Soft spam in Italia: stiamo correttamente applicando la norma?
Published on 5th Dec 2023
Analisi di un possibile svantaggio competitivo.
Lo status quo
Come noto, l'art. 130 del d.lgs. 196/2003 (Codice in materia di protezione dei dati personali – "Codice") prevede che l'uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente. Il secondo comma estende la preventiva richiesta del consenso alle comunicazioni elettroniche, effettuate per le medesime finalità, mediante posta elettronica, telefax, messaggi Mms o Sms o di altro tipo.
Una eccezione è prevista al quarto comma – la cosiddetta eccezione di "soft spam" – per cui non è richiesto il consenso
- se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica
- fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio,
- sempre che si tratti di servizi[1] analoghi a quelli oggetto della vendita e
- l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni e
- l'interessato, al momento della raccolta e in occasione dell'invio di ogni comunicazione effettuata per queste finalità, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente.
La norma è da sempre intesa e applicata limitatamente alle sole email. Corte di Cassazione e Garante per la protezione dei dati personali lo confermano.
Ma è possibile una lettura diversa della norma?
L'inquadramento normativo
Questa norma è inserita nel Titolo X della seconda parte del Codice, denominato "Comunicazioni elettroniche".
All'inizio del Titolo X sono inserite alcune definizioni, in particolare si legge nell'art. 121, comma 1bis, lettera m) che "ai fini dell'applicazione delle disposizioni del presente titolo si intende per… «posta elettronica», messaggi contenenti testi, voci, suoni o immagini trasmessi attraverso una rete pubblica di comunicazione, che possono essere archiviati in rete o nell'apparecchiatura terminale ricevente, fino a che il ricevente non ne ha preso conoscenza".
Quindi, nell'ambito del Titolo X della seconda parte del Codice dobbiamo considerare che "posta elettronica" è:
- qualunque messaggio contenente testi, voci, suoni o immagini
- trasmesso attraverso una rete pubblica di comunicazione
- archiviabile in rete o nel dispositivo terminale del ricevente.
Già ad una prima lettura della definizione e senza avventurarsi in altre definizioni presenti all'inizio del Titolo X e senza nemmeno considerare le definizioni presenti nel Codice delle Comunicazioni Elettroniche (d. lgs. 259/2003), appare evidente che i requisiti individuati dalla definizione di "posta elettronica" sono soddisfatti almeno dagli Sms.
Particolare non trascurabile è che, nel Titolo X, l'espressione "posta elettronica" è utilizzata solamente nell'articolo 130.
Quindi delle due l'una: o la definizione ha un senso e va applicata (sostanzialmente ripensando l'approccio adottato finora) oppure è una norma che non ha un senso e va correttamente disapplicata, come fatto finora.
In quale modo la definizione sopra riportata si concilia con l'interpretazione italiana che limita l'applicazione della norma all'utilizzo delle email?
L'origine europea di queste norme
Queste norme fanno parte del recepimento italiano della direttiva e-Privacy, la 2002/58/CE poi riformata dalla 2009/136/CE. In particolare queste norme sono contenute nell'art. 13 della direttiva, rubricato "Comunicazioni indesiderate" (unsolicited communications).
Fermo restando che la definizione italiana di "posta elettronica" è la medesima di quella della direttiva e-Privacy, per quanto qui rileva, nella direttiva si legge quanto segue.
| Testo in italiano | Testo in inglese |
| 40) Occorre prevedere misure per tutelare gli abbonati da interferenze nella loro vita privata mediante comunicazioni indesiderate a scopo di commercializzazione diretta, in particolare mediante dispositivi automatici di chiamata, telefax o posta elettronica, compresi i messaggi SMS. Tali forme di comunicazioni commerciali indesiderate possono da un lato essere relativamente facili ed economiche da inviare e dall'altro imporre un onere e/o un costo al destinatario. Inoltre, in taluni casi il loro volume può causare difficoltà per le reti di comunicazione elettronica e le apparecchiature terminali. Per tali forme di comunicazioni indesiderate a scopo di commercializzazione diretta è giustificato prevedere che le relative chiamate possano essere inviate ai destinatari solo previo consenso esplicito di questi ultimi. Il mercato unico prevede un approccio armonizzato per garantire norme semplici a livello comunitario per le aziende e gli utenti. | 40) Safeguards should be provided for subscribers against intrusion of their privacy by unsolicited communications for direct marketing purposes in particular by means of automated calling machines, telefaxes, and e-mails, including SMS messages. These forms of unsolicited commercial communications may on the one hand be relatively easy and cheap to send and on the other may impose a burden and/or cost on the recipient. Moreover, in some cases their volume may also cause difficulties for electronic communications networks and terminal equipment. For such forms of unsolicited communications for direct marketing, it is justified to require that prior explicit consent of the recipients is obtained before such communications are addressed to them. The single market requires a harmonised approach to ensure simple, Community-wide rules for businesses and users. |
| 41) Nel contesto di una relazione di clientela già esistente è ragionevole consentire l'uso delle coordinate elettroniche per offrire prodotti o servizi analoghi, ma unicamente da parte della medesima società che ha ottenuto le coordinate elettroniche a norma della direttiva 95/46/CE. Allorché tali coordinate sono ottenute, il cliente dovrebbe essere informato sul loro uso successivo a scopi di commercializzazione diretta in maniera chiara e distinta, ed avere la possibilità di rifiutare tale uso. Tale opportunità dovrebbe continuare ad essere offerta gratuitamente per ogni successivo messaggio a scopi di commercializzazione diretta, ad eccezione degli eventuali costi relativi alla trasmissione del suo rifiuto. | 41) Within the context of an existing customer relationship, it is reasonable to allow the use of electronic contact details for the offering of similar products or services, but only by the same company that has obtained the electronic contact details in accordance with Directive 95/46/EC. When electronic contact details are obtained, the customer should be informed about their further use for direct marketing in a clear and distinct manner, and be given the opportunity to refuse such usage. This opportunity should continue to be offered with each subsequent direct marketing message, free of charge, except for any costs for the transmission of this refusal. |
Parrebbe quindi che il legislatore europeo abbia inteso inserire almeno gli SMS nel macro-insieme della "posta elettronica" da intendersi come è stata definita nella norma, sia europea che italiana.
Tale comprensione della norma è la stessa delle autorità di controllo europee che, in seno al Working Party Art. 29, nel Parere 5/2004 relativo alle comunicazioni indesiderate a fini di commercializzazione diretta ai sensi dell'articolo 13 della direttiva 2002/58/CE adottato il 27 febbraio 2004, analizzavano così la questione.
| Testo in italiano | Testo in inglese |
I concetti di macchine facsimili (fax) o di sistemi di chiamata automatica senza intervento umano (apparati di chiamata automatica) erano presenti nella direttiva 97/66/CE, atto predecessore della direttiva 2002/58/CE, ma il concetto di "posta elettronica" è nuovo e merita un'attenzione specifica… In breve, questo concetto di posta elettronica comprende qualunque messaggio inviato mediante comunicazioni elettroniche che non richieda la partecipazione simultanea del mittente e del ricevente. Questa definizione è ampia e si sforza di essere tecnologicamente neutra. L'obiettivo era di adattare la direttiva precedente alla direttiva 2002/58/CE “agli sviluppi verificatisi nei mercati e nelle tecnologie dei servizi di comunicazione elettronica, in guisa da fornire un pari livello di tutela dei dati personali e della vita privata agli utenti dei servizi di comunicazione elettronica accessibili al pubblico, indipendentemente dalle tecnologie utilizzate” (considerando 4 della direttiva 2002/58/CE). Ad esempio, i servizi attualmente coperti dalla definizione di posta elettronica comprendono: la posta basata sul protocollo SMTP (Simple Mail Transport Protocol), vale a dire la "posta elettronica" classica; il servizio di messaggi brevi "SMS" (il considerando 40 della direttiva 2002/58/CE chiarisce che la posta elettronica comprende gli SMS); i servizi di messaggi multimediali "MMS"; i messaggi nelle segreterie telefoniche; i sistemi di messaggeria vocale compresi nei servizi mobili; infine, le comunicazioni inviate tramite internet e dirette a un indirizzo IP. Anche i bollettini di informazione inviati per posta elettronica sono compresi in questa definizione. Questo elenco non può essere considerato esaustivo e può richiedere una revisione che tenga conto dei progressi del marketing e della tecnologia. | While the concepts of facsimile machines (fax) or automated calling systems without human intervention (automated calling machines) were present in Directive 97/66/EC, the predecessor of Directive 2002/58/EC, the concept of “electronic mail” is new and deserves specific attention… In short, any message by electronic communications where the simultaneous participation of the sender and the recipient is not required is covered by this concept of electronic mail. This definition is broad and intended to be technology neutral. The objective was to adapt the predecessor of Directive 2002/58/EC to “developments in the markets and the technologies for electronic communications services in order to provide an equal level of protection of personal data and privacy for users of publicly available electronic communications services, regardless of the technologies used.” (Recital 4 of Directive 2002/58/EC). As an illustration, services currently covered by the definition of electronic mail include: Simple Mail Transport Protocol or ‘SMTP’-based mail, i.e. the classic ‘e-mail’; Short Message Service or ‘SMS’-based mail (Recital 40 of Directive 2002/58/EC indeed clarifies that electronic mail also includes SMS); Multimedia Messaging Service or ‘MMS’-based mail; messages left on answering machines; voice mail service systems including on mobile services; ‘net send’ communications addressed directly to an IP address. Newsletters sent by email also fall under the scope of this definition. Such a list cannot be considered as exhaustive and might have to be revised in view of market and technology developments. |
La direttiva e-Privacy è stata modificata dalla direttiva 2009/136/CE e, per quanto qui di interesse, rileva il considerando 67:
| Testo in italiano | Testo in inglese |
| 67) La protezione garantita agli abbonati contro le intrusioni nella loro vita privata con comunicazioni indesiderate a fini di commercializzazione diretta mediante la posta elettronica dovrebbe essere applicabile anche agli SMS, agli MMS e a altri tipi di applicazioni con caratteristiche analoghe. | 67) Safeguards provided for subscribers against intrusion into their privacy by unsolicited communications for direct marketing purposes by means of electronic mail should also be applicable to SMS, MMS and other kinds of similar applications. |
Visto che la direttiva 2009/136/CE non modifica la definizione di "posta elettronica" e sostanzialmente, per quanto qui ci riguarda, riformula senza significative modifiche l'art. 13 sulle comunicazioni indesiderate, tenderemmo a leggere quel considerando come una sorta di memento circa l'ampiezza della definizione di "posta elettronica".
Per completezza riportiamo l'art. 13 della direttiva e-Privacy nella versione del 2002 e del 2009:
| Testo italiano 2002/58/CE | Testo italiano 2009/136/CE |
Comunicazioni indesiderate 1. L'uso di sistemi automatizzati di chiamata senza intervento di un operatore (dispositivi automatici di chiamata), del telefax o della posta elettronica a fini di commercializzazione diretta è consentito soltanto nei confronti degli abbonati che abbiano espresso preliminarmente il loro consenso. | Comunicazioni indesiderate 1. L’uso di sistemi automatizzati di chiamata e di comunicazione senza intervento di un operatore (dispositivi automatici di chiamata), del telefax o della posta elettronica a fini di commercializzazione diretta è consentito soltanto nei confronti degli abbonati o degli utenti che abbiano espresso preliminarmente il loro consenso. |
| Testo inglese 2002/58/CE | Testo inglese 2009/136/CE |
Unsolicited communications 1. The use of automated calling systems without human intervention (automatic calling machines), facsimile machines (fax) or electronic mail for the purposes of direct marketing may only be allowed in respect of subscribers who have given their prior consent. | Unsolicited communications 1. The use of automated calling and communication systems without human intervention (automatic calling machines), facsimile machines (fax) or electronic mail for the purposes of direct marketing may |
In sostanza, a livello europeo, la modifica del 2009 non ha inciso sull'ampiezza della eccezione di soft spam prevista fin dal 2002.
Il legislatore europeo ha quindi inteso con "posta elettronica" non solo le email ma tutti quei messaggi con le caratteristiche sintetizzate dal Working Party 29: qualunque messaggio inviato mediante comunicazioni elettroniche che non richieda la partecipazione simultanea del mittente e del ricevente. Questa definizione è ampia e si sforza di essere tecnologicamente neutra.
Per completezza, riportiamo anche il testo di recepimento italiano originario previsto nel Codice in materia di protezione dei dati personali e quello attuale:
| Testo originario che recepisce la direttiva 2002/58/CE in vigore dal primo gennaio 2004 | Testo attuale che recepisce la direttiva 2009/136/CE |
(Comunicazioni indesiderate) 1. L'uso di sistemi automatizzati di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso dell'interessato. [omissis] 4. Fatto salvo quanto previsto nel comma 1, se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L'interessato, al momento della raccolta e in occasione dell'invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente. | (Comunicazioni indesiderate) 1. [omissis] 4. Fatto salvo quanto previsto nel comma 1 , se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L'interessato, al momento della raccolta e in occasione dell'invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente |
Ai fini dell'ambito applicativo della eccezione del quarto comma, le modifiche legislative che si sono susseguite non hanno inciso sul tema che è oggetto di questa analisi. Tuttavia si continua a comprendere e, soprattutto, applicare l'eccezione di soft spam solo ed esclusivamente con riferimento alle email.
Qui non si tratta di forzare le maglie di una eccezione e farne applicazione analogica.
Qui si tratta di capire la definizione di "posta elettronica" e applicarla.
La definizione di "posta elettronica" alla luce delle nuove definizioni del Codice delle comunicazioni elettroniche
Finora, per non complicare il ragionamento, ci siamo fermati agli SMS (vista anche la sanzione del Garante lo scorso luglio 2023 proprio su questo tema).
Ciò detto, dal momento che
- la definizione di "posta elettronica" (lettera m) dell'art. 121, comma 1bis del Codice) va letta alla luce di quella di "rete pubblica di comunicazione",
- la definizione di "rete pubblica di comunicazione"[3] (lettera d) dell'art. 121, comma 1bis del Codice), a sua volta, rimanda a quella di "servizio di comunicazione elettronica",
- la definizione di "servizio di comunicazione elettronica"[4] (lettera e) dell'art. 121, comma 1bis del Codice) rimanda a quella della direttiva 2002/21/CE recepita in Italia nel Codice delle Comunicazioni Elettroniche (d. lgs. 259/2003),
- Il nuovo Codice Europeo delle Comunicazioni Elettroniche (direttiva 2018/272) ha abrogato la direttiva 2002/21/CE e ha previsto una nuova definizione di "servizio di comunicazione elettronica" che ricomprende anche i servizi di comunicazione interpersonale sia basati sul numero telefonico (e.g. Whatsapp) che non basati sul numero,
- queste norme sono recepite in Italia nel decreto legislativo 259/2003 (Codice delle Comunicazioni Elettroniche),
ne deriva che la definizione di "posta elettronica" prevista nel Codice in materia di protezione dei dati personali
i. non riguarda solo le email
ii. ma comprende anche MMS, SMS e
iii. anche messaggi Whatsapp e tutti quei messaggi che integrano la definizione di cui all'articolo 121, comma 1bis del Codice (che rimanda alla nuova definizione di servizio di comunicazione elettronica inserita nel Codice delle Comunicazioni Elettroniche).
Conclusioni
Ci sono molti argomenti giuridici per affermare che la "posta elettronica" di cui all'eccezione di "soft spam" non riguardi solo le email ma molte altre tipologie di messaggi.
Al momento abbiamo una definizione di legge - quella di "posta elettronica" - che non è considerata in alcun modo né di fronte al Garante per la protezione dei dati personali né di fronte ai tribunali ordinari e una norma eccezionale che, a parità di formulazione e perimetro, non appare applicata in linea con quella europea di provenienza.
In varie giurisdizioni europee l'ambito applicativo dell'eccezione è esattamente quello qui sopra riportato, a valle di questa disamina delle norme europee. Si consideri anche che questa situazione pone le società italiane (che agiscono come titolari del trattamento) in un irragionevole svantaggio competitivo rispetto ad altri concorrenti stabiliti in Stati Europei come la Francia, la Germania, il Belgio e l'Olanda, solo per citarne alcuni.
Auspichiamo pertanto un ripensamento dell'applicazione dell'articolo 130 comma 4 del Codice in materia di protezione dei dati personali.
__________
Note
[1] La norma non cita qui anche i prodotti ma è ragionevole attendersi che siano ricompresi.
[2] Questa aggiunta non rileva ai fini della questione e non deriva dalla direttiva e-Privacy. Tuttavia siccome fa parte della norma attuale è stata qui mantenuta.
[3] «rete pubblica di comunicazioni»: una rete di comunicazione elettronica utilizzata interamente o prevalentemente per fornire servizi di comunicazione elettronica accessibili al pubblico, che supporta il trasferimento di informazioni tra i punti terminali di reti.
[4] «servizio di comunicazione elettronica»: i servizi consistenti esclusivamente o prevalentemente nella trasmissione di segnali su reti di comunicazioni elettroniche, compresi i servizi di telecomunicazioni e i servizi di trasmissione nelle reti utilizzate per la diffusione circolare radiotelevisiva, nei limiti previsti dall'articolo 2, lettera c), della direttiva 2002/21/CE del Parlamento europeo e del Consiglio, del 7 marzo 2002.
