Il buon Christian Bernieri, con un post LinkedIn, stigmatizza giustamente l’atteggiamento del Garante Privacy nei confronti delle attività di invio di email promozionali e commerciali senza legittima base giuridica, cioè quello che viene comunemente chiamato spam. E lo fa commentando un recente provvedimento in cui la nota società Il Sole24Ore Spa viene sostanzialmente graziata nonostante vari suoi agenti siano stati “beccati” a inviare email spam anche a soggetti che avevano esplicitamente chiesto la cancellazione dei loro dati dalle mailing list. Riporto qui di seguito il riassunto del provvedimento allegato al post di Bernieri; a questo link potete invece trovare il provvedimento ufficiale pubblicato sul sito del Garante.
Devo in effetti associarmi alla critica formulata da Bernieri, confermando che è esattamente ciò che sto notando anche nella mia esperienza di reclami ex art. 77 GDPR presentati all’autorità. Salvo alcune ristrette eccezioni, i procedimenti dal Garante su mia istanza e inerenti l’attività di email marketing / spam si stanno concludendo con archiviazioni sbrigative e superficiali (la maggior parte) o con provvedimenti di sanzione in cui la sanzione consiste in un mero ammonimento e nella pubblicazione del provvedimento sul sito dell’autorità. E mi riferisco anche ad attività che sono palesemente di spam massivo, sistematico, automatizzato, di soggetti che dichiarano serenamente nelle comunicazioni scritte intercorse con me o addirittura negli atti difensivi di aver acquisito i miei dati personali in modo illecito, senza alcun consenso, prelevandoli dall’albo avvocati o dal MEPA (cosa che già dovrebbe di per sé portare a una sanzione esemplare).
È importante ricordare che, quando riceviamo una email di spam, l’email è solo la punta dell’iceberg del trattamento dati personali illecito che stiamo subendo; è solo la parte evidente dell’attività di sfruttamento commerciale che lo spammer sta svolgendo con i nostri dati. Ma soprattutto l’email ricevuta, se si tratta di un mittente con cui non abbiamo mai avuto a che fare o perfino non abbiamo mai sentito nominare, è il segnale che quel soggetto probabilmente ha acquisito i nostri dati in modo illecito, cioè senza specifico consenso; infatti è principio ben noto che il marketing richieda come unica base giuridica valida quella del consenso dell’interessato. In altre parole, quel soggetto che ci sta intasando la casella email di messaggi commerciali non graditi non dovrebbe nemmeno averli i nostri dati!
Il Garante Privacy (inteso sia come membri del collegio sia come funzionari degli uffici amministrativi) sembra invece non aver ben chiaro questo concetto (nonostante sia ben assodato nella sua stessa giurisprudenza e nelle sue stesse linee guida) e nei procedimenti di reclamo accetta giustificazioni assurde del tipo “era solo una singola email”, “c’è stato un errore manuale di importazione degli indirizzi” [“errore manuale” in un processo automatizzato?!], o anche l’assurdo “abbiamo inviato l’email ma non abbiamo trattato dati personali” [in che senso?!].
Se il Garante vuole velatamente dirci che ha cambiato orientamento e che lo spam è ormai cosa comunemente accettata e lecita, allora lo dica chiaramente e ne prenderemo atto.
