Nell’attesa che il Regolamento ePrivacy entri in vigore integrando così le prescrizioni del GDPR e andando a completare il quadro normativo europeo di protezione dei dati personali, l’attività di social marketing risente dell’effetto di alcune incertezze normative generate dalla sovrapposizione di norme non ancora perfettamente armonizzate. Fra queste, ci si chiede se l’applicazione del soft spam per le attività di social marketing sia attualmente ipotizzabile. In caso di risposta affermativa, è necessario individuare taluni casi per cui sia possibile una comunicazione commerciale fondata non sulla base giuridica del consenso prestato da parte dell’interessato ma del legittimo interesse perseguito dal titolare del trattamento (es. il gestore della pagina, del canale o del gruppo social).
Dal momento che l’attività di “social soft spam” ha come base giuridica il legittimo interesse del titolare del trattamento, occorrerà verificarne la sussistenza: il legittimo interesse deve difatti essere individuato, valutato ed infine bilanciato con interessi, diritti e libertà fondamentali dell’interessato[1]. Dal momento che la deroga al consenso ha carattere eccezionale, con riguardo al social soft spam non si ritiene poter sussistere la possibilità di estendere tale base giuridica al legittimo interesse perseguito da una terza parte (ad es. uno sponsor della pagina o del gruppo).
L’individuazione e la definizione di un legittimo interesse lecito, specifico ed attuale perseguito sono attività necessarie anche per garantire informazione e trasparenza agli interessati. Soccorre sul punto il catalogo esemplificativo offerto dal Considerando n. 47 GDPR, il quale richiama i criteri per l’identificazione del legittimo interesse fra cui le «ragionevoli aspettative nutrite dall’interessato in base alla sua relazione con il titolare» che abbia luogo un trattamento a tale finalità. Dovendo leggere in concreto il ricorrere di tali aspettative, è corretto quanto meno verificare che la natura o gli scopi di un gruppo o un canale social siano coerenti con l’attività di promozione di servizi o prodotti e, ovviamente, sarà necessario limitare l’attività di promozione ai soli contatti con cui vi è un collegamento diretto (cc.dd. di “primo livello”).
La valutazione di necessità dell’attività di trattamento alla realizzazione del legittimo interesse avviene tenendo conto della sua pertinenza ed appropriatezza, anche per consentire al titolare di valutare alternative di trattamento meno invasive. Nell’ambito del social marketing alcuni dei fattori da considerare, oltre ovviamente alla già citata riconducibilità dell’attività al canale o al gruppo di riferimento, sono sicuramente sia la frequenza che i contenuti delle comunicazioni.
Il bilanciamento dell’interesse con «gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali»[2] deve infine essere svolto per verificare la non prevalenza in favore dell’interessato di interessi, diritti e libertà fondamentali (interpretati nel senso più ampio ed esteso) di carattere oppositivo rispetto all’attività di trattamento. Tenendo conto di circostanze, ragionevoli aspettative dell’interessato nonché dell’impatto del trattamento nei confronti delle persone fisiche, il titolare può individuare particolari misure di salvaguardia e garanzia da adottare. Tali misure possono consistere ad esempio in un opt-out agevolato, una maggiore trasparenza del trattamento, l’adozione di particolari tutele o tecnologie cc.dd. privacy-enhancing, la predisposizione di presidi per garantire un migliore esercizio dei diritti da parte degli interessati e, in particolare, le modalità di esercizio del diritto di opposizione ai trattamenti per finalità di marketing diretto previsto dall’art. 21.2 GDPR.
In attesa che il Regolamento ePrivacy
entri in vigore offrendo risposte chiare a riguardo, l’estensione del soft spam
all’ambito del social marketing sembra purtroppo destinata restare, in assenza
di posizioni da parte delle autorità di controllo, soltanto nel campo delle
ipotesi.
