Marketing e privacy: i diritti del consumatore
Le attività di marketing — email promozionali, telefonate commerciali, SMS, profilazione, cookie pubblicitari — sono soggette al GDPR (Regolamento UE 2016/679) e alla normativa italiana sul codice di comunicazioni elettroniche. Il Garante per la protezione dei dati personali ha emanato numerosi provvedimenti tra il 2022 e il 2024 che hanno ridefinito le regole pratiche, in particolare sui cookie, sull'email marketing e sul telemarketing. Chiunque può opporsi al marketing diretto e ha diritti precisi nei confronti di chi tratta i propri dati per finalità promozionali.
Indice
IL CONSENSO AL MARKETING
COOKIE E PROFILAZIONE ONLINE
EMAIL MARKETING E SPAM
TELEMARKETING E REGISTRO OPPOSIZIONI
DIRITTO DI OPPOSIZIONE E CANCELLAZIONE
SANZIONI PER LE AZIENDE
COME TUTELARSI: RECLAMO AL GARANTE
LINK UTILI
IL CONSENSO AL MARKETING
Per inviare comunicazioni promozionali a una persona fisica, le aziende devono avere un fondamento giuridico valido. Il consenso è il più comune: deve essere libero, specifico, informato ed esplicito (art. 7 GDPR). Non possono valere come consenso le caselle pre-spuntate, il silenzio, l'inattività o l'accettazione delle condizioni generali.
Eccezione: il marketing ai propri clienti esistenti per prodotti o servizi simili a quelli già acquistati può appoggiarsi al legittimo interesse, ma solo se il cliente ha avuto la possibilità di opporsi facilmente (soft opt-in, regolato dall'art. 130 c. 4 del Codice Privacy italiano).
Il consenso separato: il consenso al marketing deve essere separato dal consenso ad altri trattamenti (es. erogazione del servizio). Non è possibile condizionare l'uso di un servizio all'accettazione delle comunicazioni promozionali.
COOKIE E PROFILAZIONE ONLINE
I cookie di profilazione (per pubblicità mirata) richiedono il consenso esplicito e preventivo dell'utente. Le linee guida del Garante del 10 giugno 2021 e i successivi provvedimenti (2022-2023) stabiliscono:
- Il banner cookie deve presentare un'opzione di rifiuto di uguale evidenza rispetto all'accettazione (no al bottone "Accetta tutto" ben visibile e "Rifiuta" nascosto)
- I dark pattern (design che manipola l'utente verso il consenso) sono vietati e sanzionati
- Lo scrolling della pagina o la prosecuzione della navigazione non costituiscono consenso valido
- Il "cookie wall" (blocco del contenuto del sito se non si accettano i cookie) è ammesso solo in presenza di alternative equivalenti gratuite
- Il consenso deve poter essere revocato con la stessa facilità con cui è stato dato
Nel 2023-2024 il Garante ha sanzionato numerose aziende e siti web per uso illegittimo di cookie di Google Analytics (trasferimento dati negli USA senza adeguate garanzie) e per banner non conformi.
EMAIL MARKETING E SPAM
L'invio di email promozionali senza consenso è vietato e configura spam. Le regole principali:
- Prima email: richiede sempre consenso preventivo esplicito
- Eccezione soft opt-in: i propri clienti possono ricevere promozioni per prodotti o servizi simili a quelli già acquistati, ma devono avere avuto la possibilità di opporsi al momento della raccolta dell'indirizzo e in ogni comunicazione successiva
- Ogni email commerciale deve contenere: l'identità del mittente, la natura pubblicitaria del messaggio, un link di disiscrizione (unsubscribe) funzionante
- La richiesta di disiscrizione deve essere eseguita entro un termine ragionevole (al massimo 10 giorni lavorativi)
La cessione di liste email a terzi richiede un consenso specifico per questa finalità. Il consenso generico alla privacy non comprende il marketing di terze parti.
TELEMARKETING E REGISTRO OPPOSIZIONI
Dal 27 luglio 2022 è operativo il nuovo Registro Pubblico delle Opposizioni (RPO), esteso ai numeri di cellulare e alle email (oltre ai fissi già inclusi). Chiunque può iscriversi gratuitamente su registrodelleopposizioni.it o chiamando il numero verde 800 957 766, indicando i propri numeri fissi, mobili e indirizzi email che non si vogliono contattare per scopi commerciali.
Le aziende che fanno telemarketing sono obbligate a consultare il Registro prima di effettuare chiamate. Chi si è iscritto al Registro non può essere contattato per finalità commerciali, salvo consenso prestato dopo l'iscrizione.
Attenzione: l'iscrizione al RPO non blocca le chiamate provenienti da aziende con cui si ha già un rapporto contrattuale in corso (es. il proprio operatore telefonico), né quelle di aziende a cui si è dato consenso esplicito successivamente all'iscrizione.
DIRITTO DI OPPOSIZIONE E CANCELLAZIONE
Il GDPR garantisce a ogni interessato il diritto di opporsi in qualsiasi momento al trattamento dei propri dati per finalità di marketing diretto (art. 21 GDPR). L'opposizione deve essere sempre accolta, senza possibilità per l'azienda di invocare interessi legittimi prevalenti. Una volta esercitata l'opposizione, i dati non possono più essere usati per marketing.
Diritto alla cancellazione (diritto all'oblio, art. 17 GDPR): è possibile chiedere la cancellazione dei propri dati quando non sono più necessari per le finalità per cui erano stati raccolti, quando si revoca il consenso, o quando ci si oppone al trattamento. L'azienda deve rispondere entro 30 giorni.
SANZIONI PER LE AZIENDE
Il Garante può sanzionare le violazioni in materia di marketing con sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo mondiale dell'azienda (la misura più elevata tra le due). Tra i casi più significativi del 2023-2024: sanzioni milionarie per telemarketing non autorizzato, per cookie wall illegittimi, per uso di Google Analytics senza adeguate garanzie di trasferimento dati verso gli USA.
COME TUTELARSI: RECLAMO AL GARANTE
Se si ricevono comunicazioni commerciali non desiderate o si ritiene che i propri dati siano trattati illegalmente per finalità di marketing:
- Contattare l'azienda in forma scritta, esercitando il diritto di opposizione o di cancellazione e chiedendo la cessazione delle comunicazioni. L'azienda ha 30 giorni per rispondere.
- Se l'azienda non risponde o non ottempera, presentare reclamo al Garante per la protezione dei dati personali (online su gpdp.it). Il reclamo è gratuito.
- In alternativa o in aggiunta: ricorso al giudice ordinario per il risarcimento del danno.
Per la diffida all'azienda: sosonline.aduc.it — Messa in mora/diffida
- Garante per la protezione dei dati personali — reclami, provvedimenti, guide
- registrodelleopposizioni.it — iscrizione al Registro Opposizioni (telefono fisso, cellulare, email)
- Reg. UE 2016/679 (GDPR) — su eur-lex.europa.eu
Per la scheda sul GDPR e l'esercizio dei diritti: sosonline.aduc.it — Privacy: esercizio dei diritti e tutela davanti al Garante