Un recente provvedimento sanzionatorio del Garante sulla gestione dei consensi marketing potrebbe cambiare radicalmente molte prassi nel settore del digital marketing e della comunicazione commerciale.
Ecco cos’è accaduto e perché il Garante considera vietati i consensi “omnibus” in questo ambito.
Indice degli argomenti
Il provvedimento del Garante Privacy
Recentemente – con provvedimento datato 27 febbraio 2025 – in un caso l’Autorità ha condotto un’ampia attività istruttoria per poi spiccare una sanzione amministrativa contro una società del settore energia, a seguito della ricezione di numerose segnalazioni relative a telefonate indesiderate e gestione scorretta dei consensi marketing.
La verifica dell’Autorità ha evidenziato una serie di criticità, tra cui il mancato rispetto dell’iscrizione al Registro pubblico delle opposizioni, significative carenze nel controllo della filiera di trattamento dati da parte del titolare e casi documentati di contatti provenienti da numerazioni non autorizzate o non iscritte al Registro degli operatori di comunicazione (ROC).
Nonostante il titolare abbia sostenuto di aver avviato un percorso di compliance normativa già dal 2023, implementando alcune misure di sicurezza tecniche e organizzative, il Garante ha ritenuto insufficiente quanto adottato, contestando violazioni multiple.
Arrivando a una sanzione finale di circa 300.000 euro.
Il cuore del provvedimento
Qui però ci vogliamo concentrare su un alcuni punti specifici del provvedimento e della vicenda, relativi alla granularità dei consensi, specie per la comunicazione a terzi dei dati. Difatti l’Autorità ha individuato ulteriori criticità relative ai consensi acquisiti attraverso alcuni portali web utilizzati dalla società e dalle sue agenzie di vendita.
Tali consensi sono stati giudicati insufficienti perché privi della necessaria specificità, granularità e trasparenza richiesta dalla normativa privacy vigente.
Il cuore del provvedimento ruota attorno a un concetto semplice ma cruciale: il consenso non è un box da spuntare, bensì un atto di fiducia.
Analizzando le criticità emerse, si tratteggia un quadro in cui la genericità delle richieste di autorizzazione avrebbe “svuotato” il diritto degli utenti a controllare i propri dati.
Detto questo, il Garante rischia di assumere un approccio financo eccessivamente granulare.
Per capire meglio, partiamo dalla situazione di fatto.
La raccolta dei dati e dei consensi
Nel caso in esame il titolare era assistito da un’agenzia terza che, tramite apposito portale di raccolta dati, permetteva agli utenti di compilare un form di raccolta dati per ricevere offerte promozionali.
I consensi erano tre:
- per l’invio di comunicazioni commerciali da parte del portale (nuoveofferte.com);
- quella per la cessione a terzi ai fini promozionali;
- e quella per finalità di profilazione.
Qui ci interessa il secondo, visto che la formula di consenso e il suo design erano molto ampi.
Coprendo con un consenso unico:
- la cessione dati per scopi “di marketing e commerciali”;
- mediante “l’uso del telefono con operatore e/o con sistemi automatizzati (per esempio email, sms) e/o invio di materiale promozionale a mezzo posta”; altrove la dicitura comprendeva “strumenti automatizzati (email, sms, fax, mms, messaggi su social network, whatsapp, messenger, applicazioni di messaggistica istantanea online, notifiche push web e mobile) e non automatizzati (posta cartacea, telefono con operatore)” – dunque unificando più e distinti mezzi di comunicazione, automatizzati e non;
- con dati comunicati a terzi soggetti facenti parte di svariate categorie economiche e merceologiche (turistico, tempo libero, high tech, moda, arredamento, largo consumo, food & beverage, finanza, banche, assicurazioni, energia, ambiente, comunicazione, media, entertainment, real estate, farmaceutico, automobili, abbigliamento e tessile, formazione, energia, editoria, ICT, retail, sport, telecomunicazioni, e “servizi” in generale; peraltro l’elenco non era nemmeno completo ma lo si poteva approfondire con un pulsante “clicca qui” che rimandava ad altre categorie ancora, come istituti di credito, assicurazioni eccetera, menzionando espressamente, a volte, alcuni specifici terzi destinatari, non limitati alla categoria) – dunque unificando molteplici categorie possibili di destinatari, del tutto eterogenee.
Ulteriore portale
L’istruttoria menziona altresì un’ulteriore portale così strutturato: un form di conferimento dei dati per la fruizione di un servizio di “consulenza energetica”, con – in calce – un modulo di acquisizione del consenso, flaggando il quale l’interessato dichiarava di “prendere atto” del trattamento di dati personali per l’esecuzione del servizio, letta l’informativa e infine potendo cliccare per visionare un’ulteriore pagina. Pagina ove apparivano ulteriori formule di consenso, ma solo cliccando: una di queste specificava che i dati erano trattati dalla società e comunicati a “società partner” il cui elenco completo era disponibile inviando un’email a un indirizzo specifico.
In un altro portale esaminato, invece, la lista dei terzi destinatari comprendeva circa trenta soggetti “operanti nel campo energetico, telefonico e promozionale in genere (call center)”.
In altri casi ancora era persino ravvisata l’omessa pubblicazione sul sito dell’informativa sul trattamento dei dati, nonché di indicazioni utili per l’univoca individuazione del titolare, di dubbio inquadramento.
Le censure (e le soluzioni) del Garante
A fronte di ciò, il Garante ha considerato tali formule come troppo ampie e generiche, minando la possibilità di espressione di una volontà granulare e distinta:
- per categorie merceologiche;
- e per mezzi di comunicazione promozionale.
Non si permetterebbe di acquisire “una valida, consapevole e inequivocabile manifestazione di volontà dell’interessato”, poiché l’ampiezza della formula darebbe la stura a una “incontrollabile” diffusione di dati personali a favore di una “platea indistinta” di operatori. Frustrando la possibilità di esercitare efficacemente i diritti riconosciuti dalla legge a favore dei soggetti interessati.
Le linee guida EDPB del 2020 sul consenso
Richiamando le linee guida EDPB del 2020 sul consenso, l’Autorità ricorda che, assecondando il Gdpr, se l’interessato non dispone di una scelta effettiva o si sente obbligato ad acconsentire oppure subirà conseguenze negative se non acconsente, allora il consenso non sarà valido poiché non libero (come accade se il consenso diventa “un elemento non negoziabile” di condizioni generali di contratto/servizio).
In tal caso il Garante ricorda che “si presume” che non sia stato prestato liberamente (il che ammetterebbe la prova contraria).
Il Garante prosegue sempre richiamando l’EDPB, per cui se il trattamento di dati mira a perseguire “finalità diverse”, la soluzione per soddisfare le condizioni per la validità del consenso risiede nella granularità: separazione delle finalità e un consenso per ciascuna di esse.
Le formule di consenso
Nel caso di specie, il Garante ravvisa che l’utilizzo di formule di consenso – nonché relativi accorgimenti grafici, di layout – che hanno l’effetto di trasferire i dati personali a una platea indistinta, comprensiva di settori anche molto diversi tra loro o addirittura a call center plurimandatari, sarebbe in violazione di quanto sopra.
L’interessato che voglia ricevere soltanto offerte relative ai servizi di fornitura energetica, per esempio, potrebbe binariamente scegliere di non conferire il consenso oppure di conferirlo ricevendo comunicazioni promozionali pertinenti altri settori – una “indebita intrusione nella propria sfera di riservatezza e un’irrimediabile perdita di controllo sui propri dati personali”.
Oltretutto sarebbe difficoltoso risalire alla fonte dei dati e al titolare del trattamento di origine.
Il Garante e la questione del consenso
Altrettanto lesivo sarebbe la mancata scelta dei mezzi utilizzati per la ricezione delle comunicazioni commerciali, come previsto da tempo dal Garante nel proprio provvedimento n. 242 del 15 maggio 2013 richiamato nel 2025, sul consenso al trattamento dei dati personali per finalità di “marketing diretto”, attraverso strumenti tradizionali e automatizzati di contatto.
Però si sottolinea che in tale provvedimento il Garante semplificava la questione del consenso, per cui, nel perseguire finalità di “marketing diretto” tramite modalità automatizzate di contatto, il medesimo consenso era ritenuto sufficiente anche per effettuare il trattamento mediante modalità tradizionali (come la posta cartacea o le chiamate telefoniche tramite operatore).
Senza dover richiedere agli stessi interessati un ulteriore consenso, e sempre che l’interessato non abbia esercitato nei confronti di un singolo titolare uno specifico diritto di opposizione al trattamento.
Le configurazioni dei form nel provvedimento 2025
Tornando al provvedimento del 2025, secondo il Garante alcune delle configurazioni dei form e delle informative ostacolavano l’esercizio dei diritti da parte degli interessati, poiché non consentivano di manifestare agevolmente la propria volontà selettiva nemmeno in tema di mezzi di comunicazione.
Accorgimenti “testuali, grafici e tecnologici” suscettibili di influenzare il comportamento dell’utente (si pensi all’agevole comprensione delle modalità e finalità del trattamento) non possono essere considerati in regola e così inficiando la legittimità dei trattamenti.
Tra l’altro non potendo, così, far venire meno gli effetti della opposizione manifestata dall’interessato mediante l’iscrizione al Registro pubblico delle opposizioni (RPO) – difatti l’iscrizione al RPO, come noto, comporta la revoca di consensi che ben possono poi di nuovo essere validamente resi dall’interessato, successivamente.
La soluzione
La soluzione a tutto ciò, secondo il provvedimento, consiste nel poter scegliere sia i canali di comunicazione che le singole macro-categorie commerciali dei terzi, non massificati in un consenso “omnibus” buono per tutti e tutto.
Tanto più che il Garante rimarca come si ipotizzi una culpa in eligendo da parte di un titolare che utilizzi servizi di terzi senza idonee garanzie circa la provenienza dei dati personali, la corretta acquisizione dei consensi degli interessati e la resa dell’informativa sul trattamento dei dati personali, per esempio tramite audit e formazione.
I precedenti utili del Garante: il caso Pampers e Bakeca
Un primo precedente pertinente del Garante è “il caso Pampers” (provv. 260 del 12 giugno 2019) che ci offre un precedente illuminante per interpretare gli obblighi di granularità nel contesto attuale.
Nel 2019 il Garante sanzionò Procter & Gamble per aver utilizzato un unico modulo di consenso che abbracciava tutti i marchi del gruppo (tra cui Pampers, Gillette, Oral-B), senza permettere agli utenti di selezionare singolarmente per quali brand autorizzare il trattamento dati.
L’Autorità chiarì che, pur trattandosi di società controllate, ciascun marchio rappresenta un’entità distinta sotto il profilo delle finalità di marketing, e dunque il consenso doveva essere acquisito separatamente.
Applicando questa logica al caso attuale emerge un parallelismo stringente: così come non è lecito raggruppare marchi diversi sotto un’unica autorizzazione, non sarebbe accettabile chiedere un consenso generico per categorie merceologiche eterogenee (per esempio energia, finanza, moda) o per una pluralità indistinta di terzi.
Se lo stesso titolare opera con brand differenziati, ciascuno di essi dovrebbe avere una casella di consenso dedicata, con annessa informativa specifica.
Il caso Bakeca
Un secondo caso pertinente è quello definibile “Bakeca” dell’11 gennaio 2023, il Garante pareva ammettere un consenso riunificato per più destinatari di categorie diverse, se indicati “nominalmente”.
Non è molto chiaro perché, invece, la mera indicazione delle categorie muti l’impatto sulla validità del consenso, alla luce del provvedimento più recente.
Questa discrepanza sembra suggerire che l’Autorità avesse attribuito maggiore rilevanza alla trasparenza sul “chi” (i soggetti concreti che riceveranno i dati) piuttosto che sul “cosa” (le sole categorie di attività).
Vediamo se esiste una soglia di accettabilità legata alla capacità dell’utente di valutare realmente le conseguenze della cessione, rispetto a questi elementi.
Prime considerazioni: le interpretazioni del Garante nel tempo
Sui rilievi del Garante sorgono due tipi di considerazioni, le quali sono tanto più importanti se pensiamo che nella prassi attuale sono tanti i soggetti del mercato, specialmente agenzie e data broker, che continuano a basarsi su modelli di consenso “omnibus”, aggregando finalità, canali e destinatari in un’unica opzione generica, spesso mascherata da clausole contrattuali o condizioni di servizio poco trasparenti.
Linee guida di contrasto allo spam del Garante
Quanto al consenso granulare per le modalità di contatto, va rammentato che nelle Linee guida di contrasto allo spam del Garante, datate sempre 2013 – e tuttora valide, salvo smentita – si riportava che “Al fine di attuare l’esigenza di semplificazione degli adempimenti connessi al trattamento dei dati personali, questa Autorità ritiene che sia parimenti legittimo interpretare la regola della specificità del consenso rispetto alle modalità utilizzate per le finalità di marketing, prevedendo due appositi e distinti consensi rispettivamente per le modalità tradizionali e per quelle di cui all’art. 130, commi 1 e 2 del Codice, oppure, in alternativa, un unico consenso che comprenda i due tipi di modalità”.
La domanda da porsi è se il Garante, dunque, abbia cambiato tale impostazione.
Un’ulteriore granularità
Leggendo il recente provvedimento sembra si voglia imporre una granularità ulteriore, scomponendo persino i singoli canali (per esempio telefono con operatore vs. SMS vs. email) e non limitandosi alla distinzione tra mezzi “automatizzati” e non.
Il dubbio è lecito perché la nuova interpretazione rischia di creare una discontinuità applicativa non dichiarata, costringendo le aziende a rivedere processi consolidati sulla base di un’evoluzione non formalizzata in linee guida aggiornate.
Se nel 2013 si accettava un consenso unico per “pacchetti” di mezzi (per esempio, tutti gli automatizzati), oggi il Garante sembra ritenere insufficiente tale approccio, senza aver mai modificato “ufficialmente” quella che sembrava la linea interpretativa pregressa.
Ciò solleva interrogativi sulla certezza del diritto: come possono i titolari adeguarsi se i criteri mutano senza un chiaro aggiornamento degli strumenti interpretativi? Specie a fronte di un mutamento di visione da parte dell’Autorità che non è ben chiaro a cosa possa imputarsi: non è esplicitato il perché nel 2013 un consenso unico – ovviamente debitamente informato, ben formulato eccetera – oggi non si possa ritenere più sufficiente, rispetto a quanto riportato in passato.
Si tratta di un’evoluzione, rispetto al 2013, motivata dalla crescente consapevolezza dei rischi legati a pratiche di telemarketing aggressive e dalla necessità di rafforzare il controllo dell’utente sui propri dati e sulle modalità di contatto?
Granularità sull’indicazione dei terzi
Venendo alla granularità sull’indicazione dei terzi, anche qui viene da pensare che quanto suggerito dal Garante (la selezione perlomeno categoria per categoria) possa intendersi, forse, come fin troppo restrittiva, per diverse ragioni: elencare tutte le categorie merceologiche o i singoli destinatari in fase di acquisizione del consenso rischia di rendere il processo di adesione macchinoso e controproducente (dato che si parla spesso di “consent fatigue” per i banner cookie, non si vede perché non possa darsi per liste affollate di checkbox da selezionare o meno).
Il provvedimento pare non ammettere deroghe e generalizzare: se il trattamento prevede la comunicazione a terzi, questi devono essere identificati almeno per macro-settori, con la possibilità per l’utente di selezionare o escludere specifiche aree.
Una soluzione intermedia potrebbe forse essere l’inserimento sia di un consenso “ominibus” (per tutte le categorie) che di tutti i singoli consensi per categorie?
Da ultimo, il provvedimento sembra portare un po’ all’estremo il concetto di granularità, tramite un’interpretazione che potrebbe dirsi fin troppo rigida del Garante rispetto a determinate prassi e loro potenziale di miglioramento.
In regime di accountability del titolare, e di sua libertà di impresa, viene da chiedersi: non potrebbe il titolare riuscire a specificare comunque le finalità e i mezzi di trattamento in modo sufficientemente dettagliato, garantendo trasparenza, senza necessariamente frammentare il consenso in decine di opzioni iper-specifiche?
La necessità di un’idonea informativa
Nelle linee guida del 2013 il Garante già prevedeva il rilascio un’idonea informativa che individui ciascuno dei terzi destinatari dei dati o, in alternativa, le categorie (economiche o merceologiche) di appartenenza degli stessi. Non si spingeva fino all’iper-granularità del provvedimento.
Oggi il Garante sembra – soprattutto – voler sindacare il fatto stesso che un titolare possa, entro certi limiti, decidere che tipo di consensi omogenei richiedere agli utenti: l’utente sarebbe sempre libero di accettare o meno, ma il Garante afferma che imporre una scelta binaria – non iper-granulare – sia sempre in violazione dei principi del GDPR.
Sembra si vogliano estendere, senza adattamenti, certi ragionamenti sul “pay-or-consent” ovvero logiche in cui il consenso non sarebbe realmente libero poiché subordinato a una condizione (per esempio “accetti tutte le comunicazioni o nessuna”) che, di fatto, limita l’autodeterminazione dell’interessato.
Arrivando di fatto a sindacare sulla condizionalità non già di accesso a un servizio (come accade nel “pay-or-consent”) bensì sull’accettare o meno la ricezione di un certo tipo di comunicazioni commerciali.
L’enfasi sulla granularità del consenso può sovrastimarne la connessa capacità degli interessati di esercitare un controllo effettivo sui propri dati.
Ciò potrebbe suonare come un irrigidimento interpretativo, poiché il Gdpr non vieta di strutturare opzioni di consenso bilanciate, purché chiare e non coercitive, per finalità e sotto-finalità omogenee.
Se è giusto vietare il “tutto o nulla”, è discutibile pretendere che ogni minima variazione di canale o destinatario richieda un consenso separato, rischiando di paralizzare molto del marketing legittimo (ovviamente ve n’è, svolto nel rispetto dei principi del GDPR), sotto il peso di un burocratismo eccessivo. Una strada mediana potrebbe essere ricostruibile.
Il confine tra granularità necessaria ed eccessiva
Volendo chiudere questi appunti, la questione cruciale riguarda dove tracciare il confine tra granularità necessaria ed eccessiva.
Se per i differenti marchi la risposta è chiara (ogni brand è un destinatario separato), per le categorie merceologiche il criterio rimane ambiguo.
È sufficiente distinguere tra “energia” e “telecomunicazioni”, o serve un livello più fine (per esempio, “energia rinnovabile” vs. “gas naturale”)? Il Garante non fornisce una griglia univoca, rischiando di trasformare ogni caso in un terreno di contenzioso arbitrario.
Questa incertezza normativa, unita all’assenza di linee guida aggiornate e vincolanti, rischia di creare un paradosso per le aziende.
Da un lato, si invoca una granularità massima, dall’altro, si potrebbe censurare chi tenta di applicarla in modo troppo zelante, rischiando di rendere i form illeggibili e l’esperienza di scelta dell’utente fin troppo articolata.
Servirebbe un equilibrio per una flessibilità proporzionata al contesto, evitando di moltiplicare le opzioni oltre il ragionevole.
Consensi omnibus, la riflessione del Garante
In ogni caso il nuovo provvedimento del Garante comporta una profonda riflessione operativa da parte di chi ha finora operato raggruppando i consensi, specie agenzie e data broker, pur in linea con l’interpretazione che emergeva fin dalle linee guida del 2013.
Pensiamo alla necessità di rivedere i consensi esistenti e di adattarli alle nuove regole, ciò potrebbe comportare un onere aggiuntivo e sollevare questioni legali sulla validità dei consensi già raccolti. Oltre che su come adeguarsi al nuovo corso.
