Il Garante privacy ha emanato, con un provvedimento del 4 luglio 2013, le “Linee Guida in materia di attività promozionale e contrasto allo spam” che, al fine di dirimere i molti dubbi degli operatori del settore e rendere le prassi commerciali più trasparenti e rispettose della riservatezza degli interessati, forniscono un primo schema di regole utili sia alle aziende che debbano avviare delle campagne promozionali, sia ai cittadini che vogliano difendersi da un utilizzo a scopo pubblicitario dei loro dati personali e dei loro recapiti senza il loro consenso.
Particolare attenzione, come vedremo, viene data a nuovi fenomeni più subdoli come il social spam (ovvero lo spamming tramite social network), il marketing virale o il marketing mirato.

Preliminarmente occorre evidenziare che tale provvedimento non è prescrittivo o di divieto – e quindi i contenuti presenti non sono qualificabili come misure di sicurezza necessarie (art. 162, comma 2-ter) – ma rientra tra i provvedimenti emanati ai sensi dell’art. 154, comma 1, lett. h), del Codice Privacy, ovvero tra quelli finalizzati a curare la conoscenza tra il pubblico della disciplina rilevante in materia di trattamenti di dati personali.

Nello specifico le finalità che l’Autorità Garante intende perseguire con le citate Linee Guida sono:

– tenere conto del mutato quadro normativo attualmente vigente in materia di spam e comunicazioni elettroniche, assicurando l’uniforme applicazione della normativa e l’osservanza del fondamentale principio di certezza del diritto;

– chiarire alcuni profili problematici relativi alle diverse modalità di spam, affinché gli operatori del settore possano conformarsi alla disciplina sul trattamento dei dati personali;

– inquadrare alcune nuove forme di spam, con l’intento di limitare i rischi connessi all’utilizzo delle novità tecnologiche.

Qui di seguito si elencano alcuni passaggi fondamentali delle Linee Guida attraverso i quali si evince il punto di vista dell’Autorità Garante in materia, anche alla luce delle recenti modifiche subite dal Codice Privacy: 

1) le persone giuridiche, gli enti e le associazioni, poiché non rientrano nella definizione di “interessato”, non possono azionare gli ordinari strumenti di tutela previsti dal Codice Privacy, ma possono procedere presso l’autorità giudiziaria ordinaria, mediante l’azione inibitoria e/o l’azione di risarcimento del danno (o, se ricorrono i presupposti di cui all’art. 167 del Codice Privacy, mediante denuncia-querela);

2) gli indirizzi di posta elettronica del tipo “nomecognome@società.com” devono essere considerati indirizzi “personali” e i rispettivi assegnatari vengono considerati come “interessati”, con la conseguente applicabilità del Codice Privacy e del relativo impianto di diritti e tutele;

3) i provider di posta elettronica devono assicurare la mutua autenticazione dei rispettivi server al fine di garantire agli utenti il livello più elevato possibile di protezione anti-spam (occorre utilizzare filtri per prevenire lo spam e al contempo garantire la riservatezza degli interessati);

4) informativa e consenso (libero, informato e documentato per iscritto1) del contraente/utente sono adempimenti imprescindibili per effettuare attività di marketing. Ai fini della legittimità della comunicazione promozionale effettuata, poi, non è lecito che con la medesima si avvisi della possibilità di opporsi a ulteriori invii, né è lecito chiedere, con il primo messaggio promozionale, il consenso al trattamento dei dati per finalità promozionali2.

5) non è lecito, inoltre, inviare e-mail promozionali agli indirizzi posta elettronica certificata contenuti nell'”indice nazionale degli indirizzi pec delle imprese e dei professionisti“;

6) l’operatore può contattare telefonicamente il contraente (presente negli elenchi telefonici o pubblici e che non sia iscritto nel registro delle opposizioni) per chiedere il suo consenso a ricevere comunicazioni promozionali;

7) il consenso del contraente deve essere specifico per ciascuna eventuale finalità perseguita, compresa la comunicazione a terzi dei suoi dati per l’invio di loro comunicazioni promozionali (il Titolare, in particolare, dovrà acquisire un consenso specifico, distinto a seconda del perseguimento di finalità di marketing, profilazione o comunicazione a terzi). Il consenso richiesto dal Titolare per la comunicazione (e/o cessione) a terzi dei dati personali ai fini promozionali, poi, deve essere distinto da quello richiesto dal medesimo Titolare per svolgere esso stesso attività promozionale3; 

8) per l’invio di materiale pubblicitario, la vendita diretta, il compimento di ricerche di mercato e la comunicazione commerciale, poiché azioni riconducibili a più possibili finalità di marketing in senso lato, bisogna considerare un’unica finalità, con la possibilità di acquisire un solo e unico consenso al trattamento (tale indicazione mira a evitare un’inutile duplicazione dei consensi ed è coerente con il principio privacy in base al quale i dati possono essere utilizzati in altre operazioni di trattamento in termini compatibili con gli scopi originari della raccolta); 

9) ai fini dell’adempimento dell’obbligo del consenso, i soggetti appartenenti al medesimo gruppo societario devono essere ritenuti quali “titolari autonomi” e distinti titolari dei rispettivi trattamenti; 

10) viene ribadita la possibilità di beneficiare dell’eccezione del “soft spam” (art. 130, comma 4, del Codice) quale esonero dal consenso4. 

Una parte sostanziale e importante delle Linee Guida in commento, inoltre, è dedicata alla regolamentazione dei ruoli e delle relative responsabilità che, molto spesso, non vengono correttamente individuati tra i vari operatori coinvolti nel trattamento. Al riguardo, l’Autorità Garante ha ribadito alcuni concetti riportati in diversi provvedimenti già emanati nei confronti degli operatori economici, sottolineando che riguardo allo spam effettuato mediante agenti o altri terzi, il “soggetto promotore, qualora in concreto abbia un ruolo preminente nel trattamento dei dati dei destinatari, assumendo decisioni relative alle finalità e modalità del trattamento, fornendo istruzioni e direttive vincolanti e svolgendo verifiche e controlli sull’attività dell’agente, va considerato titolare ai sensi dell’art. 28 del Codice, a prescindere dalla qualificazione contrattuale”. Lo stesso, poi, dovrà nominare responsabile ai sensi dell’art. 29 d.lgs. 196/2003 il soggetto agente o altro terzo di cui si avvale per l’attività promozionale (salvo che non si tratti di un mero incaricato persona fisica).

Eventuali sub-agenti o terzi coinvolti nella filiera del trattamento, nell’ambito del rapporto Titolare (promotore) e Responsabile (agente), potranno essere nominati o direttamente dal promotore quali responsabili/incaricati o potranno assumere il ruolo di titolari autonomi (solo se utilizzano proprie banche dati per le attività promozionali).

Relativamente alla problematica dell’invio di fax indesiderati mediante piattaforme di società estere, è stato affermato che “il titolare sarà individuabile nell’impresa, nella società, nel soggetto che comunque si avvalga di tali piattaforme proprie di soggetti terzi oppure nel proprietario delle piattaforme se quest’ultimo le utilizza per svolgere attività promozionale per sé stesso”. 

Inoltre, alla luce delle nuove forme e modalità di spam realizzabili attraverso internet e i social network (o social media), purtroppo ancora prive di una regolamentazione normativa, l’Autorità Garante si è, per la prima volta, occupata anche dei fenomeni di c.d. “social spam“5 e del “marketing virale“6. 

In particolare, secondo le Linee Guida, il Titolare (società) può tranquillamente inviare offerte commerciali ai propri follower sui social network quando dalla loro iscrizione alla pagina aziendale si evinca chiaramente l’interesse o il consenso a ricevere messaggi pubblicitari riguardanti il marchio, il prodotto o il servizio offerto.

Continua, invece, a essere necessario il consenso del destinatario per l’uso dei dati presenti su Internet e social network (es. Facebook, Twitter, etc.) finalizzato all’invio di messaggi promozionali, così come si dovrà ottenere il consenso per tutti gli altri servizi di messaggistica e Voip (come Skype, WhatsApp, Viber, Messenger, etc.) utilizzati per carpire i dati dell’utente e inviargli comunicazioni commerciali7. L’Autorità, infatti, ha dichiarato che seppure tali dati sono accessibili in Internet e facilmente rintracciabili, ciò non significa che gli stessi possano essere liberamente usati per inviare comunicazioni promozionali automatizzate senza il consenso dell’interessato o per altre attività di marketing “virale” o “mirato”.

D’altronde, come giustamente osservato dall’Autorità Garante, i rischi maggiori derivano dalla tendenza sempre più diffusa dei gestori delle piattaforme tecnologiche ad adottare privacy policy semplificate in ragione delle politiche spietate di marketing. 

Vi è un caso, tuttavia, per il quale si può prescindere dall’acquisire il consenso: riguarda l’invio di e-mail o sms con offerte promozionali ad amici a titolo meramente personale o attraverso il cosiddetto meccanismo del “passaparola“, utilizzando anche strumenti automatizzati per consigliare tali prodotti o servizi.

Per concludere, è doveroso ricordare anche le sanzioni alle quali può andare incontro il Titolare, nel momento in cui dovesse violare le regole e i principi presenti nel Codice Privacy e stabiliti dall’Autorità Garante anche in questo provvedimento.
Lo spamming, infatti, oltre all’eventuale adozione di provvedimenti inibitori o prescrittivi, può comportare anche l’applicazione di pesanti sanzioni amministrative (artt. 161 e 162, comma 2-bis del Codice Privacy, relativamente alla omessa o inidonea informativa e mancata acquisizione del consenso), sino ad arrivare alla configurazione di un vero e proprio reato (perseguibile d’ufficio) rilevante sotto il profilo penale, qualora emergano i presupposti di un possibile trattamento illecito di dati personali (art. 167 del Codice Privacy).