Articolo a cura di: Redazione - Studio Legale Calvello
Banche, compagnie assicurative e intermediari finanziari inviano quotidianamente comunicazioni contrattuali, informative obbligatorie, avvisi di servizio e messaggi promozionali. Molte piattaforme utilizzate per questi invii consentono di inserire tracking pixel, ossia immagini invisibili che permettono di rilevare l’apertura delle e-mail e raccogliere informazioni tecniche sul destinatario. Il problema nasce quando lo stesso sistema di tracciamento viene applicato indistintamente alle comunicazioni necessarie per il rapporto contrattuale e alle campagne commerciali. Il fatto che una banca o un’assicurazione debba inviare una comunicazione non significa automaticamente che possa monitorarne l’apertura. Per valutare la liceità del trattamento occorre distinguere la finalità dell’invio da quella del tracciamento, individuare la corretta base giuridica e verificare le impostazioni effettive della piattaforma utilizzata.
Tracking pixel nelle comunicazioni bancarie e assicurative: quando nasce il problema privacy
Il tracciamento delle aperture è spesso integrato nei software di gestione delle comunicazioni con la clientela. Quando il destinatario visualizza un messaggio contenente un’immagine remota associata a un identificativo, il sistema può registrare l’evento e collegarlo a uno specifico indirizzo e-mail. A seconda della configurazione, possono essere trattati anche informazioni temporali, indirizzi IP e altri dati tecnici. Queste informazioni, quando consentono di identificare direttamente o indirettamente una persona fisica, rientrano nell’ambito di applicazione del Regolamento (UE) 2016/679.
Per gli operatori bancari e assicurativi la questione è particolarmente delicata perché le comunicazioni elettroniche rispondono a finalità molto diverse. Una banca può inviare documentazione periodica relativa al conto corrente, avvisi sulle condizioni contrattuali, informazioni su un finanziamento oppure offerte per nuovi prodotti. Una compagnia assicurativa può trasmettere documenti di polizza, comunicazioni relative ai premi, informazioni sulla gestione di un sinistro e proposte di coperture aggiuntive. Alcuni messaggi sono necessari per adempiere obblighi normativi o contrattuali; altri perseguono finalità commerciali.
La distinzione assume rilievo quando il software registra automaticamente l’apertura di tutte le e-mail, senza considerare la natura del messaggio. La liceità dell’invio e quella del monitoraggio dell’apertura devono essere valutate separatamente. Una comunicazione obbligatoria può essere trasmessa sulla base di un obbligo legale, ma questa circostanza non estende automaticamente la medesima base giuridica alla raccolta di dati sul comportamento del destinatario.
Un ulteriore problema riguarda l’utilizzo successivo delle informazioni raccolte. Il dato relativo all’apertura di un avviso contrattuale potrebbe essere utilizzato per verificare l’efficacia del sistema di comunicazione, ma anche essere trasferito al CRM per classificare il cliente, attivare un contatto commerciale o alimentare un modello di profilazione. Il passaggio da una finalità operativa a una finalità promozionale richiede una valutazione autonoma, anche quando il trattamento viene effettuato attraverso la stessa infrastruttura informatica.
Occorre considerare anche i limiti tecnici dello strumento. Il caricamento delle immagini può essere impedito dal programma di posta oppure effettuato automaticamente da sistemi di protezione della riservatezza. Un evento registrato dalla piattaforma non dimostra necessariamente che il destinatario abbia effettivamente letto e compreso il contenuto. Per una banca o una compagnia assicurativa che deve documentare l’adempimento di specifici obblighi di comunicazione, il tracking pixel non può essere considerato, da solo, una prova certa dell’avvenuta lettura.
Comunicazioni obbligatorie e marketing: quale base giuridica consente il tracciamento delle e-mail
Il primo riferimento è l’articolo 6 del GDPR, che richiede una base giuridica appropriata per ogni trattamento di dati personali. Nell’ambito bancario e assicurativo, l’invio di determinate comunicazioni può essere necessario per adempiere un obbligo legale oppure per eseguire un contratto. La raccolta di informazioni sulle aperture costituisce però un’operazione ulteriore, della quale devono essere valutate necessità, proporzionalità e finalità effettiva.
Se il tracciamento viene utilizzato per analizzare individualmente l’interesse del cliente verso prodotti finanziari o assicurativi, misurare la risposta alle campagne commerciali oppure attivare successive iniziative promozionali, assumono rilievo le regole sul marketing elettronico e sulla profilazione. Devono essere considerati il GDPR, il Codice Privacy e la disciplina applicabile alle comunicazioni elettroniche. Il consenso eventualmente raccolto per ricevere messaggi promozionali non autorizza indistintamente qualsiasi forma di monitoraggio comportamentale. Occorre verificare che l’interessato abbia ricevuto informazioni adeguate sulle specifiche finalità e che la base giuridica individuata sia effettivamente idonea.
Il tema è stato affrontato anche nell’ambito delle indicazioni del Garante per la protezione dei dati personali sul tracciamento mediante pixel nelle e-mail. Per comprendere il quadro applicativo, abbiamo dedicato un approfondimento al provvedimento del Garante Privacy sui tracking pixel nelle e-mail e newsletter. La verifica deve riguardare la concreta configurazione del trattamento, distinguendo il monitoraggio individuale dalle elaborazioni statistiche e valutando rigorosamente i presupposti di eventuali deroghe al consenso.
Per le comunicazioni di servizio o transazionali occorre accertare se il tracciamento sia realmente necessario rispetto alla specifica finalità perseguita. Non è sufficiente qualificare un messaggio come obbligatorio, né sostenere genericamente che conoscere le aperture migliori l’organizzazione aziendale. Quando viene invocato il legittimo interesse, devono essere verificati i presupposti di applicabilità, la necessità del trattamento e il bilanciamento con i diritti e le aspettative degli interessati, tenendo conto anche delle disposizioni speciali eventualmente applicabili. Abbiamo esaminato questa distinzione nell’articolo dedicato ai tracking pixel nelle e-mail di servizio e transazionali.
Per gli operatori assicurativi può emergere un’ulteriore criticità quando il contenuto della comunicazione o le informazioni ricavabili dal monitoraggio permettono di collegare il destinatario a trattamenti sanitari, condizioni di salute o altre categorie particolari di dati. In tali circostanze occorre verificare anche l’articolo 9 del GDPR, senza presumere che ogni comunicazione relativa a una polizza sanitaria comporti automaticamente il trattamento di dati particolari. Il rischio dipende dalle informazioni effettivamente raccolte, dalle possibilità di collegamento con altri archivi e dalle finalità del loro utilizzo.
La separazione tra comunicazioni obbligatorie e marketing deve essere attuata anche sul piano informatico. Una piattaforma che consente di disattivare il tracking per determinate categorie di messaggi, distinguere i consensi e impedire il trasferimento automatico delle aperture ai sistemi commerciali offre strumenti utili per applicare i principi di minimizzazione e protezione dei dati fin dalla progettazione. La presenza di queste funzionalità, però, non basta: occorre verificare che siano correttamente configurate e che le procedure aziendali impediscano utilizzi incompatibili con le finalità dichiarate.
Obblighi GDPR, responsabilità e controlli sui tracking pixel utilizzati da banche e assicurazioni
Quando una banca o una compagnia assicurativa utilizza tracking pixel nelle comunicazioni elettroniche, la verifica della conformità non può limitarsi al testo dell’informativa privacy o alla presenza di una casella per il consenso. Occorre ricostruire il funzionamento effettivo del sistema, individuare quali messaggi contengono identificativi di tracciamento, quali informazioni vengono raccolte, dove sono conservate e quali soggetti possono accedervi. Il principale rischio organizzativo riguarda la distanza tra le finalità dichiarate al cliente e le operazioni realmente eseguite dalle piattaforme di invio.
Una prima attività consiste nel distinguere i flussi delle comunicazioni obbligatorie da quelli commerciali. Gli avvisi relativi ai rapporti bancari, la documentazione contrattuale, le informazioni sulle polizze e le comunicazioni necessarie alla gestione dei sinistri devono essere esaminati separatamente dalle newsletter, dalle offerte di finanziamento e dalle campagne promozionali assicurative. Per ciascuna categoria occorre verificare se il monitoraggio individuale sia attivo, quale finalità persegua e se esista una base giuridica appropriata. L’eventuale necessità di dimostrare l’invio o la ricezione di una comunicazione deve essere affrontata valutando strumenti probatori idonei, senza attribuire al tracking pixel un’efficacia che tecnicamente non possiede.
Particolare attenzione richiede il collegamento tra piattaforme di invio e sistemi CRM. In molte organizzazioni il dato relativo all’apertura viene associato automaticamente alla scheda del cliente, rendendolo disponibile alla rete commerciale, agli operatori di filiale o agli intermediari assicurativi. Questa integrazione può consentire l’attivazione di campagne successive, l’attribuzione di punteggi di interesse commerciale e la segmentazione dei destinatari. Se il cliente ha autorizzato soltanto determinate comunicazioni, l’impresa deve impedire che le informazioni raccolte siano utilizzate per finalità ulteriori prive di un’idonea base giuridica. La gestione delle revoche deve essere coerente tra i diversi sistemi, evitando che un aggiornamento del CRM riattivi involontariamente un monitoraggio precedentemente disabilitato.
Sul piano documentale devono essere verificate le informative rese agli interessati, il registro delle attività di trattamento, le procedure di gestione dei consensi e gli accordi con i fornitori. Quando la piattaforma opera come responsabile del trattamento, il rapporto deve essere disciplinato conformemente all’articolo 28 del GDPR. È necessario accertare anche l’eventuale presenza di sub-responsabili, la localizzazione dei dati e i trasferimenti verso Paesi terzi. La semplice disponibilità di un contratto standard del fornitore non sostituisce la valutazione delle operazioni concretamente effettuate.
La conservazione dei dati rappresenta un ulteriore elemento da controllare. Le informazioni sulle aperture non dovrebbero essere mantenute indefinitamente soltanto perché il software ne consente l’archiviazione. I tempi devono essere individuati in relazione alle finalità legittimamente perseguite, documentati e applicati anche agli archivi collegati. Per approfondire le misure tecniche e organizzative pertinenti, rinviamo all’articolo dedicato ai tracking pixel e alla privacy by design.
In presenza di monitoraggi sistematici, profilazione estesa o trattamenti che coinvolgono informazioni particolarmente delicate, deve essere verificata la necessità di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR. La DPIA non è automaticamente obbligatoria per ogni sistema di tracciamento delle e-mail: la decisione dipende dalla natura, dall’ambito, dal contesto e dalle finalità del trattamento, nonché dal rischio per i diritti e le libertà delle persone fisiche. Il DPO, quando designato, deve essere coinvolto secondo le proprie funzioni di consulenza e sorveglianza, mentre le decisioni sulle finalità e sui mezzi del trattamento rimangono di competenza del titolare.
Se emergono irregolarità, l’impresa deve valutare gli interventi correttivi e documentare le decisioni adottate. Possono rendersi necessari la disattivazione di determinati pixel, la revisione delle basi giuridiche, l’aggiornamento delle informative, la modifica dei flussi informatici e la limitazione degli accessi ai dati raccolti. Qualora il trattamento sia già stato oggetto di reclamo o di richiesta di informazioni da parte del Garante Privacy, assume rilievo anche la ricostruzione delle configurazioni precedenti e delle operazioni effettivamente svolte. Una violazione delle disposizioni applicabili può comportare provvedimenti correttivi e sanzioni amministrative, la cui valutazione dipende dalle circostanze concrete e dai criteri previsti dal GDPR. Non ogni irregolarità comporta automaticamente una sanzione, né ogni problema di liceità del tracciamento costituisce necessariamente un data breach.
Esempio pratico: una compagnia assicurativa utilizza lo stesso tracking per avvisi obbligatori e offerte commerciali
Consideriamo il caso esemplificativo di una compagnia assicurativa che utilizza un’unica piattaforma per inviare documentazione contrattuale, avvisi di scadenza delle polizze e comunicazioni promozionali. Durante una verifica interna emerge che il monitoraggio individuale delle aperture è attivo per tutte le categorie di messaggi e che i dati vengono trasferiti automaticamente al CRM, dove risultano consultabili anche dagli addetti commerciali.
Il problema non riguarda soltanto la presenza dei pixel, ma l’impossibilità di distinguere immediatamente le informazioni raccolte per finalità operative da quelle utilizzate per il marketing. La verifica richiede quindi di ricostruire i flussi, esaminare le basi giuridiche individuate, controllare le informative e accertare come vengano gestite le preferenze dei clienti. Un’attenzione particolare deve essere riservata agli avvisi contrattuali che devono continuare a essere trasmessi anche quando il destinatario ha revocato il consenso alle comunicazioni promozionali.
In una situazione di questo tipo, l’intervento professionale può consistere nella revisione delle configurazioni della piattaforma, nella separazione dei flussi e nell’individuazione delle funzionalità di monitoraggio da disabilitare o sottoporre a specifiche condizioni di liceità. Devono essere aggiornate, quando necessario, le procedure interne e le istruzioni rivolte al personale che gestisce le campagne. L’obiettivo è consentire alla compagnia di continuare a effettuare le comunicazioni dovute, evitando che il relativo invio determini automaticamente trattamenti ulteriori non adeguatamente giustificati.
FAQ: tracking pixel nelle e-mail bancarie e assicurative
1. Una banca può utilizzare tracking pixel nelle comunicazioni obbligatorie senza chiedere il consenso?
La natura obbligatoria della comunicazione non autorizza automaticamente il tracciamento dell’apertura. Occorre verificare se la raccolta dei dati sia effettivamente necessaria per una finalità lecita, quale base giuridica possa sostenerla e se siano applicabili disposizioni specifiche in materia di comunicazioni elettroniche. L’obbligo di inviare un documento contrattuale o un’informazione bancaria non comporta, di per sé, il diritto di monitorare individualmente il comportamento del destinatario.
2. Le compagnie assicurative possono utilizzare i dati sulle aperture delle e-mail per proporre nuove polizze?
L’utilizzo delle aperture per individuare clienti interessati a determinati prodotti, attivare offerte personalizzate o alimentare sistemi di profilazione costituisce una finalità commerciale che richiede una propria valutazione di liceità. Devono essere rispettate le regole applicabili al marketing elettronico, alla trasparenza e alla profilazione. La circostanza che i dati siano stati raccolti durante l’invio di una comunicazione contrattuale non ne legittima automaticamente il successivo utilizzo promozionale.
3. Il tracking pixel dimostra che il cliente ha ricevuto e letto una comunicazione bancaria o assicurativa?
No. Il tracking pixel può registrare il caricamento di un’immagine remota, ma questo evento non dimostra necessariamente che il messaggio sia stato letto dal destinatario. Alcuni programmi di posta bloccano le immagini, mentre altri sistemi possono caricarle automaticamente. Quando la banca o l’assicurazione deve dimostrare l’adempimento di un obbligo di comunicazione, occorre individuare modalità di trasmissione e strumenti probatori adeguati alla disciplina applicabile.
4. È necessaria una DPIA per il tracciamento delle e-mail dei clienti bancari e assicurativi?
La valutazione d’impatto è necessaria quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, secondo i criteri dell’articolo 35 del GDPR. Il monitoraggio sistematico, la profilazione su larga scala e l’eventuale coinvolgimento di categorie particolari di dati possono incidere sulla valutazione. Non esiste però un obbligo generalizzato di DPIA per qualsiasi tracking pixel. L’impresa deve esaminare il trattamento concretamente effettuato e documentare le proprie valutazioni.
5. Cosa deve fare una banca o un’assicurazione se scopre che i tracking pixel sono attivi senza un’adeguata base giuridica?
È opportuno verificare tempestivamente le configurazioni della piattaforma, le categorie di comunicazioni interessate, le informazioni raccolte e gli eventuali utilizzi successivi. In base agli esiti, può essere necessario sospendere il monitoraggio non giustificato, correggere i flussi, riesaminare la conservazione dei dati e aggiornare informative e procedure. Occorre anche valutare se siano pervenuti reclami o richieste degli interessati e se sussistano ulteriori obblighi. Il coinvolgimento del DPO, quando designato, e di un professionista esperto in protezione dei dati consente di affrontare la verifica sotto il profilo giuridico e organizzativo.
Consulenza legale per banche e assicurazioni: verifica dei tracking pixel e conformità GDPR
Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste imprese e organizzazioni nella gestione degli obblighi privacy, nella verifica dei trattamenti di dati personali e nei rapporti con il Garante per la protezione dei dati personali.
Per banche, compagnie assicurative e intermediari finanziari possiamo esaminare la liceità dei tracking pixel utilizzati nelle comunicazioni obbligatorie e commerciali, verificare le basi giuridiche, le informative, i rapporti con i fornitori e le procedure di gestione dei consensi. L’assistenza può comprendere anche il supporto al DPO, la valutazione della necessità di una DPIA e gli interventi correttivi in presenza di trattamenti non conformi o contestazioni.
Se la vostra organizzazione utilizza sistemi di tracciamento delle e-mail e necessita di una verifica giuridica o di un intervento di adeguamento, potete richiedere una consulenza professionale.
