Email marketing: il Garante Privacy conferma il divieto di “pesca a strascico” dei contatti da elenchi pubblici

Stefano Gazzella : 28 Luglio 2023 02:22

Il Garante Privacy ribadisce il divieto di pesca a strascico dei contatti da elenchi pubblici per lo svolgimento di attività di marketing. Per tale ragione, con il provvedimento n. 202 del 17 maggio 2023 è stata imposta non solo la sanzione di diecimila euro ma anche il divieto di trattamento e l’ordine di cancellazione di tutti i contatti per cui non è dimostrata l’acquisizione di un valido consenso.

Il tutto ha avuto origine da un reclamo presentato da parte di un professionista. Questi aveva lamentato la ricezione di comunicazioni promozionali indesiderate presso il proprio indirizzo email, in assenza di un iniziale consenso e soprattutto nonostante l’esercizio della propria opposizione.

Alla richiesta di informazioni formulata dal Garante, il titolare ha dichiarato di aver estratto il nominativo del reclamante da elenchi pubblici:

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

per il tramite del suo avvocato, ha dichiarato che l’invio delle e-mail era diretto, oltre che al reclamante, a professionisti del settore delle costruzioni e di aver estratto i nominativi da diversi elenchi pubblici (tra cui l’Elenco regionale dei certificatori della Regione Liguria).

e di aver svolto tutte le attività di trattamento richiamando l’art. 130 comma 4 Cod. Privacy che regolamenta il soft spam e la presenza di un link per la disiscrizione all’interno di ogni comunicazione, e la possibilità di ricorrere alla base giuridica del legittimo interesse facendo riferimento ad un considerando del GDPR

Considerando n. 47 GDPR

Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto.

Mentre per quanto riguarda la causa della mancata cancellazione dell’indirizzo email, questa è stata imputata ad un malfunzionamento del software gestionale.

La chiusura dell’istruttoria preliminare ha così comportato le contestazioni per la violazione degli articoli 5 par. 1 lett. a), 6 par. 1 lett. a), 17 e 21 GDPR e dell’art. 130 del Codice Privacy.

Le violazioni contestate e le regole dell’email marketing

Nello svolgimento delle valutazioni circa le violazioni contestate, nel provvedimento del Garante c’è una generale ricognizione dei principi applicabili all’email marketing.

Per quanto riguarda il valore del considerando n. 47 GDPR, ne viene ribadita la portata interpretativa e non prescrittiva. Inoltre, con specifico riguardo all’attività di marketing svolta tramite email, trova applicazione la direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche. Successivamente, sarà il Regolamento ePrivacy a regolare tali fattispecie sempre secondo il criterio di specialità.

L’invio di email di marketing è generalmente valido previo consenso da parte dell’interessato. La deroga a tale regime contemplata dall’art. 130 comma 4 Codice Privacy ricorre solo in presenza dei requisiti puntualmente indicati dalla stessa norma:

Fatto salvo quanto previsto nel comma 1 , se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell’interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l’interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L’interessato, al momento della raccolta e in occasione dell’invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente.

Requisiti che abbiamo chiarito nella LIVE di Breaking the Law con Sergio Aracu, e che non sono stati rilevati nel caso in esame. E ciò ha portato all’inapplicabilità dell’art. 130 comma 4 del Codice Privacy dal momento che i soggetti contattati non avevano avuto alcun rapporto contrattuale pregresso con il titolare del trattamento.

Per quanto riguarda l’utilizzo di dati personali inseriti negli elenchi pubblici viene ribadito dal Garante Privacy il divieto di raccolta di tali dati per svolgere attività di marketing in assenza del consenso dell’interessato, confermando le indicazioni già fornite nelle Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013. Quanto rileva, infatti, è che l’impiego per finalità promozionale di dati in elenchi pubblici o fonti liberamente accessibili (quali ordini professionali o social network, ad esempio) non è compatibile con quelle originarie per cui il dato è stato conferito e dunque l’attività contrasta con le legittime aspettative degli interessati. Viene inoltre confermato che l’aver reso disponibile la possibilità di opt-out non “sana” la raccolta ed impiego dei dati per svolgere una campagna di email marketing illecita.

Infine, per quanto riguarda il malfunzionamento del software gestionale, tale causa non è stata ritenuta adeguatamente comprovata per esimere dalla violazione dei principi di correttezza per aver mancato di riscontrare l’esercizio del diritto di opposizione e successiva cancellazione.

Stefano Gazzella
Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Lista degli articoli
Visita il sito web dell'autore