5 aprile 2019
Telemarketing a prova di GDPR. Gli adempimenti basilari per essere a norma
di Annalisa Spedicato
Il Regolamento Europeo n. 679/2016 è intervenuto a normare in maniera armonica il trattamento dei dati personali da parte di tutte quelle organizzazioni ed enti pubblici che trattano dati personali di cittadini europei. Uno degli ambiti su cui la disciplina europea incide notevolmente è sicuramente il trattamento dei dati personali per finalità di marketing. Trattamento che può essere effettuato attraverso diversi mezzi e metodi che un'organizzazione utilizza per raggiungere in maniera sempre più efficace e mirata, i suoi clienti e potenziali clienti, prediligendo quegli strumenti che consentono di ottimizzare gli investimenti, generando un più garantito aumento delle vendite.
Tra questi metodi, uno sicuramente efficace è quello di avvalersi di call center esterni oppure di ingaggiare operatori telefonici interni in grado di descrivere ai clienti le offerte commerciali previste dall'azienda e, presentando prodotti/servizi, tentano di chiudere la vendita anche eventualmente al telefono. Si parla in tali casi di telemarketing, pratica già diffusa da tempo, ma che in questi ultimi anni, è diventata particolarmente invasiva, tanto che siffatta invasività si è guadagnata un vero e proprio posto nel dizionario con il nuovo e ormai noto termine di spam.
Si tratta, infatti, anche in questo caso, come nell'invio massivo di email a carattere commerciale, di messaggi e telefonate pubblicitarie non richieste effettuate in maniera insistente nei momenti meno opportuni a soggetti che mai hanno espresso un proprio consenso ad essere contattati dall'azienda chiamante, ad opera di soggetti che alla fatidica domanda "come ha avuto questo numero?", blaterano e chiudono la telefonata o addirittura da operatori automatici.
Già il Garante della Privacy è intervenuto qualche anno addietro, esattamente nel 2013, nel tentativo di regolare questa pratica e farla rientrare nei confini della correttezza, proporzionalità e necessità del trattamento dei dati personali previsti dal Decreto n. 196/2003 con le "Linee guida in materia di attività promozionale e contrasto allo spam" e in verità ancor prima con il provvedimento generale del 29 maggio 2003, dettando "Regole per un corretto uso dei sistemi automatizzati e l´invio di comunicazioni elettroniche", basate sulla normativa al tempo in vigore, legge 31 dicembre 1996, n. 675.
Oggi con il GDPR e con il Registro delle opposizioni - che mediante la L. n. 5/2018 è stato esteso ai numeri fissi e di cellulare - i confini entro cui questa pratica può muoversi, risultano meglio definiti.
Innanzitutto, per contattare, tramite operatore telefonico, un potenziale cliente al fine di inviargli pubblicità commerciale o vendergli qualcosa, come del resto già prevedeva il vecchio Codice Privacy (D.Lgs. n. 196/2003) e come tuttora previsto dal GDPR, è necessario rendere idonea informativa e ottenere il consenso espresso e specifico al trattamento dei dati personali per finalità di marketing.
Senza una corretta informativa che riporti tutto quanto richiesto dall'art. 13 del GDPR e, in via generale, un valido consenso espresso, libero, specifico e tracciabile, la chiamata per fini di marketing, risulterebbe illegittima. E sì, perché nel momento in cui il soggetto viene chiamato, la raccolta del dato personale, specificamente la conoscenza del numero di telefono da parte dell'operatore e della società che sta dietro quel numero, risulta già avvenuta e siccome il GDPR impone di informare ed ottenere il consenso preventivamente, il trattamento risulterebbe privo di base giuridica. Se, infatti, la chiamata potrebbe essere pur ammessa senza consenso (ma non senza informativa), verso un cliente abituale che acquista spesso prodotti dalla medesima azienda (o un cliente abbonato con abbonamento in corso) al quale si intende proporre un'offerta commerciale per prodotti/servizi analoghi a quelli già acquistati basandosi sul legittimo interesse dell'azienda stessa, così non è se si intende contattare un nuovo cliente o ex cliente. In tal caso, il consenso è imprescindibile.
E come fare per ottenerlo? Un buon modo, potrebbe essere rendere l'informativa e chiedere il consenso tramite il proprio sito web: una pagina accattivante in cui si invoglia il cliente a restare in contatto con la nostra azienda per ricevere offerte e sconti, un form di contatto ben strutturato, corredato da dichiarazioni trasparenti, in cui si chiarisce che una modalità di contatto potrebbe essere anche quella telefonica in cui un operatore esperto potrà di certo descrivere meglio l'offerta, può essere un'ottima strategia per ottenere il libero consenso da parte dell'interessato, concedendogli ovviamente sempre la possibilità di ritirarlo in maniera altrettanto semplice.
Restando sempre nel quadro del consenso, inoltre, occorre prestare molta attenzione, anche al caso in cui l'interessato sarà oggetto di operazioni di profilazione; in tale circostanza, infatti il consumatore deve esprimere un consenso espresso e specifico anche per tali operazioni, quindi, da un lato c'è il consenso ad essere contattato da un operatore per finalità di marketing, dall'altro il consenso ad essere profilati e solo successivamente ad essere contattati da un operatore perché questi proponga al potenziale cliente quello specifico prodotto/servizio che è il risultato di un'indagine sulle sue abitudini d'acquisto; naturalmente l'informativa dovrà riportare informazioni chiare in merito alla logica specifica impiegata dall'azienda in relazione alla profilazione.
Questa la regola generale; in relazione al telemarketing, vi sono però delle eccezioni, se ad esempio il numero telefonico è stato acquisito da elenchi o pubblici registri, l'interessato può essere contattato telefonicamente senza consenso (vale qui la regola dell'opt-out), tuttavia, anche in questo caso l'operatore dovrà rendere l'informativa all'atto della chiamata, dunque, dovrà innanzitutto qualificarsi, chiarire lo scopo della telefonata e per conto di chi la effettua, dove ha trovato e come ha avuto il numero di telefono dell'interessato (precisando che il numero è stato acquisito dall'elenco pubblico), rendere l'informativa ex art. 13 (o un'informativa breve rimandando al sito web per quella completa) e chiarire come l'interessato può esercitare il suo diritto di opposizione al trattamento (anche eventualmente menzionando la possibilità di iscriversi al Registro delle opposizioni).
Occorre inoltre informare preliminarmente in merito al Paese in cui è fisicamente collocato l'operatore che risponde (Territorio nazionale, Paesi Ue, Paesi extra Ue), mettendo subito al corrente l'interessato dunque in merito al Paese in cui si trova fisicamente l'operatore che contatta il cliente; questo in base alla delibera approvata dall'AGCOM n. 1/17/CONS, rubricata "Modifiche alla delibera n. 666/08/CONS".
Prima di avviare la campagna di telemarketing, il titolare del trattamento (o il call center designato responsabile se ciò viene espressamente indicato come suo compito nel contratto, restando inteso che la responsabilità verso l'autorità pubblica e gli interessati resta sempre in capo al titolare che potrà rivalersi eventualmente sul responsabile del trattamento nei limiti del contratto tra loro esistente) deve inoltre verificare che gli interessati da contattare non abbiano inserito il/i proprio/i contatto/i telefonico/i nel Registro pubblico delle opposizioni istituito con il D.P.R. n. 178 del 2010.
Il cittadino che si iscrive nel Registro, infatti, esercita automaticamente il diritto di opposizione al trattamento, annullando in una sola volta anche tutti i consensi espressi precedentemente al trattamento per finalità di marketing, per ricerche di mercato o vendita diretta con modalità telefoniche.
Restano salvi, in caso di iscrizione al registro, i consensi prestati nell'ambito di specifici rapporti contrattuali in essere, ovvero cessati da non più di trenta giorni, aventi ad oggetto la fornitura di beni o servizi, per i quali deve essere comunque garantita, con procedure semplificate, la facoltà di revoca. Il Registro delle opposizioni con la L. n. 5/2018 è stato esteso anche alle numerazioni mobili; con riferimento alla posta cartacea, invece a gennaio di quest'anno è stato pubblicato il Regolamento attuativo n. 149/2018.
Tramite il Registro Pubblico delle opposizioni si è voluto raggiungere un giusto equilibrio tra le esigenze dei cittadini che non vogliono più telefonate commerciali e le esigenze delle imprese per un impiego trasparente degli strumenti del telemarketing.
La legge n. 5, inoltre, prevede che non possono più essere effettuate chiamate con numero riservato da parte dei call center; è dunque doveroso utilizzare la modalità in chiaro del numero di telefono chiamante "presentando l'identità della linea a cui possono essere contattati", o utilizzare i prefissi dedicati individuati dall'Autorità per le garanzie nelle comunicazioni ossia il prefisso 0844 da utilizzare nelle telefonate commerciali, pubblicitarie, vendita diretta; mentre per le telefonate finalizzate ad effettuare indagini statistiche lo 0843.
Va da sé che, se l'impresa non effettua un controllo preventivo sul Registro delle opposizioni, contattando un interessato che ha provveduto ad effettuare l'iscrizione, incorrerà in sanzioni, effettuando un trattamento illecito di dati personali.
Si tenga presente, tuttavia, che l'iscrizione al registro non fa riferimento ai casi in cui l'azienda ha ottenuto il consenso espresso. Cosa significa? In altre parole, se l'azienda che intende effettuare la campagna di telemarketing non ha acquisito il numero da contattare da pubblici registri, ma tale numero gli è stato fornito dall'interessato, perché questi, compilando un form/modulo nell'ambito di un acquisto, ha espresso anche il consenso ad essere ricontattato per fini di marketing ad esempio, tale consenso continua a valere anche se il numero viene iscritto nel Registro delle opposizioni. Per annullarlo l'interessato sarà tenuto ad utilizzare la modalità specificamente indicata dall'azienda nel momento in cui la stessa, all'atto della raccolta del dato, rende l'informativa.
Sin qui abbiamo chiarito come un'azienda, un'organizzazione in genere che decide di trattare dati personali per finalità di marketing a mezzo operatori telefonici, in linea generale, deve comportarsi nella comunicazione con l'interessato nella fase di raccolta dei dati personali, tuttavia, per adeguarsi alla normativa europea, gli adempimenti cui abbiamo accennato non sono sufficienti.
Occorre, infatti, un'analisi dedicata e completa dell'organizzazione aziendale. L'azienda che utilizza, ad esempio, un call center esterno, è tenuta a verificare nel concreto che questi rispetti il GDPR a livello organizzativo e a stipulare un contratto o inserire apposite clausole nel contratto di servizio con cui lo si designa responsabile del trattamento, prevedendo tutto quanto indicato nell'art. 28 del GDPR. Se gli operatori sono dipendenti interni o, comunque, se dipendenti interni accedono a tali informazioni personali, occorre formarli, autorizzarli al trattamento e obbligarli alla riservatezza.
Inoltre, sarà necessario individuare gli assett usati ed esaminare dove, come e per quanto tempo vengono conservati i dati personali usati per finalità di marketing; se, per quale motivo e a chi vengono comunicati i dati, oltre che le misure di sicurezza adottate e tutto quanto altro risulta, nel caso specifico, imprescindibile perchè l'organizzazione sia resa conforme alla normativa.
Annalisa Spedicato
Avvocato esperto in IP, ICT e Privacy