Email marketing: il Garante Privacy conferma il divieto di “pesca a strascico” dei contatti da elenchi pubblici

Stefano Gazzella : 28 Luglio 2023 02:22

Il Garante Privacy ribadisce il divieto di pesca a strascico dei contatti da elenchi pubblici per lo svolgimento di attività di marketing. Per tale ragione, con il provvedimento n. 202 del 17 maggio 2023 è stata imposta non solo la sanzione di diecimila euro ma anche il divieto di trattamento e l’ordine di cancellazione di tutti i contatti per cui non è dimostrata l’acquisizione di un valido consenso.

Il tutto ha avuto origine da un reclamo presentato da parte di un professionista. Questi aveva lamentato la ricezione di comunicazioni promozionali indesiderate presso il proprio indirizzo email, in assenza di un iniziale consenso e soprattutto nonostante l’esercizio della propria opposizione.

Alla richiesta di informazioni formulata dal Garante, il titolare ha dichiarato di aver estratto il nominativo del reclamante da elenchi pubblici:

CORSO NIS2 : Network and Information system 2
La direttiva NIS2 rappresenta una delle novità più importanti per la sicurezza informatica in Europa, imponendo nuovi obblighi alle aziende e alle infrastrutture critiche per migliorare la resilienza contro le cyber minacce. Con scadenze stringenti e penalità elevate per chi non si adegua, comprendere i requisiti della NIS2 è essenziale per garantire la compliance e proteggere la tua organizzazione.

Accedi All'Anteprima del Corso condotto dall'Avv. Andrea Capelli sulla nostra Academy e segui l'anteprima gratuita.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765 

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

per il tramite del suo avvocato, ha dichiarato che l’invio delle e-mail era diretto, oltre che al reclamante, a professionisti del settore delle costruzioni e di aver estratto i nominativi da diversi elenchi pubblici (tra cui l’Elenco regionale dei certificatori della Regione Liguria).

e di aver svolto tutte le attività di trattamento richiamando l’art. 130 comma 4 Cod. Privacy che regolamenta il soft spam e la presenza di un link per la disiscrizione all’interno di ogni comunicazione, e la possibilità di ricorrere alla base giuridica del legittimo interesse facendo riferimento ad un considerando del GDPR

Considerando n. 47 GDPR

Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto.

Mentre per quanto riguarda la causa della mancata cancellazione dell’indirizzo email, questa è stata imputata ad un malfunzionamento del software gestionale.

La chiusura dell’istruttoria preliminare ha così comportato le contestazioni per la violazione degli articoli 5 par. 1 lett. a), 6 par. 1 lett. a), 17 e 21 GDPR e dell’art. 130 del Codice Privacy.

Le violazioni contestate e le regole dell’email marketing

Nello svolgimento delle valutazioni circa le violazioni contestate, nel provvedimento del Garante c’è una generale ricognizione dei principi applicabili all’email marketing.

Per quanto riguarda il valore del considerando n. 47 GDPR, ne viene ribadita la portata interpretativa e non prescrittiva. Inoltre, con specifico riguardo all’attività di marketing svolta tramite email, trova applicazione la direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche. Successivamente, sarà il Regolamento ePrivacy a regolare tali fattispecie sempre secondo il criterio di specialità.

L’invio di email di marketing è generalmente valido previo consenso da parte dell’interessato. La deroga a tale regime contemplata dall’art. 130 comma 4 Codice Privacy ricorre solo in presenza dei requisiti puntualmente indicati dalla stessa norma:

Fatto salvo quanto previsto nel comma 1 , se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell’interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l’interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L’interessato, al momento della raccolta e in occasione dell’invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente.

Requisiti che abbiamo chiarito nella LIVE di Breaking the Law con Sergio Aracu, e che non sono stati rilevati nel caso in esame. E ciò ha portato all’inapplicabilità dell’art. 130 comma 4 del Codice Privacy dal momento che i soggetti contattati non avevano avuto alcun rapporto contrattuale pregresso con il titolare del trattamento.

Per quanto riguarda l’utilizzo di dati personali inseriti negli elenchi pubblici viene ribadito dal Garante Privacy il divieto di raccolta di tali dati per svolgere attività di marketing in assenza del consenso dell’interessato, confermando le indicazioni già fornite nelle Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013. Quanto rileva, infatti, è che l’impiego per finalità promozionale di dati in elenchi pubblici o fonti liberamente accessibili (quali ordini professionali o social network, ad esempio) non è compatibile con quelle originarie per cui il dato è stato conferito e dunque l’attività contrasta con le legittime aspettative degli interessati. Viene inoltre confermato che l’aver reso disponibile la possibilità di opt-out non “sana” la raccolta ed impiego dei dati per svolgere una campagna di email marketing illecita.

Infine, per quanto riguarda il malfunzionamento del software gestionale, tale causa non è stata ritenuta adeguatamente comprovata per esimere dalla violazione dei principi di correttezza per aver mancato di riscontrare l’esercizio del diritto di opposizione e successiva cancellazione.

Stefano Gazzella
Privacy Officer e Data Protection Officer, specializzato in advisoring legale per la compliance dei processi in ambito ICT Law. Formatore e trainer per la data protection e la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Giornalista pubblicista, fa divulgazione su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Lista degli articoli
Visita il sito web dell'autore