Pubblicato il

Liste di proprietari comprate da terzi: il rischio che corre l’agenzia

Copertina dell'articolo sulla privacy nelle agenzie immobiliari e sulle liste di contatti acquistate da terzi

Un elenco di proprietari di immobili, completo di nome, codice fiscale, numero di telefono e indirizzo, acquistato da un fornitore che garantisce la regolarità della raccolta. Per molte agenzie è stato per anni il modo più rapido di trovare nuovi incarichi. Oggi è uno dei motivi più frequenti di contestazione: la privacy nelle agenzie immobiliari si gioca quasi tutta su quella filiera, e il Garante ha chiarito che la responsabilità non si trasferisce a monte insieme ai dati.

Il caso che ha fatto scuola

Nel 2025 il Garante per la protezione dei dati personali è intervenuto su un sistema di fornitura di liste di proprietari immobiliari, costruito incrociando dati catastali e anagrafiche provenienti da altri fornitori, con il codice fiscale come chiave per collegare il numero di telefono al proprietario. Numerosi interessati hanno ricevuto chiamate e messaggi promozionali senza aver mai prestato un consenso valido.

L’Autorità ha sanzionato per 100.000 euro la società fornitrice dei dati e per 40.000 euro le agenzie immobiliari che quelle liste avevano utilizzato. Alle agenzie è stato contestato di non aver verificato la liceità dei dati ricevuti, di aver rinviato al fornitore le richieste degli interessati, di non aver consultato il registro pubblico delle opposizioni e di non aver fornito l’informativa completa durante le chiamate; non sono stati prodotti neppure gli script utilizzati dagli operatori. Il Garante ha qualificato il sistema come una schedatura di massa a fini promozionali.

Privacy nelle agenzie immobiliari: la responsabilità non si compra insieme alla lista

Il passaggio decisivo del provvedimento è questo: il titolare del trattamento deve essere in grado di dimostrare di avere adottato le misure necessarie, e deve controllare l’intera filiera, dalla raccolta all’utilizzo promozionale. Non basta che il fornitore dichiari, in contratto, di aver acquisito un consenso valido.

Il consenso, del resto, ha requisiti che il Regolamento UE 2016/679 definisce in modo stringente: deve essere libero, specifico, informato e inequivocabile. Un consenso raccolto per finalità diverse, o formulato in modo generico, non legittima la telefonata promozionale di un soggetto terzo che l’interessato non ha mai sentito nominare.

Accanto a questo, l’Autorità ha richiamato gli articoli 13 e 14 del Regolamento, che impongono di informare l’interessato sull’origine dei dati, sulla base giuridica e sui suoi diritti, e gli articoli 12 e 15, sul riscontro tempestivo alle richieste di accesso, rettifica e cancellazione. Inoltrare queste richieste al fornitore, senza rispondere, è di per sé una violazione.

Che cosa è stato ordinato, oltre alla sanzione

Il profilo che più interessa chi gestisce un’agenzia non è l’importo, ma le misure correttive: il divieto di trattare a fini promozionali le liste acquisite senza valido consenso, la cancellazione immediata di quei dati, l’adozione di procedure per verificare la liceità del trattamento, con consenso preventivo libero, specifico e informato, e l’obbligo di informare gli interessati e di rispondere tempestivamente, anche sul diritto di opposizione.

In concreto significa perdere l’intero archivio costruito in quel modo. Per una struttura che su quell’archivio ha fondato la propria attività commerciale, è un costo che nessuna sanzione pecuniaria esprime per intero.

L’informativa durante la chiamata, e la prova di averla resa

Un dettaglio del provvedimento merita attenzione perché ricorre in quasi tutte le istruttorie in materia di contatti telefonici: la mancata produzione degli script di chiamata. L’informativa resa oralmente non lascia traccia di sé, e in sede di verifica il titolare deve poter dimostrare che cosa veniva effettivamente detto all’interessato nei primi secondi della conversazione.

Chi non conserva gli script, i materiali di formazione degli operatori e le registrazioni, dove previste, si trova nella posizione peggiore: non può provare la regolarità di un trattamento che, per sua natura, non lascia documentazione scritta. È una carenza che si corregge facilmente prima, e per nulla dopo.

Il registro delle opposizioni non è un dettaglio

La consultazione del registro pubblico delle opposizioni è stata indicata come condizione indispensabile per avviare chiamate promozionali. È un adempimento che molte strutture considerano una formalità e che invece l’Autorità valuta come uno dei presupposti di liceità della campagna. Lo studio ha trattato temi affini negli approfondimenti sulle sanzioni in materia di telemarketing e sull’email marketing tra consenso e soft spam.

Gli altri trattamenti dell’agenzia

Le liste promozionali sono soltanto la parte più visibile. Un’agenzia immobiliare tratta documenti di identità, visure, dati reddituali e bancari dei potenziali acquirenti, informazioni sulle condizioni familiari, talvolta documentazione sanitaria legata a certificazioni di invalidità rilevanti per agevolazioni fiscali. Ogni fascicolo è un piccolo archivio di dati personali, spesso conservato ben oltre la conclusione della trattativa.

Da qui due profili che ritornano in ogni istruttoria: i tempi di conservazione, raramente definiti e ancor più raramente rispettati, e la nomina dei responsabili del trattamento, che riguarda il gestionale, il fornitore del CRM, il consulente del lavoro e la stessa società che fornisce i contatti.

L’esposizione economica

L’articolo 83 del Regolamento colloca la violazione delle condizioni di liceità e degli obblighi verso gli interessati nella fascia sanzionatoria più alta. Per una struttura di piccole dimensioni il parametro percentuale sul fatturato conta meno del massimale assoluto, ma il punto non cambia: si tratta di importi che incidono in modo serio su un’attività a margini contenuti.

C’è poi l’effetto reputazionale, difficile da quantificare ma concreto in un mercato locale, dove il passaparola vale più di qualunque campagna.

Il punto di partenza

Chi ha ricevuto una richiesta di informazioni dal Garante, un reclamo di un interessato o semplicemente vuole capire quanto sia esposta la propria organizzazione, ha bisogno di un esame della documentazione reale: contratti con i fornitori di contatti, informative, modulistica di consenso, registro dei trattamenti, procedure di riscontro. Le risposte generiche su questo terreno non servono a nulla.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende e professionisti nella verifica e nella difesa della propria posizione: il punto di ingresso è la pagina sulla consulenza e compliance privacy, e per un primo contatto la pagina contatti. Per le vicende immobiliari che toccano profili amministrativi, urbanistici o esecutivi, il riferimento resta avvocatoelioerrichiello.it.

Avv. Elio Errichiello

Pubblicato il

La telefonata gestionale che diventa una proposta commerciale

Sanzioni telemarketing Garante: copertina sulla telefonata gestionale usata come proposta commerciale

Un cliente chiama per un problema di fatturazione. L’operatore risolve e, prima di chiudere, propone un’offerta. Sembra buon servizio: è invece il trattamento che ha portato il Garante a irrogare una delle sanzioni più pesanti del 2026 in materia di telefonate promozionali. Le sanzioni telemarketing Garante del 2026 non colpiscono soltanto il call center che chiama numeri comprati da terzi: colpiscono anche l’azienda strutturata che usa un contatto nato per altro scopo.

Il provvedimento: oltre 563.000 euro

Con provvedimento del 12 marzo 2026, reso noto nella newsletter del 26 marzo, il Garante ha sanzionato Enel Energia per 563.052 euro. L’istruttoria era nata da un reclamo e da due segnalazioni per chiamate indesiderate.

Secondo l’Autorità, nel corso di contatti gestionali con i clienti — anche effettuati tramite società terze — venivano proposte offerte commerciali senza una base giuridica valida, in alcuni casi anche a clienti che avevano espressamente negato il consenso al marketing. Il Garante ha contestato inoltre l’assenza di misure adeguate nelle procedure di ricontatto e ha raccomandato l’adozione del doppio consenso. Oltre alla sanzione, la società dovrà adottare misure idonee lungo tutta la filiera del trattamento.

Il punto giuridico: il contatto gestionale non è un contatto promozionale

Qui sta il cuore della questione, e vale per qualunque azienda che gestisca un servizio in abbonamento. Il numero di telefono raccolto per eseguire il contratto — assistenza, fatturazione, interventi tecnici — è trattato sulla base dell’articolo 6, paragrafo 1, lettera b) del Regolamento. Quella base giuridica copre l’esecuzione del contratto; non copre la promozione commerciale.

Per la promozione serve altro: il consenso, nelle forme richieste dall’articolo 130 del Codice in materia di protezione dei dati personali per le comunicazioni elettroniche. E dove il consenso è stato negato, nessuna costruzione contrattuale lo rimpiazza. Usare la telefonata gestionale come veicolo di vendita significa cambiare finalità senza cambiare base giuridica, ed è esattamente la contestazione formulata dal Garante.

Sanzioni telemarketing Garante: cosa viene contestato con più frequenza

Dai provvedimenti in materia emerge un elenco di criticità che si ripete con poche variazioni.

  • Il cambio di finalità. Dati raccolti per una ragione e usati per un’altra, senza una base giuridica autonoma.
  • Il consenso negato e non rispettato. Una volta che l’interessato ha detto no, la mancata propagazione di quel no ai sistemi e ai fornitori diventa una violazione.
  • Le procedure di ricontatto. È il tema delle liste di richiamo: senza regole su quando e perché un contatto torna in circolo, il controllo si perde.
  • La filiera. La responsabilità non si ferma al confine dell’azienda. Le società terze che effettuano i contatti agiscono per conto del titolare, e il titolare risponde di come lo fanno.
  • Il Registro pubblico delle opposizioni. La consultazione è un obbligo, e l’omissione è tra le contestazioni classiche nelle vicende di telemarketing.

Il controllo sui fornitori è la contestazione che sorprende

Nel maggio 2026 il Garante è intervenuto su un caso di recupero crediti con due sanzioni distinte: 50.000 euro al titolare e 30.000 euro al responsabile. Al titolare è stato contestato di non avere vigilato in modo adeguato sul fornitore e sulle istruzioni impartite; al responsabile di non avere fornito al titolare un quadro aggiornato dei dati raccolti.

Il principio affermato è molto concreto: il titolare deve svolgere controlli periodici, documentati e verificabili sui fornitori. Non è sufficiente che il contratto preveda il rispetto della normativa; occorre poter dimostrare di avere verificato che venga rispettato. Lo stesso schema è ricostruito nell’articolo dedicato al recupero crediti e alle sanzioni a titolare e responsabile.

Dove nasce il reclamo

Nelle vicende di telefonate promozionali il procedimento parte quasi sempre dal basso: una persona infastidita che scrive al Garante. Non serve un danno quantificabile, non serve un avvocato, non serve nemmeno che la chiamata abbia prodotto un contratto. Basta la segnalazione, e il fascicolo si apre.

Questo spiega perché il rischio in questa materia sia difficile da contenere con la semplice prudenza commerciale: il numero di contatti è alto, la probabilità che qualcuno reagisca è proporzionale, e l’istruttoria che segue non si limita alla singola chiamata ma investe l’intero sistema di gestione dei consensi. Il meccanismo è lo stesso che opera nel canale e-mail, descritto nell’articolo su email marketing, consenso e soft spam.

Gli importi e i criteri

L’articolo 83 del Regolamento consente di arrivare fino a 20 milioni di euro o al 4 per cento del fatturato mondiale annuo, applicando l’importo più elevato, per le violazioni dei principi e delle condizioni del consenso. Le somme effettivamente irrogate dipendono da gravità e durata della violazione, numero di interessati coinvolti, carattere doloso o colposo, misure correttive adottate, grado di cooperazione e precedenti.

È utile osservare che nei provvedimenti recenti le misure adottate dopo la contestazione hanno inciso sull’importo ma non hanno impedito l’accertamento: la correzione tardiva attenua, non elimina. Un quadro degli ordini di grandezza si trova nell’articolo su quanto costa davvero una violazione del GDPR.

La domanda da porsi oggi

Non è se l’azienda abbia un modulo di consenso. È se sia in grado di dimostrare, per un singolo numero di telefono chiamato il mese scorso, su quale base giuridica quel contatto è avvenuto, da dove veniva il numero, chi ha effettuato la chiamata e che fine ha fatto l’eventuale rifiuto espresso in passato. Se la ricostruzione non è possibile, il problema esiste già, anche se nessuno ha ancora scritto al Garante.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende e call center nei procedimenti davanti al Garante e nella revisione dei trattamenti promozionali: l’ambito è descritto nella pagina sui pacchetti di consulenza privacy. Chi ha ricevuto un reclamo o una richiesta di informazioni può chiedere dalla pagina dei contatti un esame preliminare della documentazione e dei termini. Per i profili amministrativi e di contenzioso il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Pubblicato il

La newsletter che costa più di quanto rende

Email marketing e GDPR: consenso, soft spam e sanzioni del Garante

L’email marketing e il GDPR convivono male quando la lista è cresciuta senza regole. Basta un destinatario infastidito — un ex cliente, un contatto raccolto in fiera, un indirizzo comprato da un fornitore — perché una campagna che doveva portare fatturato produca un reclamo all’Autorità.

Il punto non è se si possa fare marketing via email. Si può, e la legge lo disciplina. Il punto è su quale base, e con quali prove.

La regola generale: il consenso

L’invio di comunicazioni promozionali tramite posta elettronica richiede, di regola, il consenso dell’interessato: un consenso libero, specifico, informato e inequivocabile, che il titolare deve essere in grado di dimostrare.

Le parole che contano sono due. Dimostrare: non basta affermare di averlo raccolto, occorre poterlo provare, il che significa conservare traccia di quando, come e per quale finalità è stato prestato. Specifico: il consenso raccolto per l’esecuzione di un contratto non è consenso al marketing, e il consenso al marketing non è consenso alla cessione dei dati a terzi.

L’unica eccezione: il soft spam

L’articolo 130, comma 4, del Codice in materia di protezione dei dati personali prevede un’ipotesi in cui l’indirizzo di posta elettronica può essere utilizzato senza un consenso specifico. Le condizioni sono tre e vanno tutte rispettate:

  • le coordinate di posta elettronica devono essere state fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio;
  • la promozione deve riguardare servizi analoghi a quelli oggetto della vendita;
  • l’interessato deve essere stato adeguatamente informato e deve poter rifiutare tale uso, agevolmente e gratuitamente, sia al momento della raccolta sia in occasione di ogni successivo invio.

Fuori da questo perimetro si torna alla regola generale. L’indirizzo lasciato per ricevere un preventivo mai concluso, quello raccolto a un evento, quello di un contatto commerciale che non ha mai acquistato non rientrano nel soft spam.

Le liste acquistate

È l’errore più costoso, perché è deliberato. Nelle linee guida in materia di attività promozionale e contrasto allo spam, adottate il 4 luglio 2013, il Garante ha escluso l’utilizzo di liste acquistate da terzi in assenza di un consenso validamente prestato per quella specifica finalità, e ha chiarito che la reperibilità di dati in internet o in registri pubblici non legittima di per sé l’invio di comunicazioni promozionali.

Tradotto: il fatto che un indirizzo sia pubblico non lo rende utilizzabile. E il fornitore che garantisce contrattualmente la liceità della lista non trasferisce su di sé la responsabilità del titolare che la usa.

Due provvedimenti recenti

Con il provvedimento n. 576 del 25 settembre 2025 l’Autorità è intervenuta nei confronti di una società attiva nell’email e voice marketing, contestando il trattamento per finalità promozionali in assenza di idoneo consenso e l’inadeguatezza delle misure tecniche e organizzative adottate; le norme richiamate comprendono gli articoli 5, 6, 17, 21, 24 e 32 del Regolamento e l’articolo 130 del Codice. In quel caso la misura adottata è stata un ammonimento, senza sanzione pecuniaria.

Diverso l’esito nel provvedimento n. 637 del 23 ottobre 2025, che ha riguardato una società alberghiera sanzionata per seimila euro: tra le violazioni, l’invio di SMS promozionali senza consenso e la mancata gestione delle opposizioni, con richiamo all’articolo 6, paragrafo 1, lettera a, del Regolamento e all’articolo 130, comma 2, del Codice.

È utile notare che cosa accomuna i due casi: non la dimensione dell’impresa, ma l’incapacità di dimostrare la base giuridica e di gestire correttamente chi dice basta.

Le opposizioni sono metà del problema

Nella pratica, la contestazione che fa più danni non è l’invio iniziale: è l’invio successivo alla revoca. Un destinatario che si è cancellato e continua a ricevere messaggi ha in mano una prova documentale immediata, e il reclamo scrive praticamente da solo.

Questo impone che il meccanismo di opt-out funzioni davvero, che la cancellazione si propaghi a tutti i sistemi — non soltanto alla piattaforma di invio — e che resti traccia della data in cui è stata registrata. Su questo si intreccia il tema dei consensi raccolti tramite il banner dei cookie, che spesso alimentano le stesse liste con vizi che nessuno ha mai esaminato.

Quanto può costare

Le violazioni relative ai principi, alle basi giuridiche e ai diritti degli interessati rientrano nello scaglione più alto dell’articolo 83, paragrafo 5, del GDPR: fino a venti milioni di euro o al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Il quadro complessivo delle conseguenze economiche è illustrato nell’articolo su quanto costa una violazione del GDPR.

Nel graduare la sanzione l’Autorità considera, tra l’altro, la natura e la durata della violazione, il numero di interessati coinvolti, il carattere doloso o colposo e il grado di cooperazione. Una lista costruita male e usata per anni tocca quasi tutte queste voci.

Email marketing e GDPR: la verifica prima della prossima campagna

Le domande sono tre, e sono sempre le stesse: da dove viene ciascun indirizzo della lista; quale base giuridica lo sostiene; come si dimostra. Se per una parte del database non c’è risposta, quella parte è un rischio, non un patrimonio.

Il rapporto con l’agenzia o con la piattaforma che esegue gli invii va inquadrato correttamente: si tratta quasi sempre di un responsabile del trattamento, con tutto ciò che ne consegue in termini di istruzioni e di contratto, come illustrato nell’articolo sulla nomina del responsabile del trattamento. E la documentazione di base resta il registro dei trattamenti.

Lo studio ha sede a Napoli, assiste aziende in tutta Italia sulle attività di marketing e svolge incarichi di responsabile della protezione dei dati; per le altre materie il riferimento è avvocatoelioerrichiello.it.

Prima di lanciare la prossima campagna, fateci esaminare in via preliminare i moduli di raccolta, i testi dei consensi e il contratto con la piattaforma di invio: scriveteci dalla pagina contatti.

Avv. Elio Errichiello

Pubblicato il

Il banner dei cookie non è un adempimento grafico

Cookie banner sanzioni: grafica su fondo blu con titolo bianco e nome del sito in basso

Nella maggior parte delle organizzazioni il cookie banner è stato installato una volta sola, scegliendo un plugin fra i tanti disponibili, spuntando le opzioni predefinite e passando ad altro. È comprensibile: sembra una questione di interfaccia, non di diritto. Il problema è che quel pannello non è un elemento grafico. È il punto in cui il titolare raccoglie — o non raccoglie — la base giuridica di tutto ciò che accade dopo, e quando qualcosa va storto è il primo elemento che viene esaminato, perché è pubblico e verificabile da chiunque in trenta secondi.

La disciplina applicabile, in breve

La materia non è regolata soltanto dal Regolamento europeo. L’art. 122 del Codice in materia di protezione dei dati personali, che recepisce la direttiva ePrivacy, stabilisce che l’archiviazione di informazioni nel dispositivo dell’utente e l’accesso a informazioni già archiviate sono consentiti solo con il consenso informato dell’interessato. Fanno eccezione i cookie tecnici, cioè quelli utilizzati al solo fine di effettuare la trasmissione di una comunicazione o nella misura strettamente necessaria a erogare un servizio richiesto dall’utente.

Su questo impianto si innestano le Linee guida sull’uso dei cookie e di altri strumenti di tracciamento adottate dal Garante nel giugno 2021, che hanno chiarito una serie di punti su cui, fino ad allora, la prassi era molto disinvolta. È il documento di riferimento da cui parte qualsiasi valutazione, ed è anche il motivo per cui molti banner installati prima di quella data sono oggi fuori regola.

Che cosa viene contestato a un cookie banner

I rilievi ricorrenti sono pochi e sempre gli stessi.

  • Tracciamento prima del consenso. È la contestazione più grave e la più facile da accertare: basta aprire il sito e osservare quali richieste partono prima che l’utente abbia toccato qualcosa. Se strumenti di profilazione o di misurazione non tecnica si attivano al caricamento della pagina, il consenso raccolto dopo non sana nulla.
  • Consenso non libero. Il pulsante «Accetta» in evidenza e il rifiuto nascosto dietro due livelli di menu, oppure assente del tutto, rendono la scelta non equivalente. Il consenso, per l’art. 4, punto 11, e per l’art. 7 del Regolamento, deve essere libero, specifico, informato e inequivocabile.
  • Scroll e prosecuzione della navigazione come consenso. Il Garante ha escluso che il semplice scorrimento della pagina, di per sé, possa valere come manifestazione di volontà. Molti banner in circolazione continuano a dirlo.
  • Riproposizione ossessiva. Il banner che ricompare a ogni pagina finché l’utente non cede è una forma di pressione che incide sulla libertà del consenso.
  • Consenso raccolto, ma non revocabile. L’art. 7, paragrafo 3, impone che revocare il consenso sia facile quanto prestarlo. Se dopo l’accettazione non esiste più alcun modo di tornare sulle proprie scelte, l’obbligo non è soddisfatto.
  • Classificazione di comodo. Etichettare come «tecnici» cookie che tecnici non sono è la scorciatoia più diffusa, e la più rischiosa, perché sposta il problema dal banner alla correttezza sostanziale del trattamento.

Il tracciamento va oltre i cookie

Il termine «cookie» è ormai riduttivo. Pixel di social network, fingerprinting del dispositivo, identificatori pubblicitari, strumenti di misurazione lato server: la disciplina segue la funzione, non la tecnologia. Un banner che gestisce correttamente i cookie ma lascia fuori il pixel di una piattaforma pubblicitaria non protegge da nulla.

Si aggiunge il profilo dei trasferimenti verso Paesi terzi, che riguarda quasi tutti gli strumenti di analisi e di advertising più diffusi e che va dichiarato nell’informativa ai sensi dell’art. 13, paragrafo 1, lettera f). È uno dei punti in cui la documentazione del titolare e la realtà del sito divergono più spesso, come abbiamo visto parlando dell’informativa privacy sul sito web.

Le sanzioni

Il trattamento privo di una valida base giuridica ricade nell’art. 83, paragrafo 5, del GDPR: fino a venti milioni di euro oppure, per le imprese, fino al quattro per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Alla violazione dell’art. 122 del Codice si applicano inoltre le disposizioni sanzionatorie previste dal Codice stesso.

Nella determinazione dell’importo pesano il numero di interessati coinvolti — e per un sito con traffico significativo il numero è alto per definizione — la durata della violazione, il carattere doloso o colposo e le misure adottate. Abbiamo approfondito i criteri parlando di quanto costa una violazione del GDPR.

Va detto con franchezza: la sanzione non è l’unico esito possibile, e spesso non è nemmeno il più frequente. Molti procedimenti si chiudono con un provvedimento correttivo. Ma un ordine di conformarsi che arrivi a stagione pubblicitaria avviata, e che imponga di rivedere l’intero impianto di misurazione di un sito, ha conseguenze operative che superano ampiamente il costo di una verifica fatta prima.

Perché il plugin da solo non basta

Nessuno strumento di consent management può sapere quali cookie il vostro sito installa davvero, quali servizi sono integrati nei temi e nei moduli, quali finalità perseguono, dove risiedono i dati e per quanto tempo restano. Quelle informazioni le ha solo chi conosce l’organizzazione. Il plugin esegue una configurazione: se la configurazione è sbagliata, la esegue in modo impeccabile ed è comunque sbagliata.

La stessa logica vale per l’intero impianto documentale, dal registro delle attività di trattamento alla qualificazione dei fornitori come responsabili ai sensi dell’art. 28: sono documenti che devono corrispondere a ciò che accade, altrimenti diventano essi stessi prova della violazione.

Il lavoro dello studio

Lo studio dell’avv. Elio Errichiello assiste aziende, professionisti ed enti pubblici nella verifica della conformità dei siti e nei procedimenti davanti al Garante, e svolge incarichi di Responsabile della protezione dei dati. Ha sede a Napoli e assiste in tutta Italia. L’attività è descritta nella pagina del servizio di consulenza privacy e protezione dei dati personali; per il diritto amministrativo e le altre materie trattate è disponibile il sito dell’avv. Elio Errichiello.

Se avete ricevuto un reclamo o una richiesta di informazioni, oppure volete sapere che cosa il vostro sito fa davvero prima che lo scopra qualcun altro, il punto di partenza è un esame preliminare della documentazione e dei termini eventualmente in corso. Scrivete allo studio indicando l’indirizzo del sito e gli strumenti di misurazione utilizzati.

Pubblicato il

Quella pagina «Privacy» in fondo al sito basta davvero?

Informativa privacy sito web: grafica su fondo blu con titolo bianco e nome del sito in basso

L’informativa privacy sito web è quasi sempre il primo documento che qualcuno va a leggere quando decide di presentare un reclamo. Non serve un’ispezione: basta un utente che si è visto arrivare una comunicazione commerciale non richiesta, un candidato che ha inviato un curriculum attraverso un modulo, un cliente che chiede di sapere dove sono finiti i suoi dati. Apre il link in fondo alla pagina, legge, e nella stragrande maggioranza dei casi trova un testo scaricato anni prima da un generatore gratuito, aggiornato l’ultima volta quando il sito è stato rifatto.

Da lì parte tutto il resto. Perché l’informativa non è un documento isolato: è la dichiarazione con cui il titolare racconta al mondo che cosa fa con i dati. Se quello che c’è scritto non corrisponde a quello che accade davvero, la discrepanza diventa il primo appiglio di chi contesta.

Che cosa viene contestato in concreto

Gli artt. 13 e 14 del Regolamento elencano in modo puntuale le informazioni da fornire all’interessato. L’elenco è lungo e, soprattutto, non ammette formule di stile. I rilievi che ricorrono con più frequenza sono sempre gli stessi.

  • Finalità indicate in modo generico. «Per finalità connesse all’attività del titolare» non dice nulla. Le finalità devono essere determinate, esplicite e legittime, e vanno distinte l’una dall’altra: il trattamento per eseguire un contratto non è il trattamento per inviare newsletter.
  • Base giuridica mancante o sbagliata. È il punto più delicato. Il consenso viene invocato dove servirebbe il contratto, il legittimo interesse viene evocato senza che di quel bilanciamento esista traccia da nessuna parte, l’obbligo di legge viene citato senza indicare quale.
  • Periodo di conservazione assente. Scrivere «per il tempo necessario» è, in sostanza, non scrivere nulla. Il Regolamento chiede il periodo o, se non determinabile, i criteri per determinarlo.
  • Destinatari non indicati. Hosting, gestionali in cloud, piattaforme di e-mail marketing, sistemi di analytics, consulenti esterni: se ricevono dati e non compaiono, l’informativa è incompleta.
  • Trasferimenti extra UE taciuti. Moltissimi servizi comunemente integrati in un sito comportano un trasferimento verso Paesi terzi. L’art. 13, paragrafo 1, lettera f), impone di dirlo e di indicare su quale garanzia si fonda.
  • Informativa unica per situazioni diverse. Il visitatore del sito, il cliente, il candidato che invia un curriculum e il destinatario della newsletter sono categorie di interessati distinte. Un unico testo che pretende di coprirle tutte finisce per non essere adeguato per nessuna.

Il modulo di contatto è il punto in cui l’informativa privacy del sito web cede

Nella pratica il problema più ricorrente non è il testo in sé, ma il punto di raccolta. L’art. 13 richiede che le informazioni siano fornite nel momento in cui i dati sono ottenuti. Un link generico nel piè di pagina, che porta a un documento di cinquemila parole valido per tutto, difficilmente soddisfa questo requisito quando l’utente sta compilando un modulo specifico.

Si aggiungono poi le caselle di spunta. Consensi pre-selezionati, consensi unici che accorpano finalità diverse, invio del modulo subordinato al rilascio di un consenso non necessario: sono tutte situazioni in cui il consenso non risponde ai requisiti dell’art. 7 e, se il consenso era la base giuridica dichiarata, il trattamento resta privo di fondamento. Da questa constatazione discende molto di quello che segue, perché la base giuridica illegittima è esattamente la contestazione che fa scattare la fascia sanzionatoria più alta.

Le sanzioni e il motivo per cui si sommano

La violazione degli obblighi di informazione degli artt. 12, 13 e 14 e la violazione dei principi di cui all’art. 5 rientrano nell’art. 83, paragrafo 5, del GDPR: fino a venti milioni di euro oppure, per le imprese, fino al quattro per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. È la fascia più elevata prevista dal Regolamento, e non è un caso: il diritto di sapere che cosa accade ai propri dati è il presupposto di tutti gli altri diritti dell’interessato.

Nella determinazione dell’importo l’Autorità considera la natura, la gravità e la durata della violazione, il numero di interessati coinvolti, il carattere doloso o colposo, le misure adottate per attenuare il danno e il grado di cooperazione. Abbiamo dedicato un approfondimento specifico a quanto costa davvero una violazione del GDPR.

Il punto però è un altro, ed è quello che vale la pena tenere a mente: l’informativa carente non viene quasi mai sanzionata da sola. È il filo che si tira. Il reclamo riguarda una comunicazione commerciale, si guarda l’informativa, si scopre che la base giuridica dichiarata non regge; a quel punto si chiede il registro delle attività di trattamento, che non corrisponde a quello che l’informativa dice, e si arriva agli accordi con i fornitori, alla nomina dei responsabili del trattamento, alla sicurezza. Ogni anello che cede ne scopre un altro.

Perché i modelli scaricati non reggono

Un’informativa corretta non è un testo: è la fotografia di un’organizzazione. Per scriverla bisogna sapere quali dati raccoglie davvero quel sito, attraverso quali strumenti, per quali finalità, chi vi accede, dove sono ospitati, per quanto tempo restano. Un modello generico non può contenere queste informazioni, perché non le conosce. Può soltanto riprodurre le formule del Regolamento, ed è esattamente quello che in un procedimento non serve a niente: l’Autorità non verifica se l’informativa assomiglia alla legge, verifica se corrisponde alla realtà.

È la stessa ragione per cui l’adeguamento fatto per moduli tende a saltare alla prima verifica, un tema che abbiamo già affrontato parlando di che cosa viene contestato alle aziende.

Come lavora lo studio

Lo studio dell’avv. Elio Errichiello assiste aziende, professionisti ed enti pubblici nella revisione della documentazione privacy e nei procedimenti davanti al Garante, e svolge incarichi di Responsabile della protezione dei dati. Ha sede a Napoli e assiste in tutta Italia. Le modalità dell’attività sono descritte nella pagina dedicata al servizio di consulenza privacy e protezione dei dati personali; per il contenzioso amministrativo e le altre materie è disponibile il sito dell’avv. Elio Errichiello.

Se avete ricevuto un reclamo, una richiesta di informazioni dell’Autorità o semplicemente il dubbio che quello che c’è scritto sul vostro sito non corrisponda più a quello che fate, il primo passo è un esame preliminare della documentazione e degli eventuali termini già in corso. Scrivete allo studio indicando il tipo di attività e gli strumenti utilizzati sul sito.