E’ possibile, con riferimento ad un data base, cedere e/o utilizzare gli indirizzi mail per fini promozionali?
L’informativa ex art 13 GDPR deve innanzitutto prevedere la possibilità di inviare newsletter e/o comunicazioni promozionali o la possibilità di cedere i dati personali a soggetti terzi.
E’ principio generale infatti che prima di acquisire un elenco di contatti o un database contenente recapiti di persone, è necessario dimostrare che i dati sono stati ottenuti nel rispetto del Regolamento GDPR.
In particolare, la cessione dei dati ad un terzo è eseguibile solo previa concessione del consenso da parte dell’interessato o dimostrando di averli acquisiti in base al consenso o mediante un’informativa che preveda la possibilità di trasmettere i dati ad altri destinatari, informando inoltre specificamente chi sono questi terzi destinatari.
Il soggetto che li acquisisce deve invero accertarsi che ciascun interessato abbia validamente acconsentito alla comunicazione del proprio indirizzo di posta elettronica ed al suo successivo utilizzo ai fini di invio di materiale pubblicitario.
Secondo il Provvedimento del Garante “Linee guida in materia di attività promozionale e contrasto allo spam – 4 luglio 2013 [2542348]”, si evidenza inoltre che: “…… chi, quale titolare del trattamento, intenda raccogliere i dati personali degli interessati anche per comunicarli (o cederli) a terzi per le loro finalità promozionali deve previamente rilasciare ai medesimi un’idonea informativa, ai sensi dell´art. 13, comma 1, del Codice, che individui, oltre agli altri elementi indicati nella norma, anche ciascuno dei terzi ….”.
Pertanto, per utilizzare gli indirizzi e-mail dei soggetti presenti in un data base è necessario ottenere uno specifico consenso, consenso che si può registrare in occasione delle nuove iscrizioni delle anagrafiche aziendali (previa predisposizione di un’idonea informativa GDPR che contempi questo trattamento).
Per quanto riguarda l’utilizzo delle mail relative a soggetti presenti a sistema, dovrà essere richiesta all’interessato espressa autorizzazione sia in forma cartacea o mediante mail, specificando bene il motivo della comunicazione e l’uso che verrà fatto del dato di contatto richiesto ( ad esempio che il trattamento avverrà per finalità promozionali dell’azienda).
C’è un’eccezione alla necessità di acquisire il consenso: il Soft Spam.
L’articolo 130, comma 4 del Codice della Privacy stabilisce che è possibile fare email marketing senza consenso nel rispetto alcune condizioni specifiche:
È possibile comunicare solo con chi ha già effettuato acquisti in precedenza;
La posta elettronica è l’unico strumento consentito per fare soft spam;
L’oggetto della comunicazione deve essere inerente ai prodotti o servizi già acquisiti;
Il cliente deve essere d’accordo con questo tipo di utilizzo;
Le finalità di soft spam vanno indicate in modo chiaro sull’informativa privacy;
Bisogna mettere il cliente a conoscenza della possibilità di revocare il consenso.
È necessario fare attenzione a non confondere il soft spam con lo spam o con l’invio di newsletter. Il Codice Italiano sulla Privacy e il GDPR per l’e-commerce vietano espressamente queste attività, senza un consenso specifico.
È vietato in ogni caso l’invio di comunicazioni a scopo promozionale, effettuato camuffando o celando l’identità del mittente o in violazione dell’articolo 8 del decreto legislativo 9 aprile 2003, n. 70, o senza fornire un idoneo recapito presso il quale l’interessato possa esercitare i diritti di cui agli articoli da 15 a 22 del Regolamento GDPR, oppure esortando i destinatari a visitare siti web che violino il predetto articolo 8 del decreto legislativo n. 70 del 2003.
In caso di reiterata violazione dell’art. 130 codice privacy, il Garante può, provvedendo ai sensi dell’articolo 58 del Regolamento GDPR, altresì prescrivere a fornitori di servizi di comunicazione elettronica di adottare procedure di filtraggio o altre misure praticabili relativamente alle coordinate di posta elettronica da cui sono stati inviate le comunicazioni.