Con provvedimento n.202 del 17 maggio, reso noto solo lo scorso 28 giugno, l’Autorità Garante per la Protezione dei Dati Personali si è espressa nuovamente in merito alla coerente individuazione della base giuridica sottesa al trattamento dei dati legato all’invio di e-mail promozionali.
Le contestazioni del Garante Privacy: la base giuridica del trattamento
L’Autorità Garante per la Protezione dei Dati Personali ha sanzionato la società Grizzaffi Management S.r.l. (la “Società”) per trattamento illecito dei dati personali, per aver promosso una campagna marketing tramite posta elettronica verso contatti acquisiti da elenchi pubblici professionali, reperiti online, senza aver preventivamente raccolto il consenso degli interessati alla ricezione di comunicazioni commerciali.
La Società aveva raccolto gli indirizzi e-mail di numerosi professionisti da elenchi pubblici reperibili online e successivamente inviato comunicazioni promozionali fondando tale trattamento dei dati sul legittimo interesse ai sensi del Considerando 47 del Regolamento UE 2016/679 in materia di protezione dei dati personali (GDPR) e dell’art. 130, par. 4 del D. Lgs. n. 196/2003 e ss.mm. (Codice Privacy). Il Garante ha rigettato la tesi difensiva avanzata dal titolare del trattamento ribadendo la non applicabilità, nel caso di specie, della base giuridica dell’interesse legittimo legato ad attività di marketing diretto ai sensi dell’articolo 130, par. 4 del Codice.
L’Autorità richiamando l’applicabilità, nel caso in esame, della direttiva 2002/58/CE in materia di attività promozionali effettuate mediante strumenti di comunicazione elettronici (quali, per l’appunto la posta elettronica), recepita nell’ordinamento italiano con il Titolo X del Codice Privacy, in - particolare l’articolo 130 del Codice Privacy - ha ribadito come la disciplina speciale ivi contenuta prevede che l’invio di comunicazioni commerciali con modalità automatizzate è consentito solo sulla base del consenso espresso dall’interessato. La deroga prevista dal comma 4 dell’art.130 del Codice Privacy, da intendersi quale eccezione rispetto alla disciplina generale, riconosce al titolare del trattamento la possibilità di inviare comunicazioni di promozionali tramite posta elettronica, anche in assenza del previo consenso, esclusivamente nel caso in cui l’indirizzo e-mail dell’interessato sia stato da questo rilasciato nel contesto di una vendita di beni e/o servizi e solamente per la specifica finalità di promozione di beni e/o servizi analoghi a quelli precedentemente acquistati.
La deroga di cui all’art. 130, comma 4 del Codice Privacy, prosegue l’Autorità, non sarebbe pertanto applicabile alle attività poste in essere dalla Società in quanto i professionisti contattati non avevano alcun rapporto precedente con il titolare e non erano pertanto nella condizione di potersi aspettare la ricezione delle comunicazioni commerciali oggetto di contestazione.
La raccolta dei dati dagli elenchi pubblici
Come già anticipato, i dati di contatto dei destinatari della campagna promozionale erano stati raccolti da diversi elenchi pubblici. Sul punto il Garante, riprendendo quanto già espresso nelle Linee guida del 13 luglio 2013 in materia di attività promozionale e contrasto allo spam, e nei suoi recenti interventi in materia, ha ribadito che “senza il consenso [...] non è possibile inviare comunicazioni promozionali con strumenti di comunicazione elettronica neanche nel caso in cui i dati personali siano tratti da registri pubblici, elenchi, siti web atti o documenti conosciuti o conoscibili da chiunque. Analogamente, senza il consenso preventivo degli interessati, non è lecito utilizzare per inviare e-mail promozionali gli indirizzi pec contenuti nell’indice nazionale degli indirizzi pec delle imprese e dei professionisti [...] istituito per favorire la presentazione di istanze, dichiarazioni e dati, nonché lo scambio di informazioni e documenti tra la pubblica amministrazione e le imprese e i professionisti in modalità telematica” e che “la presenza dei dati in elenchi pubblici o in fonti liberamente accessibili, come i siti web o i social network, non ne autorizza l’utilizzo per finalità promozionali poiché tali finalità sono incompatibili con quelle originarie e pertanto non rientranti fra le legittime aspettative degli interessati”.
Conclusioni
Dunque, la possibilità di far ricorso all’interesse legittimo deve essere interpretata quale deroga dalla regola generale del consenso ed è riconosciuta solo nei casi in cui il titolare del trattamento intenda effettuare la propria attività promozionale nei confronti dei quegli interessati i cui dati siano già oggetto di trattamento come conseguenza di un rapporto contrattuale in essere con l’interessato e solo al fine di promuovere prodotti e/o servizi analoghi a quelli che l’interessato abbia già acquistato.
In tutti gli altri casi, il trattamento effettuato mediante posta elettronica per finalità di marketing deve essere necessariamente fondato sul previo e specifico consenso degli interessati.
