Consenso alla newsletter secondo la LPSD: documentazione della prova

Perché la prova della liceità dell'invio di newsletter è decisiva

In Svizzera, le e-mail pubblicitarie e le newsletter sono ammesse solo con esplicito consenso (opt-in) o in presenza di un rapporto commerciale esistente per prodotti simili. La Legge federale contro la concorrenza sleale (LCSl) e la Legge sulla protezione dei dati (LPSD) operano congiuntamente; l’art. 3 LCSl contiene la disposizione specifica riguardante l’invio telematico di pubblicità di massa.

Il consenso non deve soltanto esistere, ma deve anche essere dimostrabile: le aziende devono garantirne la prova. Chi invia materiale promozionale a indirizzi privi di tale prova rischia richieste di cancellazione e, nel caso di destinatari all’estero, diffide legali.

I reclami per pubblicità via e-mail non autorizzata possono essere presentati alla Segreteria di Stato dell’economia (SECO), che dispone di varie possibilità per intervenire contro la pubblicità via e-mail illecita. In assenza di prova, la liceità dell’invio diventa oggetto di contestazione.

Quando un consenso è valido – e quando vale come prova

L’art. 6 cpv. 6 e 7 LPSD regola i requisiti di validità dei consensi in materia di protezione dei dati. Un consenso è valido solo se espresso volontariamente e dopo un’adeguata informazione.

La persona interessata deve essere stata informata sull’utilizzo del suo indirizzo e-mail a scopi pubblicitari e deve aver prestato il proprio consenso in modo esplicito. L’IFPDP cita come esempio una casella vuota da spuntare con la dicitura «Acconsento all’utilizzo dei miei dati a fini pubblicitari».

La casella deve essere vuota e spuntata attivamente; il consenso presuppone un’azione consapevole. Una casella già spuntata in anticipo non fornisce questa prova.

La semplice accettazione delle condizioni generali di contratto non è sufficiente. Il consenso può essere revocato in qualsiasi momento.

Opt-in e opt-out non sono intercambiabili: il principio richiede il consenso preventivo. Una mera possibilità di rifiuto (opt-out) sostituisce l’opt-in solo nell’eccezione prevista per la clientela esistente.

Opt-in vs. Opt-out: differenze nella protezione dei dati svizzera

Double-Opt-In: la prova più solida nella pratica quotidiana

La procedura di double-opt-in è considerata il metodo più sicuro per documentare il consenso. Procedura: l’utente inserisce il proprio indirizzo nel modulo di iscrizione, riceve un’e-mail di conferma e convalida l’iscrizione tramite clic.

Il clic è determinante perché dimostra il consenso come azione attiva. Se l’iscrizione viene acquisita senza questo passaggio di conferma, rimane come prova solo la compilazione del modulo; questa si distingue difficilmente da un indirizzo inserito da terzi.

Devono essere registrati il momento dell’iscrizione, l’indirizzo e-mail utilizzato, l’invio dell’e-mail di conferma e il momento del clic di conferma. Da questi dati deve essere possibile ricostruire passo dopo passo la procedura in un secondo tempo.

Procedura Double-Opt-In: documentazione passo dopo passo

Questi dati dovrebbero essere registrati per ogni consenso

Per ogni consenso, almeno data, ora, indirizzo e-mail interessato e fonte di iscrizione devono essere archiviati – ovvero modulo su una determinata pagina, processo d’ordine o lista alla reception.

A ciò si aggiunge il testo del modulo di iscrizione, inclusa la versione. Se il testo cambia, la versione precedente viene conservata; la prova si riferisce al testo effettivamente utilizzato in quel momento.

Vengono registrati anche i contenuti promessi e la frequenza di invio: il modulo di iscrizione informa su quali contenuti ci si può aspettare e con quale frequenza.

Da documentare è anche se e a quali partner o altri terzi gli indirizzi e-mail vengono trasmessi. Il modulo di iscrizione informa anche sugli eventuali contenuti di partner e terzi che ricevono gli indirizzi.

L’informazione sull’ampiezza e sui destinatari della pubblicità fa parte integrante del consenso stesso. Se manca nel protocollo, non è possibile dimostrare a cosa abbia acconsentito la persona.

Importanti punti di documentazione per ogni consenso

Documentare correttamente gli indirizzi dei clienti e l’eccezione per prodotti simili

Per la clientela esistente vale un’eccezione: la pubblicità per prodotti o servizi simili della stessa azienda è possibile senza opt-in preventivo. Presupposto è che la persona possa rifiutare la pubblicità in qualsiasi momento (opt-out).

L’eccezione vale solo se ha avuto luogo una vendita o se è stato fruito un servizio. La semplice apertura di un account online non è sufficiente.

Deve quindi essere dimostrato quando e come è nato il rapporto commerciale – ad esempio tramite ordine o fruizione di una prestazione. Dalla documentazione deve inoltre risultare che il prodotto pubblicizzato è simile al prodotto già acquistato o al servizio già fruito.

Poiché la distinzione tra prodotti simili e non simili rimane delicata, è consigliabile far rilasciare espressamente anche dalla propria clientela il consenso all’invio della newsletter.

Verificare i database esistenti invece di richiedere conferme generiche

I consensi esistenti e correttamente documentati non devono essere richiesti nuovamente. E-mail circolari generiche a tutti i destinatari con richiesta di conferma possono invece essere considerate pubblicità illecita.

All’inizio della pulizia dei dati sta la verifica della propria documentazione: per quali indirizzi esiste un opt-in registrato, per quali un rapporto commerciale provato – e dove manca qualsiasi prova?

Gli indirizzi privi di prova vengono eliminati e non più utilizzati per invii promozionali. Le conferme vengono richieste solo dove manca la prova e si desidera continuare l’invio.

Vantaggi e rischi delle conferme generiche per i database storici

Tenere traccia completa di revoche e disiscrizioni

Il consenso può essere revocato in qualsiasi momento. Ogni invio deve quindi offrire una possibilità semplice e gratuita di rifiutare ulteriore pubblicità – di norma tramite un link di disiscrizione.

Oltre al link di disiscrizione, in ogni e-mail deve figurare l’identità del mittente. Corrette indicazioni del mittente e un link di disiscrizione funzionante sono componenti obbligatori di ogni e-mail pubblicitaria.

Disiscrizioni, blocchi e opposizioni vengono registrati con data e indirizzo. In questo modo resta comprensibile quali indirizzi devono essere esclusi dai futuri invii.

Prove in azienda: archiviazione, fornitori e casi gravi

L’invio di newsletter va registrato come attività di trattamento nel registro delle attività di trattamento ai sensi dell’art. 12 LPSD. I singoli protocolli di consenso sono conservati in un archivio proprio e reperibile.

Le prove vengono conservate finché l’indirizzo viene utilizzato per l’invio, più un termine durante il quale possono ancora essere presentate richieste di informazione o cancellazione.

Chi affida l’invio a un fornitore di servizi di e-mail marketing rimane responsabile delle prove. Il trattamento degli ordini deve essere regolato contrattualmente ai sensi dell’art. 9 LPSD; vanno chiariti i diritti di accesso, il vincolo alle istruzioni e la restituzione o cancellazione dei dati alla fine del contratto.

In caso di richieste di informazione ai sensi dell’art. 25 LPSD, nonché di richieste di cancellazione e reclami, i protocolli devono poter essere presentati entro un termine utile. In azienda va stabilito chi gestisce e aggiorna le prove.

LPSD svizzera: articoli rilevanti e responsabilità