Spamming: è sanzionabile la spedizione di una prima e-mail di richiesta di consenso per il successivo invio di comunicazioni commerciali?*

^*Il testo che segue è un estratto dall’e-book “Privacy, codice comunicazioni e commercio elettronico: quando si hanno le idee chiare” di Giuseppe Briganti disponibile nella sezione “Internet” degli e-book di www.iusondemand.com (© 2004 IusOnDemand).

La comunicazione commerciale, di natura promozionale o imprenditoriale, è garantita costituzionalmente dalla libertà d’impresa. Essa è infatti direttamente connessa al principio di cui all’art. 41 della Costituzione italiana[48].

Il vigente Codice della privacy – così come la direttiva 2002/58/CE sulle comunicazioni elettroniche da esso recepita – non contiene una definizione di comunicazione commerciale, contrariamente al D.L.vo 70/2003 di attuazione della direttiva 2000/31/CE sul commercio elettronico.

L’art. 130 del testo unico sulla privacy, come in precedenza illustrato, dispone che le comunicazioni elettroniche effettuate mediante posta elettronica[49] a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale sono consentite solo con il consenso dell’interessato, salva l’eccezione di cui al comma 4 della medesima disposizione[50].

Secondo l’art. 4 del Codice della privacy, per comunicazione elettronica deve intendersi “ogni informazione scambiata o trasmessa tra un numero finito di soggetti tramite un servizio di comunicazione elettronica accessibile al pubblico”, come ivi definito[51].

Il Codice di autodisciplina pubblicitaria[52] afferma che per pubblicità deve intendersi ogni comunicazione diretta a promuovere la vendita di beni o servizi quali che siano i mezzi utilizzati. La raccolta di usi pubblicitari della Camera di Commercio di Milano definisce la pubblicità come qualsiasi forma di comunicazione che sia diffusa nell’esercizio di una attività commerciale, industriale, artigianale o professionale, allo scopo di promuovere la domanda di beni e servizi.

L’art. 2 del D.L.vo 74/1992[53], recante l’attuazione della direttiva 84/450/CEE come modificata dalla direttiva 97/55/CE in materia di pubblicità ingannevole e comparativa, definisce, ai fini del provvedimento, la pubblicità come qualsiasi forma di messaggio che sia diffuso, in qualsiasi modo, nell’esercizio di un’attività commerciale, industriale, artigianale o professionale allo scopo di promuovere la vendita di beni mobili o immobili, la costituzione o il trasferimento di diritti ed obblighi su di essi oppure la prestazione di opere o di servizi.

“Nel dare applicazione alla disposizione, l’Autorità garante della concorrenza e del mercato adotta, in genere, il criterio in base al quale la natura pubblicitaria di una comunicazione d’impresa è rinvenibile ogniqualvolta la promozione di beni o servizi si presenti come lo scopo ‘primario e diretto’ della comunicazione stessa.

Tale accertamento, concernente lo scopo diretto o mediato, primario o secondario, della promozione, viene preliminarmente eseguito sul contenuto della comunicazione, tenendo conto sia delle caratteristiche espressive della comunicazione sia del contesto primario in cui la diffusione risulta essere avvenuta.

Nessun rilievo determinante assume, invece, la qualificazione data alla comunicazione da parte dell’operatore pubblicitario.

La giurisprudenza individua la corretta nozione di ‘pubblicità commerciale’ sulla base dei connotati essenziali dell’oggetto (la comunicazione sociale) e dello scopo (un incremento dei profitti attraverso la sollecitazione della domanda e dei consumi) in relazione ad un determinato prodotto o servizio dell’industria o del commercio” (E. Caruso)[54].

Il trattamento di dati personali[55] consistente nell’invio di una e-mail senza previo consenso del destinatario, bensì al solo fine di ottenere da costui il consenso per la successiva spedizione di comunicazioni commerciali via posta elettronica, risulta sanzionabile alla luce della disciplina di cui al vigente testo unico (art. 167)[56]?

Occorre innanzitutto stabilire se un siffatto messaggio possa essere fatto rientrare nel campo di applicazione del regime di opt-in configurato, quale regola generale per le comunicazioni commerciali, dal sopra citato art. 130 del Codice della privacy, collocato nel titolo X della parte II del testo unico, recante la disciplina delle comunicazioni elettroniche[57].

A parere di chi scrive, non possono ritenersi – di per sé – comunicazioni commerciali le informazioni che consentono un accesso diretto all’attività dell’impresa, del soggetto o dell’organizzazione, come un nome di dominio o un indirizzo di posta elettronica. In ordine, in particolare, all’indirizzo di posta elettronica l’aspetto identificativo deve infatti considerarsi prevalente su quello distintivo. Ciò in linea con la definizione di “comunicazioni commerciali” accolta – sebbene ai soli fini del provvedimento – dal D.L.vo 70/2003 di attuazione della direttiva europea sul commercio elettronico[58].

Secondo il provvedimento da ultimo citato, infatti, per “comunicazioni commerciali” devono intendersi “tutte le forme di comunicazione destinate, in modo diretto o indiretto, a promuovere beni, servizi o l'immagine di un'impresa, di un'organizzazione o di un soggetto che esercita un'attività agricola, commerciale, industriale, artigianale o una libera professione.

Non sono di per sé comunicazioni commerciali:

1) le informazioni che consentono un accesso diretto all'attività dell'impresa, del soggetto o dell'organizzazione, come un nome di dominio, o un indirizzo di posta elettronica;

2) le comunicazioni relative a beni, servizi o all'immagine di tale impresa, soggetto o organizzazione, elaborate in modo indipendente, in particolare senza alcun corrispettivo”.

Una e-mail con la quale l’operatore si limiti a richiedere il consenso per il successivo inoltro di comunicazioni commerciali, indicando, a tal fine, esclusivamente i propri dati identificativi – e, ragionevolmente, entro limiti rigorosi, anche il proprio settore di attività – non pare dunque possa essere fatta rientrare nella previsione di cui all’art. 130, commi 1 e 2, del Codice della privacy, il quale, come sopra visto, si riferisce esclusivamente all’uso dell’e-mail:

- per l’invio di materiale pubblicitario o

- di vendita diretta o

- per il compimento di ricerche di mercato o

- di comunicazione commerciale.

Il genere di messaggio in discorso si pone infatti in una fase antecedente a quella della promozione propriamente intesa, che avrà invece eventualmente inizio solo con l’invio della prima comunicazione commerciale autorizzata dal destinatario.

Conseguentemente, per stabilire la liceità dell’invio di dette comunicazioni a prescindere dal previo consenso informato dell’interessato occorrerà rifarsi alle norme generali di cui agli odierni artt. 23 e 24 del testo unico sulla privacy[59].

Tra le ipotesi di esclusione del consenso contemplate dall’art. 24, vi è, come già rilevato, anche quella, riformulata dal testo unico, dei dati relativi allo svolgimento di attività economiche (art. 24, lett. d))[60].

La corrispondente disposizione dell’abrogata L. 675/1996 (art. 12, lett. f)) contemplava espressamente i dati relativi allo svolgimento di attività economiche raccolti anche a fini di informazioni commerciali o di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva[61].

Nonostante tale ultimo inciso sia stato eliminato dal vigente art. 24 del Codice della privacy, deve comunque ritenersi che la nozione di “dati relativi allo svolgimento di attività economiche” ivi contenuta sia in grado di ricomprendere oggi anche l’ipotesi dell’indirizzo di posta elettronica – ad uso non esclusivamente privato[62] – trattato ai soli fini dell’invio di una richiesta di consenso per la spedizione di future comunicazioni commerciali.

Come sopra visto, infatti, tale genere di messaggi neppure può definirsi, in sé, “comunicazione commerciale”, mentre i dati personali trattati ai fini della comunicazione certamente attengono “allo svolgimento di attività economiche”.

Ove ne ricorrano i presupposti, potrà inoltre trovare applicazione anche l’ipotesi di esclusione del consenso di cui all’odierno art. 24 lett. c), concernente i dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque[63].

Naturalmente, l’interessato, al quale deve comunque essere fornita un’adeguata informativa ex art. 13 del Codice della privacy, potrà – e dovrà essere messo in condizioni di – esercitare nei confronti del suddetto trattamento del suo indirizzo di posta elettronica tutti i diritti che gli sono riconosciuti dall’art. 7 del testo unico; in particolare, il diritto di opposizione per motivi legittimi di cui all’art. 7, comma 4, lett. a)[64].

Alla luce di quanto sopra, almeno con riferimento al B2B[65], la tipologia di messaggio in discorso dovrebbe dunque intendersi soggetta ad un regime di opt-out, con le dovute conseguenze sia sul piano della responsabilità penale sia sul piano della responsabilità civile[66].

I principi di cui all’art. 11 del Codice della privacy[67] suggeriscono d’altra parte di adottare ulteriori cautele a tutela del destinatario, quali ad esempio:

- limitare il più possibile il “peso” del messaggio per ridurre i tempi di download ed i relativi costi;

- effettuare un trattamento istantaneo dell’indirizzo e-mail, senza procedere dunque alla sua archiviazione in banche dati;

- effettuare un invio una tantum o comunque entro un lasso di tempo ragionevolmente ampio;

- inviare l’e-mail di richiesta di consenso solo a coloro che hanno diffuso il proprio indirizzo di posta in Rete per ragioni il più possibile pertinenti all’oggetto delle future comunicazioni commerciali;

- dare all’e-mail un oggetto chiaro che la renda precisamente ed immediatamente identificabile;

- prevedere, infine, modalità che rendano il più agevole ed efficace possibile l’esercizio del diritto di opposizione per motivi legittimi da parte del destinatario del messaggio.

Nei confronti del trattamento in esame, saranno del resto applicabili, ove ne ricorrano i presupposti, tutte le pertinenti norme del Codice della privacy analizzate nei capitoli precedenti, in particolare quelle relative alle misure di sicurezza.

La ricostruzione proposta consente di evitare eccessive restrizioni per gli operatori commerciali, a fronte di un sacrificio ridotto per i destinatari dei messaggi, i quali potranno opporsi in ogni momento alla ricezione di ulteriori comunicazioni analoghe[68].

D’altra parte, lo stesso Garante per la protezione dei dati personali, nel suo recente provvedimento generale sullo spamming[69], ha rilevato che l’invio di una prima e-mail di richiesta di consenso costituisce elusione della normativa sulla privacy solo nel caso il messaggio abbia comunque un contenuto promozionale oppure pubblicitario, o se riconosca solo un diritto di tipo opt-out al fine di non ricevere più messaggi dello stesso tenore.

Finalità promozionali oppure pubblicitarie che, come sopra illustrato, paiono non sussistere nel caso di messaggi di posta elettronica i quali si limitino a richiedere la manifestazione di un consenso in ordine al ricevimento di futuri messaggi a contenuto promozionale o pubblicitario.