate.

Un altro profilo riguarda l’informativa. Il destinatario deve poter comprendere quali dati vengono raccolti, per quali finalità, attraverso quali soggetti e per quanto tempo vengono conservati. Quando l’azienda utilizza un CRM o una piattaforma esterna, deve inoltre verificare i ruoli privacy del fornitore e gli eventuali rapporti disciplinati dall’articolo 28 GDPR. L’informativa, però, non sostituisce il consenso quando quest’ultimo è richiesto.

Le indicazioni del Garante per la protezione dei dati personali costituiscono un riferimento per valutare queste tecnologie. Sul tema è disponibile anche il nostro approfondimento dedicato ai tracking pixel nelle e-mail e nelle newsletter e alle indicazioni del Garante Privacy. Per le imprese che utilizzano strumenti di monitoraggio delle comunicazioni commerciali, la verifica deve partire dalle effettive modalità di funzionamento del software, senza presumere che tutte le funzionalità offerte dal fornitore siano automaticamente utilizzabili nel rispetto della normativa.

Quali controlli deve effettuare l’azienda prima di utilizzare strumenti di tracciamento delle e-mail

Quando un’impresa utilizza un CRM, un’estensione per Gmail o Outlook oppure un software che segnala l’apertura dei messaggi commerciali, la prima verifica riguarda le funzionalità effettivamente attive. Molti strumenti consentono di registrare automaticamente le aperture delle e-mail, talvolta senza che il responsabile commerciale conosca nel dettaglio le modalità di raccolta dei dati. La disponibilità tecnica di una funzione di tracciamento non significa che il suo utilizzo sia automaticamente lecito. Il titolare del trattamento deve verificare quali informazioni vengono acquisite, se siano riferibili a destinatari identificabili e quali presupposti giuridici consentano il trattamento.

Un controllo concreto deve partire dalla configurazione del sistema. Occorre accertare se il software inserisca pixel invisibili nei messaggi, se associ ogni apertura all’indirizzo e-mail del cliente, se registri data e ora dell’evento e se permetta di ricostruire lo storico delle interazioni. È necessario verificare anche se il tracciamento venga applicato indistintamente a tutte le comunicazioni oppure soltanto a determinate categorie di messaggi. Un programma utilizzato per inviare preventivi potrebbe, ad esempio, monitorare anche comunicazioni amministrative o contrattuali senza che l’azienda abbia consapevolmente previsto questa estensione del trattamento.

Particolare attenzione richiedono i sistemi che collegano il tracciamento delle aperture alle successive attività commerciali. Un CRM può segnalare al venditore che il cliente ha visualizzato una proposta, attribuire un punteggio al contatto oppure programmare un nuovo messaggio sulla base delle interazioni registrate. Queste funzionalità comportano trattamenti ulteriori rispetto alla semplice spedizione dell’e-mail e devono essere valutate autonomamente. Per le automazioni che utilizzano le aperture come criterio decisionale, abbiamo dedicato uno specifico approfondimento alle automazioni basate sulle aperture delle e-mail, alla profilazione e al lead scoring.

La verifica deve comprendere anche il rapporto con il fornitore della piattaforma. Quando quest’ultimo tratta dati personali per conto dell’azienda, occorre disciplinare il rapporto secondo l’articolo 28 GDPR, individuando le istruzioni documentate, le misure di sicurezza e le condizioni applicabili agli eventuali subresponsabili. Devono essere esaminati anche i possibili trasferimenti di dati verso Paesi terzi, senza presumere che la semplice presenza di un contratto standard sia sufficiente a risolvere ogni questione. Se il fornitore utilizza i dati per proprie finalità, occorre valutare distintamente il ruolo assunto e le relative responsabilità.

Un altro controllo riguarda la documentazione privacy. L’impresa deve verificare se il trattamento sia correttamente rappresentato nelle informative, se debba essere riportato nel registro delle attività di trattamento e quali tempi di conservazione siano giustificati dalle finalità perseguite. La conservazione indefinita dello storico delle aperture dei singoli clienti difficilmente può essere giustificata dalla sola esigenza di organizzare i successivi contatti commerciali. Devono quindi essere definite regole proporzionate per la conservazione, la cancellazione e l’accesso alle informazioni raccolte.

Non tutte le attività di tracciamento richiedono automaticamente una valutazione d’impatto ai sensi dell’articolo 35 GDPR. L’eventuale necessità di una DPIA dipende dalle caratteristiche del trattamento e dalla probabilità che esso presenti un rischio elevato per i diritti e le libertà delle persone fisiche. La valutazione assume particolare rilievo quando il monitoraggio diventa sistematico, coinvolge un numero elevato di destinatari oppure viene integrato con ulteriori informazioni per ricostruire comportamenti e preferenze individuali.

Il controllo organizzativo è altrettanto importante. Può accadere che un dipendente installi autonomamente un’estensione di email tracking per conoscere l’apertura dei preventivi, senza coinvolgere la direzione o chi segue la protezione dei dati personali. In questi casi l’azienda deve verificare quali dati siano stati raccolti, a quali soggetti siano stati comunicati e se il software possa continuare a essere utilizzato. La gestione degli strumenti commerciali dovrebbe prevedere autorizzazioni interne, istruzioni operative e verifiche periodiche sulle applicazioni effettivamente impiegate.

Quando emerge un utilizzo non conforme, non è corretto presumere automaticamente che si sia verificato un data breach. Un trattamento privo di adeguata base giuridica o effettuato senza rispettare gli obblighi informativi costituisce una problematica distinta dalla violazione di sicurezza dei dati personali. Occorre quindi qualificare correttamente l’irregolarità, verificare se vi siano anche problemi di riservatezza, integrità o disponibilità dei dati e individuare le misure appropriate.

Nel nostro lavoro di consulenza GDPR per aziende possiamo esaminare le modalità di utilizzo degli strumenti commerciali, la documentazione privacy e i rapporti con i fornitori tecnologici. L’obiettivo è individuare le funzionalità che possono essere mantenute, quelle che richiedono modifiche e quelle il cui utilizzo deve essere sospeso in assenza dei necessari presupposti giuridici. La valutazione deve considerare le esigenze effettive dell’impresa, evitando di introdurre trattamenti più invasivi di quanto sia necessario per gestire le relazioni con i clienti.

Esempio pratico: un’azienda utilizza il tracking delle e-mail per controllare l’apertura dei preventivi

Consideriamo il caso, puramente esemplificativo, di una società commerciale che invia quotidianamente preventivi ai propri clienti attraverso un CRM. Il responsabile vendite scopre che il programma registra automaticamente l’apertura dei messaggi e permette ai commerciali di conoscere quando un destinatario consulta una proposta. La funzione è stata attivata durante la configurazione iniziale del software, senza una specifica valutazione privacy e senza che l’informativa destinata ai clienti descriva il monitoraggio individuale.

In una situazione del genere, il nostro intervento partirebbe dall’esame delle impostazioni del CRM, dei dati raccolti e delle finalità perseguite. Verificheremmo la disciplina applicabile al sistema di tracciamento, l’eventuale necessità del consenso, le informazioni fornite ai destinatari e il contratto con il fornitore. L’aspetto più delicato sarebbe distinguere l’esigenza legittima di gestire i preventivi dalla raccolta sistematica di informazioni sul comportamento dei singoli clienti.

In base all’esito delle verifiche, l’azienda potrebbe dover disattivare il monitoraggio individuale, modificare le procedure commerciali, aggiornare la documentazione o predisporre modalità di raccolta del consenso quando giuridicamente necessarie e tecnicamente praticabili. Sarebbe inoltre necessario valutare il trattamento dei dati già acquisiti. La gestione del problema non richiederebbe necessariamente di abbandonare il CRM, ma di configurarlo e utilizzarlo secondo modalità compatibili con la normativa applicabile.

Domande frequenti sul tracciamento delle e-mail inviate ai clienti

Posso sapere se un cliente ha letto un’e-mail senza chiedergli il consenso?

Dipende dalla tecnologia utilizzata e dalla finalità del trattamento. Una normale ricevuta tecnica di consegna presenta caratteristiche diverse da un tracking pixel che registra le aperture individuali. Quando il sistema ricade nella disciplina dell’articolo 122 del Codice Privacy, il consenso è generalmente necessario, salvo che ricorra una specifica eccezione prevista dalla legge. Il fatto che il destinatario sia già cliente dell’azienda o abbia richiesto un preventivo non autorizza automaticamente il monitoraggio delle sue aperture.

È legale utilizzare Mailtrack, HubSpot o un CRM per controllare quando il cliente apre un preventivo?

L’utilizzo di questi strumenti non è vietato in quanto tale. Occorre però verificare quali funzionalità siano attive, quali dati vengano raccolti e se sussistano le condizioni giuridiche per il tracciamento. La conformità GDPR non dipende esclusivamente dal software scelto, ma anche dalla sua configurazione e dalle modalità concrete di utilizzo. Un’azienda dovrebbe quindi controllare le impostazioni di monitoraggio prima di consentirne l’impiego ai propri commerciali.

Se il CRM segnala che il cliente ha aperto il preventivo, posso dimostrare che lo ha letto?

No, non automaticamente. Il tracking pixel registra normalmente il caricamento di una risorsa remota, che può verificarsi anche senza una lettura effettiva del messaggio. Alcuni programmi di posta caricano preventivamente le immagini, mentre altri ne impediscono il caricamento. La notifica di apertura non costituisce quindi, da sola, una prova certa della lettura del preventivo o dell’accettazione delle condizioni commerciali. Quando occorre dimostrare la ricezione di comunicazioni giuridicamente rilevanti, devono essere valutati strumenti probatori appropriati.

Cosa rischia un’azienda che traccia le aperture delle e-mail senza rispettare il GDPR?

Un monitoraggio effettuato senza i necessari presupposti giuridici può esporre l’impresa a reclami degli interessati, richieste di chiarimenti e interventi del Garante per la protezione dei dati personali. A seconda della violazione accertata, possono trovare applicazione le misure correttive e le sanzioni previste dalla normativa. Non ogni irregolarità comporta automaticamente una sanzione pecuniaria: occorre valutare la natura del trattamento, le disposizioni violate, le circostanze concrete e le eventuali misure adottate dall’azienda.

La nostra azienda utilizza già il tracciamento delle e-mail: dobbiamo disattivarlo?

Non necessariamente in ogni situazione, ma è opportuno verificare tempestivamente le funzionalità attive. Se il sistema effettua un tracciamento individuale privo dei presupposti richiesti dalla normativa, può essere necessario sospendere tale funzione mentre vengono individuate le misure correttive. La verifica deve comprendere le informative, l’eventuale raccolta del consenso, i rapporti con il fornitore e la gestione dei dati già acquisiti. La semplice modifica dell’informativa non rende automaticamente lecito un tracciamento che richiede il consenso.

Consulenza legale per aziende sul tracciamento delle e-mail commerciali e sulla conformità GDPR

Il monitoraggio delle aperture delle e-mail può sembrare una normale funzionalità commerciale, ma il suo utilizzo richiede attenzione quando permette di raccogliere informazioni sul comportamento dei singoli destinatari. Le aziende che utilizzano CRM, software di gestione dei preventivi o strumenti di email tracking devono verificare se le modalità di trattamento siano compatibili con il GDPR e con la disciplina applicabile alle tecnologie di tracciamento.

Come Studio Legale Calvello, assistiamo le imprese nella valutazione giuridica degli strumenti di tracciamento commerciale, nella verifica delle basi giuridiche, nell’esame dei rapporti con i fornitori e nell’adeguamento della documentazione privacy. Interveniamo anche quando il monitoraggio è già attivo e occorre individuare eventuali irregolarità e le misure necessarie per affrontarle.

Per richiedere una valutazione della situazione aziendale e delle funzionalità di tracciamento utilizzate, è possibile contattare lo Studio Legale Calvello per una consulenza in materia di privacy e compliance aziendale.