SPAMMING: E ILLECITO INVIARE COMMERCIALI SENZA CONSENSO

Transcript

1 SPAMMING: E ILLECITO INVIARE COMMERCIALI SENZA CONSENSO SOMMARIO: 1. Introduzione 2. Primo periodo: opting out; 3. Primi provvedimenti: passaggio all opting in; 4. li provvedimento del Garante per la protezione dei dati personali del ; 5. Conclusioni 1. Introduzione: Con la parola spamming si intende l invio non richiesto di materiale pubblicitario in forma massiccia e indiscriminata. Tale fenomeno ha ormai assunto un rilievo tale da provocare ripetuti interventi del Garante per la protezione dei dati personali ed in particolare il Provvedimento del , passato inizialmente sotto silenzio e poi ripreso a settembre da una newsletter del governo, nel quale ha chiarito quali siano i comportamenti illeciti e quali le possibili sanzioni. 2. Primo periodo: opting out Nella prima fase di emersione del fenomeno non esisteva alcuna vera e propria regolamentazione e i comportamenti degli utenti di internet dipendevano esclusivamente da un autoregolamentazione etica ( netiquette ). Le uniche sanzioni proponibili potevano consistere in un esclusione dalla rete o dal gruppo. Con l incremento nell utilizzo della rete da parte di imprese che comprendevano di poter effettuare attività di marketing diretto a costi inesistenti o comunque molto bassi, aumentavano i disagi ed i costi che consumatori e piccole imprese dovevano sostenere per far fronte al continuo ricevimento di non richieste. Nel migliore dei casi i destinatari di tali mail riuscivano ad ottenere la cancellazione dall elenco magari dopo ripetute richieste e comunque con evidenti costi. Altre volte non era neppure possibile reperire un indirizzo o un indirizzo veritiero del mittente. Il sistema utilizzato in tale fase ed ancor oggi largamente prevalente è quello dell opt out, intendendosi con tale espressione l invio di messaggi a destinatari che non abbiano in precedenza manifestato la volontà di riceverli. 3. Primi provvedimenti e passaggio all opting in In seguito a numerosi reclami e segnalazioni, il Garante ha dapprima ribadito nel corso di audizioni o di relazioni annuali l importanza di un passaggio dall opt out all opt in. Tale ultimo sistema è quello che prevede l invio di messaggi pubblicitari solo previo ricevimento del consenso del destinatario. In tali passaggi veniva anche ventilata la natura illecita dello spamming per effetto 1

2 della normativa di cui alla L. 675/96. Gli indirizzi venivano considerati dal Garante quali dati personali ed in quanto tali protetti dalla normativa sulla privacy. Peraltro alcuni autori contestavano e tuttora contestano tale valutazione e tutta la materia rimaneva e rimane alquanto incerta in ordine ai confini di liceità dei comportamenti degli utenti della rete. La direttiva 2002/58/CE del all art. 13 prendeva esplicitamente posizione a favore del principio dell opt in, ma solo in riferimento alla commercializzazione diretta. In ogni caso ad oggi tale Direttiva è ancora stata recepita nel nostro ordinamento. Al contrario il legislatore italiano si era limitato a richiedere che le comunicazioni commerciali non sollecitate trasmesse per posta elettronica dovessero contenere l indicazione che il destinatario del messaggio può opporsi al ricevimento in futuro di tali comunicazioni (art. 9 D.Lgs. 70/2003 di attuazione della direttiva 2000/31/CE sul commercio elettronico. 4. Il provvedimento del Garante per la protezione dei dati personali del In tale confusa situazione interveniva, infine, nel corso del 2003 il Garante che con un provvedimento del vietava lo spamming nella forma dell opting out, ai sensi della normativa sulla privacy. Con un comunicato stampa dello stesso garante del i principi esposti nel provvedimento suindicato venivano poi rafforzati, anche in riferimento al mail grabbing. Commento al Provvedimento. Il provvedimento del Garante è suddiviso in una premessa a cui fanno seguito 6 punti e le conclusioni. Il commento seguirà tale elencazione. a) Premesse: Nella premessa il garante evidenzia l incessante numero di segnalazioni e denunce pervenutegli e le difficoltà incontraste dagli utenti per eliminare questa situazione, Evidenziando anche l accoglimento di numerosi ricorsi e la cooperazione con autorità nazionali e internazionali. A fronte di tutto questo viene ritenuto opportuno emanare un provvedimento generale sia per indicare un modello di comportamento lecito, sia per inibire i comportamenti ritenuti contrari alla normativa vigente. b) Invio lecito di posta elettronica pubblicitaria: Il garante precisa con forza che il solo metodo di utilizzo degli indirizzi di posta elettronica è quello dell opt in, con l obbligo, quindi, di ricevere previamente il consenso dell interessato. A suffragio di tale visione vengono citati alcuni 2

3 provvedimenti tra i quali la direttiva 2002/58/CE in fase di recepimento. Proprio tale ultima specificazione in realtà costituisce un ammissione sull estraneità della stessa (fino al recepimento) all ordinamento italiano, ma è pur vero che dell esistenza di tale direttiva non si potrà non tenere conto in sede di interpretazione. In tale sede il garante prende posizione anche riguardo al fenomeno del mailgrabbing (raccolta di indirizzi mail per uso commerciale), precisando che l indirizzo è da considerarsi dato di carattere personale e in quanto tale tutelato dalla legge sulla privacy. Ne consegue l illiceità dell indiscriminata raccolta di indirizzi seppure gli stessi siano reperibili di fatto sulla rete: anche in tale caso si dovrà tener conto delle finalità che hanno determinato la presenza e quindi la conoscibilità dell indirizzo. Sotto un profilo civilistico il danno derivante dalla lesione dei diritti dei destinatari dello spamming è costituito dai costi di collegamento (e non solo), che gli utenti devono sostenere per ricevere, esaminare e selezionare i diversi messaggi. In sostanza, dice, il Garante, viene illecitamente riversato sugli utenti il costo pubblicitario che avrebbero dovuto sostenere le imprese. c) Messaggi pubblicitari ai propri clienti La direttiva 2002/58/CE all art. 13 par. 2 prevede la possibilità di un invio di messaggi ai propri clienti secondo il sistema dell opt out. Tale dato viene recepito dal Garante, il quale, però, si preoccupa di specificare che si tratta di una previsione futura legata al recepimento della direttiva stessa. Ora è evidente che questo indirizzo della Direttiva, oltre a rompere quello che il Garante tende a presentare come un sistema unitario di utilizzo dell opt in, contraddice quanto detto dallo stesso Garante sull argomento precedente: se la direttiva avrà efficacia solo dopo il recepimento, questo dovrà valere per tutto il suo contenuto. Se, invece, si ritiene che si tratti di norme già applicabili, questo sarà altrettanto vero in ordine all art. 13 e quindi all utilizzo dell opt out sui propri clienti. In ogni caso quello che sembra emergere è la liceità dell invio di mail commerciali, sempre specificando la possibilità del rifiuto, a quelli che sono già clienti e per i quali, quindi, esiste già un trattamento di dati. d) Messaggi per conto terzi e acquisto di banche dati E evidente che gli obblighi ed i divieti in oggetto valgano anche per le società che acquistano banche dati, poi cedute a terzi o utilizzate per conto di terzi. Per l utilizzatore di tali dati, normalmente acquistati anche a prezzi rilevanti, si rende, dunque, necessaria una verifica preventiva per essere certi che l impresa cedente tali dati abbia ottenuto il necessario consenso dal titolare dell indirizzo 3

4 ceduto. e) Diritti degli interessati Dal punto di vista degli utilizzatori dei dati è importante sapere che i destinatari dei messaggi hanno il diritto di ottenere la cancellazione del proprio indirizzo dall elenco e/o di far cessare l invio. Ne consegue un obbligo per il mittente di fornire al destinatario tutti gli elementi necessari per essere identificato (nome o ragione sociale o denominazione sociale, indirizzo, numero di telefono, indirizzo e- mail ecc.). L invio anonimo di messaggi pubblicitari o in ogni caso la non identificabilità del mittente costituisce certamente un illecito. f) Elenchi di possibili destinatari Il Garante considera utile la prassi di alcuni operatori di redigere sul web, anche tramite appositi siti, elenchi di soggetti che acconsentono al ricevimento di messaggi pubblicitari. Al contrario viene ritenuto illecita la prassi di porre come onere per il destinatario che non intenda ricevere tali messaggi l iscrizione in elenchi appositi (black list). g) provenienti dall estero E questo forse il punto in cui il provvedimento del Garante si mostra più debole. Dopo avere osservato che ai messaggi provenienti dall estero non si applica la legge italiana, afferma che in ogni modo è possibile comunque per il destinatario tutelarsi, tramite un istanza all autorità del paese estero o per mezzo della normativa esistente nei vari stati. E evidente che tale affermazione è totalmente priva di concretezza. Il singolo utente (persona fisica o impresa) non ha la conoscenza, né può ritenere economico sostenere i costi per conoscere normative ed autorità dei diversi paesi. Inoltre, anche potendolo fare, molto spesso non si conosce il paese dal quale proviene effettivamente il messaggio oppure vi sono problematiche di diritto internazionale privato, riguardo a competenze giurisdizionali e/o legge applicabili, molto complesse. Il problema in effetti è più ampio e coinvolge anche temi relativi alle giurisdizioni penali per i computer crimes, temi tuttora non risolti e probabilmente non risolvibili, salvo che con convenzioni internazionali 5. CONCLUSIONI: Al termine di tale complessivo esame il garante 1. ai sensi dell art. 31, comma 1, lett. l) della legge 31 dicembre 1996, n. 675, vieta l ulteriore trattamento illecito di dati personali realizzato a scopi di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva, in violazione delle disposizioni sopra richiamate da parte dei soggetti cui si riferiscono le 4

5 segnalazioni e i reclami pervenuti; 2. ai sensi dell art. 31, comma 1, lett. c) della legge 31 dicembre 1996, n. 675, segnala ai titolari del trattamento di cui agli atti del procedimento la necessità di conformare i trattamenti di dati personali ai principi richiamati nel presente provvedimento. Qual è la valutazione complessiva di tale provvedimento? Lo stesso costituisce il tentativo di fornire un indirizzo cogente, una sorta di interpretazione autentica per tutti gli operatori di internet che si trovino ad utilizzare indirizzi di posta di terzi per scopi commerciali. Mentre per quanto attiene all invito di messaggi umanitari, politici o comunque senza fine di lucro sarà ancora possibile utilizzare il sistema dell opt out (richiesta di cancellazione dalle liste), per l invio di messaggi a scopo commerciale ci si dovrà adeguare al sistema dell opt in (previo consenso). Indipendentemente dai tempi di adesione a tale indirizzo, adesione che dipenderà anche dagli interventi sanzionatori del garante e dalla conoscibilità degli stessi, almeno per quanto attiene all elemento di deterrenza, è evidente che tale processo corrisponde anche ad una esigenza di tutela di diritti, che trova corrispondenza in un etica di utilizzo della rete alla quale tutti gli utenti dovranno comunque adeguarsi. Il problema diventa allora per le imprese quello di costruire una sistema alternativo di utilizzo dei messaggi commerciali tramite , magari con successive implementazioni, che coniughi i vantaggi o alcuni vantaggi del sistema precedente con gli obblighi di legge. Non vanno, infatti sottovalutati i rischi di eventuali sanzioni derivate da separati provvedimenti conseguenti a reclami o segnalazioni, sanzioni che potrebbero arrivare, nei casi più gravi, anche all ambito penalistico. Avv. Roberto Spreafico 5