Newsletter e GDPR in Italia: consenso, art. 130 del Codice privacy, B2B e doppio opt-in

In sintesi

• Consenso: l’invio di email a fini pubblicitari, di vendita diretta o di comunicazione commerciale richiede il consenso preventivo del contraente o utente (art. 130, commi 1 e 2, del Codice privacy).
• Anche verso le aziende: il «contraente» comprende persone fisiche, persone giuridiche, enti e associazioni (art. 121, comma 1-bis, del Codice). Il consenso serve quindi anche nel B2B.
• Eccezione clienti («soft spam»): l’email ottenuta nel contesto di una vendita può essere usata senza consenso per prodotti o servizi propri analoghi, se il cliente è informato e può opporsi alla raccolta e in ogni messaggio (art. 130, comma 4).
• Ogni messaggio: mittente non nascosto e un recapito valido per esercitare i propri diritti (art. 130, comma 5); in pratica un link di disiscrizione.
• Prova: il titolare deve poter dimostrare il consenso (art. 7 GDPR). Il doppio opt-in non è imposto dalla legge, ma è il modo più affidabile per farlo.

La regola: consenso preventivo (opt-in)

L’art. 130 del Codice privacy subordina al consenso del contraente o utente l’uso di sistemi automatizzati di chiamata per invio di materiale pubblicitario, vendita diretta, ricerche di mercato o comunicazione commerciale, e il comma 2 estende la regola alle comunicazioni via posta elettronica, telefax, MMS, SMS e simili. Una newsletter promozionale rientra quindi in questa regola.

Il consenso deve essere una manifestazione di volontà libera, specifica, informata e inequivocabile, espressa con una dichiarazione o un’azione positiva inequivocabile (art. 4, punto 11, GDPR). Caselle preselezionate, silenzio o inattività non costituiscono consenso (considerando 32).

Secondo le linee guida del Garante del 4 luglio 2013, l’obbligo non si può aggirare inviando una prima email che chiede il consenso ma ha già contenuto promozionale, né offrendo soltanto la possibilità di opporsi (opt-out).

Indirizzi trovati online: non bastano

Il Garante ha chiarito che il fatto che un indirizzo email sia facilmente reperibile su internet, su un sito o in un elenco pubblico non autorizza a usarlo per inviare comunicazioni promozionali automatizzate senza il consenso del destinatario.

L’eccezione per i clienti (art. 130, comma 4)

Senza consenso è possibile inviare email di vendita diretta solo se ricorrono tutte queste condizioni:

• l’indirizzo email è stato fornito dall’interessato nel contesto della vendita di un prodotto o di un servizio;
• la comunicazione riguarda prodotti o servizi propri del titolare, analoghi a quelli oggetto della vendita;
• l’interessato, adeguatamente informato, non rifiuta tale uso;
• al momento della raccolta e in occasione di ogni comunicazione l’interessato è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente.

B2B: serve il consenso anche verso le aziende?

Sì, di regola. L’art. 130 tutela il «contraente o utente», e l’art. 121, comma 1-bis, del Codice definisce contraente qualunque persona fisica, persona giuridica, ente o associazione. A differenza di altri Paesi (come la Francia), in Italia non esiste un’esenzione generale per la comunicazione tra professionisti: resta solo l’eccezione per i clienti del comma 4.

Le linee guida del Garante precisano inoltre che gli indirizzi aziendali nominativi (ad esempio nome.cognome@azienda.it) sono dati personali, e i loro titolari sono interessati ai sensi del GDPR.

Cosa deve contenere ogni newsletter

• L’identità del mittente per conto del quale la comunicazione è effettuata, senza camuffarla o celarla (art. 130, comma 5).
• Un recapito valido presso il quale il destinatario possa esercitare i diritti di cui agli artt. 15-22 GDPR (art. 130, comma 5). In pratica: un link di disiscrizione in ogni numero.
• Revocare il consenso deve essere facile quanto prestarlo (art. 7, paragrafo 3, GDPR).

Il doppio opt-in è obbligatorio?

No. Né il Codice privacy né il GDPR lo impongono e le linee guida del Garante non richiedono la forma scritta per il consenso. Il titolare però deve essere in grado di dimostrare che l’interessato ha prestato il consenso (art. 7, paragrafo 1, GDPR), compresi la data e l’identità di chi lo ha fornito. Le stesse linee guida indicano come utile l’invio di un’email con un link di conferma per verificare l’identità di chi si iscrive: è esattamente il doppio opt-in.

Conviene registrare data e ora dell’iscrizione e della conferma, modalità di iscrizione, testo del consenso e indirizzo IP.

Sanzioni

Le violazioni dell’art. 130, commi da 1 a 5, sono soggette alla sanzione amministrativa dell’art. 83, paragrafo 5, del GDPR (art. 166, comma 2, del Codice privacy): fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo, se superiore. Il Garante interviene regolarmente sul marketing senza consenso valido, soprattutto nel telemarketing.

Domande frequenti