Il legittimo interesse non è il passepartout per le attività di marketing. La check-list per fare il bilanciamento
Nel marketing il legittimo interesse va usato con il contagocce, mentre la regola base è il consenso, salvi i casi, previsti dalla legge, di “opt out” e di “soft spam”. È quanto è lecito desumere dal provvedimento del Garante per la protezione dei dati personali n. 7 del 15 gennaio 2020.
Il provvedimento, infatti, si segnala nella parte in cui fornisce un’interpretazione autorevole della base giuridica da applicare ai trattamenti di dati per scopo di marketing.
A tale proposito Il Garante formula la seguente regola: per il trattamento di dati relativo alle attività di marketing non può invocarsi quale base giuridica generale quella del “legittimo interesse” del titolare.
In proposito, il Garante evidenzia che il legittimo interesse non può surrogare - in via generale - il consenso dell’interessato quale base giuridica del marketing.
Spiega il Garante, infatti che il GDPR, in continuità con la direttiva 95/46/CE, art. 7, comma 1, lett. f), ammette il legittimo interesse solo “a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali”.
Inoltre, aggiunge il Garante, il medesimo considerando 47 al GDPR, che pure dichiara applicabile il legittimo interesse al marketing, nel contempo esige, che si tengano in debito “conto le ragionevoli aspettative nutrite dall'interessato in base alla sua relazione con il titolare del trattamento”.
L’approccio del GDPR, dunque, non è di aprire un varco, ma è caratterizzato, al contrario, da rigore e prudenza.
Il Garante dettaglia il suo orientamento, riprendendo testualmente il considerando 47: “potrebbero sussistere tali legittimi interessi quando esista una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente o è alle dipendenze del titolare del trattamento.
In ogni caso, l'esistenza di legittimi interessi richiede un'attenta valutazione anche in merito all'eventualità che l'interessato, al momento e nell'ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine. Gli interessi e i diritti fondamentali dell'interessato potrebbero in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati personali”.
La conseguenza tratta dal Garante è che l'applicazione della base giuridica del legittimo interesse presuppone, quindi, la prevalenza in concreto di quest'ultimo sui diritti, libertà e meri interessi degli interessati, cioè dei destinatari delle comunicazioni promozionali non assistite dal consenso.
Il giudizio di prevalenza deve scaturire da un bilanciamento rimesso al titolare, ma sempre valutabile dall'Autorità di controllo. (Si veda in proposito la check-list “Flusso della valutazione di impatto del legittimo interesse”, scaricabile gratuitamente dagli associati nell'area download).
Su un piatto della bilancia si inserirà la finalità del titolare del trattamento e sull’altra il contrappeso rappresentato dai diritti, libertà ed interessi, fra cui il diritto alla protezione dei dati e il diritto alla tranquillità individuale dell’interessato, avendo cura di agevolare, tra gli altri, il diritto di opposizione.
Corollario dell’impostazione del Garante è che il titolare del trattamento non può ricorrere retroattivamente alla base dell’interesse legittimo in caso di problemi di validità del consenso. Poiché ha l’obbligo di comunicare, nell’informativa rilasciata all’interessato, la base legittima al momento della raccolta dei dati personali, il titolare del trattamento deve aver deciso la base legittima prima della raccolta dei dati.
Nell’ambito del marketing, abbiamo, alla luce del provvedimento in commento, una serie di possibilità:
1) la regola generale da seguire per i trattamenti per finalità promozionali è quella del previo consenso informato, libero, specifico e documentato degli interessati;
2) il “soft spam” (articolo 130, comma 4, Codice Privacy);
3) il sistema di “opt-out” per i dati presenti negli elenchi pubblici;
4) il legittimo interesse (in ipotesi limitate e previo apposito assessment).
Quanto al consenso, allo stato, sono vigenti, salvo il giudizio di compatibilità, il provvedimento di Linee Guida del Garante in materia promozionale, 4 luglio 2013, e il provvedimento gen. 19 gennaio 2011,“Prescrizioni per il trattamento di dati personali per finalità di marketing, mediante l´impiego del telefono con operatore, a seguito dell´istituzione del registro pubblico delle opposizioni”.
Tali provvedimenti, nel ricordare la necessità, anche rispetto alle utenze di imprese o liberi professionisti reperibili in elenchi o albi pubblici, l’ulteriore stringente limite, nel rispetto del principio di ‘finalità’, della stretta e diretta funzionalità fra le offerte promozionali telefoniche e oggetto specifico dell’attività imprenditoriale/professionale, hanno chiarito che, al di fuori dei summenzionati casi, il trattamento per finalità promozionali dei “dati contenuti in banche dati comunque formate è consentito solamente nel rispetto dei principi generali del Codice e quindi solo previo rilascio di una idonea informativa e l´acquisizione dello specifico consenso…..”): a proposito del giudizio di compatibilità con il GDPR, il Garante rileva che i principi formulati dai provvedimenti citati sono stati confermati e anzi resi più stringenti dal GDPR mediante le previsioni di cui agli artt. 6, 7, 12 e 13.
