05 Set Marketing e Sanzioni

Trade-off tra marketing e trattamento lecito dei dati personali.

È ben noto il rapporto tortuoso tra le attività aziendali volte alla sponsorizzazione dei propri prodotti e l’utilizzo di dati personali nello svolgimento delle stesse. Il Garante, infatti, si trova davanti alla necessità di bilanciamento tra interessi economici dell’azienda e i diritti degli Interessati.

Il primo grande step per un trattamento lecito di dati personali, fermo restando l’informativa data agli Interessati, è la richiesta del consenso ai sensi dell’Art.6 del Regolamento 2016/679. Lo svolgimento dell’attività di marketing, in assenza di esso, può essere giustificato con il legittimo interesse solo in relazione al marketing diretto.

Inoltre, il Decreto legislativo 30 giugno 2003 n.196 chiarisce la necessità del consenso “del contraente o dell’utente per quanto riguarda l’invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale”, togliendo qualsiasi dubbio sulla necessità dello stesso per le comunicazioni nel settore marketing. 

Si ha, quindi, un trattamento illecito dei dati quando si prosegue nell’attività di vendita senza accettazione consensuale dell’Interessato o al di fuori dai casi di interesse legittimo previsti per la soft spam ( invio di offerte commerciali riguardanti un bene o un servizio già acquistato). 

 La conseguenza di un trattamento illecito a scopi di marketing si concretizza nella possibilità del Garante di sanzionare i soggetti coinvolti.

Sul versante amministrativo

Il Garante procede, in seguito all’accertamento di trattamento illecito di dati personali per finalità di marketing, all’erogazioni di sanzioni amministrative pecuniarie, ai sensi dell’art.83 del GDPR, consistenti in un pagamento di una somma fino a 20 milioni di euro o al 4% del fatturato mondiale. Le medesime sanzioni vengono ribadite anche nel Decreto legislativo 30 giugno 2003 n.196 all’art.166.

Sul versante penale

Non è tuttavia esclusa la possibilità per il soggetto, che ha svolto attività di marketing non in conformità del GDPR, di incorrere in sanzioni penali. Ai sensi dell’Art.167 del Codice Privacy è prevista la reclusione da 6 mesi ad un anno e 6 mesi. Affinché questo possa accadere è richiesta la sussistenza di un determinato fine, ovvero trarre profitto per sé o altri, e una effettiva lesione del bene giuridico sotto forma di danno all’Interessato. Stiamo, quindi, parlando di un reato di danno a dolo specifico.

In aggiunta, chiunque non rispetti i provvedimenti del Garante, ai sensi dell’art.170 comma 1 Decreto legislativo 30 giugno 2003 n.196, adottati nei confronti dei soggetti al fine di evitare o punire il comportamento illecito, è punito con la reclusione da 3 mesi a due anni. 

Non bisogna dimenticarsi, però, che ai sensi dell’art. 84 GDPR le sanzioni comminate devono sempre essere “effettive, proporzionate e dissuasive”.

Ulteriori possibili conseguenze

Ad esse si aggiungono i poteri correttivi propri dell’Autorità di controllo, elencati all’art.58 comma 2 del Regolamento, che consistono in comportamenti da attuare o mantenere da parte del soggetto che ha illecitamente trattato i dati, al fine di rispettare la normativa esistente, correggere situazioni di non conformità e limitare i danni conseguenti.

Infine, la condanna per uno dei delitti presenti all’interno del Decreto legislativo 30 giugno 2003 n.196 importa la pena accessoria della pubblicazione della sentenza ai sensi dell’art.172 del medesimo testo normativo.

Immagine: Image by storyset on Freepik