MARKETING ON LINE & PRIVACY

Il tema della tutela dei dati personali nello svolgimento dell’attività di marketing on line ha conosciuto un recente contributo chiarificatore da parte del Garante per la protezione dei dati personali (GPDP) che offre interessanti spunti di aggiornamento.

Con provvedimento del 4 giugno 2025, reg. provv. n. 300, il GPDP si è pronunciato sul reclamo presentato dal cliente di una società di rivendita di auto on line, il quale ha lamentato plurime condotte illegittime della stessa riconducibili alla ricezione di numerose e-mails indesiderate con finalità promozionale di offerte correlate, provenienti da soggetti terzi in assenza di previo consenso autorizzativo.

Espletati gli accertamenti preliminari d’ufficio, il GPDP ha disposto l’avvio del procedimento per la contestata violazione di plurimi profili di responsabilità in capo alla società, la quale si è difesa nel procedimento rappresentando, in sintesi e tra l’altro, che:
- l’attività promozionale di e-mail marketing è stata commissionata a due soggetti terzi, in forza di rispettivi contratti sottoscritti contenenti la disciplina dei relativi rapporti.
- i preposti hanno provveduto al trattamento dei dati personali del reclamante raccogliendo il necessario consenso autorizzativo secondo le vigenti disposizioni normative, che non prescrivono il meccanismo del cd. double opt-in quale condizione di liceità.

All’esito dell’attività istruttoria, il GPDP ha integralmente confermato le violazioni rilevate nell’atto di avvio del procedimento sulla base delle seguenti motivazioni.

La normativa vigente nel nostro ordinamento in materia di trattamento di dati personali (Reg. UE 2016/679 e D.Lgs. n. 196/2003 come modificato dal D.Lgs. n. 101/2018) impone la necessaria adozione di presidi tecnici e organizzativi idonei a documentare efficacemente:

• La preliminare selezione dei soggetti terzi eventualmente incaricati del trattamento per conto della preponente in modo da poter dimostrare di aver affidare il servizio a partners in grado di offrire idonee garanzie di liceità a tutela sia del titolare che dell’interessato.

• La disciplina pattizia regolatrice dei rapporti tra le parti in materia di trattamento dei personali degli utenti, distinguendo compiutamente:
- il titolare del trattamento, ossia la persona fisica o giuridica che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento, con tutte le connesse responsabilità in ordine alla selezione e al controllo dei soggetti che operano per suo conto;
- i soggetti che svolgono concretamente il servizio per conto del preponente titolare del trattamento che, in base alle modulazioni del caso concreto, possono assumere la qualifica di contitolare o responsabile del trattamento, da intendersi quest’ultimo come il soggetto che tratta dati personali per conto del titolare eseguendone le istruzioni - anche con un certo grado di autonomia - senza tuttavia poter esercitare alcuna facoltà in ordine alla scelta delle finalità del trattamento. La distinzione soggettiva dei ruoli assume concreta rilevanza in quanto consente, tra l’altro, di contrastare il rischio della raccolta del consenso ad opera del terzo in via autonoma (con conseguente trattamento non autorizzato) in presenza di opposizione formalizzata dal cliente inserito nella black list della preponente.

• L’effettivo controllo dell’operato dei preposti allo svolgimento del trattamento dei dati personali, che deve avvenire in conformità alle prescrizioni del Reg. UE 2016/679, in ottemperanza al principio di accountability che impone al titolare di provare (in modo circostanziato) di aver fatto il possibile per proteggere i dati personali illustrando le specifiche misure adottate. A tal fine, il GPDP ha precisato che l’eventuale pattuizione di clausole di manleva nei contratti sottoscritti dal titolare del trattamento con terzi partners è giuridicamente inidonea a giustificare il mancato controllo preliminare e successivo da parte del titolare del trattamento, trattandosi di impegni dotati di mera rilevanza contrattuale tra i contraenti e di per sé privi di rilievo ai fini delle garanzie prescritte dal vigente quadro normativo a tutela dei dati personali dei clienti.

• La raccolta del consenso al trattamento dei dati personali per finalità di marketing.
Sul punto, nel provvedimento in questione, l’Autorità ha specificato che:
i) il Regolamento UE 2016/679 non prevede espressamente specifici obblighi normativi per singole fattispecie ma impone il rispetto di generali principi da adattare al contesto, ai potenziali rischi e alle aspettative degli interessati;
ii) il consenso rilasciato tramite log d’iscrizione a portale web (cd. opt-in) non è sufficiente a documentare l'effettiva volontà dell'interessato poichè il log dell’iscrizione contenente l’indirizzo IP con data e ora di acquisizione non può considerarsi di per sé idoneo a dimostrare l’effettiva volontà del cliente in quanto trattasi di dati privi di specifiche rispetto al fatto che la registrazione possa riguardare la mera iscrizione al servizio oppure l’effettivo consenso del cliente, obbligatorio per finalità di marketing e altre ad esse correlate;
iii) il consenso raccolto mediante l'invio di una e-mail di conferma all'indirizzo registrato ovvero al numero di telefono fornito (cd. double opt-in), contenente un link univoco o un codice da attivare, offre maggiori garanzie di effettiva tutela in materia di trattamento dei dati per finalità di marketing.
iv) il meccanismo double opt-in non è prescritto per legge né costituisce una procedura univoca e indefettibile. Tale tecnica è allo stato ritenuta una “misura minima” di protezione sia per l'interessato che per lo stesso titolare, tenuto a comprovare la liceità del trattamento (cfr, sul punto, in www.garanteprivacy.it, provv. 15 dicembre 2022, doc. web 9852290; provv. 26 ottobre 2017, doc. web n. 7320903 e provv. 25 novembre 2021, doc. web n. 9737185);
v) sono validamente ammissibili anche eventuali metodi alternativi di documentazione del consenso, tra cui, quelli indicati all'interno del Codice di Condotta in materia di telemarketing e teleselling (www.garanteprivacy.it, provv. 7 marzo 2024, doc. web n. 9993808), quali la conservazione dell’indirizzo IP e della marca temporale associata all’azione online dell’utente (e.g. spunta della casella di consenso), o l’invio di un messaggio di conferma (e.g. SMS) all’utente possano risultare sufficienti, a seconda del contesto, per dimostrare il consenso;
vi) si riconosce, più in generale, la possibilità di adottare altri meccanismi alternativi, a condizione che questi siano in grado di garantire un livello equivalente di affidabilità tecnica e documentale, in particolare riguardo a:
• verifica dell’effettiva disponibilità dell’indirizzo e-mail da parte dell’interessato;
• attribuzione univoca dell’azione di conferma al soggetto destinatario;
• documentazione puntuale delle fasi tecniche e temporali del processo di acquisizione del consenso;
• dimostrazione del chiaro collegamento tra l’espressione del consenso e la preventiva consultazione dell’informativa privacy.

Il recente provvedimento dell’Autorità interviene su un tema che permane di grande attualità commerciale e giuridica. Vista la consolidata diffusione dell’e-commerce su scala mondiale, la pronuncia suggerisce la necessità di attente valutazioni da parte degli operatori, anche in considerazione del profilo repressivo delle violazioni che prevede l’assoggettamento a sanzioni amministrative pecuniarie quantificate nel massimo edittale di 10/20milioni di euro (in base alle ipotesi di violazione) ovvero, per le imprese, in misura % rispetto al fatturato mondiale dell’anno precedente ove superiore (art. 83 Reg. UE 2016/679), oltre alle sanzioni accessorie, tra cui, la pubblicazione del provvedimento nel sito web del Garante.

A cura di:
Avv. Diego Gilardi