Cosa significa fare marketing con i dati dei clienti?
Prima di parlare di consenso conviene chiarire cosa rientra nelle “finalità di marketing”. Sono tutte le attività con cui un’azienda promuove i propri prodotti o servizi, acquisisce nuovi clienti e rafforza il rapporto con quelli esistenti. Nella pratica si traducono in quattro grandi categorie:
- Comunicazioni promozionali: offerte e sconti inviati via email, SMS o notifiche push per tenere i clienti aggiornati.
- Profilazione: raccolta e analisi di comportamenti, preferenze e interessi per personalizzare le comunicazioni.
- Campagne di retargeting: coinvolgere di nuovo utenti che hanno già mostrato interesse per l’azienda o i suoi prodotti.
- Fidelizzazione: programmi dedicati, promozioni esclusive e raccolte punti per rafforzare la relazione con il brand.
Tutte queste attività hanno un punto in comune: per essere lecite serve una base giuridica. Quando si parla di marketing e profilazione, quella base è quasi sempre il consenso al trattamento dei dati personali dell’utente.
Posso usare i dati dei miei utenti per il marketing?
Sì, puoi farlo, ma solo rispettando le normative sulla privacy, a partire dal GDPR. In concreto significa raccogliere un consenso esplicito e informato: devi spiegare in modo trasparente quali dati raccogli, come li userai e quale vantaggio ne ricava l’utente, ad esempio offerte personalizzate o comunicazioni più rilevanti.
Non è un semplice adempimento formale. Gestire male il consenso espone a sanzioni tutt’altro che simboliche, ed è qui che molte aziende sottovalutano il rischio.
Il trattamento illecito dei dati può costare fino al 4% del fatturato globale annuo o 20 milioni di euro, a seconda di quale importo sia maggiore.
Fonte: GDPR, art. 83
Quando il consenso al marketing è valido?
Perché il consenso alla profilazione regga davanti al GDPR — e a un eventuale controllo del Garante — non basta una spunta qualsiasi. Deve possedere sei caratteristiche precise. Il consenso deve essere:
- Libero: l’utente può accettare o rifiutare senza subire conseguenze.
- Specifico: riferito ad attività chiaramente identificate, non a un generico “marketing”.
- Informato: l’utente sa come e perché vengono raccolti i suoi dati.
- Inequivocabile: manifestato con un’azione attiva e chiara, mai con caselle pre-spuntate.
- Revocabile: ritirabile in qualsiasi momento, con la stessa facilità con cui è stato dato.
- Documentato: registrato con data, ora, indirizzo IP e versione dell’informativa fornita, ad esempio nel registro dei consensi.
C’è poi una distinzione che molte aziende sbagliano: il cookie banner e il consenso alla newsletter non sono la stessa cosa. Il cookie banner raccoglie il consenso all’uso dei dati di navigazione e alla condivisione con terze parti, e compare appena l’utente accede al sito. Il consenso per inviare comunicazioni promozionali è invece separato e specifico. Vanno richiesti in modo chiaro e distinto: confonderli è uno degli errori più comuni, e più sanzionabili.
Le formule di consenso pronte all’uso
Vediamo come si traduce tutto questo in pratica. Ecco alcune formule che puoi adattare sostituendo [Nome Azienda] con i tuoi dati, scegliendo in base al tipo di consenso che ti serve.
Per il marketing diretto
Chiedono il permesso di inviare comunicazioni generali, senza basarsi su una profilazione dettagliata:
“Accetto di ricevere comunicazioni di marketing su prodotti, servizi e promozioni speciali da [Nome Azienda] via email.”
“Desidero ricevere aggiornamenti, promozioni e offerte esclusive da [Nome Azienda] tramite SMS e/o email.”
Per il marketing profilato
Qui il consenso riguarda l’analisi dei dati dell’utente per creare comunicazioni personalizzate, in base a interessi e comportamenti:
“Acconsento alla raccolta e all’uso dei miei dati di navigazione per ricevere comunicazioni personalizzate e consigli su misura da [Nome Azienda].”
“Accetto che [Nome Azienda] utilizzi i miei dati personali e di acquisto per inviare comunicazioni promozionali e suggerimenti basati sui miei interessi e preferenze.”
Con opzione granulare
Lasciano all’utente la scelta del tipo di comunicazioni e dell’uso dei dati:
“Desidero ricevere comunicazioni di marketing su prodotti e servizi da [Nome Azienda].”
“Autorizzo [Nome Azienda] a utilizzare i miei dati per personalizzare offerte e contenuti in base ai miei interessi specifici.”
La regola di fondo è semplice: più la scelta è chiara e granulare, più aumentano le probabilità di ottenere un consenso valido, senza perdere l’utente per eccesso di richieste.
Scarica tutte le formule in un file editabile
Le formule di consenso (diretto, profilato, granulare) pronte da personalizzare, in formato DOCX. Gratis.
I tre tipi di consenso a confronto
Se hai dubbi su quale formula usare, questa tabella riassume le differenze e quando ha senso ricorrere a ciascun tipo.
| Tipo | Cosa autorizza | Quando usarlo |
|---|---|---|
| Diretto | Comunicazioni generali (email, SMS, push) senza profilazione. | Newsletter, offerte generiche. |
| Profilato | Analisi dei dati per comunicazioni personalizzate su interessi e comportamenti. | Offerte su misura, raccomandazioni. |
| Granulare | L’utente sceglie il tipo di comunicazioni e l’uso dei dati. | Centro preferenze, opt-in multipli. |
Come conservare la prova del consenso
Ottenuto il consenso, il lavoro non è finito. Per superare un eventuale controllo devi poterlo dimostrare: in caso di verifica da parte dell’utente o del Garante, devi conservare una prova di come e quando l’hai raccolto. Senza questa documentazione, anche un consenso raccolto correttamente diventa impossibile da difendere. In pratica conviene registrare:
- Data e ora: il momento preciso in cui il consenso è stato fornito.
- Versione dell’informativa: la privacy policy in vigore al momento della raccolta.
- Modalità di raccolta: modulo online, checkbox o altro.
- Prova dell’azione: un log o uno screenshot della spunta o del clic dell’utente.
- Finalità specifica: il tipo di marketing per cui il consenso è stato concesso.
È esattamente il tipo di archivio che una Consent Management Platform come Avacy tiene in automatico, con uno storico completo di consensi, aggiornamenti e revoche.
Per quanto tempo vanno conservati?
Con il provvedimento del 15 ottobre 2020 il Garante ha chiarito che il solo decorso del tempo non basta a rendere inidoneo un consenso al marketing:
“Il solo decorso del tempo non è un parametro sufficiente, di per sé, per valutare l’idoneità della base giuridica. Il consenso al trattamento dei dati personali per finalità promozionali, in quanto massima espressione dell’autodeterminazione dell’individuo, deve ritenersi valido, indipendentemente dal tempo trascorso, finché non venga revocato dall’interessato.”
Garante per la Protezione dei Dati Personali — Provvedimento del 15 ottobre 2020
È dunque il titolare del trattamento a decidere il tempo di conservazione, indicandolo nell’informativa privacy. Attenzione però a non leggere questo principio come “via libera a conservare per sempre”: in un provvedimento successivo del 2022, il Garante ha giudicato “palesemente ed immotivatamente eccessiva” una conservazione che superava ampiamente i termini storici di 24 mesi per il marketing e 12 mesi per la profilazione, fissati nel 2005 con il provvedimento “Fidelity Card” e ancora oggi usati come parametro di riferimento. In pratica: puoi motivare un periodo diverso, ma devi giustificarlo rispetto alla finalità concreta, non lasciarlo indefinito.
Gli utenti mantengono in ogni caso il diritto di modificare o revocare il proprio consenso in qualsiasi momento. Le CMP come Avacy permettono di aggiornarlo o revocarlo con facilità, conservando traccia di tutte le modifiche effettuate.
Cosa scrivere nell’informativa privacy
L’informativa per marketing e profilazione deve rispettare i requisiti del GDPR. Senza scendere nel legalese, questi sono gli elementi che non possono mancare:
- Identità e contatti del titolare del trattamento.
- Finalità del trattamento, distinguendo marketing diretto e profilazione.
- Tipologia di dati raccolti per ciascuna finalità.
- Base giuridica: per queste finalità è il consenso esplicito, sempre revocabile.
- Modalità di raccolta dei dati (moduli, cookie, tecnologie di tracciamento).
- Condivisione dei dati con terze parti, verificando che i fornitori siano conformi al GDPR.
- Periodo di conservazione dei dati raccolti.
- Diritti dell’utente: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità, revoca.
- Modalità di revoca del consenso, semplice e immediata.
- Contatti del DPO, se l’azienda è tenuta a nominarlo.
- Modalità di aggiornamento dell’informativa.
Più questi punti sono espressi in modo chiaro, più il consenso che ne deriva sarà solido davanti a un controllo.
