Il nuovo Regolamento UE sulla protezione dei dati personali entrerà in vigore il 25 maggio 2018. La normativa interesserà molteplici aspetti delle normali attività aziendali. In primis sicurezza e privacy delle informazioni e controllo dei lavoratori, ma anche politiche di marketing, in particolare quello diretto e digitale. Più volte il Garante è intervenuto su questo tema, tanto che nel vademecum del febbraio 2015 si legge:
“Il rispetto del consumatore e il corretto uso dei suoi dati personali – a partire da quelli necessari per contattarlo fino alle informazioni più private, come gusti e preferenze – differenziano le imprese che vedono i propri clienti come semplice preda, da quelle che scelgono di operare in modo trasparente, ponendo al centro della loro attività sia la qualità dei propri prodotti e servizi sia la fiducia dei propri acquirenti.”
=> Impatto sulle aziende del nuovo Regolamento Privacy
Il vademecum rimane valido e attuale, tuttavia si attendono aggiornamenti alla luce del nuovo Regolamento. Nello svolgere (direttamente o per conto terzi) attività di marketing, per l’azienda permangono i principi fondamentali indicati dall’Autorità:
• il consumatore deve essere sempre informato del trattamento dei dati personali;
• per utilizzare i dati personali di un individuo (recapiti, abitudini di consumo…) per qualunque altra finalità serve il consenso;
• nel trattamento dei dati devono essere sempre rispettati i principi di finalità, proporzionalità e non eccedenza, ossia lo scopo originario per il quale i dati sono stati raccolti e usati.
Quindi, l’informativa – che il Regolamento impone sia scritta in modo semplice (art. 7 GDPR) – e il consenso – che la nuova disciplina sulla privacy dispone sia inequivocabile – nella loro veste rafforzata dal Regolamento rimangono i cardini intorno o a cui devono svilupparsi le attività di marketing.Il Regolamento ha infatti reso più incisivi questi aspetti; ne consegue che le aziende sono chiamate ad intervenire con non pochi “aggiustamenti”.
Una interessante novità è l’introduzione del principio dell’interesse legittimo al trattamento dei dati personali. Il Regolamento chiarisce infatti che: “può essere considerato legittimo interesse trattare dati personali per finalità di marketing”.
L’impresa dovrà pertanto compiere adeguate valutazioni al fine di giustificare il proprio interesse legittimo (Considerando 47). Infatti, i legittimi interessi di un titolare possono giustificare un corretto trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato, tenuto conto delle ragionevoli aspettative di quest’ultimo.
Insomma, nell’acquisire il consenso al trattamento dei dati per attività di marketing, l’impresa dovrà fornire un’informativa che non lasci spazio ad alcun equivoco, poiché in caso contrario gli interessi e i diritti dell’interessato andranno a prevalere su quelli legittimi del titolare, rendendo non corretto il trattamento.
=> Nuove regole privacy: suggerimenti per aziende
Inoltre, anche qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato deve avere il diritto, in qualsiasi momento e gratuitamente, di opporsi al trattamento iniziale o ulteriore, compresa la profilazione connessa al marketing diretto (Considerando 70).
Quindi, da quanto riportato sino ad ora, la regola vigente in materia di marketing sarà quella dell’opt-out: non il consenso a ricevere comunicazioni commerciali bensì il diritto a sottrarsene; sulla base giuridica di un giustificato interesse legittimo sarà possibile svolgere attività di marketing, comunicando esplicitamente e chiaramente all’interessato il diritto di opporvisi (art. 21 GDPR).
L’operazione che giustifica questa nuova normativa è sin troppo chiara: l’UE ha inteso dare più tutele al consumatore ma anche ampliare gli spazi di manovra delle aziende nell’organizzare e sviluppare le proprie attività di business.
_________
* Avv. Emiliano Vitelli, Vicepresidente EPCE – European Privacy Centre
