CE - IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

1. INTRODUZIONE

La direttiva 2002/58/CE sulla vita privata e le comunicazioni elettroniche ha in particolare armonizzato le condizioni alle quali le comunicazioni elettroniche (ad esempio la posta elettronica, gli SMS, il fax, il telefono) possono essere utilizzate a fini di commercializzazione diretta¹. Anche se il presente documento si concentra su tali condizioni, il Gruppo di lavoro segnala che altre disposizioni della direttiva possono richiedere particolare attenzione in futuro.

A partire dalle norme di consenso esplicito vigenti in determinati Stati membri, l'articolo 13 della direttiva 2002/58/CE ha introdotto un regime armonizzato per le comunicazioni elettroniche dirette alle persone fisiche a fini di commercializzazione diretta.

È evidente che, malgrado tale armonizzazione, determinati concetti utilizzati nell'articolo 13 della direttiva 2002/58/CE sulle comunicazioni indesiderate sembrano soggetti a varie interpretazioni.

In conformità con il paragrafo 3 dell'articolo 15 della direttiva 2002/58/CE, in combinato disposto con l'articolo 30 della direttiva 95/46/CE, il Gruppo di lavoro ha analizzato con maggiore attenzione tali concetti e ha adottato il presente parere al fine di contribuire a un'applicazione uniforme delle misure nazionali adottate in conformità con la direttiva 2002/58/CE. È opportuno segnalare che in documenti precedenti il Gruppo di lavoro aveva già trattato la questione delle comunicazioni a fini di commercializzazione diretta².

La norma del consenso esplicito richiede che il consenso sia dato dagli abbonati prima dell'utilizzazione degli apparati di chiamata automatica, dei fax o della posta elettronica, compresi gli SMS, a fini di vendita diretta.

Esiste un'eccezione per le comunicazioni inviate ai clienti esistenti, a determinate condizioni (vedi oltre). Per quanto riguarda le chiamate commerciali di telefonia vocale (fissa o mobile) non realizzate mediante apparati di chiamata automatica, gli Stati membri possono scegliere tra un sistema di consenso esplicito o di elenchi di esclusione³.

Inoltre, il mittente da parte del quale la comunicazione è effettuata non può camuffare o celare la sua identità. Deve inoltre esistere un indirizzo valido cui il destinatario possa inviare una richiesta di cessazione di tali comunicazioni.⁴

Il Gruppo di lavoro ha deciso di emettere un parere sui seguenti elementi di questo nuovo regime:

— il concetto di posta elettronica;

— il concetto di previo consenso da parte degli abbonati;

— il concetto di commercializzazione diretta;

— l'eccezione alla norma del consenso esplicito;

— il regime per le comunicazioni dirette alle persone giuridiche.

La norma del consenso esplicito si basa sul consenso previo, così come viene specificato al paragrafo 1 dell'articolo 13 della direttiva 2002/58/CE: "1. L'uso di sistemi automatizzati di chiamata senza intervento di un operatore (dispositivi automatici di chiamata), del telefax o della posta elettronica a fini di commercializzazione diretta è consentito soltanto nei confronti degli abbonati che abbiano espresso preliminarmente il loro consenso."

Tuttavia, in base alla lettera f) dell'articolo 2 e del considerando 17, "il consenso dell'utente o dell'abbonato, senza considerare se quest'ultimo sia una persona fisica o giuridica, dovrebbe avere lo stesso significato del consenso della persona interessata come definito e ulteriormente determinato nella direttiva 95/46/CE (…)."

La direttiva 95/46/CE definisce il consenso dell'interessato come "qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento." (Articolo 2, lettera h), della direttiva 95/46/CE).

In tale contesto, il consenso non è specifico per le comunicazioni a fini di vendita diretta. Si può fare riferimento alla raccomandazione 2/2001 del Gruppo di lavoro su determinati requisiti minimi per la raccolta on-line di dati personali nell'Unione europea⁷.

Vi possono essere molti modi nei quali il consenso può essere espresso in conformità con il diritto comunitario. La direttiva 2002/58/CE non stabilisce in modo specifico il metodo effettivo per ottenere tale consenso.

Il considerando 17 conferma che: "(…) Il consenso può essere fornito secondo qualsiasi modalità appropriata che consenta all'utente di esprimere liberamente e in conoscenza di causa i suoi desideri specifici, compresa la selezione di un'apposita casella nel caso di un sito internet."

Fatti salvi gli altri requisiti applicabili, ad esempio in materia di informazione, sembra compatibile con la direttiva il metodo consistente nel fatto che un abbonato offra il suo consenso previo registrandosi in un sito web e successivamente sia sollecitato a confermare di essere stato lui la persona che ha effettuato la registrazione. Anche altri metodi possono essere compatibili con i requisiti legali.

D'altro canto, non sarebbe compatibile con l'articolo 13 della direttiva 2002/58/CE la semplice richiesta, attraverso un messaggio di posta elettronica generale inviato ai riceventi, del consenso a ricevere messaggi commerciali di posta elettronica, considerando il requisito che i fini devono essere legittimi, espliciti e specifici.

Inoltre, il consenso concesso in occasione dell'accettazione generale dei termini e delle condizioni che disciplinano un contratto principale (ad esempio, un contratto di sottoscrizione nel quale si sollecita anche il consenso ad inviare comunicazioni a fini di vendita diretta) deve rispettare i requisiti stabiliti dalla direttiva 95/46/CE, vale a dire essere libero, specifico e informato. A condizione che si compiano queste ultime condizioni, l'interessato può dare il suo consenso, ad esempio, mediante la selezione di una casella.

Il consenso implicito a ricevere tali messaggi non è compatibile con la definizione di consenso stabilita dalla direttiva 95/46/CE, e in particolare con il requisito che il consenso sia manifestazione della volontà di qualcuno, compreso il caso in cui ciò sia fatto "salvo opposizione" (elenchi di esclusione). Analogamente, neppure le caselle preselezionate, ad esempio nei siti web, sono compatibili con la definizione della direttiva.

Deve inoltre essere chiaramente indicata la finalità, e ciò implica che è necessario che l'abbonato menzioni chiaramente i prodotti e servizi, o le categorie di prodotti e servizi, per i quali possono essere inviati messaggi commerciali di posta elettronica. Se del caso, dev'essere sollecitato anche il consenso a trasmettere i dati personali a terzi. Le informazioni fornite al titolare dei dati dovranno specificare la finalità, vale a dire i prodotti e i servizi (o le categorie di prodotti e servizi) per i quali questi terzi possono inviare messaggi di posta elettronica.

Il Gruppo di lavoro intende invitare l'industria, ad esempio mediante associazioni del settore come la Federazione europea del marketing diretto (FEDMA, Federation of European Direct Marketing), a integrare nei suoi codici di condotta e a promuovere metodi specifici per ottenere il consenso che siano conformi alla legislazione comunitaria. Il Gruppo di lavoro chiede all'industria di dedicare particolare attenzione a sistemi suscettibili di offrire migliori garanzie che il consenso sia stato realmente ed effettivamente dato dall'abbonato.

Inoltre, tali codici dovrebbero comprendere l'obbligo di trattare in modo efficace i reclami presentati da coloro che ricevono la posta elettronica. In conformità con l'articolo 30 della direttiva 95/46/CE, il Gruppo di lavoro ricorda di poter esprimere un parere sui codici di condotta elaborati a livello comunitario.

Tali codici di condotta potrebbero contemplare anche alcuni aspetti pratici, come specifiche indicazioni nei titoli, affinché gli utenti (e gli eventuali filtri) possano riconoscere facilmente i messaggi di posta elettronica che rispettano il codice⁸.

Gli elenchi che non siano stati creati conformemente al requisito del previo consenso non potranno in linea di principio essere utilizzati nell'ambito del regime del consenso esplicito, a meno che non siano stati adattati ai nuovi requisiti. È anche illegale vendere tali elenchi incompatibili a terzi. Le imprese che intendono acquisire elenchi di indirizzi di posta elettronica dovranno assicurarsi che tali elenchi siano conformi ai requisiti applicabili, in particolare che sia stato dato il previo consenso in conformità con tali requisiti.

Anche se non sia stato previsto un metodo specifico per esprimere il consenso (esplicito) a ricevere messaggi di posta elettronica, è necessario rispettare le condizioni stabilite nella legislazione comunitaria. Il Gruppo di lavoro intende ricordare che, per trattare dati personali, è necessario conformarsi alle condizioni stabilite nella direttiva a carattere generale 95/46/CE. In particolare, tali condizioni comprendono, in conformità con l'articolo 10 della direttiva 95/46/CE, il requisito di informare, al momento della raccolta, almeno in merito:

- all'identità dell'eventuale autorità di controllo o del suo rappresentante;

- ai fini della raccolta di dati.

Inoltre, esiste il requisito di informare i destinatari o le categorie di destinatari dei dati sul carattere obbligatorio o no della risposta e sulle conseguenze che avrebbe per la persona interessata la mancata risposta, nonché in merito all'esistenza di diritti di accesso ai dati e di rettifica in merito ai dati, nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per garantire un trattamento leale nei confronti della persona interessata (vedi articolo 10 della direttiva 95/46/CE).

È opportuno segnalare che l'articolo 13 stabilisce inoltre l'obbligo di offrire una possibilità di esclusione in ciascun messaggio inviato. Tale esclusione dovrebbe essere possibile, come minimo, utilizzando lo stesso servizio di comunicazione (ad esempio inviando un SMS per essere escluso da una lista di marketing basata sul sistema SMS).

Inoltre, il Gruppo di lavoro ricorda che, ai sensi della direttiva di carattere generale 95/46/CE, è illegale la raccolta di messaggi di posta elettronica, vale a dire la raccolta automatica di dati personali all'interno di siti pubblici di internet (ad esempio, la rete, le chatroom, ecc.). Ciò costituisce un trattamento sleale dei dati personali e non rispetta né il principio della limitazione della finalità né l'obbligo di informazione sopra menzionati. Lo stesso accade quando la raccolta automatica viene realizzata tramite un programma informatico. Questi aspetti sono stati analizzati nel documento di lavoro "La vita privata su Internet - Un approccio comunitario integrato alla protezione di dati on-line"⁹.

Queste osservazioni sono pertinenti fatti salvi i requisiti aggiuntivi derivanti da qualunque altra legislazione relativa alla promozione o alla vendita di (specifici) prodotti o servizi (ad esempio prodotti e servizi finanziari o sanitari, vendita a distanza).

Non esiste una definizione di commercializzazione diretta né nelle direttive specifiche sulla protezione dei dati né nelle direttive generali. Tuttavia, esiste una definizione di fini di commercializzazione/prospezione nel considerando 30 della direttiva 95/46/CE, nel quale si legge che: "(…) gli Stati membri possono precisare le condizioni alle quali può essere effettuata la comunicazione a terzi di dati personali a fini di prospezione, sia che si tratti di invio di materiale pubblicitario e di invio di materiale promosso da un'associazione a scopo benefico o da altre associazioni o fondazioni, ad esempio a carattere politico, nel rispetto delle disposizioni volte a consentire alle persone interessate di opporsi senza dover fornire una motivazione e senza spese al trattamento dei dati che le riguardano".

Il Gruppo di lavoro ritiene che l'articolo 13 della direttiva 2002/58/CE copra di conseguenza qualunque forma di promozione di vendite, compresa la prospezione diretta realizzata da organizzazioni benevole o a carattere politico (ad esempio per il reperimento di fondi, ecc.).

Da notare che una definizione ampia è stata utilizzata nel codice di condotta europeo della FEDMA relativo all'utilizzazione di dati personali nella commercializzazione diretta, approvato dal Gruppo di lavoro il 13 giugno 2003¹⁰.

Il paragrafo 5 dell'articolo 13 della direttiva 2002/58/CE stabilisce quanto segue:

In altre parole gli Stati membri, pur dovendo garantire che gli interessi legittimi delle persone giuridiche siano sufficientemente tutelati, rimangono liberi di determinare le modalità di tale salvaguardia.

Nel 2002, alcuni Stati — cinque su otto — con un regime di consenso esplicito per la posta elettronica hanno scelto di applicare lo stesso regime anche alle persone giuridiche¹¹. Anche se la distinzione tra persone fisiche e persone giuridiche sembra relativamente agevole, non è sempre facile nella pratica.

Una situazione semplice si verificherebbe nel caso in cui le coordinate elettroniche siano state lasciate da un potenziale destinatario, ad esempio, in un sito web o in altro modo. In questo caso, può essere sufficientemente facile informarsi sulla natura della persona, ad esempio attraverso una semplice domanda, o sulla qualità della persona che ha lasciato tali particolari.

Si tratta tuttavia di un elemento importante, dal momento che spetta al mittente garantire che le regole siano rispettate. Specialmente negli Stati membri che stabiliscono una distinzione tra le comunicazioni rivolte alle persone giuridiche e quelle rivolte alle persone fisiche, il Gruppo di lavoro ritiene che debbano essere messe a punto regole pratiche in questo senso.

Anche se potrà essere necessario dedicare ulteriore attenzione a questo tema specifico sulla base dell'attuazione che gli Stati membri fanno dell'articolo 13, il Gruppo di lavoro intende sin d'ora concentrare l'attenzione sui seguenti punti:

- Le regole pratiche di cui si tratta devono tener conto degli effetti transfrontalieri. Una questione che si pone in proposito consiste nel sapere quale regola dev'essere applicata alla posta elettronica proveniente da uno Stato membro che non offre una protezione alle persone giuridiche e che sia ricevuto in uno Stato membro che garantisce lo stesso livello di protezione sia alle persone giuridiche che alle persone fisiche.

- Rimane la questione di sapere in che modo il mittente può determinare se un destinatario è una persona fisica o giuridica. In altri termini, quale sforzo il mittente sarà obbligato a fare per verificare se un numero/indirizzo appartiene realmente a una persona giuridica? Sarà necessario adottare molte precauzioni, nel caso in cui il mittente non abbia la certezza che l'indirizzo di posta elettronica appartiene a una persona giuridica ("segretariato@società.com"). Spesso le persone fisiche utilizzano indirizzi di posta elettronica con pseudonimi o termini generici senza essere private della protezione stabilita dalla direttiva.

Il paragrafo 2 dell'articolo 13 stabilisce un'eccezione armonizzata alla regola del consenso esplicito che si applica ai clienti esistenti, a certe condizioni.

Il considerando 41 fornisce elementi utili alla comprensione del paragrafo 2 dell'articolo 13:

Anche se la descrizione lascia spazio all'interpretazione, il Gruppo di lavoro sottolinea che tale eccezione contiene numerosi limiti e dev'essere interpretata in senso restrittivo.

In primo luogo, la prima frase del paragrafo 2 dell'articolo 13 limita tale eccezione ai clienti. Inoltre, i messaggi di posta elettronica possono essere inviati solo a clienti dai quali sono state ottenute le coordinate elettroniche per la posta elettronica, nel contesto della vendita di un prodotto o servizio ai sensi della direttiva 95/46/CE. Quest'ultimo requisito comprende ad esempio le informazioni sulle finalità della raccolta (vedi sopra). Il principio della finalità (uso compatibile, trattamento leale) può essere di aiuto in proposito. In questo contesto, dev'essere dedicata attenzione al periodo di tempo durante il quale il consenso può ragionevolmente essere considerato come valido e quindi i messaggi di posta elettronica possono essere inviati.

In secondo luogo, solo la stessa persona fisica o giuridica che ha raccolto i dati può inviare messaggi di posta elettronica a fini di commercializzazione. Ad esempio, le società sussidiarie o le società madri non sono considerate la stessa società.

In terzo luogo, l'eccezione è limitata alla commercializzazione di prodotti e servizi analoghi. Il Gruppo di lavoro ritiene che, anche se il concetto di "prodotti e servizi analoghi" non è facile da applicare nella pratica e richiede ulteriore attenzione, l'analogia può essere giudicata in particolare dalla prospettiva obiettiva (ragionevoli aspettative) del ricevente, piuttosto che dalla prospettiva del mittente.

Il Gruppo di lavoro ricorda che vi è un obbligo, anche nell'ambito dell'eccezione, di continuare a offrire la possibilità di opposizione in ciascun messaggio di commercializzazione.

Il Presidente
Stefano RODOTÀ

NOTE