Il legittimo interesse del titolare può giustificare la finalità di marketing esercitata senza il consenso dell’interessato?
Per non incorrere in sanzioni il trattamento dei dati personali deve essere lecito. Le basi di liceità sono quelle contenute nell’art. 6 Reg UE 679/2016: consenso, esecuzione di un contratto, obbligo di legge, salvaguardia di interessi vitali dell’interessato, interesse pubblico e legittimo interesse del titolare.
Ci si chiede quali siano le ipotesi di legittimo interesse e se le finalità di marketing vi rientrino.
Il legislatore comunitario non ha previsto un elenco tassativo e spetterà pertanto al titolare del trattamento valutare se il proprio interesse sarà tale da non ledere i diritti e le libertà dell’interessato.
Quindi contrapposti interessi che andranno bilanciati in ogni singolo rapporto giuridico.
Quella proposta dal GDPR è una formula, molto elastica, che lascia ampio spazio di manovra al singolo che sarà responsabilizzato (cd: accountability) nelle decisioni riguardanti il trattamento dei dati personali delle sue controparti.
Nel considerando 47 del GDPR sono menzionate alcune fattispecie nelle quali si potrebbe configurare un legittimo interesse. Tra queste vi è la finalità di marketing diretto. Con ciò si intende quel tipo di comunicazione commerciale attraverso la quale le aziende comunicano direttamente con clienti specifici e senza avvalersi di intermediari.
Ci si domanda quindi se solo l’attività di marketing senza intermediari o qualsiasi attività di comunicazione commerciale possa essere realizzata senza l’acquisizione del consenso dell’interessato.
La risposta alla domanda non può essere data “tout court” o senza un’analisi del singolo caso. Applicando infatti la regola di cui all’art. 6 lett f) “a condizione che gli interessi del titolare non prevalgano su quelli degli interessati e soprattutto sui loro diritti e libertà fondamentali”, ci troveremo – al fine di capire se quella attività di marketing sia o meno lecita (in difetto di acquisizione del consenso ed indipendentemente da che si tratti di marketing diretto o meno) – a dover valutare l’intero rapporto, nella sua evoluzione, con attenta considerazione delle aspettative formatesi nell’interessato rispetto alla sua relazione con il titolare.
In altri termini, se in conseguenza di una compravendita, ho comunicato l’indirizzo email – senza prestare un apposito consenso ad un trattamento diverso da quello derivante dall’esecuzione del contratto – non mi aspetterò che l’azienda (o peggio quel nuovo ramo di azienda che si occupa di tutt’altro) mi contatti quotidianamente con proposte commerciali di prodotti diversi rispetto a quello oggetto di contratto. Quindi no al telemarketing selvaggio (vedi link) ma nessun problema per l’invio di qualche email (cosiddette soft-spam) per la proposta di prodotti analoghi a quello oggetto di contratto.
Si tenga infine presente che il legittimo interesse del titolare del trattamento dovrà confrontarsi anche con quanto previsto dall’art. 130 del Codice Privacy Italiano (D.lgs 196/2003) non abrogato (ma solo modificato) dal Decreto attuativo del GDPR (D.lgs 101/2018) che, nel disciplinare le comunicazioni per finalità di marketing mediante sistemi automatizzati (email, pec, sms, mms, ecc) richiede espressamente il consenso da parte del destinatario.