Marketing e Profilazione tra GDPR e Regolamento eprivacy

Transcript

1 Marketing e Profilazione tra GDPR e Regolamento eprivacy

2 Agenda Marketing e profilazione: aspetti generali post GPDR Marketing e profilazione nelle comunicazioni elettroniche: le norme rilevanti nella bozza di Regolamento eprivacy Marketing e profilazione nelle iniziative promozionali Marketing e profilazione: tempi e modalità di conservazione Il CRM: questo grande contenitore

3 MARKETING E PROFILAZIONE: ASPETTI GENERALI POST GPDR

4 Profilazione Che cos è? «qualsiasi forma di trattamento automatizzato di dati personali consistente nell utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l affidabilità, il comportamento, l ubicazione o gli spostamenti di detta persona fisica» Quali le modalità d uso? i. Profilazione generale ii. Processo decisionale basato sulla profilazione iii. Decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produce effetti giuridici o incide in modo analogo significativamente sull'interessato (art. 22 (1) GDPR).

5 Profilazione e processo decisionale automatizzato «L interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona» (22.1 GDPR) Ma quindi profilazione e processo decisionale automatizzato sono la stessa cosa? Profilazione Art. 22 co. 1 Processo Decisionale Automatizzato

6 Alcuni esempi DECISIONI AUTOMATIZZATE PROFILAZIONE TRATTAMENTI EX ART. 22 Multa per eccesso di velocità in base a prove fornite dall autovelox Ammontare della multa è risultato del monitoraggio delle abitudini di guida della persona. App. che consentono di trovare ristoranti nelle vicinanze usano dati per inviare pubblicità su consegna di pizza a domicilio Compagnia assicurativa definisce i premi assicurativi valutando comportamenti di guida dei clienti Intermediario raccoglie dati personali per inserire le persone in segmenti e vende informazioni ad aziende Sistema informatico di un centro medico colloca persona nel gruppo probabilità di sviluppare malattie cardiache Banca utilizza sistema di credit scoring per valutare e respingere domanda di prestito. Registrare acquisti alimentari di una persona e qualità dei prodotti per desumere stato di salute dell acquirente

7 Profilazione Basi Giuridiche Profilazione Art.6 Processo Decisionale automatizzato art. 22 Necessario per la conclusione o l esecuzione di un contratto Autorizzato dal diritto cui è soggetto il titolare del trattamento Consenso esplicito dell interessato

8 Profilazione e Categorie Particolari di Dati Personali Dalla profilazione possono emergere dati appartenenti a categorie particolari di dati particolari desumendoli da dati che di per sé non appartengono a categorie particolari ma che diventano tali se combinati con altri dati Che il trattamento non sia incompatibile con la finalità originaria; Aver individuato una base legittima per il trattamento dei dati appartenenti a categorie particolari di dati particolari; Informare l interessato sul trattamento. Probabile cambio di orientamento del Garante? (Provvedimento 17 marzo 2016 di verifica preliminare sul trattamento di dati della clientela per finalità di profilazione e marketing vs. Provvedimento 17 marzo 2019).

9 Profilazione: finalità o modalità di trattamento? Modalità di trattamento Può avere diverse finalità: invio di comunicazioni personalizzate, miglioramento dei servizi, valutazione del merito creditizio, ecc. «[la decisione basata unicamente su un trattamento automatizzato], che comprende la profilazione, [ ] consiste in una forma di trattamento automatizzato» (cons. 71 GDPR) Finalità Orientamento del Garante pre-gdpr Consenso specifico (distinto dal consenso per finalità di marketing) Marketing generico vs. Marketing personalizzato

10 Marketing: nozione Marketing: attività poste in essere da una azienda destinate al piazzamento di prodotti o servizi. l invio di materiale pubblicitario, vendita diretta, compimento di ricerche di mercato o comunque qualsiasi comunicazione commerciale Diretto Indiretto

11 Base Giuridica Articolo 130 co. 1-2 Codice Privacy Co. 1 «l uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l intervento di un operatore per l invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente. Co. 2 «la disposizioni di cui al comma 1 si applica anche alle comunicazioni elettroniche, effettuate per le finalità ivi indicate, mediante posta elettronica, telefax, messaggi del tipo MMS o SMS». Le eccezioni SOFT- SPAM coordinate di posta elettronica fornite nel contesto della vendita di un prodotto o di un servizio servizi analoghi a quelli oggetto della vendita Adeguata informativa CONSENSO

12 Base Giuridica: Evoluzione e sfide «Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto» (Considerando 47 GDPR) Legittimo interesse Direct Marketing ACCOUNTABILITY

13 MARKETING E PROFILAZIONE NELLE COMUNICAZIONI ELETTRONICHE: LE NORME RILEVANTI NELLA BOZZA DI REGOLAMENTO EPRIVACY

14 Regolamento eprivacy (bozza) Che cos è? Si tratta di un Regolamento complementare al GDPR che stabilisce norme specifiche per la tutela dei dati nel contesto della fornitura e della fruizione di servizi di comunicazione elettronica (quali , messaggistica istantanea, ecc.) Andrà a sostituire la Direttiva eprivacy, oggi vigente (direttiva 2002/58/CE) Ambito di Applicazione Contenuto di comunicazioni elettroniche Informazioni su apparecchiature terminali Direct Marketing

15 Regolamento eprivacy: Cosa Cambia? Machine to Machine Cookies Regolamento vs. Direttiva OTT Enforcement

16 Cookies e Regolamento eprivacy [ ] where the eprivacy Directive particularises (i.e. renders more specific) the rules of the GDPR, the (specific) provisions of the eprivacy Directive shall [ ] take precedence over the (more general) provisions of the GDPR. Consenso Senza consenso purché il servizio sia necessario a:

17 Banner Fatigue

18 Cookies e Regolamento eprivacy Come Raggiungerli? Obiettivi 1. Possibilità per gli utenti di gestire il proprio consenso direttamente tramite impostazioni del browser. 2. Agli utenti dovrebbero essere fornite più opzioni: Non accettare mai marcatori (-) Banner Fatigue (+) Controllo per Utenti Accetta sempre i marcatori Rifiuta marcatori di terzi

19 Direct Marketing Articolo 16 co. 1 Reg. eprivacy Articolo 16 co.2 Le Eccezioni Co. 1 «Le persone fisiche o giuridiche possono avvalersi dei servizi di comunicazione elettronica al fine di inviare comunicazioni di commercializzazione diretta a utenti finali aventi natura di persone fisiche che hanno espresso il loro consenso». coordinate di posta elettronica fornite nel contesto della vendita di un prodotto o di un servizio servizi analoghi a quelli oggetto della vendita Adeguata informativa CONSENSO SOFT- SPAM

20 Direct Marketing GDPR: Considerando 47 Direct Marketing Legittimo Interesse Reg. eprivacy: Articolo 16 Direct Marketing - Consenso

21 MARKETING E PROFILAZIONE NELLE INIZIATIVE PROMOZIONALI

22 La partecipazione ad un concorso a premi e il consenso al marketing

23 I dati personali come «controprestazione non pecuniaria»

24 I dati personali come «controprestazione non pecuniaria» Dati personali come controprestazione Principio di gratuità delle manifestazioni a premio

25 La proposta di direttiva sulla fornitura online di contenuti digitali Proposta Direttiva COM/2015/ Per la creazione del Digital Single Market - Ambito di applicazione: Contratti con cui il fornitore fornisce al consumatore beni e servizi digitali (incluse iniziative promozionali) «e in cambio del quale il consumatore corrisponde un prezzo oppure fornisce attivamente una controprestazione non pecuniaria sotto forma di dati personali o di qualsiasi altro dato»

26 Libertà del consenso - Provvedimento AGCM 26387/2017 Il caso Samsung People Obbligo di registrazione alla piattaforma online per poter partecipare all iniziativa promozionale Obbligo di prestare il consenso per trattamento con finalità di marketing e profilazione Pratica commerciale scorretta: sanzione ,00

27 MARKETING E PROFILAZIONE: TEMPI E MODALITÀ DI CONSERVAZIONE

28 La conservazione dei dati: i principi generali Il titolare deve effettuare una valutazione e individuare un adeguato termine di conservazione Il Principio di Accountability Il Principio di Minimizzazione I dati raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità I dati raccolti possono essere conservati per un arco di tempo non superiore al conseguimento delle finalità per cui sono raccolti Il Principio di Limitazione della Conservazione

29 I tempi di conservazione per finalità di marketing e profilazione Provvedimento del Garante n «Fidelity Card» Dati Profilazione 12 mesi Dati Marketing 24 mesi

30 Tempi di conservazione - marketing e profilazione PRE-GDPR Beni di lusso Bulgari 10 anni (Provv. 24 aprile 2013) Tod s; Ferragamo; Fendi; D&G, Cucinelli 7 anni (es. Provv. 7 novembre 2013) Intermediazione immobiliare Tecnocasa 15 anni (Provv. 30 giugno 2016) Automobili FCA; BMW 10 anni (Provv. 18 aprile 2018; Provv. 9 maggio 2018)

31 Indicazioni dal Garante Tempi di conservazione - marketing e profilazione POST-GDPR «Si ricorda che a decorrere dal 25 maggio 2018, data di applicazione del Regolamento (UE) 2016/679, il titolare del trattamento, in ossequio al principio di responsabilizzazione di cui all art. 24, dovrà valutare autonomamente la conformità del trattamento che intende effettuare alla disciplina vigente, verificando il rispetto di tutti i principi in materia ed effettuando, ove necessario, una valutazione di impatto ex art. 25 del citato Regolamento ovvero attivando la consultazione preventiva ai sensi dell art. 36 del Regolamento medesimo» Provv. BMW 9 maggio 2018

32 Alcuni spunti su come determinare i tempi di conservazione Dotarsi di una data retention policy e di una procedura di cancellazione dei dati Tenere in considerazione i principi generali (necessità, limitazione ) Garantire misure di sicurezza adeguate Tenere conto delle proprie esigenze: è davvero necessario conservare quei dati per così tanto tempo? Considerare la legittima aspettativa dell interessato Tenere in considerazione la frequenza media annuale di acquisto

33 Gestione dei rapporti con clienti attuali o potenziali (gestione contatti); Gestione delle vendite.

34 Le principali finalità del trattamento dei dati attraverso il CRM Profilazione Marketing Newsletter CRM ATTENZIONE ALLA GESTIONE DEI CONSENSI!

35 Come provare il consenso? Best Practices: Documentare il consenso per iscritto Double opt-in Cookie marcatori (online)

36 Non sempre è necessario il consenso Scambio di biglietti da visita Aspettativa dell interessato Legittimo interesse del titolare

37 LAURA LIGUORI partner GIULIO NOVELLINI of counsel FABIANA BISCEGLIA associate ELEONORA CURRELI associate Mail Mobile Office Mail Mobile Office Mail Mobile Office Mail Mobile Office