Navigando in rete e soprattutto frequentando i social network, siamo continuamente stimolati all’acquisto o all’adesione a modelli. Ma in quale modo potremmo difenderci dall’immensa mole di messaggi informativi/pubblicitari di cui siamo destinatari ogni giorno? Prima di tutto, informandoci.
Il GDPR prova ad imporre a chi tratta dati degli utenti europei un modello di responsabilizzazione nelle operazioni di trattamento e incentrato anche sulla trasparenza. Vediamo dunque cosa è indispensabile sapere sulle attività di marketing delle aziende e i diritti che possiamo esercitare.
Informarsi di più sull’uso dei dati
Sembra una banalità eppure non lo è: mai come oggi, infatti, abbiamo avuto a disposizione tante informazioni e mai come adesso circolano così velocemente, ma nonostante questo non siamo mai stati più disinformati sull’utilizzo dei nostri dati personali.
La domanda da porsi, quindi, è semplice: vi è mai capitato – navigando in rete – di sentirvi riconosciuti come utenti? E sempre navigando vi è mai stato riproposto a latere di qualche pagina web un viaggio che avevate cercato qualche tempo fa o un prodotto che desiderate da tempo o ancora la pubblicità del ristorante sotto casa?
Se la risposta è affermativa siete un passo avanti, ma se è negativa probabilmente non sapete nemmeno di essere stati catalogati insieme alle vostre “abitudini web” e che queste sono continuamente elaborate e vendute. Forse non sapete nemmeno che sulla base di queste informazioni i risultati di Google o degli altri motori di ricerca sono “calibrati”, “personalizzati” su di voi grazie ad un algoritmo che mostra solo quello che è pertinente alla vostra categoria, escludendo “tutto il resto del web”. La limitazione delle informazioni, inutile dirlo, limita la libertà di scelta degli individui. Qualcuno parla già di una “cyber guerra”, qualcun altro vive nella completa ignoranza che il mondo è già cambiato e non ha alcuna informazione o strumento per difendersi.
Algoritmi e libera scelta
La libera scelta di poter acquistare quello che davvero desideriamo senza influenze è ormai utopia. Mode, pubblicità, status influenzano ciò che siamo, compriamo, desideriamo.
L’esigenza di essere effettivamente consapevoli del funzionamento degli algoritmi, è forte e sviluppare questa consapevolezza è questione non più rinviabile.
Ogni giorno stiamo fornendo – individualmente senza esserne consapevoli, in maniera ormai automatica, immediata senza nemmeno accorgercene tramite dispositivi smartphone, weareble, elettrodomestici – nostre informazioni.
Per tali ragioni è indispensabile sapere che: la pubblicità è ancora la forma più utilizzata dalle aziende per vendere. Quel che cambia sono solo le strategie e le modalità con cui viene fatta.
Fortunatamente con le nuove norme in materia di privacy è oggi necessario per poter avviare strategie di marketing aver ottenuto il consenso dei destinatari delle comunicazioni.
La stragrande maggioranza delle persone crede che la pubblicità di questo millennio sia solo quella via email o sms, ma in realtà dimentica che tramite social network subiamo quotidianamente un’influenza. I social come Facebook, Instagram, LinkedIn, Tiktok e tanti altri ci mostrano un mondo di prodotti, aziende, persone, servizi calibrato sulle nostre preferenze, sul nostro profilo anagrafico e lo stile di vita rilevato, che di fatto ci esclude dal resto del mondo, quello a noi “non pertinente”.
Accettare di utilizzare una piattaforma social significa ricevere continuamente stimoli in una sola e unica direzione stabilita da un algoritmo di una società privata che dietro compenso di altre aziende ci mostra “persone che potresti conoscere”, “pagine che ti potrebbero piacere” “cose che vorresti poter acquistare”, e così via. I molti dispositivi smart and wearable che acquistiamo raccolgono ulteriori dati e abitudini su di noi e così la domotica e i nuovi elettrodomestici e tv smart. Tutte queste informazioni vanno a nutrire data base virtuali permettendone poi l’incrocio e l’arricchimento nel tempo anche con altre fonti.
Ma siamo realmente sicuri che questi dati che ci riguardino, così inconsapevolmente conferiti a società private che ci forniscono l’accesso a piattaforme gratuite, domani non saranno venduti a società di assicurazione che li useranno per indagini sul nostro conto? Banche? Agenzie di viaggio? E molti altri? Potranno queste informazioni – se non adeguatamente protette – influenzare il nostro futuro magari lavorativo, economico o altro (es. acquisto di un’immobile, richiesta di indennizzo, premio assicurazione salute, etc. ) o dei nostri figli?. Saranno informazioni autentiche quelle che circolano su di noi oppure manipolate?
Di recente Alexa lo smart speaker di Amazon è stato utilizzato dalle forze dell’ordine americane per eseguire delle indagini.
Cosa pensare allora di tutte le conversazioni che potrebbero essere così indebitamente registrate e poi utilizzate dal nostro ex coniuge o socio?
La base giuridica per il trattamento dati per finalità promozionali/pubblicitarie
Qualsiasi campagna pubblicitaria effettuata in via telematica verso destinatari determinati (individualmente) presuppone il consenso informato del destinatario, acquisito previa esposizione di un’informativa sulla privacy. Tuttavia, nel caso in cui l’interessato sia già cliente della società, essa può inoltrare, in deroga al principio generale, una comunicazione commerciale all’utente, a determinate condizioni, principalmente, che si tratti della medesima categoria merceologica e che l’invio avvenga presso l’indirizzo email fornito in occasione della vendita.
L’ultimo periodo del considerando 47 Reg. GDPR, infatti, prevede: “Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto”. Tale possibilità si concretizza, almeno in Italia, nell’art. 130, comma 4, Codice della Privacy (D. lgs. n. 196/2003 come modificata dal D.Lgs. 101/18), che individua la c.d. eccezione di soft spam: “Se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell’interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l’interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L’interessato, al momento della raccolta e in occasione dell’invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente”.
Sulla base della citata norma del Codice l’utente può essere destinatario di messaggi promozionali senza aver espresso un consenso alle comunicazioni marketing, ma solamente nel rispetto di queste condizioni:
- che la campagna marketing si realizzi tramite messaggi promozionali inviati via e-mail (la natura eccezionale della disposizione esclude che le comunicazioni soft spam possano legittimare anche le comunicazioni inviate tramite gli altri strumenti automatizzati richiamati dal comma 1 della norma);
- che la comunicazione sia inoltrata all’indirizzo di posta elettronica precedentemente fornito dall’utente in occasione della vendita precedentemente conclusa (e non ad altro indirizzo e-mail di cui l’autore della campagna marketing sia entrato in possesso tramite canale differente a quello descritto);
- che i destinatari del messaggio siano i soli clienti che abbiano precedentemente già acquistato un determinato bene o un servizio (non i prospect, potenziali acquirenti o clienti che abbiano acquistato prodotti non similari o pertinenti a quelli della campagna promozionale);
- che la promozione abbia ad oggetto prodotti o servizi analoghi a quelli precedentemente acquistati dal cliente e non di prodotti diversi.
- che nell’ambito dell’informativa fornitagli al momento dell’acquisto del prodotto l’interessato non abbia esercitato la cosiddetta opt out, ossia si sia opposto al futuro trattamento marketing basato sull’interesse legittimo appena descritto.
La natura estremamente stringente delle prescrizioni descritte, fra cui il diritto di opporsi e rifiutare il futuro trattamento, è coerente con l’impianto complessivo della normativa che di regola richiede il consenso e in questo caso permette al produttore di beni e servizi di ritenerlo implicito salvo espresso rifiuto.
Per questo è bene sapere che se non avete prestato il consenso al marketing in generale non dovreste ricevere comunicazioni promozionali e potete opporvi chiedendo la cancellazione del vostro indirizzo come indicato nelle informative obbligatorie per legge. Qualora riceveste comunicazioni softspam basterà una vostra richiesta per obbligare il mittente a smettere. Gli artt da 15 a 22 del Reg. Ue 2016/679 sono nostre armi più importanti: 15 – “Diritto di accesso dell’interessato”, 16 – “Diritto di rettifica”, 17 – “Diritto alla cancellazione”, 18 – “Diritto di limitazione al trattamento”, 19 – “obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento”, 20 – “Diritto alla portabilità dei dati”, 21 – “Diritto di opposizione”, 22 – “processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione” .
Quando i nostri dati vengono ceduti
I dati personali possono essere raccolti da chi vuole avviare una campagna marketing direttamente dall’interessato (voi) oppure acquisiti da un soggetto terzo a cui li abbiate conferiti, secondo un’alternativa che si riflette anche sul differente contenuto dell’informativa che deve essere fornita all’interessato (ai sensi dell’art. 13 Reg. GDPR, in caso di raccolta diretta; ai sensi dell’art. 14, in caso di acquisto dei dati da soggetto terzo).
Raccolta diretta dei dati
Nel caso di raccolta diretta dei dati, il titolare del trattamento può fornire l’informativa obbligatoria anche in forma digitale, raggiungibile tramite un link apposito o inserita in un’area del sito predisposta in modo tale da consentire effettivamente all’utente di prendere visione delle informazioni prima di acconsentire al trattamento dei dati.
Sul punto, il Provvedimento del Garante della Privacy 26 ottobre 2017, n. 437 – Ricezione di e-mail promozionali indesiderate – ha richiesto “l’effettiva riconducibilità del consenso apparentemente prestato da chi avrebbe effettuato la registrazione dei dati nel menzionato sito web, ad esempio attraverso la modalità, diffusa nella prassi, dell’invio di una apposita e-mail (cosiddetta di conferma) all’indirizzo di posta elettronica utilizzato in fase di registrazione ovvero della conferma della volontà precedentemente manifestata “cliccando” su un apposito link”, ovvero “misure che, senza comportare onerosi adempimenti (sia in capo al gestore del sito, sia all’interessato), possono assicurare, in ragione della segmentazione della procedura di manifestazione del consenso in due fasi distinte (cosiddetto double opt-in), un maggior grado di certezza circa la genuinità della manifestazione del consenso da parte dell´interessato, consentendo così (in prima approssimazione) di prevenire che indirizzi e-mail inseriti da terzi o acquisiti aliunde all’insaputa e in assenza di autorizzazione alcuna da parte dell´interessato possano essere lecitamente utilizzati”.
Sembrerebbe così di aver risolto il problema ma in realtà esistono moltissime nuove modalità di raccolta del consenso ad esempio:
Raccolta dati tramite cookie
Quante volte per proseguire la lettura della pagina web selezionata accettiamo “tutti i cookies” senza leggere l’informativa? Senza scegliere a quali non acconsentire? Forse tutte.
In attesa di una nuova disciplina sui cookies, di prossima emanazione con Regolamento e-Privacy, oggi l’impiego di tali strumenti è regolamentato dall’art. 122 Codice della Privacy, che opera una profonda distinzione tra cookie tecnici e non tecnici.
Cercando di fare un poco di chiarezza, rientrano nel novero dei cookie tecnici per i quali non è necessario richiedere il consenso dell’interessato:
- cookie di navigazione, che consentono il funzionamento del sito e la sua libera fruizione da parte dell’utente;
- cookie funzionali, che incanalano la navigazione web sulla base di una serie di variabili calibrate, grazie ad un apposito algoritmo, sulle ricerche effettuate dall’utente;
- cookie statistici di prime parti, che raccolgono informazioni aggregate sul numero di accessi e sulle modalità di fruizione di una pagina web (ad es. rispetto ai tempi di permanenza dell’utente);
- cookie analitici di terze parti, che possono essere qualificati come cookie tecnici purchè rispettino in via cumulativa due condizioni, ovvero a) presenza di strumenti che riducano il loro potere identificativo (ad es. oscuramento di una parte consistente di un indirizzo mail o di un numero di telefono); b) impiego in virtù di un rapporto contrattuale tra il sito e una terza parte che contenga un espresso riferimento all’obbligo, in capo alla terza parte, di utilizzare i dati unicamente per il servizio fornito e di non incrociarli con altre informazioni in loro possesso. La mancata attuazione di tali prescrizioni preclude la possibilità di qualificare il cookie analitico di terze parti quale “cookie tecnico”.
Esulano dal novero dei cookie tecnici (oltre ai cookie analitici di terze parti che non soddisfino una delle due condizioni precedentemente descritte) i cosiddetti cookie di profilazione, che raccolgono i dati dell’utente, tracciandone un profilo, in modo tale da indirizzargli messaggi pubblicitari in linea con gli interessi che traspaiono dalla sua cronologia web: l’impiego di cookie non tecnici richiede la preventiva autorizzazione dell’utente, che deve essere messo nelle condizioni di decidere in modo informato se prestare o meno il proprio consenso. Tuttavia, al fine di non rendere l’obbligo di predisposizione dell’informativa in capo al titolare eccessivamente gravoso, il Garante della Privacy, in linea con quanto disposto all’art. 122, comma 2 Codice della Privacy[1], ha acconsentito ad uno “scorporo” dell’obbligo in due momenti distinti:
- Informativa breve, contenuta in un banner a comparsa immediata sull’homepage del sito;
- Informativa estesa, a cui si rimanda tramite un link accessibile all’utente.
Alla luce di quanto prescritto espressamente dal Provvedimento del Garante della Privacy 8 maggio 2014, n. 229 – Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie – il banner deve essere strutturato in modo tale da contenere le seguenti indicazioni:
- impiego da parte del sito di cookie di profilazione, al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall’utente nell’ambito della navigazione in rete, o di cookie di terze parti (laddove siano effettivamente impiegati);
- link alla informativa estesa, in cui vengono fornite indicazioni sull’uso dei cookie tecnici e analytics e viene data la possibilità di scegliere quali specifici cookie autorizzare;
- espresso avviso circa la possibilità negare il consenso all’installazione di cookie contenuto nella pagina dedicata all’informativa estesa;
- indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un´immagine o di un link) comporta la prestazione del consenso all’uso dei cookie.
In particolare “il suindicato banner, oltre a dover presentare dimensioni sufficienti a ospitare l’informativa, seppur breve, deve essere parte integrante dell’azione positiva nella quale si sostanzia la manifestazione del consenso dell´utente. In altre parole, esso deve determinare una discontinuità, seppur minima, dell´esperienza di navigazione: il superamento della presenza del banner al video deve essere possibile solo mediante un intervento attivo dell’utente (appunto attraverso la selezione di un elemento contenuto nella pagina sottostante il banner stesso)”.
Il provvedimento detta anche indicazioni in ordine al contenuto necessario dell’informativa estesa che, oltre a contenere le informazioni di cui all’art. 13 Reg. GDPR, deve necessariamente indicare in modo analitico le caratteristiche e le finalità dei cookies installati e consentire all’utente di selezionare e deselezionare i singoli cookie.
Tale articolazione bifasica dell’informativa è necessaria per i cookie non tecnici, propri o di terze parti, mentre per i meri cookies tecnici l’informativa può essere liberamente gestita dal titolare, anche tramite l’inserimento dell’informativa nella sezione del sito dedicata alla privacy policy.
Marketing via social network
Il riferimento ai messaggi di “altro tipo” di cui all’art. 130 del Codice della Privacy consente di estendere l’ambito di applicabilità della disposizione all’invio, per finalità di marketing, di comunicazioni promozionali tramite social network (Facebook, Twitter, Linkedin) o applicazioni di messaggistica istantanea (Whatsapp, Telegram): anche tali pratiche postulano necessariamente il consenso informato al trattamento dei propri dati preventivamente espresso dal destinatario.
La questione, tuttavia, si presenta ben più complessa. Nel Provvedimento del Garante della Privacy 4 luglio 2013, n. 330 – Linee guida in materia di attività promozionale e contrasto allo spam, si precisa: “L’invio di comunicazione promozionale riguardante un determinato marchio, prodotto o servizio, effettuato dall’impresa a cui fa riferimento la relativa pagina, può considerarsi lecita se dal contesto o dalle modalità di funzionamento del social network, anche sulla base delle informazioni fornite, può evincersi in modo inequivocabile che l´interessato abbia in tal modo voluto manifestare anche la volontà di fornire il proprio consenso alla ricezione di messaggi promozionali da parte di quella determinata impresa. Se invece l´interessato si cancella dal gruppo, oppure smette di “seguire” quel marchio o quel personaggio, o comunque si oppone ad eventuali ulteriori comunicazioni promozionali, il successivo invio di messaggi promozionali sarà illecito, con le relative conseguenze sanzionatorie. Ciò, ferma comunque restando la possibilità, talora fornita dai social network ai loro utenti, di bloccare l´invio di messaggi da parte di un determinato “contatto” o di segnalare quest’ultimo come spammer”. Rispetto ai contatti o “amici” del fan o follower, “l’impresa o società che intenda inviare legittimamente messaggi promozionali dovrà aver previamente acquisito, per ciascun “contatto” o “amico”, un consenso specifico per l’attività promozionale”.
L’errore più comune delle agenzie di marketing che sfruttano i social network è proprio quello di desumere dalla libera accessibilità ai dati contenuti nei social network una libera disponibilità-utilizzabilità degli stessi a fini promozionali: tale errore nasce da una lettura poco attenta delle Linee Guida, dato che il riferimento alla locuzione “in via inequivocabile” consente di ricostruire la fattispecie descritta quale ipotesi eccezionale di deroga alla regola generale (che richiede la previa espressione del consenso da parte del fan o follower).
In altre parole, spetta alla società fornire la “prova” del fatto che l’interessato, diventando fan o follower, abbia espresso un’implicita ed inequivocabile manifestazione di volontà circa la ricezione del messaggio promozionale.
Per questa ragione è sempre bene, come utenti, leggere le pagine di informazione e le informative messe a disposizione sulle pagine facebook, linkedin,etc. Poter rintracciare un’informativa con tutti i contenuti richiesti dal GDPR è sintomo di serietà dell’azienda e spesso di una maggior tutela dei dati personali dei suoi utenti.
Acquisto di banche dati da soggetti terzi
L’elevato valore commerciale dei dati raccolti ha dato vita ad un fiorente mercato, in cui alcune società cedono, dietro corrispettivo, le proprie banche dati per la realizzazione di campagne di marketing. Il vantaggio di tale operazione è immediatamente percepibile, in quanto consente la disponibilità immediata di un “pacchetto” esteso di nominativi a cui rivolgere l’attività promozionale mirata in base alle proprie esigenze.
E il consenso?
Spetta alla società cedente richiedere l’autorizzazione alla trasmissione dei dati ad altro soggetto per fini di marketing, mentre l’acquirente deve semplicemente fornire l’informativa sulla privacy all’interessato entro un mese dall’acquisizione dei dati o entro la prima comunicazione al potenziale cliente: il destinatario della comunicazione, in ogni caso, può opporsi al trattamento per finalità di marketing, revocando il consenso precedentemente prestato alla società cedente.
Sul punto, il Provvedimento del Garante della Privacy 5 aprile 2012, n. 136 – Trattamento di dati personali tratti da un questionario online in assenza di valido consenso e informativa- ha individuato una responsabilità anche in capo all’acquirente della banca dati, nel caso in cui non abbia provveduto a verificare che ciascun interessato avesse acconsentito alla comunicazione dei dati e all’invio del materiale pubblicitario.
Dello stesso avviso, anche il Provvedimento del Garante della Privacy 11 febbraio 2016, n. 49 – Trattamento di dati personali per l’invio di comunicazioni promozionali – rispetto a un caso in cui una società aveva indirizzato mail pubblicitarie, grazie al collegamento social (Linkedin, nel caso di specie) con un proprio cliente, ha ritenuto che tale condotta integrasse un illecito trattamento del dato personale del soggetto terzo, che non aveva in alcun modo prestato il proprio consenso al trattamento di cui era stato destinatario.
Per questa ragione prestate sempre molta attenzione ai vostri consensi soprattutto quando ve ne sia richiesto più di uno. Infatti la cessione dei dati a terzi, la profilazione e altri trattamenti possono essere ritenuti validi sono se l’interessato vi abbia acconsentito specificatamente.
Un discorso a parte meriterebbe la raccolta dati di minori, ad esempio tramite le piattaforma di giochi virtuali on line.
Vi è poi un altro modo in cui Titolari vanno a caccia di dati,
Raccolta dati online o contenuti in registri pubblici
Per quanto liberamente accessibili, i dati che ogni giorno inseriamo sul web non possono essere appresi in via indiscriminata per fini promozionali (neppure in via automatica, tramite l’impiego di appositi software, nell’ambito del cosiddetto web scraping).
Ad esempio, possono essere identificati entro tale categoria i contatti presenti su un sito web privato o di un ente pubblico, i dati di un soggetto iscritto in un albo professionale, o ancora gli indirizzi PEC di una società pubblicati nel Registro delle Imprese. Sul punto, il granitico orientamento del Garante della Privacy esclude qualsiasi automatismo tra la libera reperibilità del dato e la sua libera utilizzazione senza richiesta di autorizzazione.
Da ultimo, il Provvedimento del Garante della Privacy 1 febbraio 2018, n. 52 – Invio di e-mail promozionali a indirizzi PEC raccolti da registri pubblici[13] – ha ribadito come, per l’invio di comunicazioni a contenuto promozionale per via telematica, sia comunque necessario il consenso informato dell’interessato, anche quando i dati personali siano rinvenibili in registri o elenchi pubblici.
La libera reperibilità del dato implica una libera utilizzazione dei dati per le sole specifiche finalità sottese alla pubblicazione dei dati.
Un decalogo per difendersi
1) Attivare “Nuova finestra di navigazione in incognito”se non vogliamo “farci riconoscere” cliccando contemporaneamente Ctrl+Maiusc.+N o selezionando tale opzione dal nostro browser.
2) Adoperare se possibile differenti IP a seconda delle diverse esigenze (tempo libero e lavoro).
3) Non fornire mai un indirizzo PEC per finalità di marketing.
4) Leggere attentamente le finalità per cui vengono richiesti i dati nell’informativa obbligatoria.
6) Leggere attentamente l’informativa breve contenuta nei banner prima di acconsentire al trattamento tramite cookies
7) Selezionare i singoli cookie in base ai trattamenti che si intendono autorizzare.
8) Leggere la guida sulla pubblicità comportamentale e la e-Privacy online sul sito Your Online Choices.
9) Conoscere i nostri diritti
10) Consultare il sito del Garante e se del caso consultare un esperto per la tutela della nostra posizione o dei nostri figli.
___________________________________________________________________
- Secondo cui “Ai fini dell’espressione del consenso di cui al comma 1, possono essere utilizzate specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l’utente”. ↑
- In materia di cookie, è recentemente intervenuta la Grande Chambre della Corte di Giustizia Europea, che con sentenza EU 2019/772 24 settembre 2019, nella causa C-507/17 Google LLC c. Commission nationale de l’informatique et des libertés (CNIL), ha statuito il seguente principio: “il gestore di un motore di ricerca, quando accoglie una domanda di deindicizzazione in applicazione delle disposizioni GDPR, è tenuto ad effettuare tale deindicizzazione non in tutte le versioni del suo motore di ricerca, ma nelle versioni di tale motore corrispondenti a tutti gli Stati membri, e ciò, se necessario, in combinazione con misure che, tenendo nel contempo conto delle prescrizioni di legge, permettono effettivamente di impedire agli utenti di Internet, che effettuano una ricerca sulla base del nome dell’interessato a partire da uno degli Stati membri, di avere accesso, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca, ai link oggetto di tale domanda, o quantomeno di scoraggiare seriamente tali utenti”.
