Utilizzo degli indirizzi e-mail secondo il Regolamento GDPR

Mandare una semplicissima mail è diventata una pratica a noi molto familiare, spesso, però, non consideriamo le “trappole” normative insite in questa attività. Bisogna partire dalla definizione che dà l’articolo 4 del GDPR sul dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile; da questo si deduce che l’indirizzo mail è un dato personale. 

La modalità di utilizzo di un indirizzo e-mail, quindi, viene contemplato nel regolamento GDPR e sostanzialmente viene definito da due fattori:

1. Modalità con le quali sono stati reperiti, ci possono essere due casi: A) l’indirizzo è pubblico e quindi può essere utilizzato tranquillamente perché si presuppone che il proprietario abbia deciso di metterlo a disposizione per qualsiasi attività, B) l’indirizzo è stato comunicato dal proprietario per un uso specifico, quindi, non ci si potrà spostare da quel fine.
2. Finalità per le quali vengono raccolte, in questo caso bisogna specificare la finalità del trattamento, le uniche eccezioni ci possono essere per legittimo interesse (ad esempio fine amministrativo interno) oppure per obblighi di legge.

Essendo un dato personale, l’indirizzo mail ricade anche nel diritto, da parte dell’interessato, di cancellazione. La procedura di cancellazione, oltre all’eliminazione dell’indirizzo dalla rubrica, prevede anche l’eliminazione di tutte le e-mail riguardati tale indirizzo. 

C’è un periodo di prescrizione del reato di 5 anni che non decorre fino a quando l’illecito non viene appreso e scoperto dalla vittima. 

Casi pratici.

Ci sono tanti casi pratici che possiamo menzionare, in questo articolo ne citeremo 4 presi dal sito del Garante Privacy e uno che ci è successo direttamente.

1. Un medico è stato sanzionato per € 16000 perché ha utilizzato gli indirizzi mail dei pazienti per inviare comunicazioni a fini elettorali. In questo caso gli indirizzi erano stati presi per uno scopo ben preciso, l’utilizzo è stato allargato e, per questo, il medico in questione è stato sanzionato.
2. la sanzione di € 10.000 del Garante privacy nei confronti di una società di consulenza, a seguito del reclamo di un utente che lamentava la ricezione di e-mail promozionali indesiderate (in assenza di consenso). l’invio di comunicazioni con modalità automatizzate è consentito solo con il consenso dell’Interessato e che l’unica deroga, è il rilascio dell’indirizzo e-mail (quindi consenso) da parte dello stesso, nel contesto di una vendita di beni o servizi analoghi. NB: la presenza di un link inserito in calce alla mail per disiscriversi, non ha alcuna rilevanza, poiché il consenso non è mai stato rilasciato. 
3. Sanzioni comminate ai vari gestori telefonici riconducibili alla pratica delle chiamate indesiderate, una delle ultime quella inflitta a TIM di circa 28 milioni di €. È vero che i gestori hanno i dati degli utenti ma questi non vengono presi per fini commerciali (a meno che non sia rilasciato il consenso degli interessati), ergo, le azioni sono sanzionabili. 
4. Sanzioni inflitta ad una società immobiliare in seguito al reclamo presentato all’Autorità da parte di due soggetti (interessati), l’agenzia immobiliare avrebbe inviato dati personali di uno dei reclamanti ad una mail aziendale in uso a più persone compreso il destinatario.
5. Ultimo caso citato è quello inerente all’utilizzo di indirizzi e-mail per fini di marketing da parte di un dirigente di un’associazione. Il dirigente, attraverso l’invio di mail, promuoveva la vendita di un libro scritto da diversi soggetti facenti parte dell’associazione. Oltre al fatto di utilizzare gli indirizzi non per il fine per cui erano stati reperiti, gli stessi indirizzi venivano messi in CC invece che in CCN, quindi, erano visibili a tutti. Uno degli interessati ha scritto una mail dove contestava la violazione, intimando una denuncia al Garante. Per adesso, la questione è stata sedata da una chiacchierata, però bisogna ricordare che sul dirigente e l’associazione pende la spada di Damocle, tutti gli interessati possono, nel periodo che precede la prescrizione, esporre denuncia al Garante. 

Conclusioni: l’importanza della consulenza

In questo articolo abbiamo citato le regole generali per acquisire gli indirizzi e-mail personali e alcuni esempi di utilizzo sbagliato. Come si può notare dagli esempi citati, è molto semplice cadere in errori di utilizzo, spesso, dettati dall’ignoranza e dalla scarsa sensibilizzazione in materia, qui possiamo evidenziare l’importanza della consulenza. Il bravo consulente deve formare, consigliare, sensibilizzare e assistere il cliente, fornendo o implementando informazioni, pareri o soluzioni. Non si può pensare al consulente come interposta persona in grado di sostituire l’amministratore per far si che non commetta mai sbagli ma come collaboratore, un vero braccio destro in grado di sensibilizzare, consigliare e intervenire in maniera tempestiva per far si che eventuali problematiche vengano risolte in maniera efficace ed efficiente. 

Pietro Corbino