Marketing via Whatsapp: tra opportunità commerciali e adempimenti privacy

| Approfondimenti

WhatsApp e le applicazioni di messaggistica istantanea sono ormai uno strumento ordinario di contatto commerciale. Non sorprende che molte imprese stiano valutando di costruire liste di contatti (mailing list) utilizzando come base-dati elenchi telefonici, directory di categoria, siti web, profili social o piattaforme di data broker, con l’obiettivo di inviare comunicazioni promozionali a potenziali clienti. Tuttavia, può accadere che si inviino comunicazioni promozionali a soggetti non inserite nelle liste clienti senza rispettare i requisiti previsti dalla normativa in materia di protezione dei dati personali.

I professionisti della Service Line 231/Privacy di Andersen hanno realizzato un approfondimento sul tema per evidenziare i rischi che derivano dalla non conformità alla normativa privacy e illustrare le modalità attraverso le quali le imprese possono mitigarli per trasformare un red flag in un’opportunità commerciale.

Il consenso preventivo: un requisito imprescindibile

Come più volte ribadito dall’Autorità Garante della Privacy, l’invio di comunicazioni per scopi promozionali e commerciali a soggetti che non sono già clienti veicolate tramite mezzi di comunicazione elettronica accessibili al pubblico è subordinato al consenso preventivo del destinatario ai sensi dell’art. 6 GDPR (regime di opt-in).

Il legittimo interesse non è dunque invocabile. In più occasioni, infatti, il Garante Privacy ha ritenuto non applicabile la base giuridica del legittimo interesse all’attività promozionale effettuata a mezzo posta elettronica nei confronti di dati di potenziali clienti in quanto tali soggetti non hanno una relazione con il titolare e non si aspettano di essere contattati per finalità commerciali.

Soft spam e comunicazioni di servizio

In mancanza di una relazione contrattuale preesistente, inoltre, non è possibile applicare l’eccezione di soft spam invece applicabile ai già clienti ai sensi dell’art. 130, comma 4, del D.lgs. 196/2003. Secondo tale norma, il titolare può utilizzare i recapiti forniti dal cliente in occasione di un acquisto per inviare comunicazioni su prodotti o servizi identici o analoghi a quelli già acquistati, salvo opt-out (opposizione) dell’utente. Devono quindi sussistere tre elementi che, nelle campagne di marketing effettuate su liste di contatti estratti da elenchi pubblici, sono del tutto assenti: un rapporto contrattuale preesistente, il conferimento spontaneo del recapito e l’analogia merceologica dell’offerta.

Sono invece sottratte al regime di opt-in le comunicazioni di servizio, ovvero sia i messaggi inviati nell’ambito di un rapporto contrattuale preesistente, con finalità strettamente esecutiva/gestionale del contratto (es. notifica di stato di un ordine, avviso di scadenza). Non rientrano in tale eccezione le comunicazioni che lasciano intendere il perseguimento di uno scopo promozionale (ad es. «abbiamo aperto un nuovo punto vendita nella vostra zona») e che mirano a promuovere, direttamente o indirettamente, beni, servizi o l’immagine di un’impresa od organizzazione.

Elenchi pubblici e limitazioni normative

L’obiezione ricorrente è che le numerazioni telefoniche sono liberamente reperibili. La risposta dell’Autorità è costante da oltre un decennio: la presenza dei dati in elenchi pubblici o in fonti liberamente accessibili, come i siti web o i social network, non ne autorizza l’utilizzo per finalità promozionali poiché tali finalità sono incompatibili con quelle di reperibilità, a maggior ragione se il soggetto è iscritto nel Registro Pubblico delle Opposizioni (RPO).

I rischi per l’impresa in caso di non conformità dell’attività

L’invio (massivo) di messaggi/comunicazioni via WhatsApp a soggetti non già clienti senza il loro preventivo espresso consenso espone l’impresa a:

a) sanzioni amministrative pecuniarie che possono arrivare fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo.

b) reclamo da parte degli utenti al Garante Privacy ai sensi dell’art. 77 GDPR, in quanto l’attività di trattamento non è lecita poiché svolta senza aver ottenuto preventivamente il consenso. Ciò aumenta il rischio di attirare l’attenzione dell’Autorità, innescando l’apertura di una potenziale istruttoria;                                              

c) rischio reputazionale derivante dell’avvio di una istruttoria o di un procedimento avanti al Garante Privacy, spesso innescato dai reclami degli utenti.

Le misure organizzative per un’attività conforme

In Andersen siamo convinti che, per strutturare un’attività di contatto via messaggistica istantanea in modo conforme alla normativa, è necessario progettare il processo a monte. Ciò implica l’implementazione di alcune misure utili per mitigare i rischi di non conformità, tra cui:

  • la raccolta e il tracciamento del consenso preventivo dell’utente;
  • la predisposizione e l’invio dell’informativa privacy ai sensi degli artt. 13-14 GDPR;   
  • l’aggiornamento del registro delle attività di trattamento;
  • la predisposizione e/o implementazione della procedura per la gestione delle richieste di esercizio dei diritti, incluso il diritto di opposizione, e l’introduzione di una “blacklist” per i numeri che abbiano esercitato il diritto di opposizione.

Individuate le esigenze, è necessario passare dalla teoria alla pratica. Alle volte però possono mancare risorse e/o competenze per strutturare preventivamente un sistema di raccolta del consenso opt-in conforme all’art. 7 GDPR. Per questo, con i nostri professionisti possiamo supportare le imprese, consentendo così di rafforzare la compliance normativa nell’ottica trasformare i rischi in opportunità commerciali e di tutelare quello che ad oggi si può definire il bene più prezioso, ovverosia i nostri dati.