Qualche settimana fa è stata pubblicata la Relazione del Garante Privacy relativa all’attività dell’Autorità realizzata nel corso dell’anno 2025.
Come ogni anno, nel nostro Studio la leggiamo con un obiettivo molto concreto: capire quali siano gli errori che il Garante continua a riscontrare nelle aziende e quali indicazioni operative si possano ricavare per migliorare la compliance.
Le decisioni dell’Autorità, infatti, non sono soltanto un elenco di sanzioni. Sono uno strumento prezioso per comprendere quali comportamenti espongano maggiormente le organizzazioni a contestazioni e quali siano, invece, le buone pratiche da adottare.
In questo articolo abbiamo raccolto alcuni degli errori più ricorrenti che emergono dalla Relazione 2025 con riferimento alle attività di marketing, accompagnandoli con alcuni suggerimenti pratici.
Indice
Gruppi di WhatsApp
Sono numerosi i casi in cui il Garante è intervenuto sull’uso improprio delle piattaforme di messaggistica istantanea per finalità promozionali, in particolare quando la creazione di gruppi chat comporta la visibilità reciproca dei dati personali dei partecipanti.
In uno dei provvedimenti richiamati nella Relazione, una società che commercializzava prodotti sportivi gestiva le comunicazioni con i propri clienti attraverso un gruppo WhatsApp. Inserendo decine di clienti nello stesso gruppo, ogni partecipante poteva visualizzare il numero di telefono degli altri iscritti, con conseguente comunicazione illecita dei relativi dati personali.
Tra i partecipanti erano presenti anche clienti che avevano acquistato prodotti tramite il marketplace Amazon. La società riteneva di poter utilizzare i recapiti ricevuti nell’ambito della gestione degli ordini anche per inserirli nel gruppo e inviare comunicazioni promozionali. Il Garante ha invece ricordato che i dati trasmessi dal marketplace al venditore per l’esecuzione del contratto non possono essere automaticamente riutilizzati per finalità di marketing, che richiedono una distinta base giuridica.
Lesson learned
Lezione n. 1 – Scegliere lo strumento giusto
Prima di utilizzare una piattaforma per attività promozionali o per la gestione di una community, è opportuno verificare non solo se il canale sia efficace, ma anche quali dati personali renda visibili agli altri partecipanti. Una scelta organizzativa apparentemente innocua può trasformarsi in una comunicazione illecita di dati personali e comportare responsabilità per il titolare del trattamento.
Lezione n. 2 – Non cambiare la finalità dei dati
I dati raccolti per l’esecuzione di un contratto non possono essere riutilizzati automaticamente per finalità di marketing. Prima di utilizzare recapiti acquisiti nell’ambito di una vendita, ad esempio tramite un marketplace, occorre verificare attentamente la base giuridica del nuovo trattamento e, quando necessario, raccogliere uno specifico consenso.
Se mando una lettera cartacea si applicano le regole del marketing?
Nonostante il mezzo sia sempre meno utilizzato, l’invio di comunicazioni promozionali tramite posta ordinaria non è affatto scomparso. E, soprattutto, non è sottratto alle regole del GDPR.
In uno dei provvedimenti richiamati nella Relazione 2025, la società MDE – Movimento Diritti Europei s.r.l.s. aveva acquisito da un azionista di una banca veneta un elenco di circa 15.000 azionisti contenente nome, cognome e indirizzo postale.
Utilizzando tali dati, la società aveva inviato una lettera con cui invitava i destinatari a partecipare a incontri informativi finalizzati ad aderire a un’azione collettiva per il recupero delle perdite subite sugli investimenti. Secondo la società, si trattava di una semplice comunicazione informativa, fondata sul proprio legittimo interesse.
Lesson learned
Mai farsi ingannare dal mezzo utilizzato. Il fatto che una comunicazione venga inviata tramite posta cartacea non la sottrae alle regole sul marketing. Ciò che rileva è la finalità della comunicazione, non il canale utilizzato.
Se il contenuto è diretto a promuovere beni, servizi o iniziative e non ricorre una diversa base giuridica prevista dalla legge, il titolare deve poter dimostrare la liceità del trattamento e, nei casi previsti dall’art. 130 del Codice Privacy, aver acquisito lo specifico consenso dell’interessato.
Posso inviare SMS ai clienti?
L’uso degli SMS e delle piattaforme di messaggistica istantanea per l’invio di comunicazioni promozionali è sempre più diffuso. Si tratta di strumenti veloci, diretti e relativamente economici, ma anche particolarmente invasivi, come dimostrano i numerosi reclami ricevuti dal Garante.
Tra i casi richiamati nella Relazione merita attenzione quello relativo a Geturhotels S.r.l.
Un cliente aveva presentato reclamo al Garante dopo aver ricevuto per anni numerosi SMS promozionali, nonostante avesse chiesto più volte di non essere più contattato. La società aveva acquisito il numero di telefono nel 2015, in occasione della prenotazione di un soggiorno, e aveva continuato a utilizzarlo per inviare offerte commerciali, sostenendo che il trattamento fosse giustificato dal proprio legittimo interesse e dal precedente rapporto contrattuale con il cliente.
Lesson learned
Per l’invio di comunicazioni promozionali tramite SMS non è possibile invocare il solo legittimo interesse né il semplice fatto che il destinatario sia già stato cliente dell’azienda. È necessario uno specifico consenso dell’interessato, ai sensi dell’art. 130, comma 2, del Codice Privacy.
La deroga del cosiddetto soft spam consente, a determinate condizioni, di inviare ai propri clienti comunicazioni relative a prodotti o servizi analoghi a quelli già acquistati, ma si applica esclusivamente alla posta elettronica. Non può quindi essere estesa agli SMS.
Non tutti i canali di marketing seguono le stesse regole. Il fatto che un cliente abbia già acquistato un prodotto o un servizio non autorizza automaticamente l’azienda a inviargli comunicazioni promozionali attraverso qualsiasi mezzo.
Occorre inoltre considerare il tempo trascorso dalla raccolta del dato. Anche quando ricorrono astrattamente i presupposti del soft spam, l’utilizzo di un recapito acquisito nell’ambito di un rapporto contrattuale risalente a quasi dieci anni prima richiederebbe un’attenta verifica della ragionevole aspettativa dell’interessato, della pertinenza del trattamento e dei tempi di conservazione dei dati.
I dati pubblici sono dati “liberi”?
Uno degli errori più frequenti consiste nel ritenere che un dato pubblicato in un albo professionale, in un registro pubblico, sul sito di un Ordine o nell’INI-PEC possa essere liberamente utilizzato per attività di marketing.
In un primo caso, una società aveva realizzato una campagna promozionale tramite e-mail e PEC rivolta a professionisti, tra cui ingegneri, avvocati e medici, utilizzando indirizzi estratti da banche dati pubbliche e da albi professionali.
In un secondo caso, un avvocato aveva ricevuto un’e-mail promozionale relativa a prodotti editoriali destinati ai professionisti del settore legale. La società titolare dei prodotti promossi sosteneva che l’invio fosse stato effettuato autonomamente da un proprio agente commerciale e che gli indirizzi fossero stati reperiti presso Ordini professionali e registri pubblici.
Lesson learned
La pubblicità di un dato personale non comporta la libertà di utilizzarlo per qualsiasi finalità. Gli albi professionali, i registri pubblici e gli elenchi consultabili online sono istituiti per specifiche finalità di interesse pubblico o professionale.
L’utilizzo dei dati in essi contenuti per l’invio di comunicazioni promozionali persegue una finalità diversa da quella per cui i dati sono stati resi pubblici e, salvo specifiche eccezioni previste dalla legge, richiede il preventivo consenso dell’interessato.
Affidare la campagna a un soggetto esterno, inoltre, non esonera automaticamente il committente dalle proprie responsabilità. L’azienda che beneficia dell’attività promozionale non può limitarsi a sostenere che l’invio materiale sia stato effettuato autonomamente da un agente o da un collaboratore.
È quindi necessario definire correttamente i ruoli privacy, impartire istruzioni adeguate, vigilare sull’operato dei soggetti coinvolti e verificare la liceità delle modalità con cui i dati sono stati raccolti e utilizzati.
La fonte dei dati: i social network
La presenza di una persona su un sito web, su LinkedIn, YouTube o su un’altra piattaforma online non autorizza automaticamente le aziende a utilizzare i suoi dati per finalità promozionali. In altri termini: pubblicato sul web non equivale a dato pubblico liberamente utilizzabile.
In un primo caso, una società aveva inviato a un avvocato un’e-mail per promuovere un software destinato alla ricerca di immobili all’asta. Il professionista era stato individuato attraverso il suo canale YouTube e la società aveva ipotizzato l’indirizzo e-mail associato al relativo account. Secondo il mittente, il messaggio rappresentava una semplice presa di contatto per valutare una possibile collaborazione professionale. Il contenuto dell’e-mail, tuttavia, era chiaramente diretto a presentare e promuovere la vendita del software.
In un secondo caso, una società aveva ricercato su LinkedIn professionisti potenzialmente interessati ai propri servizi. Dopo aver individuato il nominativo e l’azienda di appartenenza, aveva ricostruito gli indirizzi e-mail utilizzando lo schema “nome.cognome” seguito dal dominio aziendale e aveva inviato messaggi promozionali senza il consenso dei destinatari.
Lesson learned
I dati pubblicati online o sui social network non possono essere utilizzati liberamente per finalità commerciali soltanto perché risultano accessibili al pubblico. Occorre sempre considerare la finalità per cui sono stati pubblicati e le ragionevoli aspettative dell’interessato.
La presenza di un professionista su LinkedIn, YouTube o su un sito aziendale può essere finalizzata alla presentazione della sua attività, alla condivisione di contenuti o alla creazione di relazioni professionali. Non equivale, però, al consenso a ricevere comunicazioni promozionali.
La regola non cambia quando l’indirizzo e-mail non viene copiato direttamente dalla piattaforma, ma viene ricostruito o generato sulla base del nome, del cognome e del dominio aziendale. Se il recapito consente di identificare una persona, si tratta comunque di un dato personale e il suo utilizzo per l’invio di e-mail commerciali richiede il rispetto dell’art. 130 del Codice Privacy.
Neppure definire il messaggio come “proposta di collaborazione” permette di evitare le regole sul marketing. È il contenuto concreto della comunicazione a determinarne la natura: se il messaggio è diretto a presentare o vendere un prodotto o un servizio, si tratta di una comunicazione promozionale.
Le richieste degli interessati non sono una formalità
Se c’è un insegnamento che accomuna molti dei provvedimenti richiamati nella Relazione 2025 è questo:
le richieste di cancellazione, opposizione o revoca del consenso devono essere gestite con la massima attenzione.
In un provvedimento esaminato dal Garante, una società aveva continuato a inviare comunicazioni promozionali a un interessato nonostante quest’ultimo avesse già esercitato il proprio diritto di opposizione. La società ha giustificato l’accaduto parlando di una “mera svista” e di un errore nella gestione interna, ma il Garante ha ritenuto tali spiegazioni del tutto insufficienti. Le richieste degli interessati devono essere prese in carico, gestite tempestivamente e produrre effetti concreti. Non è sufficiente dichiarare di aver cancellato un nominativo se, nei fatti, le comunicazioni continuano a essere inviate.
Lesson learned
L’errore non è solo continuare a inviare messaggi promozionali. L’errore è non avere un processo che garantisca il corretto recepimento delle richieste degli interessati.
Ogni richiesta di opposizione, revoca del consenso o cancellazione dovrebbe attivare una procedura interna che assicuri l’aggiornamento di tutti i sistemi utilizzati per le attività di marketing: CRM, piattaforme di e-mail marketing, strumenti per SMS, liste WhatsApp, database commerciali e qualsiasi altro archivio da cui possano partire comunicazioni promozionali.
In fondo, il miglior modo per evitare una sanzione non è gestire bene un reclamo del Garante, ma fare in modo che quel reclamo non venga mai presentato.
