Inviare pubblicità via e-mail senza il consenso dell’utente costa caro. Il Garante per la protezione dei dati personali ha multato per 45 mila euro una società di rivendita auto online, colpevole di aver violato le regole sul trattamento dei dati a fini di marketing.
Il procedimento è partito dal reclamo di un cliente che lamentava l’arrivo di numerosi messaggi promozionali non richiesti, provenienti da indirizzi diversi e legati a partner commerciali mai autorizzati. In più, il tentativo di esercitare il diritto di opposizione era risultato del tutto inefficace: le e-mail continuavano ad arrivare, nonostante l’inserimento in una blacklist.
L’istruttoria ha messo in luce diverse violazioni. La società non aveva adeguatamente regolato i rapporti con i partner pubblicitari, che operavano fuori controllo e senza garanzie per gli interessati. Secondo il Garante, il titolare del trattamento avrebbe dovuto predisporre misure tecniche e organizzative in grado di assicurare che anche i soggetti terzi agissero nel rispetto del Regolamento europeo.
Tra queste misure minime rientra l’adozione del cosiddetto double opt-in, un sistema che prevede una doppia conferma dell’iscrizione da parte dell’utente, a garanzia di un consenso realmente espresso. In questo caso, il consenso era assente o raccolto in modo opaco, mentre i messaggi pubblicitari si moltiplicavano.
Il Garante ha inoltre rilevato che la società, pur avendo inserito l’utente in una lista di esclusione, non aveva esteso l’azione ai partner, rendendo la tutela inefficace. La sanzione, pur significativa, è stata contenuta perché l’azienda ha poi interrotto l’invio di e-mail e reciso i rapporti contrattuali con i soggetti coinvolti.
Il messaggio è chiaro: non basta delegare. Chi tratta dati deve saper dimostrare di avere tutto sotto controllo. Anche, e soprattutto, quando si affida ad altri.
A.C.