Privacy, non basta clausola disiscrizione per legittimare e-mail inviate senza consenso

Non basta aggiungere un link per la disiscrizione in fondo alla pagina a rendere legittime le mail commerciali inviate a destinatari senza il loro permesso preventivo. Lo ha ricordato nei giorni scorsi il Garante per la privacy nel provvedimento che ha inflitto una sanzione di 10mila euro a una società da cui erano partite diverse campagne promozionali indirizzate a utenti di cui non era stato acquisito il consenso. All’origine, riferisce l’Authority, la segnalazione di un privato che lamentava la ricezione di e-mail pubblicitarie indesiderate, anche dopo essersi opposto a tali invii (senza riscontri da parte del mittente).

La società, riporta il Garante,  si è difesa dichiarando di avere estratto i nominativi da diversi elenchi pubblici e che i dati sarebbero stati trattati sulla base di un legittimo interesse. Il Garante ha ricordato che l’invio di comunicazioni con modalità automatizzate è consentito solo con il consenso dell’utente, essendo ammessa come unica deroga il rilascio dell’indirizzo e-mail da parte dell’interessato nel contesto di una vendita di beni o servizi analoghi. Tale fattispecie, tuttavia, non risulta applicabile al caso, dato che le persone raggiunte dall’attività di marketing non avevano rilasciato il proprio indirizzo nell’ambito di un rapporto contrattuale pregresso non avendo alcuna conoscenza né del titolare né del trattamento.

Dall’istruttoria, in particolare, è emerso che nessuna e-mail poteva essere inviata al reclamante, così come agli altri destinatari, senza un idoneo consenso. Rispetto al link inserito in calce alla mail per disiscriversi, il Garante ha poi ricordato che «non ha alcuna rilevanza poiché, prima ancora del suo contenuto e delle eventuali misure di contenimento del danno, è lo stesso invio dell’e-mail a essere illecito». Tenuto conto dell’ampia portata dei trattamenti e del fatto che l’azienda non ha mai dichiarato di aver interrotto la condotta limitandosi a cancellare i dati del reclamante, il Garante privacy ha imposto alla società il divieto di trattare per finalità promozionali tutti i dati inseriti nel data base oggetto di istruttoria per i quali non sia in grado di dimostrare l’acquisizione di un idoneo consenso. In conseguenza di tale divieto, ha poi ordinato alla società di provvedere alla cancellazione dei dati in questione, ad eccezione di quelli necessari ad adempiere ad un obbligo di legge o per la difesa di un diritto in sede giudiziaria.