Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La dichiarazione del venditore non basta. Occorre verificare origine, condizioni della raccolta, prova e ambito del consenso quando richiesto, destinatari previsti e obblighi informativi del nuovo titolare.
La situazione.
Scenario illustrativo inventato. Una società di formazione compra una lista di responsabili aziendali. Il contratto garantisce genericamente la conformità al GDPR e descrive i contatti come pubblici. Il file non contiene le informative mostrate né evidenze delle scelte. Il fornitore suggerisce un primo invio per verificare chi sia interessato. La società pensa che si tratti soltanto di indirizzi professionali, ma alcuni identificano chiaramente persone fisiche e il messaggio promuoverebbe un corso a pagamento.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
L’email è utilizzata per una promozione commerciale.
- 02
La lista non contiene evidenze verificabili della raccolta.
- 03
La pubblicità del recapito non coincide con consenso all’invio.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’acquisto di un file non trasferisce una generica autorizzazione a fare marketing. Il nuovo utilizzatore deve valutare la disciplina del canale, compreso l’articolo 130 del Codice per le comunicazioni elettroniche, e il proprio ruolo. Se il presupposto invocato è il consenso alla comunicazione o all’impiego da parte di altri titolari, occorre comprenderne specificità, informazione e ambito effettivo: le rassicurazioni commerciali del venditore non sono una prova sufficiente.
I recapiti professionali possono essere dati personali. La loro presenza su un sito, su un albo o in una banca consultabile non rende automaticamente lecito l’invio promozionale. Quando i dati non sono raccolti direttamente, vanno inoltre considerati gli obblighi dell’articolo 14 GDPR e le eventuali eccezioni applicabili, senza usarli per sanare a posteriori la mancanza del presupposto dell’invio. Una prima campagna volta a chiedere il permesso può costituire essa stessa marketing.
Cosa fare, in pratica.
- 01
Bloccare l’importazione nella piattaforma di invio fino alla verifica: tenere il file separato evita attivazioni accidentali di campagne automatiche.
- 02
Richiedere una filiera documentata: fonte, date, testi informativi, scelte raccolte e modalità di trasferimento devono essere valutabili su elementi concreti.
- 03
Verificare che l’offerta e il canale rientrino nell’ambito dichiarato: un eventuale consenso per un servizio o un destinatario non si estende automaticamente a ogni acquirente.
- 04
Progettare l’informativa del nuovo titolare: chiarire provenienza, finalità, diritti e contatti, rispettando il quadro applicabile alla raccolta indiretta.
- 05
Definire gestione delle contestazioni e delle esclusioni: conservare le evidenze necessarie e impedire il reinserimento di chi si oppone, senza alimentare un nuovo archivio superfluo.
L’errore da evitare.
Un contratto che promette “contatti GDPR” distribuisce responsabilità commerciali, ma non dimostra da solo che ciascun invio del compratore sia lecito.
Tre verifiche da portare con te.
- Origine e raccolta dimostrate.
- Canale e finalità coperti dal presupposto.
- Importazione subordinata alla verifica.
La verifica dovrebbe precedere il prezzo e l’importazione. Quando il fornitore non riesce a spiegare come un contatto sia arrivato nella lista, il risparmio di tempo può trasformarsi in un problema operativo.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.