COMMISSIONE DELLE COMUNITÀ EUROPEE

di Serge Gauthronet & Étienne Drouard

Da più di cinque anni il Parlamento europeo e il Consiglio hanno adottato importati direttive che garantiscono un elevato livello di protezione della vita privata delle persone per quanto riguarda il trattamento informatico dei dati personali. Si tratta della direttiva 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati, e della direttiva 97/66/CE sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni. Nel momento in cui i paesi membri dell'Unione stanno per ultimare il recepimento delle disposizioni di queste direttive nel rispettivo diritto nazionale, le società moderne sono confrontate a problemi sempre più preoccupanti legati allo sviluppo di Internet e del commercio elettronico: raccolta "selvaggia" di dati personali, costituzione di ampi archivi di profili, commercio incontrollato dell'informazione, dilagare della pubblicità, moltiplicazione delle pratiche sleali, gravi violazioni della sfera privata delle persone.

La Commissione si occupa di questi problemi da diversi anni e si è interessata in particolare della questione dei messaggi pubblicitari indesiderati, noti anche come "spamming". Essa ha affidato a Serge Gauthronet e a Etienne Drouard, consulenti dello studio ARETE, il compito di fare piena luce su questo tema.

Lo studio prende in considerazione due aspetti: quello commerciale e quello giuridico.

Lo studio dell'aspetto commerciale consiste nell'analizzare il modo in cui si presentano l'attività, la sua evoluzione nel corso degli ultimi anni, l'offerta tecnologica e le pratiche; per raccogliere elementi significativi, questa parte dello studio è stata svolta negli Stati Uniti. Questo approccio ha permesso di rivelare come la società americana, sotto la pressione degli utenti di Internet, vada dotandosi a poco a poco di strumenti di resistenza all'invasione pubblicitaria nelle caselle di posta elettronica degli utenti di Internet; al tempo stesso, l'osservazione della situazione americana mette in luce il diffondersi di nuove strategie di marketing via e-mail fondate sul consenso e l'autorizzazione e sviluppate sul mercato mondiale da alcune imprese leader; queste strategie, nettamente più rispettose della "privacy" spostano la problematica della protezione della vita privata senza darvi una risposta totalmente soddisfacente. La parte giuridica dello studio traccia invece un panorama dei quadri giuridico, regolamentare, amministrativo, giurisprudenziale, dottrinale e deontologico entro i quali la pubblicità elettronica indesiderata si sviluppa o si svilupperà negli Stati membri dell'Unione europea nello stato attuale del diritto comunitario. In secondo luogo, sono messe in evidenza le somiglianze o le divergenze esistenti tra i vari modi nazionali, d'origine pubblica o privata, di affrontare il fenomeno. Infine, queste analisi permettono di formulare riflessioni e indicazioni sull'inquadramento giuridico che sembra più idoneo a favorire la sicurezza giuridica dei commercianti elettronici europei e di proteggere i diritti riconosciuti in Europa agli utenti di Internet.

Le osservazioni svolte nel quadro dello studio possono essere sintetizzate in sei punti principali, che permettono di tracciare il quadro economico del marketing via e-mail, la sua storia e le pratiche attuali degli operatori, la sua evoluzione tecnologica e le forme nuove fondate sul marketing autorizzato (permission based marketing).

I.1) - Il marketing interattivo trova con Internet un terreno di sviluppo molto adatto, come rivelano gli spostamenti d'investimenti degli inserzionisti negli Stati Uniti. In questo paese le spese per marketing diretto rappresentano già il 50% del totale del bilancio destinato alla pubblicità dagli inserzionisti. Tre principali ragioni spiegano lo sviluppo di Internet:

I.2) — Lo "spamming", malattia infantile dell'e-mail marketing. Si può affermare che lo spamming, quale lo si è conosciuto nella metà degli anni '90 ed essenzialmente negli Stati Uniti, sia ormai in declino. Basta consultare le varie liste nere di spammers accessibili in linea per constatare che si tratta di un fenomeno che ha conosciuto la massima fortuna tra gli anni 1995 e 1998 e che le iscrizioni in queste liste nere tendono a regredire da circa due anni a questa parte. Quattro fattori spiegano questa recente evoluzione:

II.3) — Purtroppo lo spamming esiste ancora e si manifesta attraverso l'esistenza di un'offerta di prodotti (lo "spamware") e servizi che proviene per lo più da piccole imprese. Si distinguono due categorie di spamware, strumenti di "traino" ossia di aspirazione degli indirizzi e strumenti di "spinta", ossia strumenti di invio massiccio di messaggi. I software di "mietitura" sono innanzitutto di una relativa semplicità d'uso. Funzionano in base al principio di una navigazione automatizzata su siti Web e sugli spazi pubblici di Usenet utilizzando o un elenco di URL specificati preventivamente, o parole chiave sottoposte a motori di ricerca che permettono di costituire un elenco di URL pertinenti. Il software effettua quindi una raccolta sistematica di tutti gli indirizzi e-mail trovati sulle pagine di questi siti o nei forum. Questi programmi pretendono tutti di essere in grado di sventare gli spam-traps. Gli strumenti di spinta sono motori che permettono di realizzare gli invii in massa senza passare da un server di posta elettronica specifico o proprio a ogni ISP. I prodotti che si trovano correntemente sul mercato permettono all'elaboratore su cui sono installati di comportarsi come un vero e proprio server di posta elettronica, senza correre il rischio di norma di vedersi rimproverare di saturare la banda passante degli ISP presso cui lo spammer è abbonato. I motori sono più o meno potenti per rompere i filtri anti-spam dei server di posta elettronica e permettere una perfetta falsificazione delle intestazioni di messaggio. È abbastanza paradossale che si possano trovare apertamente sul mercato tali prodotti, commercializzati da distributori apparentemente ufficiali, sapendo che una parte delle loro funzionalità corrisponde a modalità di dirottamento del traffico su Internet ormai vietate in un numero crescente di Stati americani.

L'offerta di servizi si presenta schematicamente in due grandi categorie di prestazioni: l'organizzazione di campagne (host-spamming) e l'intermediazione di file d'indirizzi e-mail. Nel primo caso viene offerta una prestazione completa di servizi per l'organizzazione di campagne di spamming; varie piccole aziende ne fanno apertamente professione sulla rete; le loro tariffe variano da 5 $ al migliaio per una spedizione a 20 $ al migliaio se il cliente vuole disporre degli indirizzi. Alcuni si sono specializzati nell'offrire un servizio "a prova di pallottola", ossia in grado di sfuggire in linea di pri ncipio alle azioni repressive degli ISP. I mediatori d'indirizzi sono abbastanza numerosi: varie società propongono offerte di membership comprendenti tre formule d'abbonamento a elenchi d'indirizzi. 1a formula: 300 000 indirizzi alla settimana per $ 19,95 al mese; 2a formula: 500 000 indirizzi alla settimana per $ 29,95 al mese, 3a formula: 1 000 000 d’indirizzi alla settimana per $ 39,95 al mese. Esistono anche offerte d'acquisto in linea di indirizzi immediatamente scaricabili: da $ 19,95 per 300 000, ad esempio, a $ 49,95 per 1 000 000 di indirizzi Internet e, per gli indirizzi AOL da $ 19,95 per 300 000 indirizzi a $ 99,95 per 4 000 000. Le molteplici proposte di elenchi di indirizzi e-mail inducono immancabilmente a porsi la questione della qualità degli indirizzi stessi, della loro validità, senza parlare del grado di autorizzazione reale con il quale sono stati raccolti. Gli elenchi mirati sono presentati per lo più in modo abbastanza vago; i criteri di selezione più comuni sono il paese, lo Stato, la città di residenza, il sesso, gli interessi, la professione e il settore d'attività. I centri d'interesse si scompongono in una cinquantina di segmenti correnti che ricordano la struttura dei grandi domini su Usenet.

Quanto agli spammer che persistono in una via pericolosa e sconfessata da tutta la comunità, la loro pratica resta quella di dilettanti o di opportunisti che cercano sul Web di commercializzare la loro cattiva idea. Vari casi recenti di spamming sono stati studiati da vicino e i pochi casi conosciuti in Europa dimostrano che si è in presenza di operatori poco scrupolosi, spesso insensibili alle ingiunzioni della giustizia ma che corrono il rischio di essere condannati a pagare forti risarcimenti di danni; questa formula, anche se non è pienamente soddisfacente dal punto di vista del diritto alla protezione dei dati personali, è tuttavia efficace e potrebbe a breve termine contribuire a debellare il fenomeno.

I.4) — In realtà, il vero mercato, il più attivo, il più ricco di prospettive, è quello dell'e-mail marketing, su cui oggi non opera più nessuno senza rivendicare la stretta applicazione di una politica della privacy e la garanzia di lavorare con elenchi di clienti potenziali perfettamente consenzienti. L'e-mail marketing si consolida secondo un modello molto più potente sul piano finanziario e su quello tecnologico; diventano centrali, in questo caso, gli aspetti della lealtà nella raccolta dei dati e di una relazione tra gli inserzionisti e i potenziali clienti fondata sul consenso di questi ultimi. Queste imprese, per lo più "startup", stanno costruendo il marketing su Internet dei prossimi anni. Il loro modo di affrontare la questione della protezione della vita privata sulla base di " opt-in e-mail lists" merita una certa attenzione.

Esistono oggi una cinquantina di fornitori di servizi, alcuni dei quali sono di dimensione internazionale e insediati quindi sul territorio europeo, dove detengono quote di mercato significative nel marketing diretto via e-mail. Si possono citare 24/7 Media, NetCreations Inc., YesMail.com, Exactis.com Inc., MessageMedia, BulletMail, Axciom; le società che praticano il marketing incitativo come MyPoints, Netcentives, Beenz, CyberGold, ClickRewards, Freeride.; i portali come www.xoom.com entrano anch'essi sul mercato grazie ai loro schedari di varie decine di milioni di abbonati, che ricevono regolarmente via e-mail le offerte commerciali in linea mirate in funzione dei loro bisogni ed interessi. È da notare, infine, che le società di vendita di spazi pubblicitari, come DoubleClick in primo luogo o Flycast, sviluppano ormai un'offerta di e-mail marketing. Molte di queste imprese sono quotate al Nasdaq e presentano tutte le caratteristiche delle imprese della neteconomia: attività in pieno sviluppo, forte capitalizzazione, deficit di redditività. Per la maggior parte, adottano un modello di crescita esterna attraverso l'acquisizione di società dello stesso settore. Sia pure con gradi diversi di convinzione, queste imprese sono infine accomunate dal fatto di condividere gli stessi valori sul piano professionale e sostengono i principi del marketing autorizzato e dell' opt-in e-mail.

Tutti questi sistemi e tutti i messaggi che producono comportano evidentemente dei legami di opt-out che permettono di cancellare facilmente i propri nomi dagli elenchi di registrazione. Alcune società ricevono più domande di opt-out quotidiane, nonché domande di precisazioni da parte di persone che desiderano sapere dove, cioè su quale sito, e quando il loro opt-in è stato registrato; alcune domande individuali riguardano anche la natura esatta e l'estensione delle informazioni personali detenute nelle basi di dati. Per rispondere a queste domande alcune società di e-mail marketing storicizzano la relazione con il cliente e in particolare le informazioni che permettono di restituire il contesto del rilascio dell' opt-in.

La commercializzazione degli indirizzi avviene per intermediazione o ospitando campagne (ESB : E-mail Service Bureau). In generale una prestazione standard condotta sugli schedari cooperativi comprende cinque operazioni: la locazione degli indirizzi propriamente detti, la programmazione di un legame al messaggio sul sito dell'inserzionista, l'operazione di spinta dei messaggi, il seguito dei click-through e il bilancio della campagna; la tariffa è calcolata su una base CPM identica a quella praticata dalle società di vendita di spazi pubblicitari; il prezzo di riferimento ammonta per l'e-mail marketing professionale a $ 200 per migliaio, ossia 20 cents per unità. A questa tariffa standard bisogna aggiungere la fatturazione delle diverse selezioni che possono essere richieste: per nomi di dominio e per zone geografiche, per caratteristiche sociodemografiche (sesso/classe d'età/stato civile/numero di figli), per fasce di reddito, per posizioni occupate nelle imprese, per livelli di diploma, per centri d'interesse.

Le selezioni per centri d'interesse sembrano inesauribili nel grado di finezza che è possibile raggiungere, ma non fanno altro che rispecchiare la precisione delle informazioni raccolte attraverso i moduli. Dal punto di vista della protezione dei dati, alc uni elementi di qualificazione dello schedario sono incontestabilmente di natura sensibile quando permettono d'identificare, senza derogare alle regole dell'autorizzazione, gruppi etnici, gruppi religiosi, fumatori, malati di diabete o di cancro. Le liste di indirizzi e-mail contengono anche dati comportamentali ad elevato valore aggiunto, in particolare quando si tratta di dati riguardanti gli acquisti in linea effettuati nel corso degli ultimi mesi (1 mese, 3 mesi, 6 mesi, 12 mesi); in numerosi casi si tratta di un'informazione non raccolta per mezzo di dichiarazioni, ma riferite da operatori commerciali partner della società di e-mail marketing presso i quali i clienti potenziali hanno effettuato acquisti. Ogni selezione particolare su questi dati complementari che permette di meglio qualificare la popolazione destinataria ha un costo supplementare al migliaio; più le selezioni richieste sono sofisticate, più sono care; la selezione più apprezzata e più costosa riguarda la propensione ad effettuare acquisti in linea.

Si osserva infine che queste società pagano una commissione ai siti collettori d'indirizzi e-mail; ogni volta che un indirizzo è utilizzato, il sito che ne è all'origine è retribuito su una base variabile, ma che spesso è pari al 50% del prezzo di vendita. Alcune società di e-mail marketing hanno messo a punto un sistema sofisticato che permette di scegliere tra due siti collettori che rivendicano la proprietà di uno stesso indirizzo: la regola consiste nel rimunerare il sito Web la cui lista d'indirizzi e-mail ha la preferenza del cliente. Si osserva anche l'esistenza di una pratica di anticipi sulle entrate ai siti Web partner.

I.5) — Lo sviluppo rapido dell'attività di e-mail marketing, versione "autorizzata", destinata a diventare il modello prevalente di comunicazione pubblicitaria su Internet, suscita interrogativi sulla qualità dell' opt-in e sui difetti d'interpretazione, nonché sugli abusi che potranno verificarsi.

Occorre innanzitutto prendere coscienza del fatto che, per creare una relazione di opt-in, un inserzionista può essere tentato di stabilire una relazione detta di interruption marketing e quindi trovarsi nella situazione di utilizzare uno schedario di indirizzi non qualificati e più o meno consensuali. Ci si può chiedere se lo spamming non sia un passaggio obbligato per l' opt-in e-mail marketing. Posta così, la domanda può sembrare provocatoria; in realtà vale la pena di porsela, perché il vero problema per gli operatori di vendita diretta è quello di iniziare il rapporto autorizzato e purtroppo non si conoscono altri metodi se non quelli consistente nel provocare il pubblico, suscitare la sua attenzione, spingerlo ad entrare in contatto per mezzo di provocazioni di ogni tipo, ben note ai pubblicitari. Come farsi conoscere sul net? La tentazione può evidentemente essere l'e-mail marketing mirato; il rischio è allora di rivolgersi a un broker di elenchi d'indirizzi e di inviare la propria offerta in massa, per milioni, nella speranza che, nel gran rumore, ci sia qualcuno che senta il messaggio ed abbocchi. Questa formula, però, è socialmente poco accettabile e contraria alle regole etiche a cui sempre più spesso dichiarano di aderire le organizzazioni professionali che sostengono il principio dell'accettazione preventiva dell'utente; la sola che lo sia veramente, se pure con qualche riserva, è quella della pubblicità applicata a Internet, ossia l'affissione di insegne pubblicitarie mirate su profili di centri d'interesse e di stili di vita compatibili con l'offerta di prodotti o servizi dell'inserzionista. L'insegna pubblicitaria può allora permettere di fare affluire dei click-through su un sito Web e di stabilire la relazione di opt-in e-mail a partire dalla compilazione di moduli da parte dei visitatori.

D'altra parte, è certo che tutti i grandi operatori commerciali e di marketing diretto su Internet si stanno attualmente allineando sull' opt-in, compresi i siti pornografici, che pure hanno praticato ampiamente lo spamming nel corso degli ultimi anni. Questo porta inevitabilmente a interrogarsi sulla qualità dell' opt-in e a chiedersi se domani gli inserzionisti, di qualsiasi tipo, non avranno la spiacevole tendenza a sviluppare una concezione dell' opt-in perlomeno estensiva. Questa concezione estensiva sembra basarsi in certi casi sul semplice fatto, per esempio, che il visitatore di un sito abbia cliccato inavvertitamente sul bottone OK in una finestra di dialogo che gli chiede se desidera aggiungere questo sito ai suoi favoriti; niente di più semplice, infatti, che giocare sulle parole e inserire un'oscura clausola nella pagina introvabile delle condizioni d'uso di un sito in cui l'operatore indica a piccoli caratteri che il fatto di apporre un bookmark sul suo sito legittima il successivo invio di e-mail pubblicitari. In modo più anodino, ci si può chiedere se il fatto di essersi iscritto un giorno in una lista di amatori di sport subacquei per ricevere offerte commerciali su attrezzature giustifica il fatto di ricevere proposte di soggiorni in tutti i centri di sport subacquei del mondo. È legittimo subissare un acquirente occasionale in linea di proposte commerciali più volte la settimana? Grandi siti commerciali leader del commercio in linea, come Amazon, Barnes & Noble, CD Now o Travelocity, farebbero bene a tener conto di questa domanda nelle loro pratiche, per moderare i loro ardori nei confronti dei clienti occasionali.

Da circa quattro anni l'Unione europea discute della protezione delle persone in relazione al ricevimento di messaggi pubblicitari elettronici indesiderati. La discussione si è focalizzata essenzialmente attorno a due teorie.

La prima si propone esclusivamente di precisare le condizioni d'invio dei messaggi non richiesti. È la teoria dell' opt-out. I suoi fautori propongono che le persone che non desiderano ricevere messaggi pubblicitari non precedentemente richiesti possano manifestare questa volontà. Alcuni dei sostenitori dell' opt-out ritengono che questo diritto di opposizione debba potersi esercitare unicamente nei confronti di chi ha spedito il messaggio non richiesto. Altri seguaci dell' opt-out propongono di introdurre un meccanismo di liste d'opposizione, nazionali o internazionali, in cui chiunque possa iscriversi, prima o dopo il ricevimento di messaggi non richiesti, che spetterà agli operatori europei consultare regolarmente per rispettare al volontà delle persone.

La seconda teoria lega le condizioni d'invio dei messaggi non richiesti alle condizioni di lealtà della raccolta degli indirizzi e-mail. È la teoria dell' opt-in. I suoi fautori propongono che messaggi pubblicitari non richiesti possano essere inviati soltanto alle persone che hanno preventivamente espresso il loro consenso a ricevere tali messaggi.

II.1) È opportuno richiamare, per chiarire i termini della discussione, il quadro giuridico europeo in cui si colloca l'invio di messaggi pubblicitari non richiesti.

Riferendosi all'esistenza di "registri negativi", la direttiva dell'8 giugno 2000 promuove un dispositivo tecnico destinato a permettere l'esercizio del diritto d'opposizione. Di fatto, le audizioni svolte nel quadro del presente studio dimostrano che i fautori e gli oppositori della soluzione dell' opt-out sono convinti che la direttiva 2000/31/CE promuova l'esistenza di un semplice diritto d'opposizione. Si osserverà che, nel riferire dell'adozione di questo testo, gli organi d'informazione hanno largamente passato sotto silenzio la volontà, pur chiaramente espressa dal legislatore comunitario, di non trattare delle garanzie di fondo riconosciute in Europa agli utenti di Internet. L'ambiguità che ne risulta è una grave fonte d'incertezza giuridica per gli operatori del commercio elettronico.

La direttiva 2000/31/CE sembra non stabilire più un rapporto tra la regolarità dell'invio di un messaggio non richiesto e le condizioni iniziali della raccolta dell'e-mail. Certo, bisogna creare registri opt-out. Certo, l'articolo 7 fa riferimento agli "altri obblighi posti dal diritto comunitario", in forza dei quali non può essere trascurata la tutela dei dati personali. Bisogna però riconoscere che questo semplice riferimento non basta a chiarire agli utenti di Internet tutte le regole che debbono rispettare.

In Europa come negli Stati Uniti la questione dello spamming è affrontata essenzialmente dal punto di vista giuridico. A partire dal 1997 la stampa europea si è fatta l'eco del fenomeno americano dello spamming e della sua ampiezza. Tuttavia, la norma del diritto europeo preesisteva al fenomeno americano dello spamming, che, in Europa, è apparso impopolare prima ancora di esistere. Ancora oggi non si può far a meno di constatare che gli operatori europei non sono in grado di rispondere a questa domanda fondamentale: "quanto vale un indirizzo e-mail?", mentre negli Stati Uniti la commercializzazione degli elenchi di e-mail è oggetto di sistemi molto elaborati di ripartizione delle spese e dei profitti.

Finora, le denunce presentate alle autorità nazionali di controllo relative a casi di vero e proprio spamming sono state ben poche. Si può rilevare tuttavia che l'autorità spagnola ha sanzionato con una forte ammenda un'impresa che aveva inviato messaggi elettronici non richiesti e che non era stata in grado di dimostrare di aver ottenuto preventivamente il consenso degli utenti di Internet interessati. Questa decisione è attualmente oggetto di un ricorso giurisdizionale.

Per spamming s'intende generalmente l'invio massiccio e ripetuto di messaggi pubblicitari non richiesti proveniente da un mittente che maschera o falsifica la propria identità. Pertanto, esso costituisce evidentemente una forma di comunicazione pubblicitaria non richiesta. Esso si distingue tuttavia per il suo carattere massiccio, ripetuto e sleale. In sostanza, lo spamming è una forma di pubblicità indesiderata, ma non ogni pubblicità indesiderata è spamming.

In senso stretto una comunicazione pubblicitaria indesiderata presenta due caratteristiche: è una forma di pubblicità ed è indesiderata, ossia non è stata preventivamente richiesta dall'utente di Internet. In questo senso sembra orientarsi la direttiva 2000/31/CE, che non distingue tra messaggi pubblicitari destinati ai clienti di un'impresa, a un semplice visitatore, o ad un utente di Internet con cui il mittente del messaggio pubblicitario non è stato in contatto diretto in precedenza.

Se la grande maggioranza degli operatori europei nega di ricorrere allo spamming, resta però evasiva quanto all'intenzione di spedire messaggi non richiesti. Ma quanto più si distingue lo spamming dalle altre forme di pubblicità non richiesta, tanto meno si affronta la questione essenziale della raccolta dell'e-mail. Tuttavia, le condizioni di regolarità dell'invio di un messaggio non richiesto dipendono innanzitutto dalle condizioni in cui gli indirizzi elettronici sono stati raccolti.

Siti Web europei sempre più numerosi propongono una casella da contrassegnare, che permette all'utente di Internet di esprimere la propria scelta di ricevere o rifiutare messaggi pubblicitari. Numerose organizzazioni professionali europee raccomandano questa pratica, che va ben oltre il dispositivo previsto dalla direttiva 2000/31/CE sul commercio elettronico.

Taluni commercianti propongono però ancora moduli elettronici di raccolta di informazioni che contengono una casella già contrassegnata. Lo sviluppo di tali pratiche è contrario alla trasparenza e alla lealtà richieste dalla direttiva 95/46/CE del 24 ottobre 1995 e ha la sola utilità, nel contesto attuale, di rivelare la slealtà del commerciante.

Taluni operatori dichiarano ormai esplicitamente la scelta dell' opt-in il consenso preventivo che considerano come la soluzione più favorevole al commercio elettronico. Questa attuale chiara tendenza risulta da un calcolo commerciale che coincide con gli obiettivi di protezione di dati personali.

Infatti, anziché suggerire la fine di una relazione commerciale con l'offerta dell' opt-in (diritto d'opposizione), il commerciante invita l'utente di Internet a proseguire gli scambi: il "marketing autorizzato" è avviato. Questo modo di relazioni interattive l'opt-in offre molteplici vantaggi commerciali.

Esso favorisce la prestazione di un servizio richiesto dall'utente di Internet che, esprimendo le sue esigenze, fornisce informazioni ad alto valore aggiunto che possono essere classificate e prezzate, oltre ad essere accompagnate dall'autorizzazione a trattarle. Diversamente dai registri di opt-out, che non possono essere venduti, i registri di opt-in e-mail possono essere vantaggiosamente utilizzati. La raccolta e l'utilizzazione commerciale dei dati basati sul consenso preventivo delle persone costituiscono al tempo stesso una fonte di profitto, un modello di nuovo finanziamento del commercio elettronico ed il miglior modo di garantire la rintracciabilità dell'uso dei dati raccolti.

In questo schema il commerciante che ha raccolto un'informazione può essere retribuito quando uno dei suoi partner utilizza questa informazione in un'operazione pubblicitaria. Il mittente dei messaggi pubblicitari, dal canto suo, ha la certezza di rivolgersi ad una popolazione ben disposta nei confronti delle sollecitazioni commerciale e ottiene una maggiore efficacia nell'invio dei suoi messaggi pubblicitari. Le imprese che rinunciano in questo modo a una politica di pubblicità "alla cieca" controproduttiva e impopolare, suscitano la fiducia degli utenti di Internet. Inoltre, quando l'utente chiede la soppressione delle informazioni che lo riguardano o l'origine della raccolta dei propri dati, chi invia i messaggi e chi ha raccolto inizialmente i dati possono essere in grado di indicargli precisamente in quale momento, a chi e perché ha fornito il proprio indirizzo e-mail.

Testi comunitari che sembrano contraddittori, pratiche professionali divergenti e una netta tendenza a favore dell' opt-in rendono urgente un chiarimento europeo sulla questione.

· Attualmente, cinque Stati membri hanno già adottato un regime di consenso preventivo ( opt-in) all'invio di messaggi pubblicitari non richiesti.

Quattro di essi (Austria, Danimarca, Finlandia, Italia) hanno optato per questo regime di protezione in occasione del recepimento del diritto nazionale della direttiva 97/66/CE. Il quinto, la Germania, pone anch'esso il requisito del consenso preventivo, ma su altre basi giuridiche.

· Tra gli operatori sembra esistere una certa confusione su quello che è loro possibile fare in Europa.

Questa confusione non sembra essere stata dissipata dal gran numero di testi applicabili all'invio di messaggi pubblicitari non richiesti e sembra rafforzata dall'opinione (erronea) diffusa fra gli operatori, secondo cui le disposizioni della direttiva 2000/31/CE sarebbero autonome e sufficienti. Le due direttive del 20 maggio 1997 sulla vendita a distanza e dell'8 giugno 2000 sul commercio elettronico, che considerano soltanto le condizioni in cui un messaggio elettronico non richiesto può essere inviato, non trattano in alcun modo delle condizioni di regolarità della raccolta dell'e-mail, che sono esclusivamente oggetto della direttiva 95/46/CE.

L'invio di un messaggio pubblicitario non richiesto è quindi disciplinato in Europa dall'applicazione combinata di quattro direttive che si applicano a tre situazioni radicalmente diverse, a seconda che il messaggio pubblicitario sia inviato a:

1. Il messaggio non richiesto è destinato ad un utente di Internet che ha fornito il proprio e-mail al mittente del messaggio in occasione di un contatto diretto. In base alla direttiva "generale" 95/46/CE, l'invio di messaggi elettronici pubblicitari è lecito, fermo restando il diritto di cui dispone l'utente di Internet di opporsi a ricevere tali messaggi e/o di opporsi alla comunicazione del suo e-mail a terzi. La direttiva "vendita a distanza" 97/7/CE, prevede che tutto è possibile, salvo "opposizione dichiarata" successiva ad un'informazione esplicita dell'utente di Internet. La direttiva "telecomunicazioni" 97/66/CE lascia agli Stati la scelta tra consenso preventivo (regime adottato a tutt'oggi da 5 Stati membri) e diritto d'opposizione. Infine, la direttiva 2000/31/CE impone a chi invia un messaggio pubblicitario sia di identificare chiaramente il carattere pubblicitario del messaggio, sia di consultare i registri d'opposizione esistenti. Paradossalmente, la direttiva "commercio elettronico" può avere come conseguenza di impedire ad un'impresa di prendere semplicemente contatto con il proprio cliente se questi è iscritto su una lista d'opposizione.
2. L'indirizzo e-mail è stato fornito dall'utente di Internet ad un commerciante che ha in seguito ceduto il proprio schedario e-mail ad un terzo che lo utilizza per l'invio di materiale pubblicitario. In base alla direttiva 95/46/CE, la cessione di questo schedario di e-mail e la sua utilizzazione sono leciti se chi ha raccolto gli e-mail ha preventivamente informato gli utenti di Internet interessati del loro diritto di opporsi gratuitamente a tale cessione. In caso di raccolta in linea presso l'utente di Internet, l'articolo 14 della direttiva 95/46/CE dispone concretamente di apporre una casella da contrassegnare accompagnata da una chiara nota d'informazione sul modulo elettronico di raccolta, relativa al diritto d'opposizione alla cessione dei dati a terzi a fini commerciali.
3. L'indirizzo e-mail è stato prelevato negli spazi pubblici di Internet (newsgroup, repertori di e-mail, ecc.). In questo caso le persone interessate non hanno potuto opporsi preventivamente a tale raccolta. Questa pratica è vietata dalla direttiva del 1995. Viola il principio di finalità (articolo 6), è contestabile in relazione al principio di legittimità dei trattamenti (articolo 7[f]) ignora le disposizioni degli articoli 10 e 11 e viola l'articolo 14.

Nonostante il richiamo all'applicazione degli "altri obblighi posti dal diritto comunitario", la direttiva 2000/31/CE sembra affermare il principio secondo cui l'invio di un messaggio pubblicitario non richiesto sarebbe lecito se il messaggio è identificato come pubblicitario e offre la possibilità di limitarsi ad esso, ossia di riceverne uno soltanto e di poter fare immediatamente opposizione.

Ma imponendo gli stessi obblighi a tutti gli operatori, la direttiva sul commercio elettronico impone ad un operatore che si sia occupato degli interessi del proprio cliente e che l'abbia informato dell'uso commerciale del suo e-mail, di consultare una lista d'opposizione di carattere generale, nazionale, europea o transnazionale che potrebbe vietargli di informare tale cliente delle sue nuove offerte commerciali.

Precisare le condizioni di una raccolta lecita dei dati significa permettere al commerciante e all'utente di Internet di decidere della natura e del proseguimento dei loro rapporti in un clima di trasparenza. Se non vi è alcuna direttiva che impone chiaramente una soluzione di opt-in nella relazione diretta tra un commerciante e il suo cliente, sembra naturale applicare all'invio di messaggi elettronici pubblicitari le regole applicabili all'invio mediante dispositivi automatici di chiamata o fax, essendo comune il loro carattere intrusivo ed irresistibile.

Da un punto di vista storico, quanto minore è il costo dell'invio dei messaggi, tanto maggiori sono i rischi d'abuso. L'invio per posta elettronica di messaggi pubblicitari è di gran lunga la forma di invio di massa meno cara conosciuta finora. Inoltre, la protezione offerta alle persone è sempre stata adattata al rischio di violazione della tranquillità e della vita privata, secondo una gradazione che va dal diritto d'opposizione (uso del telefono) al consenso preventivo (uso dei dispositivi automatici di chiamata e del fax).

In definitiva, la soluzione dell' opt-in sembra la più adatta a Internet. Permette una gestione redditizia delle basi di dati di e-mail, mantiene la relazione personalizzata di un commerciante con un utente Internet e sembra corrispondere gli Stati Uniti ne fanno l'esperienza alle attese degli utenti di Internet. Essa offre inoltre la sicurezza di utilizzare un dato nel rispetto della volontà dell'utente di Internet. Come, infatti, essere certi che la persona a cui viene inviato un messaggio pubblicitario non sia iscritta in un registro d'opposizione? I fautori della soluzione opt-out non sanno dare, oggi, una risposta a questa domanda. La FEDMA, ad esempio, indica sul proprio sito Internet che sta procedendo ad una vasta indagine per repertoriare i registri d'opposizione esistenti.

La soluzione dell' opt-out non permette ad un operatore che desideri scrivere al proprio cliente di essere distinto da uno spammer che abbia trovato una "verginità" o una "legittimità di facciata" in registri d'opposizione. È facile immaginare che, a lungo andare, una soluzione di opt-out duratura richiederebbe, per ragioni di certezza giuridica, l'adozione di regole nazionali o comunitarie vincolanti miranti ad iscrivere tutte le opposizioni espresse in un registro internazionale unico, il cui effetto sarebbe moltiplicato: l'opposizione di un utente Internet a ricevere invii pubblicitari da uno o alcuni commercianti varrebbe per tutti. Di conseguenza, la soluzione del consenso preventivo a ricevere invii pubblicitari sembra favorire nel modo migliore i legami personalizzati che un operatore può avere o cessare di avere con un utente Internet.

L'opt-in non vieta l'invio di messaggi pubblicitari a clienti o a visitatori. Al contrario, lo autorizza. È sufficiente che l'informazione data all'utente Internet sia stata abbastanza chiara su questo punto. L' opt-in non vieta la cessione a terzi di dati forniti dagli utenti Internet, che deve restare subordinata, conformemente alla direttiva del 1995, ad un'informazione preventiva e all'esercizio di un diritto d'opposizione. L' opt-in non vieta la compilazione di elenchi di e-mail. Al contrario, è al centro del mercato degli schedari di indirizzi e permette la loro reale valorizzazione. L' opt-in vieta la raccolta e l'uso sleali dei dati. In tal modo, esso garantisce una protezione efficace dei dati personali, una certezza giuridica ai commercianti, un clima di fiducia e permette di non opporre più artificialmente la protezione dei dati personali alle attività del commercio elettronico.

Almeno a partire dal 1995, l'Unione europea sostiene che la protezione offerta alle persone deve essere tanto più efficace quanto più elevato è il rischio di intrusione nella vita privata. Ci si può rammaricare che i meccanismi tecnici previsti dalla direttiva "commercio elettronico" non siano più adatti alle caratteristiche dell'invio di messaggi pubblicitari non richiesti (slealtà, intrusione, costi per il destinatario) e che la redazione del testo comunitario non abbia la chiarezza che in passato aveva permesso di stabilire una regola prevedibile e commisurata ai rischi. Negli Stati Uniti, intanto, sono state adottate leggi che prevedono sanzioni penali in alcuni Stati e gli operatori dell'e-mail marketing hanno scoperti i vantaggi commerciali del marketing autorizzato.

Il "consenso" della direttiva 95/46 è concepito come l'esercizio assoluto da parte della persona dei diritti che gli sono riconosciuti. I teorici del marketing autorizzato sostengono che, una volta acquisito il consenso, tutto sarebbe possibile. Un tale approccio potrebbe favorire una protezione dei dati a due velocità: una protezione per i più sfavoriti, che si ridurrebbe via, via, che offerte commerciali indurrebbero le persone ad acconsentire a tutto, in particolare a non esercitare i propri diritti, e una protezione per gli altri, la cui agiatezza finanziaria garantirebbe l'indipendenza del consenso. Questo approccio va però meglio definito. Da una parte, il consenso può riguardare soltanto un trattamento la cui finalità deve essere determinata. La portata del consenso dipenderà quindi in pratica dalla chiarezza dell'informazione fornita alla persona. D'altra parte, il consenso è revocabile.

Le modalità di raccolta in linea del consenso devono essere precisate. La direttiva del 1995 dà una definizione stretta del consenso (articolo 2 [h]): è un atto positivo di volontà a favore di qualcosa. Si tratterebbe quindi, per essere certi che l'utente di Internet ha dato il suo consenso a ricevere messaggi pubblicitari, di rendere obbligatoria l'espressione della sua volontà in materia. La raccolta del consenso a ricevere messaggi pubblicitari potrebbe consistere in un campo da compilare nel modulo di raccolta di informazioni. Questa forma concreta di raccolta del consenso rispetterebbe la definizione data dalla direttiva del 1995: se l'utente di Internet non attiva egli stesso un campo riservato alla raccolta del suo consenso a ricevere messaggi pubblicitari, il consenso non potrebbe essere considerato come acquisito. Al tempo stesso, occorre la massima vigilanza sulla chiarezza dell'informazione dell'utente di Internet.

Applicato al momento della raccolta, questo meccanismo permette di raccogliere contemporaneamente i dati personali e le condizioni che la persona pone per il loro trattamento. Esso favorisce, per la sua stessa esistenza, le condizioni di una raccolta leale dei dati, principio basilare delle legislazioni europee. Permette un uso commerciale immediato e sicuro dei dati, nel rispetto dei diritti delle persone.

La trasparenza propria del meccanismo del consenso preventivo deve oggi essere generalizzata e tutti devono comprendere che è dannoso allo sviluppo del commercio elettronico lasciare che gli utenti di Internet si interroghino sulla lealtà di un commerciante al momento dell'acquisto di un prodotto o di un servizio.

1) Ossia l'azione di un utente che clicca su un iperlegame e accede così direttamente al sito Web dell'inserzionista e alla sua offerta commerciale; il passaggio all'atto d'acquisto è un clickorder

2) I fornitori d'accesso, nella grande maggioranza, braccano oggi senza pietà gli spammer; tra i loro diversi modi d'intervento, si sono organizzati per mezzo di una rete di amministratori volontari denominata The Mail Abuse Prevention System (MAPS — Redwood City, California) che è all'origine della lista nera Realtime Blackhole List (RBL). Questa lista è uno strumento di boicottaggio di massa; permette agli amministratori di sistema degli ISP che controllano migliaia di router e di server di posta elettronica d'informarsi reciprocamente e regolarmente sugli "attacchi", ossia le operazioni di spamming, di cui sono oggetto e di mettere all'indice gli indirizzi IP e nomi di dominio conosciuti per essere all'origine di invii pubblicitari indesiderati. Tutti gli abbonamenti di spammer disdetti sono riportati nella lista, di modo che altri ISP, in questo caso i 2 000 ISP di tutto il mondo abbonati alla RBL, ossia un terzo del mercato, che potrebbero essere avvicinati dallo spammer sono immediatamente informati della vera natura delle attività del cliente con cui hanno a che fare e possono allora rifiutare di ospitarlo. Accanto a questa funzione abbastanza classica di reporting il sistema MAPS è anche un filtro che permette mediante algoritmi di bloccare automaticamente l'invio di messaggi provenienti da uno spammer identificato e dell'ISP che lo ospita e che si considera quindi che non faccia il lavoro d'igiene della rete che sarebbe tenuto a compiere per salvaguardare gli interessi collettivi di Internet.

3) Precedendo l'amministrazione federale, una ventina di Stati americani hanno adottato lo scorso anno o stanno per farlo, testi di legge repressivi nei confronti dello spamming; alcuni di questi testi sono già stati utilizzati nel quadro di procedimenti aperti contro spammer; è da notare che vari di questi testi riguardano anche i messaggi pubblicitari inviati per fax. Le principali disposizioni di questi testi consistono nell'imporre la presenza di un dispositivo di " opt-out" e l'effettivo accoglimento delle richieste di ritiro avanzate dagli utenti Internet; vietano ben inteso ciò che è proprio di queste pratiche, ossia il falso indirizzo e il mascheramento delle intestazioni del messaggio o del loro oggetto; alcuni impongono la presenza di un marchio nell'intestazione che indichi che si è in presenza di un messaggio pubblicitario (ADV) o di un annuncio riguardante un sito riservato agli adulti (ADLT); un terzo di queste leggi definisce lo spamming come l'invio di messaggi ad utenti di Internet senza una preventiva esplicita domanda da parte loro.

4) Questa lista funzione come un servizio gratuito che permette ad ogni utente di registrare il proprio indirizzo e-mail in questa stoplist indicando le categorie dei messaggi per le quali desidera esercitare l' opt-out (da impresa a consumatore, da impresa a impresa, o entrambi). Dal canto loro, gli operatori di marketing diretto, contro pagamento di 100 $ per i non aderenti alla DMA, possono far epurare il loro elenco di indirizzi e-mail presso il sistema eMPS; questo avviene in linea e richiede soltanto alcune ore. La creazione di questo elenco è severamente criticata dalla comunità americana dei militanti antispam, in particolare i rappresentanti di MAPS, Junkbusters Corp. e di CAUCE; anche alcuni membri della DMA dissentono dalle posizioni della loro organizzazione professionale. Varie critiche sono rivolte a questo dispositivo: si può infatti deplorare che la DMA non abbia voluto rendere il sistema eMPS accessibile agli ISP che potrebbero voler esercitare un opt-out globale per tutti i loro nomi di dominio e i loro abbonati. La DMA ha adottato questo atteggiamento partendo dal principio che il sistema funziona sulla base di richieste di opt-out individuali.

5) Si tratta di un'attività consistente nell'occuparsi per conto del cliente inserzionista della relazione individuale che s'instaura per e-mail con il cliente potenziale e nell'indurre quest'ultimo ad acquistare: arricchimento della base d'informazioni con dati personali complementari, elevazione della relazione di fiducia, fedelizzazione, gestione delle domande di iscrizione o di opt-out, trattamento dei problemi di consegna, trattamento delle varie questioni degli utenti e dei reclami, invio di messaggi di conferma, trattamento dei cambiamenti d'indirizzo e-mail. Questa attività si basa su specifiche applicazioni informatiche dette di CRM (Customer Relationship Management) o di ERM (E-mail Relationship Management).

6) Si osservano due grandi modelli di circolazione dei dati; può trattarsi in certi casi di trasferimenti periodici per lotti di informazioni che sono aggregate nella base di dati cooperativa o in altre di trasferimento in tempo reale; certe società di e-mail marketing offrono anche una prestazione di hosting dei moduli di opt-in per conto dei loro clienti.

7) Si constata che alcuni programmi di marketing autorizzato comportano caselle di opt-in precontrassegnate, in particolare nel caso dei moduli d'iscrizione spediti sui siti di BigFoot, Dreamlife o Theglobe. com, tre siti i cui moduli di opt-in sono gestiti in relazione con 24/7 Media. Non si può non considerare questa pratica poco conforme allo spirito del marketing autorizzato, perché non dà la garanzia del consenso del cliente, che può aver saltato la riga senza averla letta. Si corre allora il rischio che i messaggi pubblicitari inviati siano considerati indesiderati, dato che il destinatario è convinto di non averli mai richiesti.

8) Il funzionamento del doppio opt-in è abbastanza esemplare dal punto di vista della qualità del consenso ottenuto e della trasparenza del processo. Infatti, quando ci si abbona ad esempio ad una newsletter del gruppo CNET, l'utente riceve in una finestra sovrapposta una proposta di una serie di caselle da contrassegnare corrispondenti a temi sui quali accetta di ricevere offerte commerciali; in fondo alla lista figura un legame che permette di accedere alla pagina di "privacy policy" del sito CENT; le indicazioni fornite sono molto complete e comprendono un'avvertenza concernente l'iscrizione ad una newsletter da cui risulta esplicitamente il ruolo della società terza, in questo caso il prestatore di emarketing Netcreation che raccoglie i dati. Dopo aver compilato il modulo e definito i temi su cui desidera essere informato, l'utente convalida la sua iscrizione e questo costituisce il primo atto di opt-in; istantaneamente egli riceve un messaggio di conferma da parte di Netcreation, che ha lo scopo di accertare che l' opt-in sia stato veramente effettuato dalla persona stessa e non a nome suo da qualcun altro. Il ricevimento di quest'ultimo messaggio merita tre osservazioni: la prima è che porta di nuovo a conoscenza del destinatario l'esistenza e la denominazione di un terzo nella sua relazione col sito a partire dal quale egli s'inscrive alla newsletter; questo punto non è trascurabile e copre l'eventualità in cui l'utente non abbia cliccato sul legame della "privacy policy"; la seconda è che questo messaggio ricapitola le newsletter e la lista di diffusione commerciale precisa a cui egli si è iscritto; la terza è che nessuna comunicazione potrà aver luogo con lui senza il ritorno dell'e-mail di conferma; è quasi un atto contrattuale che l'utente di Internet conclude con il sito. Non appena la conferma dell' opt-in perviene al prestatore, l'abbonato riceve automaticamente un ultimo e-mail di benvenuto.

9) Proposta di direttiva del Parlamento europeo e del Consiglio relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, COM(2000) 385, GU n. C365 E del 19.12.2000, p. 223.

10) Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.

11) Direttiva 97/66/CE del Parlamento europeo e del Consiglio, del 15 dicembre 1997, sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni.

12) Direttiva 97/7/CE del Parlamento europeo e del Consiglio, del 20 maggio 1997, riguardante la protezione dei consumatori in materia di contratti a distanza. Questa direttiva doveva essere recepita nel diritto interno degli Stati membri dell'Unione europea entro il 21 maggio 2000.

13) Direttiva 2000/31/CE del Parlamento europeo e del Consiglio, dell'8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della società dell'informazione, in particolare il commercio elettronico, nel mercato interno (GUCE L. 178 del 17 luglio 2000), da recepire entro il 17 gennaio 2002.

14) CNIL, Commission Nationale de l’Informatique et des Libertés. V. http://www.cnil.fr

15) Disponibile in francese su http://www.cnil.fr/thematic/index.htm

16) L’articolo 29 della direttiva 95/46/CE ha istituito un gruppo composto dalle autorità nazionali di protezione dei dati personali. Questo gruppo costituisce un organo consultivo indipendente dell'Unione europea sulla protezione dei dati personali. Le sue attribuzioni ed i suoi compiti sono definiti dall'articolo 30 della direttiva 95/46/CE e dall'articolo 14 della direttiva 97/66/CE.

17) Parere 7/2000 sulla proposta della Commissione europea del 12 luglio 2000 di direttiva del Parlamento europeo e del Consiglio sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle comunicazioni elettroniche.

18) Pareri pubblicati in http://europa.eu.int/comm/internal_market/fr/media/dataprot/wpdocs

19) FEDMA, Fédération européenne du marketing direct. V. http://www.fedma.org

20) http://www.erobinson.com

21) V. http://www.emps.org su "E-mail Preference Service" della DMA americana.

22) V. http://www.euroispa.org

23) Proposta di direttiva del Parlamento europeo e del Consiglio relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche, COM(2000) 385, GU C 365E del 19.12.2000.

(*) DG Mercato interno — Contratto n. ETD/99/B53000/E/96 (Ndr: Appalto a procedura aperta n. XV/99/19/E del 29/7/1999, riguardante uno "studio sulle questioni specifiche relative alla protezione dei dati e alla vita privata derivanti dalla posta elettronica indesiderata (**spam**), in particolare dalle comunicazioni commerciali indesiderate").