Spam, legale l'email di richiesta consenso?

Roma – *Il testo che segue è un estratto dall’e-book “Privacy, codice comunicazioni e commercio elettronico: quando si hanno le idee chiare” di Giuseppe Briganti disponibile nella sezione “Internet” degli e-book di www.iusondemand.com (© 2004 IusOnDemand). – note in seconda pagina

La comunicazione commerciale , di natura promozionale o imprenditoriale, è garantita costituzionalmente dalla libertà d’impresa. Essa è infatti direttamente connessa al principio di cui all’art. 41 della Costituzione italiana (48). Il vigente Codice della privacy – così come la direttiva 2002/58/CE sulle comunicazioni elettroniche da esso recepita – non contiene una definizione di comunicazione commerciale , contrariamente al D.L.vo 70/2003 di attuazione della direttiva 2000/31/CE sul commercio elettronico.

L’art. 130 del testo unico sulla privacy, come in precedenza illustrato, dispone che le comunicazioni elettroniche effettuate mediante posta elettronica (49) a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale sono consentite solo con il consenso dell’interessato, salva l’eccezione di cui al comma 4 della medesima disposizione (50).

Secondo l’art. 4 del Codice della privacy, per comunicazione elettronica deve intendersi “ogni informazione scambiata o trasmessa tra un numero finito di soggetti tramite un servizio di comunicazione elettronica accessibile al pubblico”, come ivi definito (51).

Il Codice di autodisciplina pubblicitaria (52) afferma che per pubblicità deve intendersi ogni comunicazione diretta a promuovere la vendita di beni o servizi quali che siano i mezzi utilizzati . La raccolta di usi pubblicitari della Camera di Commercio di Milano definisce la pubblicità come qualsiasi forma di comunicazione che sia diffusa nell’esercizio di una attività commerciale, industriale, artigianale o professionale, allo scopo di promuovere la domanda di beni e servizi.

L’art. 2 del D.L.vo 74/1992 (53), recante l’attuazione della direttiva 84/450/CEE come modificata dalla direttiva 97/55/CE in materia di pubblicità ingannevole e comparativa, definisce, ai fini del provvedimento, la pubblicità come qualsiasi forma di messaggio che sia diffuso, in qualsiasi modo, nell’esercizio di un’attività commerciale, industriale, artigianale o professionale allo scopo di promuovere la vendita di beni mobili o immobili, la costituzione o il trasferimento di diritti ed obblighi su di essi oppure la prestazione di opere o di servizi.

“Nel dare applicazione alla disposizione, l’Autorità garante della concorrenza e del mercato adotta, in genere, il criterio in base al quale la natura pubblicitaria di una comunicazione d’impresa è rinvenibile ogniqualvolta la promozione di beni o servizi si presenti come lo scopo “primario e diretto” della comunicazione stessa.
Tale accertamento, concernente lo scopo diretto o mediato, primario o secondario, della promozione, viene preliminarmente eseguito sul contenuto della comunicazione, tenendo conto sia delle caratteristiche espressive della comunicazione sia del contesto primario in cui la diffusione risulta essere avvenuta.
Nessun rilievo determinante assume, invece, la qualificazione data alla comunicazione da parte dell’operatore pubblicitario.
La giurisprudenza individua la corretta nozione di pubblicità commerciale sulla base dei connotati essenziali dell’oggetto (la comunicazione sociale) e dello scopo (un incremento dei profitti attraverso la sollecitazione della domanda e dei consumi) in relazione ad un determinato prodotto o servizio dell’industria o del commercio” (E. Caruso – 54).

Il trattamento di dati personali (55) consistente nell’invio di una e-mail senza previo consenso del destinatario, bensì al solo fine di ottenere da costui il consenso per la successiva spedizione di comunicazioni commerciali via posta elettronica, risulta sanzionabile alla luce della disciplina di cui al vigente testo unico (art. 167) (56)?

Occorre innanzitutto stabilire se un siffatto messaggio possa essere fatto rientrare nel campo di applicazione del regime di opt-in configurato, quale regola generale per le comunicazioni commerciali, dal sopra citato art. 130 del Codice della privacy, collocato nel titolo X della parte II del testo unico, recante la disciplina delle comunicazioni elettroniche (57).

A parere di chi scrive, non possono ritenersi – di per sé – comunicazioni commerciali le informazioni che consentono un accesso diretto all’attività dell’impresa, del soggetto o dell’organizzazione, come un nome di dominio o un indirizzo di posta elettronica . In ordine, in particolare, all’indirizzo di posta elettronica l’aspetto identificativo deve infatti considerarsi prevalente su quello distintivo. Ciò in linea con la definizione di “comunicazioni commerciali” accolta – sebbene ai soli fini del provvedimento – dal D.L.vo 70/2003 di attuazione della direttiva europea sul commercio elettronico (58).

Secondo il provvedimento da ultimo citato, infatti, per “comunicazioni commerciali” devono intendersi “tutte le forme di comunicazione destinate, in modo diretto o indiretto, a promuovere beni, servizi o l’immagine di un’impresa, di un’organizzazione o di un soggetto che esercita un’attività agricola, commerciale, industriale, artigianale o una libera professione.

Non sono di per sé comunicazioni commerciali:

1) le informazioni che consentono un accesso diretto all’attività dell’impresa, del soggetto o dell’organizzazione, come un nome di dominio, o un indirizzo di posta elettronica;

2) le comunicazioni relative a beni, servizi o all’immagine di tale impresa, soggetto o organizzazione, elaborate in modo indipendente, in particolare senza alcun corrispettivo”.

Una e-mail con la quale l’operatore si limiti a richiedere il consenso per il successivo inoltro di comunicazioni commerciali, indicando, a tal fine, esclusivamente i propri dati identificativi – e, ragionevolmente, entro limiti rigorosi, anche il proprio settore di attività – non pare dunque possa essere fatta rientrare nella previsione di cui all’art. 130, commi 1 e 2, del Codice della privacy, il quale, come sopra visto, si riferisce esclusivamente all’uso dell’e-mail:

– per l’invio di materiale pubblicitario o
– di vendita diretta o
– per il compimento di ricerche di mercato o
– di comunicazione commerciale.

Il genere di messaggio in discorso si pone infatti in una fase antecedente a quella della promozione propriamente intesa, che avrà invece eventualmente inizio solo con l’invio della prima comunicazione commerciale autorizzata dal destinatario.

Conseguentemente, per stabilire la liceità dell’invio di dette comunicazioni a prescindere dal previo consenso informato dell’interessato occorrerà rifarsi alle norme generali di cui agli odierni artt. 23 e 24 del testo unico sulla privacy (59).

Tra le ipotesi di esclusione del consenso contemplate dall’art. 24, vi è, come già rilevato, anche quella, riformulata dal testo unico, dei dati relativi allo svolgimento di attività economiche (art. 24, lett. d) (60).

La corrispondente disposizione dell’abrogata L. 675/1996 (art. 12, lett. f) contemplava espressamente i dati relativi allo svolgimento di attività economiche raccolti anche a fini di informazioni commerciali o di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva (61).

Nonostante tale ultimo inciso sia stato eliminato dal vigente art. 24 del Codice della privacy, deve comunque ritenersi che la nozione di “dati relativi allo svolgimento di attività economiche” ivi contenuta sia in grado di ricomprendere oggi anche l’ipotesi dell’indirizzo di posta elettronica – ad uso non esclusivamente privato (62) – trattato ai soli fini dell’invio di una richiesta di consenso per la spedizione di future comunicazioni commerciali.

Come sopra visto, infatti, tale genere di messaggi neppure può definirsi, in sé, “comunicazione commerciale”, mentre i dati personali trattati ai fini della comunicazione certamente attengono “allo svolgimento di attività economiche”.

Ove ne ricorrano i presupposti, potrà inoltre trovare applicazione anche l’ipotesi di esclusione del consenso di cui all’odierno art. 24 lett. c), concernente i dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque (63).

Naturalmente, l’interessato, al quale deve comunque essere fornita un’adeguata informativa ex art. 13 del Codice della privacy, potrà – e dovrà essere messo in condizioni di – esercitare nei confronti del suddetto trattamento del suo indirizzo di posta elettronica tutti i diritti che gli sono riconosciuti dall’art. 7 del testo unico; in particolare, il diritto di opposizione per motivi legittimi di cui all’art. 7, comma 4, lett. a) (64).

Alla luce di quanto sopra, almeno con riferimento al B2B (65), la tipologia di messaggio in discorso dovrebbe dunque intendersi soggetta ad un regime di opt-out , con le dovute conseguenze sia sul piano della responsabilità penale sia sul piano della responsabilità civile (66).



I principi di cui all’art. 11 del Codice della privacy (67) suggeriscono d’altra parte di adottare ulteriori cautele a tutela del destinatario, quali ad esempio:
– limitare il più possibile il “peso” del messaggio per ridurre i tempi di download ed i relativi costi;
– effettuare un trattamento istantaneo dell’indirizzo e-mail, senza procedere dunque alla sua archiviazione in banche dati;
– effettuare un invio una tantum o comunque entro un lasso di tempo ragionevolmente ampio;
– inviare l’e-mail di richiesta di consenso solo a coloro che hanno diffuso il proprio indirizzo di posta in Rete per ragioni il più possibile pertinenti all’oggetto delle future comunicazioni commerciali;
– dare all’e-mail un oggetto chiaro che la renda precisamente ed immediatamente identificabile;
– prevedere, infine, modalità che rendano il più agevole ed efficace possibile l’esercizio del diritto di opposizione per motivi legittimi da parte del destinatario del messaggio.

Nei confronti del trattamento in esame, saranno del resto applicabili, ove ne ricorrano i presupposti, tutte le pertinenti norme del Codice della privacy analizzate nei capitoli precedenti, in particolare quelle relative alle misure di sicurezza.

La ricostruzione proposta consente di evitare eccessive restrizioni per gli operatori commerciali, a fronte di un sacrificio ridotto per i destinatari dei messaggi, i quali potranno opporsi in ogni momento alla ricezione di ulteriori comunicazioni analoghe (68).

D’altra parte, lo stesso Garante per la protezione dei dati personali, nel suo recente provvedimento generale sullo spamming (69), ha rilevato che l’invio di una prima e-mail di richiesta di consenso costituisce elusione della normativa sulla privacy solo nel caso il messaggio abbia comunque un contenuto promozionale oppure pubblicitario , o se riconosca solo un diritto di tipo opt-out al fine di non ricevere più messaggi dello stesso tenore.

Finalità promozionali oppure pubblicitarie che, come sopra illustrato, paiono non sussistere nel caso di messaggi di posta elettronica i quali si limitino a richiedere la manifestazione di un consenso in ordine al ricevimento di futuri messaggi a contenuto promozionale o pubblicitario.

di Giuseppe Briganti
Studio Legale Briganti

Note al testo

48 – V. Spataro, Comunicazione, Internet e diritto, in Trattato breve di diritto della Rete cit., p. 47. Si veda anche V. Spataro, La pubblicità on line, in INTERNET. Nuovi problemi e questioni controverse cit., pp. 191 ss.; M. Quaranta, Pubblicità on line, in Diritto delle nuove tecnologie informatiche e dell’INTERNET cit., pp. 482 ss.; A. Della Monica, La pubblicità on line. Caratteristiche generali, in Il commercio via Internet cit., pp. 151 ss.
49 – Quanto si dirà nel testo con riferimento alla posta elettronica può essere esteso anche agli altri mezzi (sistemi automatizzati di chiamata, telefax, messaggi MMS, SMS o di altro tipo) contemplati dall’art. 130, commi 1 e 2, del Codice della privacy, salva la necessità di verificare per ognuno la configurabilità di una delle cause di esclusione del consenso di cui all’art. 24 del testo unico.
50 – Cap. III, par. 11.4.
51 – Cap. II, par.2.
52 – Consultabile su www.iap.it all’indirizzo www.iap.it/it/codice.htm .
53 – D.L.vo 25 gennaio 1992, n. 74, Attuazione della direttiva 84/450/CEE, come modificata dalla direttiva 97/55/CE in materia di pubblicità ingannevole e comparativa, GU Serie gen. 36 del 13 febbraio 1992, e successive modifiche.
54 – E. Caruso, Pubblicità e comunicazioni mobili, in Diritto delle nuove tecnologie informatiche e dell’INTERNET cit., p. 90.
55 – Si ricorda che per trattamento, ai fini del Codice della privacy (art. 4), deve intendersi qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati.
56 – Fatto salvo quanto previsto, entro il suo ambito applicativo, dal D.L.vo 185/1999 sui contratti a distanza conclusi dai consumatori (cap. III, par. 11.6).
Come visto nel paragrafo precedente, si ricorda che l’art. 167 del Codice della privacy punisce con una sanzione penale chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto, per quel che qui interessa, dagli artt. 23 e 130 del testo unico, salvo che il fatto costituisca più grave reato e sempreché dal fatto derivi nocumento.
Trattandosi di norma penale, giova altresì sottolineare che dovranno trovare applicazione i relativi criteri ermeneutici.
57 – Sull’ambito di applicazione del titolo X della parte II del Codice (art. 121), v. cap. III, par. 1.
58 – Sul quale si rimanda al cap. IV.
59 – Come visto nel capitolo II, in base all’art. 6 del Codice della privacy le disposizioni generali della parte I del provvedimento sono infatti destinate a trovare applicazione rispetto a tutti i trattamenti di dati personali, fatte salve le disposizioni integrative o modificative della parte II relative a determinati trattamenti.
60 – V. cap. II, par. 7.
61 – Su questa ipotesi di esclusione del consenso, v. S. Melchionna, Il significato delle ipotesi di esclusione del consenso, in Privacy.it, www.privacy.it/melchionna01.html .
62 – V. cap. II, nota n. 62.
63 – Su questa ipotesi di esclusione del consenso, con particolare riferimento agli indirizzi e-mail reperiti sul Web, si rimanda a quanto detto nel cap. III, par. 12; v. inoltre T. Minella, La Privacy. Guida all’applicazione della legge 675/1996 cit., pp. 60 ss.
64 – E non il diritto di opposizione di cui all’art. 7, comma 4, lett. b) in quanto, secondo l’interpretazione accolta nel testo, l’e-mail di richiesta di consenso non può essere fatta rientrare nell’ipotesi ivi prevista (v. cap. II, par. 4). Per la stessa ragione, l’e-mail in parola non sarà soggetta agli obblighi previsti per le comunicazioni commerciali dal D.L.vo 70/2003 (cap. IV, par. 6); né dovrebbe rientrare nell’ambito contemplato dall’art. 140 del Codice della privacy, relativo ai codici di deontologia e di buona condotta nel marketing diretto (cap. III, par. 11.5).
Sul contenuto dell’informativa da rendere all’interessato, v. cap. II, par. 5.
65 – Si ricorda, tra l’altro, che, come già rilevato, l’art. 13, par. 5, della direttiva 2002/58/CE, in ordine alle comunicazioni commerciali indesiderate, non richiedeva la necessaria adozione di un regime di opt-in anche per gli “abbonati che non siano persone fisiche” (cap. III, parr. 11. 3 e 11.4).
L’applicazione delle esaminate ipotesi di esclusione del consenso si presenta invece più problematica nell’ambito del B2C (Business to Consumer), per tutte le ragioni a suo luogo esposte. Come si ricorderà, l’art. 12 del D.L.vo 185/1999, nel prevedere le sanzioni per la violazione dell’art. 10 del predetto provvedimento, fa salva l’applicazione della legge penale qualora il fatto costituisca reato.
66 – Sulla responsabilità civile, v. cap. II, par. 5.
67 – Cap. II, par. 5.
68 – Cfr. M. Cammarata, Il principio di finalità e la finalità del principio, in InterLex, www.interlex.it/675/principio.htm , secondo cui “i messaggi inviati da operatori commerciali possono non essere considerati inutilmente invasivi da parte di altri operatori (?) Dunque è necessario non fare di ogni erba un fascio e dettare norme più aperte per quello che possiamo definire come spamming business to business. La quasi completa assimilazione delle persone fisiche con enti e persone giuridiche compiuta dalla legge italiana non è condivisa a livello comunitario e la nuova direttiva (2002/58/CE) lascia aperta la regolamentazione dell’invio di messaggi commerciali a destinatari che non siano persone fisiche (?)

Si deve considerare un altro punto: per ottenere il consenso preventivo può essere indispensabile inviare una richiesta. Altrimenti come fa il destinatario a esprimere il consenso stesso? Questo è un aspetto che deve essere risolto, perché vietare una prima comunicazione che contenga solo la richiesta di consenso al trattamento può costituire un ostacolo allo svolgimento di legittime attività economiche”.
Con riferimento all’abrogato D.L.vo 171/1998, v. M. Maglio, Il trattamento dei dati personali e la tutela della vita privata nel settore delle telecomunicazioni: il decreto legislativo del 13 maggio 1998 n. 171. Stampa e privacy: molto rumore per nulla?, in Privacy.it, www.privacy.it/maglio10.html .
69 – In proposito si rimanda al cap. III, par. 12.