Il marketing, cioè tutte le attività poste in essere da una azienda destinate al piazzamento di prodotti o servizi, si distingue in marketing diretto e indiretto.
La differenza sta nella assenza (nel caso di diretto) o presenza di intermediari (indiretto) che si frappongono tra il venditore e il consumatore. La regolamentazione dell'attività di marketing ai fini della tutela dei dati personali degli utenti riguarda prevalentemente le comunicazioni tra aziende e consumatore.
Comunicazioni elettroniche
La regolamentazione delle comunicazioni elettroniche si trova non nel GDPR ma nella direttiva 2002/58/CE (ePrivacy), recepita in Italia nel titolo X della parte seconda del Codice Privacy (articoli 129 e 130). In base a tale regolamentazione le comunicazioni elettroniche di natura commerciale richiedono sempre il consenso, tranne che in due casi:
- telefonate commerciali su numeri estratti dagli elenchi telefonici a disposizione del pubblico (per le quali gli Stati membri possono introdurre un regime di opt-out preventivo);
- invio di comunicazioni commerciali di soft spam.
Quindi le comunicazioni elettroniche non sollecitate (anche dette spam) a fini commerciali possono essere inviate solo se l'azienda ha acquisito un preventivo consenso. Se le comunicazioni vengono fornite a seguito di un rapporto contrattuale, l'azienda deve comunque informare esaustivamente il compratore (cioé l'interessato al trattamento) della possibilità di invio di tali comunicazioni commerciali e della possibilità di opporsi al trattamento a fini di marketing da parte dell'interessato. In questo senso l'iscrizione ad una newsletter è considerato consenso, in quanto è una specifica richiesta del destinatario, purché ovviamente il dato sia utilizzato per il solo invio della comunicazione e all'interessato sia fornita la corretta informazione relativa ai tratamenti e alle finalità. Il consenso non può essere lo stesso del contratto, ma deve essere separato, quindi occorre uno specifico consenso alla comunicazione commerciale. In questo senso il consenso ottenuto per il marketing non si estende alla profilazione del cliente. Inoltre le comunicazioni commerciali non sollecitate devono essere identificate chiaramente come tali. E' fondamentale, infine, verificare se i dati siano presenti nel Registro pubblico delle opposizioni, nel qual caso non sono utilizzabili.
L'Autorità Garante per la protezione dei dati personali ha chiarito che nell'acquisizione del consenso non è necessario chiedere consensi separati per i vari strumenti di comunicazione (mail, telefono, lettera), poiché il consenso per la forma più invasiva (mail, sms, mms, telefonate automatizzate) copre anche quello per le forme meno invasive di comunicazione (posta cartacea, telefonate tramite operatore). E' ovvio che se l'utente non fornisce il consenso, e questo è strutturato in modo unico (per tutti gli strumenti), il titolare non potrà inviare comunicazioni in nessun modo. Quindi può essere utile predisporre forme di acquisizione del consenso separate a seconda degli strumenti utilizzati per l'invio delle comunicazioni commerciali (vedi provvedimento del Garante del 15 maggio 2013). Inoltre il consenso non può essere chiesto insieme alla prima comunicazione commerciale, dovendo necessariamente essere sempre precedente alla comunicazione.
In questo contesto il Garante ha anche adottato il Codice di condotta per telemarketing e teleselling, la cui adesione da parte delle aziende è però volontaria.
Marketing di prossimità (Soft spam) per propri clienti
Se l'interessato è già cliente del titolare e sussiste il bilanciamento degli interessi, la base giuridica può consistere nei legittimi interessi del titolare e quindi non occorre il consenso per l'invio delle comunicazioni pubblicitarie (art. 13(2) direttiva e-Privacy). E' l'ipotesi in cui il titolare del trattamento voglia utilizzare i dati forniti dai clienti per finalità ulteriori, quali l'invio di comunicazioni promozionali relative a servizi forniti dal titolare o addirittura da terzi.
Tale importante eccezione è, però, subordinata alla presenza dei seguenti requisiti:
- vale solo per la trasmissione di messaggi per posta elettronica (non per comunicazioni telefoniche);
- la mail deve essere quella indicata nel contesto della vendita di un prodotto o servizio;
- i messaggi devono essere inviati a fini di vendita diretta di prodotti e/o servizi forniti dal titolare (e non da terzi);
- il prodotto o il servizio devono essere analoghi a quelli già acquistati dall'interessato;
- il destinatario non deve aver rifiutato all'inizio o nel corso di ulteriori comunicazioni tale invio di comunicazioni promozionali;
- il destinatario deve avere la possibilità di opporsi al trattamento dei dati in ogni momento, gratuitamente e in maniera semplice.
Le Linee guida sulle decisioni automatizzate e la profilazione, pubblicate dal WP29 nel febbraio 2018, riportano la possibilità di basare anche la profilazione sui legittimi interessi del titolare, laddove ovviamente tali legittimi interessi ricorrano e possano ritenersi prevalenti rispetto a quelli dell'interessato.
Marketing indiretto
Nel caso di marketing indiretto l'identificazione dell'utente può avvenire solo previo consenso, a seguito dell'informativa fornita dall'inserzionista. Un classico esempio sono gli inserzionisti di Facebook, i quali non hanno accesso alle informazioni degli utenti, ma solo ai dati aggregati in forma anonima. La definizione dei destinatari delle inserzioni è gestita in modo anonimo dal sistema di Facebook, senza condivisione dei dati degli utenti, in modo che gli inserzionisti abbiano solo dei rapporti anonimi per verificare che il pubblico a cui mostrare le inserzioni sia quello da loro scelto.
