La pubblicazione da parte del Garante della Privacy di un vademecum sui diritti in ambito privacy in tutte le attività commerciali e promozionali (marketing), unito a due provvedimenti con il quale vengono definite nuove regole per la raccolta online di dati personali ai fini della profilazione dei clienti/utenti, ci consente di pubblicare una guida veloce ai diritti del consumatore aggiornata.

Indice scheda
LA REGOLA GENERALE: LA GESTIONE DI DATI PERSONALI NECESSITA INFORMATIVA E CONSENSO
LA RICERCA DI NUOVI CLIENTI: DOVE POSSONO ESSERE PRESI I DATI
UN CASO PARTICOLARE: IL CONTATTO TELEFONICO (TELEMARKETING)
PRIVACY PER SOCIAL NETWORK E COOKIES
SEGNALAZIONI E RICORSI AL GARANTE
FONTI NORMATIVE
LINK UTILI

LA REGOLA GENERALE: LA GESTIONE DI DATI PERSONALI NECESSITA INFORMATIVA E CONSENSO
In caso di contatto o contratto a scopo commerciale, indipendentemente da come esso avviene (su un sito, per telefono, di persona, etc.), al consumatore deve sempre essere fornita informativa sul trattamento dei suoi dati personali e soprattutto dev'essere ottenuto il consenso al loro utilizzo.

L'informativa è una comunicazione con la quale il consumatore viene informato, tra le altre cose, riguardo allo SCOPO per il quale i dati vengono utilizzati.
Può essere fornita verbalmente (al telefono o di persona) oppure per iscritto, nelle modalità adatto allo specifico caso (foglio allegato ad un contratto, pagina web, etc.).

Il consenso e' il SI del consumatore all'utilizzo dei propri dati per quello scopo. Può essere contestuale alla consegna dell'informativa o può essere dato barrando delle caselle (nel caso di informative poste in fondo a contratti di acquisto di merci o servizi).

E' importante evidenziare che oltre al consenso all'utilizzo dei dati per uno scopo preciso (esecuzione di un contratto di vendita per esempio) al consumatore potrebbe essere chiesto il consenso per attività ulteriori tipo
- l'invio di messaggi promozionali per posta, mail, sms, etc.
- la fornitura dei dati a terzi, e
- l'utilizzo dei dati per attività di profilazione (vedi più avanti).
Questi consensi devono essere chiesti SEPARATAMENTE tra di loro ed anche rispetto a quello principale.
Può invece essere chiesto un UNICO consenso per attività diverse riconducibili al marketing, tipo invio di pubblicità+ricerche di mercato+vendita diretta.

Ulteriormente le caselle affermative o negative NON devono in nessun caso essere preselezionate. Se il consenso e' indispensabile per l'esecuzione di un contratto (di vendita di un bene, per esempio) il venditore al limite può far presente la necessità di darlo.
Al contrario la fornitura di beni e/o servizi NON può essere vincolata al consenso al'invio di materiale pubblicitario o a quelli di fornitura dei dati a terzi e di loro utilizzo per la profilazione
Rientra in questa logica anche il rilascio di tessere fedeltà di negozi e supermercati, che devono rimanere strumenti di fidelizzazione del cliente e non forme occulte di raccolta dati a scopo pubblicitario o di profilazione. Le regole del consenso sono quindi le stesse.

Il consenso non serve:
- per chi e' già cliente, per l'invio di informazioni promozionali relative a prodotti/servizi analoghi a quelli forniti in precedenza (soft spam). Il consumatore ovviamente può revocare il precedente consenso in qualsiasi momento;
- se la gestione dei dati e' coseguente e funzionale ad una specifica richiesta del consumatore/cliente (per esempio una verifica o l'invio di dati). Rimane da chiedere il consenso per l'eventuale invio di pubblicità.

Per approfondimenti si veda la scheda PRIVACY: regole e diritti sul trattamento dei dati personali

Il consenso alla cessione dei dati a terzi
Nelle informative, in questi casi, va indicata ciascuna delle terze parti a cui i dati vengono comunicati o, in alternativa, le categorie (economiche o merceologiche) di appartenenza degli stessi (ad esempio: “finanza”, “editoria”, “abbigliamento”).
Dare questo consenso comporta, quindi, poter essere contattati a scopo pubblicitario da una serie indefinita di società, senza poter preventivamente sapere quali.
In ogni caso i terzi semplicemente indicati con categorie (e non col nome specifico) DEVONO chiedere il consenso al consumatore prima di inviargli pubblicità.

Il nuovo consenso per l'uso dei dati ai fini della profilazione
Le aziende, allo scopo di affinare l'invio di pubblicità mirate a singole persone o gruppi di persone, possono creare delle liste stilate in base a profili standardizzati e creati sulla base di abitudini, caratteristiche, comportamenti, etc.
Anche per questo utilizzo il consumatore deve essere informato e deve dare specifico consenso.

Costituisce tipico esempio il sito o il negozio ove il consumatore aquista abitualmente biglietti aerei o pacchetti viaggi, dove la profilazione ha come fine l'invio di pubblicità mirata riguardante viaggi e spostamenti verso le località che risultano preferite dal consumatore stesso. Oppure il sito che vende abbigliamento online che utilizza cookies che consentono di monitorare i gusti dei clienti per poi inviare loro pubblicità personalizzate.

Il fenomeno riguarda soprattutto internet. E' per questo che il Garante della Privacy ha stabilito che qualsiasi soggetto fornisca servizi online (motori di ricerca, posta elettronica, mappe on line, social network, pagamenti elettronici, cloud computing, etc.) PRIMA di raccogliere dati a scopo di profilazione deve ottenere il consenso informato dell'utente, che sia registrato o meno sul sito con credenziali di accesso (account).
Se il sito utilizza cookies ai fini della profilazione ciò deve essere ben segnalato con banner informativi, che consentano tramite link di accedere all'informativa e ad eventualmente NEGARE il consenso all'utilizzo dei propri dati. Si veda più avanti la sezione “privacy per social network e cookies”.

Riguardo agli utenti di pay tv o di contratti telefonici su smartphone utilizzati anche per pagare merci e servizi, gli operatori devono fare attenzione a NON incrociare gli utenti telefonici e televisivi e i dati relativi agli acquisti, a meno di non acquisire specifici consensi.
Anche i dati sulla geolocalizzazione dell'utente devono essere utilizzati ai fini di profilazione dopo aver ottenuto uno specifico consenso. Per utilizzi che potrebbero comportare rischi inerenti la libertà e la dignità della persona occorre la verifica preventiva del Garante della Privacy.

Se si cambia idea
Il consumatore può, in qualsiasi momento, cambiare idea e revocare il consenso al trattamento dei propri dati ai fini pubblicitari, di profilazione o per cessione degli stessi a terzi.

Per esercitare questo diritto si deve comunicare la propria volontà, meglio se per iscritto, alla controparte a cui e' stato dato in consenso (venditore di beni o servizi, gestore telefonico, negozio che ha rilasciato una tessera, etc. etc.). Sul sito del Garante della privacy è presente un modulo adatto al caso.

LA RICERCA DI NUOVI CLIENTI: DOVE POSSONO ESSERE PRESI I DATI
Come già visto anche la semplice attività di invio di pubblicità (via posta, e-mail, etc.) necessita l'ottenimento del consenso informato.
Anche quando i dati vengono presi dall'elenco telefonico (i numeri NON iscritti nel registro delle opposizioni), il consenso serve e va ottenuto.

Altra fonte dalla quale le società potrebbero fruire carpire potenziali clienti sono altre società, ovvero il passaggio dall'una all'altra di elenchi di persone che hanno consentito alla cessione dei propri dati a terzi. Anche in questi casi deve essere chiesto, al primo contatto, il consenso informato a meno che il consumatore che ha dato il consenso a cedere i dati a terzi non fosse già stato informato dei nominativi di tali soggetti terzi.
Facciamo un esempio: se io acquisto un bene su internet e do il consenso a cedere i miei dati a terzi, indicati semplicemente come categoria (abbigliamento, editoria, etc.) il terzo che mi vuole mandare pubblicità deve prima chiedermi il consenso. Se invece all'atto dell'acquisto del bene io do il consenso a cedere i miei dati a terzi specificatamente individuati (es.ditta PIPPO), la ditta PIPPO non e' tenuta a chiedermi nuovamente il consenso prima di inviarmi pubblicità.

Non e' possibile pescare i dati dei potenziali clienti da archivi pubblici quali il PRA.

UN CASO PARTICOLARE: IL CONTATTO TELEFONICO (TELEMARKETING)
Per quanto riguarda il telemarketing la normativa, dopo anni di stallo, è stata modificata attenendosi ad un principio che purtroppo e' quello opposto a quello generico, già visto, secondo cui al potenziale cliente deve essere chiesto volta volta il consenso. E' infatti il potenziale cliente, utente telefonico il cui numero è presente negli elenchi, a dover preventivamente dire NO ai contatti pubblicitari, tramite l'iscrizione in un apposito registro denominato “registro delle opposizioni”.

Se si è in elenco e non ci si iscrive al registro si può esser contattati per chiamate pubblicitarie con operatore. Per quelle automatiche (con dischi preregistrati) occorre invece un consenso specifico.
E' comunque sempre possibile, relativamente alle singole società chiamanti, esercitare i propri diritti e chiedere di non esser più contattati. Se non fosse sufficiente una richiesta verbale si dovrà inviare una raccomandata a/r utilizzando magari il modulo già predisposto dal Garante della Privacy.

Si veda, per ogni dettaglio, la scheda pratica
TELEMARKETING: EVITARLO CON L'ISCRIZIONE NEL REGISTRO DELLE OPPOSIZIONI

Tutela per chi non appare nell'elenco
Le utenze riservate (non in elenco) dovrebbero essere meno disturbate dal telemarketing, tuttavia nel caso i contatti ci fossero, e fossero indesiderati, si potrà esercitare i propri diritti rivolgendosi al chiamante e chiedendo l'origine dei dati e la loro cancellazione. Se non fosse sufficiente una richiesta verbale si dovrà inviare una raccomandata a/r utilizzando magari il modulo già predisposto dal Garante della Privacy.

La richiesta dell'origine dei dati è importante perche' potrebbe rivelare un terzo, al quale magari in occasione della firma di un contratto (di acquisto beni o servizi) abbiamo in passato dato il consenso a cedere i nostri dati (numero telefonico compreso) a terzi. In tal caso oltre a chiedere a chi ci chiama di cancellare i nostri dati sarebbe opportuno revocare questo consenso rivolgendosi alla controparte contrattuale.

Tutela per chi e' iscritto nel registro ma viene ugualmente contattato
In questi casi ci si deve rivolgere al Garante della Privacy per segnalare il mancato rispetto delle regole, nonche' diffidare a voce e con raccomandata a/r la società chiamante.
Qui informazioni e il modello per la segnalazione.

Revoca di consensi dati (anche quando non se ne e' sicuri)
A prescindere dall'iscrizione nel registro delle opposizioni o dal fatto che il nostro numero sia riservato, quando si sa di aver dato uno specifco consenso e si vuole revocarlo o quando non si e' sicuri ma in ogni caso NON si vuole esser più contattati è bene esercitare i diritti sanciti dal Codice della privacy chiedendo informazioni sull'origine dei dati o semplicemente chiedendo che i dati vengano cancellati.
Il Garante della Privacy ha predisposto un modulo che nel caso è bene inviare per PEC o raccomandata a/r.

Le chiamate mute
I call center pubblicitari selezionano automaticamente i numeri da chiamare e spesso l'operatore risponde al nostro “pronto” in ritardo o non risponde affatto, se impegnato in altra conversazione. Si tratta delle cosiddette “chiamate mute”, molto fastidiose e anche causa d'allarme.
Dall'Ottobre 2014 queste chiamate sono disciplinate dal Garante della Privacy che ha previsto una durata massima di TRE secondi dalla risposta dell'utente e l'accompagnamento di rumori di sottofondo (comfort noise). Il Garante precisa che l'utente deve percepire di star ricevendo una chiamata da un call-center, e che quindi il rumore deve dare la sensazione di provenire da un ambiente lavorativo (voci di sottofondo, squilli di telefono, brusio etc.).
Al termine dei tre secondi, se non inizia a parlare l'operatore, la chiamata deve terminare.
L'utente non potrà inoltre essere ricontattato per cinque giorni e al contatto successivo dovrà essergli garantita l'immediata presenza di un operatore.
Gli operatori devono tener traccia per due anni delle chiamate mute e devono mantenersi dentro ad uno “standard”, per ogni campagna di telemarketing, di tre chiamate mute ogni 100 “regolari”.
Qualsiasi violazione va segnalata prontamente al Garante stesso (vedi più avanti).

PRIVACY PER SOCIAL NETWORK E COOKIES
Social network
A prescindere dal canale (Facebook, Skype, WhatsApp, Viber, Messenger, etc.) chiunque voglia inviare messaggi promozionali agli utenti di social network/servizi digitali in privato o pubblicamente, DEVE preventivamente ottenere il consenso informato. Le regole sono le stesse viste sopra.
Tuttavia, un'impresa può inviare offerte commerciali ai propri “follower” quando la loro iscrizione manifesta chiaramente l'interesse a ricevere messaggi promozionali.

Cookies
Se le società nei propri siti web utilizzano cookies per profilare gli utenti (quindi per raggruppare nominativi sulla base di loro gusti, abitudini e caratteristiche così da inviare pubblicità mirate) devono avvisare tali utenti con banner ben visibili che avvisino che proseguendo nella navigazione l'itente presta in consenso all'uso dei cookie.
Il banner deve riportare anche un link che indirizzi ad una informativa sull'uso dei cookies da dove risulti possibile NEGARE il consenso alla loro installazione.
Ogni pagina del sito deve comunque contenere un link che indirizzi all'informativa in modo da poter in qualsiasi momento revocare il consenso precedentemente dato.
QUI la pagina del sito del Garante di riferimento.

Il marketing “virale”
In termini generali, come già visto, per poter inviare messaggi promozionali via mail o sms a una molteplicità di destinatari (anche nel caso in cui i dati siano stati acquisiti dal web) occorre il consenso preventivo.
Il consenso NON e' invece necessario alcun consenso per scambiare offerte, a titolo peronale, tra amici e conoscenti.
Nel cosiddetto “marketing virale”, dove viene sfruttata la capacità comunicativa di pochi soggetti e quindi il “passaparola”, le comunicazioni personali tra amici o conoscenti non sono quindi sottoposte alle regole della privacy e di ciò si deve tener conto.

SEGNALAZIONI E RICORSI AL GARANTE
In caso di violazione delle regole sulla privacy e' possibile, oltre che esercitare i propri diritti come già detto (utilizzando semmai la lettera tipo messa a disposizione dal Garante stesso per chiedere l'origine e/o la cancellazione dei propri dati), inviare al Garante un reclamo o farvi ricorso (in alternativa a quello davanti all'autorità giudiziaria).

Tutte le informazioni al riguardo, con link utili, si trovano sulla scheda pratica
PRIVACY: TUTELA DAVANTI AL GARANTE O AL GIUDICE

FONTI NORMATIVE
- Provvedimento del Garante Privacy n.161 del 19/3/2015 (linee guida sulla profilazione online) pubblicato sulla GU del 6/5/2015
- Provvedimento Garante Privacy 8/5/2014 (cookies)

LINK UTILI
- Vademecum del Garante Privacy "VIVA I CONSIGLI, ABBASSO LO SPAM. Dal telefono al supermercato: il marketing a prova di privacy