Consenso per il marketing: come raccoglierlo secondo il GDPR

Trattamento dei dati per finalità di marketing: cosa significa?

Le finalità di marketing comprendono diverse attività mirate a promuovere i prodotti o servizi di un’azienda, a raggiungere nuovi clienti e a rafforzare la relazione con quelli esistenti. Nella pratica si traducono in quattro grandi categorie:

• Fidelizzazione dei clienti: programmi dedicati, promozioni esclusive e raccolte punti per rafforzare la relazione con il brand.
• Comunicazioni promozionali: offerte e sconti inviati via email, SMS o notifiche push per tenere i clienti aggiornati sulle ultime novità.
• Profilazione degli utenti: raccolta e analisi di comportamenti, preferenze e interessi per personalizzare le comunicazioni e offrire contenuti su misura.
• Campagne di retargeting: coinvolgere nuovamente utenti che hanno mostrato interesse per l’azienda o i suoi prodotti.

Posso utilizzare i dati dei miei utenti a fini marketing?

Sì, puoi utilizzare i dati dei tuoi utenti a fini di marketing, ma solo se rispetti le normative sulla privacy, come il GDPR.

Il trattamento dei dati personali per scopi di marketing e profilazione richiede il consenso esplicito e informato degli utenti. È fondamentale spiegare in modo trasparente quali dati vengono raccolti, come verranno utilizzati, e quali sono i vantaggi per l’utente, come offerte personalizzate o comunicazioni rilevanti.

Gestire il consenso in modo etico e conforme è fondamentale per evitare sanzioni salate.

Il consenso per finalità di marketing

Il GDPR richiede che, per la profilazione degli utenti a scopi di marketing, sia necessario ottenere il consenso dell’utente al trattamento dei suoi dati personali. Il consenso deve essere:

• Libero: l’utente deve poter scegliere se accettare o rifiutare la profilazione.
• Specifico: il consenso deve riguardare attività specifiche e chiaramente identificate.
• Informato: l’utente deve sapere come e perché vengono raccolti i suoi dati.
• Inequivocabile: il consenso deve essere chiaro e manifestato attraverso un’azione specifica.
• Revocabile: gli utenti devono poter revocare il loro consenso in qualsiasi momento.
• Documentato: mantieni un registro dettagliato dei consensi ottenuti, con data, ora, indirizzo IP e contenuto dell’informativa fornita.

Per richiedere il consenso in modo conforme, è importante distinguere il tipo di consenso necessario:

• Cookie banner: va inserito sul sito per permettere agli utenti di accettare o rifiutare l’uso dei dati di navigazione e la condivisione con fornitori terzi. Compare appena l’utente accede al sito.
• Consenso per invio di comunicazioni promozionali (es. newsletter): un consenso specifico e separato, che informa chiaramente sull’uso dei dati per il solo invio di comunicazioni.

Assicurarsi che entrambi i consensi siano richiesti in modo chiaro e separato è fondamentale per rispettare le normative sulla privacy.

Esempi di formulazioni del consenso

Consenso per il marketing diretto

Chiedono il permesso di ricevere comunicazioni generali (email, SMS, notifiche) senza basarsi su una profilazione dettagliata:

“Accetto di ricevere comunicazioni di marketing su prodotti, servizi e promozioni speciali da [Nome Azienda] via email.”

“Desidero ricevere aggiornamenti, promozioni e offerte esclusive da [Nome Azienda] tramite SMS e/o email.”

“Dando il mio consenso, accetto di ricevere newsletter e informazioni sulle ultime novità da parte di [Nome Azienda] via email.”

Consenso per il marketing profilato

Il consenso si riferisce all’analisi dei dati dell’utente per creare comunicazioni personalizzate, in base a interessi e comportamenti specifici:

“Acconsento alla raccolta e all’uso dei miei dati di navigazione per ricevere comunicazioni personalizzate e consigli su misura da [Nome Azienda].”

“Dando il mio consenso, autorizzo [Nome Azienda] a inviarmi offerte e contenuti personalizzati in base ai miei interessi e al mio comportamento di navigazione.”

“Accetto che [Nome Azienda] utilizzi i miei dati personali e di acquisto per inviare comunicazioni promozionali e suggerimenti basati sui miei interessi e preferenze.”

Consenso con opzione granulare

Offre all’utente la possibilità di scegliere il tipo di comunicazioni che desidera ricevere e come saranno usati i dati:

“Desidero ricevere comunicazioni di marketing su prodotti e servizi da [Nome Azienda].”

“Autorizzo [Nome Azienda] a utilizzare i miei dati per personalizzare offerte e contenuti in base ai miei interessi specifici.”

Includere la possibilità di scelta e descrivere le finalità in modo semplice e trasparente aiuta a rispettare la privacy degli utenti, aumentando le possibilità di ottenere un consenso valido e informato.

I tre tipi di consenso a confronto

Se hai dubbi su quale formula usare, questa tabella riassume le differenze e quando ha senso ricorrere a ciascun tipo.

Conservazione del consenso per scopi di marketing

Ok, ora che hai ricevuto il consenso dell’utente, è tutto finito? No, per evitare problemi durante eventuali controlli, è necessario conservare una prova del consenso ottenuto.

La conservazione del consenso è essenziale per poter dimostrare, in caso di verifica o richiesta da parte dell’utente o del Garante, che il consenso è stato ottenuto in maniera corretta. Senza la prova documentata, un’azienda potrebbe incorrere in sanzioni e danni alla propria reputazione. Le informazioni da conservare includono:

• Data e ora: il momento preciso in cui il consenso è stato fornito.
• Versione dell’informativa: la privacy policy in vigore al momento della raccolta.
• Modalità di raccolta: modulo online, checkbox o in altro modo.
• Prova del consenso: uno screenshot o un log dell’azione compiuta dall’utente (spunta di una casella o clic su un pulsante).
• Finalità specifiche: il tipo di marketing per cui il consenso è stato concesso (marketing diretto, profilazione, ecc.).

La conservazione sicura e tracciabile di questi dati è fondamentale. Prima di adottare una soluzione, verifica se il tuo sistema attuale è già in grado di registrare e gestire i consensi in modo adeguato; in alternativa puoi integrare una Consent Management Platform (CMP) come Avacy, progettata per archiviare i consensi in modo sicuro, garantirne la tracciabilità e offrire una gestione centralizzata.

Sulla durata della conservazione, il provvedimento del Garante n. 181 del 15 ottobre 2020 ha chiarito che non è il tempo trascorso a rendere di per sé inidoneo un consenso al marketing:

“Il solo decorso del tempo non è un parametro sufficiente, di per sé, per valutare l’idoneità della base giuridica. Il consenso al trattamento dei dati personali per finalità promozionali, in quanto massima espressione dell’autodeterminazione dell’individuo, deve ritenersi valido, indipendentemente dal tempo trascorso, finché non venga revocato dall’interessato.”

Garante per la Protezione dei Dati Personali – Provvedimento del 15 ottobre 2020

È dunque il titolare del trattamento a decidere il tempo di conservazione, indicandolo nell’informativa privacy. Attenzione però a non leggere questo principio come “via libera a conservare per sempre”: in un provvedimento successivo del 2022, lo stesso Garante ha giudicato “palesemente ed immotivatamente eccessiva” una conservazione che superava ampiamente i termini storici di 24 mesi per il marketing e 12 mesi per la profilazione, fissati nel 2005 con il provvedimento “Fidelity Card” e tuttora usati come parametro di riferimento quando si valuta se un periodo è sproporzionato. In pratica: puoi motivare un periodo diverso da questi termini, ma devi comunque poterlo giustificare rispetto alla finalità concreta, non lasciarlo indefinito.

Gli utenti mantengono in ogni caso il diritto di modificare o revocare il proprio consenso in qualsiasi momento. Le CMP come Avacy permettono di aggiornarlo o revocarlo con facilità e di conservare traccia di tutte le modifiche effettuate, utile per dimostrare che l’azienda rispetta i diritti degli utenti.

L’informativa sulla privacy per marketing e profilazione

L’informativa per scopi di marketing e profilazione deve rispettare i requisiti del GDPR. Ecco gli elementi essenziali che deve contenere:

1. Identità e contatti del titolare del trattamento: nome, indirizzo e contatti di chi è responsabile del trattamento.
2. Finalità del trattamento dei dati: distinguendo tra marketing diretto (comunicazioni promozionali generiche) e profilazione (profili basati su preferenze e comportamenti).
3. Tipologia di dati raccolti: dati anagrafici, di navigazione e comportamentali, specificati per ogni finalità.
4. Base giuridica del trattamento: per queste finalità è il consenso esplicito dell’utente, revocabile in qualsiasi momento.
5. Modalità di raccolta dei dati: moduli di registrazione, cookie e tecnologie di tracciamento, analisi di acquisti e interazioni.
6. Condivisione dei dati con terze parti: chi riceverà i dati e per quale motivo, assicurandosi che i fornitori siano conformi al GDPR.
7. Periodo di conservazione dei dati: per quanto tempo verranno conservati i dati raccolti per marketing e profilazione, e che saranno eliminati o resi anonimi una volta esaurita la finalità.
8. Diritti dell’utente: accesso, rettifica, cancellazione, limitazione, opposizione (anche alla profilazione), portabilità e revoca del consenso.
9. Modalità di revoca del consenso: semplice e immediata, ad esempio con un link nelle email o una sezione dedicata sul sito.
10. Dati di contatto del DPO: se l’azienda è tenuta a nominarlo, vanno indicati i suoi contatti.
11. Aggiornamenti dell’informativa: come e quando gli utenti saranno informati di eventuali modifiche.

Come garantire la conformità in modo semplice?

Rispettare tutti questi punti manualmente, formula per formula e su ogni canale, può diventare complesso man mano che crescono liste e strumenti di marketing utilizzati. Una piattaforma come Avacy mette a disposizione gli strumenti per raccogliere, archiviare e dimostrare il consenso in modo centralizzato, riducendo il rischio di errori e semplificando il rispetto delle normative sulla privacy che cambiano nel tempo.