Dieci cose da sapere e dieci cose da fare ora per prepararsi al nuovo regolamento europeo sui dati personali

Il nuovo Regolmento Europeo è ormai una realtà. Entrerà definitivamente in vigore nel maggio 2018 ma occorre prepararsi subito al cambiamento che sarà significativo. Non cambieranno solo gli adempimenti cui siamo oggi abituati. Cambierà l'organizzaizone delle aziende e aumenterà l'importanza che la tutela dei dati personali assumerà per garntire il rispetto delle norme vigenti.

Per capire quali sono le cose essenziali da sapere e cosa bisogna fare ora la Redazione di Diritto & Marketing in collaborazione con lo Studio Legale Maglio & Partners ha preparato una presentazione che spiega in trenta slides le prossime azioni da intraprendere.

Ci sono dieci cose da sapere e dieci cose da fare ora.

Per scoprire quali sono basta leggere qui sotto la presentazione che illustra le novità con taglio pratico e guardando alle esigenze concrete delle imprese e degli enti che dovranno da subito cimentarsi con questa nuova normativa.

La presentazione è consultabile qui.

Dieci cose da sapere e dieci cose da fare ora per prepararsi al nuovo regolamento europeo ui dati personali

Il Web Data Scraping e le tentazioni del marketing

di Marco Maglio
 
Se un dato è pubblicato sul web si può usare liberamente a fini di marketing? No ed è per questo che il  web data scraping resta una pratica vietata

 _______________

 Ne abbiamo parlato tempo fa  in questo Post dedicato al marketing ed alle tentazioni di usare ogni dato che ci passa sotto il naso.

Anche voi sapete resistere a tutto tranne che alle tentazioni?

Ognuno potrà rispondere come gli suggerisce la sua legge interiore. Certo è che invece i professionisti del marketing nell'era dei social e di quella enorme banca dati a cielo aperto che è diventata il web devono imparare a resiste ad almeno una tentazione: copiare i dati disponibili ed usarli senza aver dato un'inforamtiva e aver raccolto il consenso degli interessati.

La tentazione è forte ma bisogna resistere per non incorrere in pesanti sanzioni.

Lo ha ribadito recentemente il Garante per la protezione dei dati personali che ha pronunciato una solenne sconfessione dei software che raccolgono on line in maniera sistematica e indiscriminata dati e informazioni per realizzare liste da utilizzare a fini di marketing.

Chi intende raccogliere tali dati deve acquisire il consenso libero, informato, specifico per ogni finalità che intende perseguire: invio di messaggi a fini promozionali, analisi degli interessi e profilazione, comunicazione a terzi.

Il Garante lo dice da tempo (il primo provvedimento a tale riguardo risale al maggio 2001 e le linee guida per l'uso dei dati a fini promozionali e per il contrasto allo spamming del luglio 2013 ribadiscono queste regole). Ma ancora più recentemente il Garante dichiarato illecito e ha vietato ad una società la formazione e la diffusione on line di un elenco telefonico contenente dati di oltre 12.500.000 persone non raccolti dal dbu ma da altri siti web senza il consenso degli utenti. I dati trattati in modo illecito dovranno essere cancellati dalla società autrice di questa attività.

Questa volta il Garante condanna in modo ancora più espicito la pratica del web scraping, la pesca a strascico che permette di raccogliere mediante software una enorme massa di dati presente in rete.

Svolgere queste attività senza il consenso degli interessati costituisce un trattamento particolarmente invasivo per l’agevole reperibilità dei dati anche mediante i più comuni motori di ricerca e per la possibilità che essi possano essere utilizzati anche per ulteriori trattamenti (ad es. marketing indesiderato).

In definitiva viene ribadito il principio per cui non basta che un dato sia pubblico per ritenere che esso sia liberamente utilizzabile. Questo conferma ancora una volta di più, se ce ne fosse bisogno, che la normativa sui dati personali non protegge la privacy delle persone ma previene gli utilizzi impropri dei dati riferiti agli individui, a prescindere dal fatto che questi dati siano riservati o noti a tutti.

Ciò che la normativa protegge è il diirtto all'autodeterminazione individuale: ognuno di noi ha diritto ad esercitare un controllo sulle informazioni che lo riguardano e a impedirne utilizzi abusivi in assenza del suo consenso, salvi i casi specifici in cui la normativa non preveda la necessità di tale consenso.

Occorre quindi resistere alle tentazioni, con buona pace di Oscar Wilde. I dati non si trattano all'insaputa degli intessati. Il nuovo regolamento europeo sulla data protetion lo renderà ancora più chiaro ed evidente ma già oggi la regola fondamentale resta questa e faremo bene tutti a ispirare le nostre azioni a questo basilare principio

Il nuovo regolamento europeo in materia di dati personali: una mappa per conoscerlo. ( seconda parte)

di Marco Maglio


Abbiamo disegnato nell'articolo precedente i pumi cinque punti della nuova mappa delle regole in materia di dati personali disegnata dal Regolamento Europeo che è in fase di pubblicazione nella Gazzett Ufficiale dell'Unione Europea.

Ecco qui di seguito gli altri cinque punti per completare il quadro di riferimento

6)  meno burocrazie più sostanza: cessa l'obbligo della notificazione al Garante

Fino ad oggi chi effettuata alcune tipologie di trattamenti (ad esempio geolocalizzazione, ricerca genetica, profilazione, analisi sulla puntualità dei pagamenti e altre tipologie di trattamenti particolarmente invasivi) e' tenuto ad effetuare un adempimento preventivo: si tratta della notificazione al Garante per la protezione dei dati personali.

Con la riforma europea che entrerà in vigore nel 2018 cambierà tutto. Viene abolito l’obbligo di Notificazione di specifici trattamenti  all’Autorità Garante.

Tale  adempimento  è  considerato  dal Legislatore  europeo  come  un  obbligo  che  comporta  oneri  amministrativi  e finanziari  senza  aver  mai  veramente  contribuito  a  migliorare  la  protezione  dei dati  personali  (in  particolare  per  le  piccole  e  medie  imprese). 

Si è quindi deciso di abolire tale obbligo generale di notificazione  e  sostituirlo  con  meccanismi  e  procedure  efficaci  che  si concentrino  piuttosto  su  quelle  operazioni  di  trattamento  che  potenzialmente presentano  rischi  specifici  per  i  diritti  e  le  libertà  degli  interessati,  per  la  loro natura, portata o finalità.

Tali trattamenti saranno  l’effettuazione della valutazione di impatto nel trattamento dei dati.

7)  Un nuovo protagonista della privacy aziendale: il Data Privacy Officer

Se fino ad oggi siamo stati abituati a prevedere i tre ruoli classici nel trattamento dei dati (titolare, responsabile ed incaricato), prepariamoci ad un grosso cambiamento. A parte le novità puramente terminologiche (noi italiani scopriremo infatti con sorpresa che quello che chiamiamo Titolare nel linguaggio eruopeo si chiama Responsabile del trattamento  che è colui che definisce le finalità del trattamento, mentre chi noi chiamiamo oggi Responsabile nella terminologia europea viene chiamato Incaricato, mentre quelli che noi oggi in Italia chiamiamo incaricati non sono previsti dal nuovo ordinamento europeo) prepariamoci a veder nascere una nuova stella nel firmamento  della privacy aziendale: nascerà infatti nel 2018 la nuova figura del Data Privacy Officer (DPO) o meglio del Responsabile della protezione dei dati personali.

Sarà una figura obbligatoria se:

a) chi tratta i dati è un soggetto pubblico

b) si trattano rivelanti quantità di dati personali

c) si trattano sistematicamente dati sensibili o giudiziaria

Il DPO, che può essere un consulente esterno all'azienda, deve possedere requisiti di professionalità ed indipendenza ed autonomia di spesa diventando una sorta di auditor interno dei processi di trattamento dei dati personali e il referente che il Garante contatterà in caso debba acquisire informazioni o formulare contrstazioni rivolte a chi tratta i dati personali in azienda.

I compiti essenziali del DPO sono questi

a) informare e consigliare il titolare o il responsabile del trattamento in merito agli obblighi derivanti dal regolamento europeo e conservare la documentazione relativa a tale attività e alle risposte ricevute;

b) vigilare sull’attuazione e sull’applicazione delle politiche del titolare o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la formazione del personale che partecipa ai trattamenti e gli audit connessi;

c) verificare l’attuazione e l’applicazione del Regolamento europeo; la sicurezza dei dati; il riscontro alle richieste degli interessati di esercitare i diritti riconosciuti dal Regolamento;

d) garantire la conservazione della documentazione relativa ai trattamenti effettuati dal titolare;

e) controllare che le violazioni dei dati personali siano documentate, notificate e comunicate;

f) controllare che il titolare o il responsabile del trattamento effettui la valutazione d’impatto sulla protezione dei dati e richieda l’autorizzazione preventiva o la consultazione preventiva nei casi previsti;

g) fungere da punto di contatto per il Garante per la protezione dei dati personali oppure, eventualmente, consultare il Garante di propria iniziativa;

h) controllare che sia dato seguito alle richieste del Garante per la protezione dei dati personali e, nell’ambito delle sue competenze, cooperare di propria iniziativa o su richiesta dell’Autorità.

8)  I nuovi principi della protezione della privacy fin dalla sua progettazione (privacy by design) e della protezione di default di dati e sistemi (privacy by default).

Vengono introdotti nel sistema normativo europeo due nuovi principi fondativi dell'apporccio evoluto al corretto trattamento dei dati personali: la privacy by design e la privacy by default.

Vediamo di cosa si tratta. Privacy by design significa che la tutela dei dati personali deve essere pensata ed organizzata fin dalla fase progettuale della raccolta di informazioni.  Diventa obbligatorio  prevedere meccanismi di protezione dei dati fin dalla progettazione delle attività e per l'intera gestione del ciclo di vita dei dati.

Bisgonerà analizzare i flussi di dati connessi all'attività che si vuole effetutare e adotttare criteri che minimizzino i rischi del trattamento e riducano le quantità dei dati trattati (si parla di minimization of data)

Privacy by default significa che occorrerà prevenire raccolte di dati non necessari, per le finaltià perseguite, evitando di acquisire inforamzioni eccedenti rispetto agli obiettivi dichisrati nell'informativa. La privacy quindi di acquisisce come presupposto delle attività di trattamento e cessa di essere, come è oggi, un obiettivo secondario da perseguire rispettando adempimenti formali. La privacy cessa di essere un mero requisito legale e diventa un elemento intrinseco del processo di gestione delle informazioni. Questa è la vera essenza della riforma. Chi non capisce questo sarà destinato a vagare alla ricerca di un centro di gravità permanente. Privacy by design e by default si fondono in un unico precetto organizzativo che diventa , quindi, la vera stella polare nel cammino verso il corretto trattamento dei dati personalizza

9)  viene introdotto l'obbligo di autodenuncia per le violazioni di dati patite da chi tratta dati

All'estero esiste da tempo questa regole estesa a tutti coloro che trattano dati personali: si parla di data breach notification, che è l'obbligo di segnalare all'Autorità le violazioni di dati subite da chi li tratta.  Per violazione dei dati personali (c.d. “personal data breaches”), si intende: la distruzione, la perdita, la modifica, la rivelazione non autorizzata o  l'accesso, in modo accidentale o illecito, ai dati personali trasmessi, memorizzati o comunque elaborati.

In Italia tale obbligo esiste solo per gli operatori di comunicazioni elettroniche ma con la riforma europea tutti dovranno abituarsi a questo nuovo standard di sicurezza: chi tratta dati,  in  caso  di  una  violazione, dovrà  mettere  in  atto  due  differenti  azioni:

1. la  notificazione  della  violazione all’Autorità di controllo entro 72 ore dal fatto
2. la segnalazione al diretto interessato (senza ritardo ingiustificato).

Il mancato rispetto di questo obbligo comporta sanzioni penali.

Appare chiaro che questo nuovo standard comporterà interventi significativi per l'adozione di software di monitoraggio (cd. Software sentinella) che segnalino immediatemente le violazioni e per l'ottenimento di adeguate coperture assicurative che proteggano dai crescenti rischi legati al cosiddetto cyber risk.

10) le sanzioni di nuova generazione

Cone la riforma europea si passa dalle sanzioni a cifra fissa alle sanzioni “personalizzate”.

Fino ad oggi in Italia le sanzioni erano definite entro misure che potevano arrivare fino a 360.000 euro salvo incrementi dovuti alle dimensioni dell'impresa ed alla particolare gravità delle violazioni. Con la riforma le sanzioni diventeranno molto più pesanti:

1. Fino a € 20.000.000 per i privati e le imprese non facenti parte di gruppi.
2. Fino al 4% del fatturato complessivo (consolidato) per i Gruppi societari

Si tratta di un cambio di passo significativo. E' chiaro che queste sanzioni sono pensate per incidere sulle condotte dei grandi gruppi multinazionali che trattano dati in diverse aree geografiche e spesso cercano di individuare i paradisi legali del trattamento dei dati personali per eludere norme e criteri di comportamento definiti dalle nazioni più rigorose.

Dulcis in fundo: consenso e profilazione

Abbiamo completato la mappa ma non abbiamo ancora parlato di due elementi essenziali, fino ad ora, per chi gestisce i dati a fini di comunicazione commerciale: il consenso e la profilazione.

Cosa dice il nuovo regolamento a questo riguardo?

Con una certa sorpresa, accolta con toni fortemente critici dai difensori della privacy individuale, la riforma apre spazi nuovi per chi voglia sperimentare e cogliere opportunità interessanti.

Per quanto riguarda il consenso, che noi siamo abituati a considerare valido solo se formulato con una dichiarazione espressa (è l'effetto del cosiddetto sitema dell'opt in che l'Italia ha adottato con convinzione fin dal 1997, anno di entrata in vigore della prima normativa sui dati personali), si introduce un approccio di chiaro sapore anglosassone meno formalista e più sostanziale.

Secondo il nuovo regolamento europeo (così recita il Considerando 25 del testo approvato) “il consenso dovrebbe essere espresso mediante un'azione positiva inequivocabile con la quale l'interessato manifesta l'intenzione libera, specifica, informata e inequivocabile di accettare che i dati personali che lo riguardano siano oggetto di trattamento, ad esempio mediante  dichiarazione scritta, anche elettronica, o orale. Ciò potrebbe comprendere la selezione di un'apposita casella in un sito web, la scelta di impostazioni tecniche  o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in questo contesto che l'interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il consenso tacito o passivo o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere dato per

l'insieme delle finalità del trattamento. Se il consenso dell’interessato è richiesto con modalità elettronica, la richiesta deve essere chiara, concisa e non disturbare inutilmente il servizio per il quale il consenso è espresso”.

Questo di fatto dà spazio, entro certi limiti, a forme di consenso desunto da comportamenti concludenti espressi mediante azioni positive da parte dell'interessato. E' un grosso cambiamento che apre spazi nuovi rispetto ai rigidi steccati dell'opt in che pure restano formalmente in piedi.  Va tenuto conto che la definizione di “consenso dell'interessato” fornita dal regolamento è questa : “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile con la quale l'interessato accetta, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.”

E' quindi sparito il riferimento, originariamente previsto dal testo, al carattere esplicito del consenso che, a certe condizioni si può desumere in base al comportamento attivo dell'interessato.

Quanto alla profilazione, che per molti consisterebbe nella semplice analisi e clusterizzazione di un data base, il regolamento da risposte molto precise.  In particolare la riforma  chiarisce che la profilazione consiste nell'analisi di dati cui fa seguito un'azione automatica senza l'intervento dell'uomo. Quindi se si analizzano con strumenti informatici i dati presenti nei propri archivi e poi l'elaborazione dei dati stessi viene sottoposta alla valutazione preventiva di una persona prima dell'utilizzo dei dati stessi, per adattare e verificare i dati stessi, non si effettua profilazione. Quindi non occorre un consenso specifico per svolgere tale attività di analisi.

E così la mappa è completa: non resta che affrontare le nuove regole, capirle e soprattutto tenere a mente che la nuova tutela dei dati personali è un diventato un essenziale processo organizzativo stategico per le imprese cessando di essere un  semplicistico susseguirsi di adempimenti formali.

Il nuovo regolamento europeo in materia di dati personali: una mappa per conoscerlo. (Prima parte)

 di Marco Maglio

 
Si avvicinano a grandi passi gli appuntamenti con la riforma europea che riscriverà profondamente le norme che regolano l'utilizzo dei dati personali.

Ne abbiamo parlato in un precedente articolo ed ora è il momento di vedere cosa è successo, cosa succederà e cosa occorre sapere

Cosa è successo

Nel gennaio 2012 la Commissione europea ha presentato ufficialmente il cosiddetto "pacchetto protezione dati" con lo scopo di garantire un quadro coerente ed un sistema complessivamente armonizzato in materia nell'Ue. 

Il pacchetto prevede due documenti normativi di cui è stata proposta l'approvazione:

1. Il Regolamento concernente "la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati", volta a disciplinare i trattamenti di dati personali sia nel settore privato sia nel settore pubblico, e destinata a sostituire la vecchia Direttiva 95/46
2. La Direttiva indirizzata alla regolamentazione dei settori di prevenzione, contrasto e repressione dei crimini, nonché all'esecuzione delle sanzioni penali, che sostituirà (ed integrerà) la decisione quadro 977/2008/CE sulla protezione dei dati personali scambiati dalle autorità di polizia e giustizia (che l'Italia non ha, peraltro, ancora attuato).

Dopo tre anni di discussione i due testi sono orami stati definiti e hanno formato oggetto della procedura di condivisione tra le tre istituzioni dell' Unione Europea preposta alla produzione di testi normativi:  la Commissione, il Parlamento e il Consiglio.

Il 18 dicembre 2015 è stato in particolare definito il testo del Regolamento (destianto a entrare in vigore direttamente, senza necessità di singole leggi di recepimento) e ora ne è prossima l'approvazione formale e la pubblicazione in Gazzetta Ufficiale

Cosa succederà

Dopo l'approvazione e la pubblicazione (prevista entro il primo trimestre 2016) ci saranno due anni di tempo prima che il testo entri in vigore nei 28 stati membri dell'Unione. In questo periodo transitorio ogni Stato dovrà armonizzarsi con gli altri paesi e favorire la creazione delle condizioni necessarie per l'applciazione unifrome delle nuove norme.

Sarà un periodo intenso in cui i singoli Garanti nazionali avranno un ruolo essenziale per favorire l'efficace entrata in vigore delle normativa.  Da subito comunque bisogna attendersi che le nuove norme europee genereranno un'accelerazione nel processo di armonizzazione e nel cambiamento delle ormai consolidate abitudini legate alla normativa nazionale che è destianta ad essere in gran parte sostituita dal nuovo Regolamento europeo.

Vediamo ora quali sono i punti essenziali della nuova mappa della data protection europea.

Cosa occorre sapere: la riforma in dieci punti

In rapida succesione ecco cosa cambia con la nuova normativa

1) cambiano i criteri per stabilire a chi si applicano le norme

La domanda è classica: “se una società extraeurope tratta dati di cittadini europi quale legge si applica?” Fino ad oggi si applica la legge del titolare del trattamento cioè di chi raccoglie i dati.

Cone la riforma cambia tutto:   viene  introdotto  il principio dell’applicazione del diritto dell’Unione Europea anche ai trattamenti di dati personali non svolti nell’UE, se relativi all’offerta di beni o sevizi a cittadini UE o tali da comportare il monitoraggio dei loro comportamenti.

E’ una rivoluzione rispetto alla regola precedente in base alla quale la normativa applicabile è quella del luogo in cui ha sede il Titolare del trattamento

Facebook e Google saranno soggette alla normativa europea.

2)  cambiano gli obblighi a carico di chi tratta i dati: il nuovo criterio dell'accountability

Fino ad oggi gli adempimenti in materia di dati personali erano basati su criteri formali e sulla logica dell'effettivo abuso dei dati raccolti. Si era sanzionati se gli adempimenti non erano stati applicati e se le autorità di controllo lo rilevavano e lo contestavano.

Ora invece diventa obligatorio  elaborare  un  sistema  documentale  di  gestione  della  privacy contenente  tutti  gli  atti,  regolarmente  aggiornati,  elaborati  per  soddisfare  i requisiti di conformità al Regolamento.

E' la logica dell'accountability, cioè della corretta organizzazione e della documentazione e tracciabilità obbligatoria delle attività di trattamento. Chi non oganizza bene la gestione dei dati che raccoglie è punibile per questo semplice fatto a prescindere dall'abusivo utilizzo dei dati che ne possa essere derivato o meno

3)  cambia l'informativa

L'informativa non sarà più uno strumento burocratico e formale. Deve essere resa in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, se del caso in formato elettronico. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l'identità dell'interessato.

Inoltre occorrerà informare gli interessati sull'origine dei dati trattati e indicare il tempo di conservazione dei dati

4)  nuovi meccanismi semplificati per l'esercizio dei diritti degli interessati

Oggi esercitare i diritti di accesso, modifca, integrazione e cancellazione dei dati personali richiede che l'interessato si attivi e superi a volte difficoltà rilevanti per formulare l'istanza verso chi ha raccolto i suoi dati.

I nuovi criteri  introdotti dal Regolamento invece richiedono di prevedere modalità volte ad agevolare l’esercizio, da parte dell'interessato, dei  suoi diritti, compresi i meccanismi per richiedere e, se del caso,  ottenere gratuitamente, in particolare, l'accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione. Diventerà onere di chi raccoglie i dati predisporre anche i mezzi per inoltrare le richieste per via elettronica, in particolare qualora i dati personali siano trattati con mezzi elettronici.

5)  Dal DPS al PIA: analisi dei rischi e valutazione di impatto del trattamento dei dati personali

Siamo stati per ani abituati a gestire un adempimento formale denominato Documento Programmatico sulla Sicurezza (DPS) una fotografia documentata dell'adeguatezza delle misure di sicurezza adottate per trattere i dati personali.

Nel 2012 tale adempimento ha cessato di essere obligatorio ma con il nuovo regolamento euriopeo dovremo presto imparare a destreggiare un nuovo strumento: il Privacy Impact Assessment (PIA) ovvero il documento di valutazione di impatto nel trattamento dei dati.

Sarà una vera e propria analisi dei rischi in concreto generati dal trattamento dei dati aziendali.

Chi raccoglie i dati dovrà effettuare una Valutazione degli impatti determinati dal trattamento dei dati stessi  fin dal momento della progettazione del processo aziendale e degli applicativi informatici di supporto, in particolare nei casi in cui il trattamento alla base degli stessi, per sua natura, oggetto o finalità, presenti  rischi specifici per i diritti e le libertà degli interessati.

Il processo prevede tre distinte fasi da volgersi periodicamente con cadenza almeno annuale

1. Analisi dei rischi   (list analisys)
2. Definizione della lista delle criticità (gap list)
3. Definizione del programma di intervento (action plan)

La probabilità e la gravità del rischio legato al tratamento dei dati  dovranno essere determinate in funzione della natura, del campo di applicazione, del contesto e delle  finalità del trattamento dei dati. Il rischio dovrà essere considerato in base ad una valutazione oggettiva mediante cui si stabilisce se i trattamenti di dati comportano un rischio o un rischio elevato.

Sarà una vera e propria rivoluzione per quanti sono abituati alle cadenze confortevoli del DPS e all'approccio tecnico informatico alla materia. Con il PIA viene introdotta un'analisi dei processi azienndali profonda che mira a gestire i rischi, prevendoli.

Stay tuned

Per completare la mappa del nuovo regolamento europeo mancano ancora cinque punti. Li  vedremo  nella prossima puntata.  Tra breve su questi schermi …..

La nuova era della pivacy europea: verso il Regolamento Generale sui dati personali

  di Marco Maglio

 

Le tappe che hanno portato alla riforma

Dopo quattro anni di discussione, la riforma della normativa sul trattamento dei dati personali taglia il traguardo.

Era il 25 gennaio 2012 quando la Commissione europea presentò un pacchetto legislativo – composto da una proposta di Regolamento e una proposta di Direttiva concernente il trattamento dei dati personali – per aggiornare la normativa attuale, che risale al 1995 (Direttiva 95/46/CE).

Il perché di una riforma? Il grande impatto che internet e gli sviluppi tecnologici hanno avuto sull’economia e le relazioni sociali ha spinto la Commissione europea a mettere la protezione dei dati personali tra le priorità della propria Agenda digitale. Da qui la decisione di introdurre un regolamento generale sulla protezione dei dati che sostituisca, senza necessità di leggi di recepimento, le singole normative nazionali.

Il regolamento permette di raggiungere questi tre obiettivi fondamentali:

1. aggiornare i principi contenuti nella direttiva sulla protezione dei dati del 1995 e introdurre un unico testo normativo direttamente applicabile in tutti i 28 paesi membri dell’Unione europea;
2. definire i diritti delle persone fisiche e stabilire gli obblighi di coloro che trattano i dati o sono responsabili del loro trattamento;
3. stabilire anche i metodi per garantire il rispetto delle norme e la portata delle sanzioni a carico di coloro che le violano.

Dopo lunghe discussioni, durate oltre tre anni, nella riunione straordinaria tenutasi il 17 dicembre 2015 la Commissione per le libertà civili, la giustizia e gli affari interni del Parlamento europeo ha espresso la sua posizione sui testi concordati nei negoziati tra il Consiglio, il Parlamento europeo e la Commissione. Il 18 dicembre 2015 il Comitato dei rappresentanti permanenti (Coreper) ha approvato il testo di compromesso definitivo del regolamento, che ora attende solo alcuni passaggi formali prima della pubblicazione in Gazzetta ufficiale dell’Unione europea.

Il progetto di regolamento affronta numerose questioni fondamentali e modifica la normativa vigente in molti elementi sostanziali. Vediamo quali sono.

1) I diritti degli interessati

 

Il regolamento elenca i diritti degli interessati, vale a dire le persone fisiche i cui dati personali vengono trattati. Questi diritti rafforzati conferiscono ai singoli un maggiore controllo sui propri dati personali attraverso:

• la necessità del chiaro consenso dell’interessato al trattamento dei dati personali;
• un accesso facilitato dell’interessato ai suoi dati personali;
• il diritto alla rettifica, alla cancellazione e “all’oblio“;
• il diritto di obiezione, anche riguardo all’uso dei dati personali a fini di “profilazione”;
• il diritto di portabilità dei dati da un prestatore di servizi a un altro.

Il regolamento stabilisce anche l’obbligo per i responsabili del trattamento di fornire agli interessati informazioni trasparenti e facilmente accessibili sul trattamento dei loro dati.

2) Le figure: titolari, incaricati e Data Privacy Officer

 

Il nuovo regolamento specifica gli obblighi generali dei titolari del trattamento dei dati personali e di coloro che li trattano per loro conto (incaricati del trattamento). Tra questi, l’obbligo di attuare misure di sicurezza adeguate in funzione del rischio associato alle operazioni di trattamento dei dati (approccio basato sul rischio). I titolari del trattamento sono inoltre tenuti, in alcuni casi, a comunicare le violazioni di dati personali (data breach notification). Tutte le autorità pubbliche e le imprese che svolgono operazioni di trattamento dei dati rischiose dovranno inoltre nominare un’ulteriore figura responsabile della protezione dei dati: si tratta del cosiddetto Data Privacy Officer.

3) I Garanti, le novità per le multinazionali e le nuove sanzioni

 

Il regolamento conferma l’attuale obbligo per gli Stati membri dell’Unione europea di istituire un’autorità di controllo indipendente a livello nazionale; punta anche a istituire meccanismi per garantire la coerenza nell’applicazione della normativa sulla protezione dei dati in tutta l’UE. In particolare, nei casi transfrontalieri importanti in cui sono coinvolte diverse autorità di controllo nazionali, si adotterà una decisione di controllo unica. In base a questo principio, noto come “sportello unico“, una società con controllate in diversi Stati membri dovrà interagire solo con l’autorità preposta alla protezione dei dati nello Stato membro in cui ha lo stabilimento principale.

Il progetto di accordo prevede anche l’istituzione di un Comitato europeo per la protezione dei dati, che comprenderà rappresentanti di tutte le 28 autorità di controllo indipendenti.

È riconosciuto il diritto degli interessati di proporre reclamo all’autorità di controllo, nonché il diritto a un ricorso giurisdizionale e il diritto al risarcimento e responsabilità. Gli interessati, inoltre, avranno il diritto di ottenere il riesame da parte di un giudice nazionale delle decisioni adottate dalle rispettive autorità preposte alla protezione dei dati. E ciò a prescindere dallo Stato membro in cui il responsabile del trattamento dei dati è stabilito.

Per i responsabili o gli incaricati del trattamento che violano le norme sulla protezione dei dati sono previste sanzioni molto severe, fino a 20 milioni di euro o al 4% del loro fatturato globale annuo, imposte dalle autorità nazionali preposte alla protezione dei dati.

4) I trasferimenti di dati verso un paese terzo

 

La proposta contempla anche il trasferimento di dati personali a paesi terzi e organizzazioni internazionali. In questo caso sarà la Commissione a valutare il livello di protezione offerto da un territorio o da un settore di trattamento in un paese terzo. In mancanza di una decisione di adeguatezza della Commissione, il trasferimento di dati personali può comunque avere luogo in casi particolari o quando esistono garanzie adeguate, come clausole di protezione dei dati, norme vincolanti d’impresa o clausole contrattuali.

Le prossime tappe del Regolamento

 

Il testo sarà presentato ai fini dell’adozione di un accordo politico in una prossima sessione del Consiglio e, dopo l’adozione della posizione del Consiglio in prima lettura, sarà trasmesso al Parlamento per approvazione.

Si prevede che il regolamento entri in vigore nella primavera del 2016 e sia applicabile a partire dalla primavera del 2018.

Le nuove regole per l'uso dei cookies e le prospettive future per il loro utilizzo. Cosa cambia con il provvedimento del 4 giugno 2014 del Garante per la protezione dei dati personali.

di Marco Maglio 

Avvocato in Milano  - Presidente dell'Osservatorio Italiano Diritto del Marketing

1. I cookies e la raccolta di dati personali
2. I cookies e le normativa di data protection in Europa ed in Italia
3. Le regole in sintesi
4. Gli effetti del provvedimento: cosa bisogna fare

Parliamo di Cookies. Non occorre una conoscenza approfondita della lingua inglese per sapere che la parola, entrata nel linguaggio informatico, non evoca solo biscotti e dolci da forno ma indica anche quegli strumenti attraverso i quali i siti web possono riconoscere gli utenti e raccogliere informazioni puntuali sul loro modo di utilizzare la rete.

1. I cookies e la raccolta di dati personali

Sono strumenti fondamentali per il funzionamento dei siti perché permettono di gestire alcune funzioni essenziali (per esempio il riconoscimento di un utente o la gestione del un carrello degli acquisti nelle attività di commercio elettronico). Ma sono anche un mezzo formidabile per la raccolta di informazioni personali sulle modalità di navigazione delle persone nei siti internet e permettono azioni di marketing diretto molto efficaci. Grazie ai cookies, per esempio è possibile proporre ad una persona pubblicità mirate, in funzione delle ricerche effettuate in altri siti che ha visitato prima di accedere ad una nuova pagina internet. E' ancora grazie ai cookies si possono svolgere quelle azioni di marketing che ripropongono un medesimo messaggio durante la navigazione in rete nei vari siti che si visitano (è il cosiddetto retargeting).

Ma ancora è grazie ai cookies o comunque a meccanismi che si basano sul medesimo principio, se è possibile sapere che esito ha avuto una campagna di email marketing, se un messaggio di posta elettronica è stato letto, quante volte è stato aperto o se è stato inoltrato ad altre persone.

2. I cookies e le normativa di data protection in Europa ed in Italia

Fino a qualche tempo fa questi strumenti venivano usati nella sostanziale inconsapevolezza della maggioranza degli utilizzatori del web ma qualcosa è cambiato nel 2009 quando è stata emanata una direttiva dell'Unione Europea (la n. 136) che ha imposto anche per la raccolta dei dati personali mediante cookies le consuete regole che si basano sulla fornitura di un 'informativa all'interessato e all'ottenimento di un consenso.

Dal 2009 ad oggi il dibattito sul modo attrvaerso il quale dare l'informativa e ottenere il consenso è stato molto acceso. Alcuni paesi europei (Regno Unito ed Olanda su tutti) hanno affrontato la questione con particolare attivismo imponendo pop up e banner per evidenziare la “cookie policy” dei siti richiedendo un consenso espresso al loro uso; altri hanno preferito assumere un atteggiamento attendista e poco incisivo per non modificare troppo l'esperienza consolidata di navigazione che mal si concilia con questi “avvisi ai naviganti”.

Anche in Italia il dibattito è stato vivace e già nel 2012 il nostro Codice in materia di protezione dei dati personali è stato modificato per recepire la direttiva, affidando al Garante il compito di definire come dovesse essere fornita l'informativa e con che modalità dovessse essere acquisito il consenso.

Il 4 giugno 2014 il Garante ha rotto gli indugi ed ha emanato un provvedimento generale, al termine di una consultazione pubblica, nel quale ha individuato modalità semplificate per rendere agli utenti l'informativa on line sull'uso dei cookie e ha fornito indicazioni per acquisire il consenso, quando richiesto dalla legge.

3. Le regole in sintesi

In estrema sintesi il Garante ha stabilito che quando si accede alla home page o ad un'altra pagina di un sito web deve immediatamente comparire un banner ben visibile, in cui devono essere chiariti alcuni elementi essenziali.

In particolare:

1) occorre precisare se il sito utilizza cookie di profilazione per inviare messaggi pubblicitari mirati;

2) occorre precisare se il sito prevede anche l'uso di cookie di "terze parti", ossia di cookie che raccolgono dati che verranno utilizzati da un sito diverso da quello che si sta visitando;

3) occorre indicare un link che permette di leggere un' informativa più ampia, con le indicazioni sull'uso dei cookie inviati dal sito, precisando che è possibile negare il consenso alla loro installazione direttamente o collegandosi ai vari siti nel caso dei cookie di "terze parti";

4) occorre infine evidenziare che proseguendo nella navigazione (ad es., accedendo ad un'altra area del sito o selezionando un'immagine o un link) si presta il consenso all'uso dei cookie.

Il Garante ha anche chiarito che è comunque permesso utilizzare un cookie tecnico, in modo tale da non riproporre l'informativa breve alla seconda visita dell'utente, tenendo così traccia del suo consenso espresso in occasione della visita precedente.

Infine occorre fare in modo che l'utente mantenga, comunque, la possibilità di modificare le proprie scelte sui cookie attraverso l'informativa estesa, che deve essere consultabile da ogni pagina del sito.

4. Gli effetti del provvedimento: cosa bisogna fare

I gestori di siti web devono dare attuazione alle disposizioni di cui al riportato provvedimento del Garante entro il 3 giugno 2015. C'è quindi un lungo arco di tempo a disposizione per adeguarsi ma è bene iniziare da subito ad occuparsene, sia per condurre opportunamente dei test sule modifiche da intrrodure, sia per avere il tempo di approfondire la conoscenza di una materia che spesso resta dominio esclusivo dei tecnici informatici che, come è naturale, si occupano della mera funzionalità del sito. Qin invece il tema ha una rilevanza strutturale e strategica ed è quindi essenziale che si valuti, non solo da un punto di vista tecnico, se l'uso di determinati tipi di cookies sia davvero necessario e come proporre concretamente agli utenti i banner che il Garante ha previsto.

Vediamo delle ipotesi pratiche di come può essere strutturato un banner per cookies, anche alla luce dell'esperienza già maturata all'estero.

1) Esempio di banner o pop up all'ingresso del sito

Il testo presente nel banner può essere più o meno lungo. Un testo completo e descrIttivo ha l'effetto di poter essere più rassicurante e di spiegare i termini essenziali di una materia che molti non conoscono affatto. Qui ovviamente ognuno deve fare le sue valutazioni ed individuare la soluzione che ritiene più adatta anche tenendo conto della tipologia di sito e delle caratteristiche di chi si troverà a consultarlo.

Ad esempio un testo sintetico da inserire in un banner può essere questo:

Questo sito fa uso di cookies per migliorare l'esperienza di navigazione degli utenti e per raccogliere informazioni sull'utilizzo del sito stesso. Utilizziamo sia cookies tecnici che cookis di parti terze per inviare messaggi promozionali sulla base dei comportamenti degli utenti. Può conosce i dettagli consultando la nostra privacy policy qui.Proeguendo nelal navigazione si accetta l'uso dei cookies in caso contrario è possibile abbandonare il sito.

Invece un esempio di testo esplicativo è questo

Un Cookie è una piccola quantità di dati, che vengono inviati al tuo browser da un server Web e che vengono successivamente memorizzati sul disco fisso del tuo computer. Il Cookie viene poi riletto e riconosciuto dal sito Web che lo ha inviato ogni qualvolta effettui una connessione successiva. Come parte dei servizi personalizzati per i suoi utenti, il nostro sito utilizza dei Cookies per memorizzare e talvolta tenere traccia di alcuni dei dati personali forniti dagli utenti stessi.

Ti ricordiamo che il browser è quel software che ti permette di navigare velocemente nella Rete tramite la visualizzazione ed il trasferimento delle informazioni sul disco fisso del tuo computer. Se le preferenze del tuo browser sono settate in modo da accettare i Cookie, qualsiasi sito Web può inviare i suoi Cookie al tuo browser, ma - al fine di proteggere la tua privacy - può rilevare solo ed esclusivamente quelli inviati dal sito stesso, e non quelli invece inviati al tuo browser da altri siti. Se vuoi saperne di più poi consultare la nostra privacy policy qui. . Puoi accettare i cookies e proseguire, oppure puoi configurare i singoli cookies, utilizzando i tasti qui sotto

Bisogna poi prevedere una scelta tra due tasti:

un tasto 1) “Configura Cookies” che permette di accedere ad una sezione del sito che permette di abilitare o disabilitare le varie tipologie di cookies che il sito utilizza;

e

un tasto 2) “Accetta e prosegui” che dà immediatamente accesso al sito.

2) Esempio di disclaimer da inserire in messaggi di posta elettronica nel caso di campagne di email marketing

Per quanto riguarda gli strumenti che permettono di raccogliere i dati di apertura, lettura ed inoltro di un' email, nel rispetto del provvedimento del Garante sarà bene inserire nel messaggio alcune informazioni utili.

In particolare nell'header dell'email

Se si attivano le immagini o si fa clic su un link, si accetta di concedere il permesso al mittente di utilizzare cookies* attraverso questa e-mail. I cookies ci aiutano a capire se avete aperto l'e-mail e se l'avete condivisa. Possono essere utilizzati anche se avete già attivato delle immagini, oppure se siamo inseriti all'interno del vostro elenco dei mittenti sicuri o simile. Per ulteriori informazioni leggere la parte finale di questa e-mail.

Nel footer dell'email può trovare spazio questo disclaimer

E-mail e Cookies

*Il mittente di questo messaggio utilizza i cookies e tecnologie simili (che chiamiamo collettivamente cookies) in questa e-mail. Se avete attivato le immagini, i cookies possono essere impostati sul vostro computer o dispositivo mobile. I cookies verranno impostati anche se fate clic su qualsiasi link all'interno di questa e-mail. A seconda di come impostate la configurazione del vostro computer e software, queste tecnologie possono funzionare se siamo inseriti all'interno del vostro elenco dei mittenti sicuri o simile. I cookies ci aiutano a capire come interagite con le vostre e-mail, e ciò ci aiuta a migliorare le nostre comunicazioni per e-mail future. Potete disattivare i cookies nelle impostazioni del vostro browser per evitare che altre tecnologie possono funzionare, non attivando immagini, oppure eliminando il nostro sito www._________________dal vostro elenco degli utenti sicuri. Per ulteriori informazioni sui cookies e su queste tecnologie in generale, potete entrare nel link qui sotto. Se le impostazioni della vostra e-mail hanno disattivato i link in questo messaggio, potete incollare l'indirizzo all'interno del vostro navigatore senza attivare o accettare i cookies: ____________________________.

Questi esempi concreti danno un'idea delle scelte che occorrerà fare per gestire al meglio l'impatto, potenzialmente alto, che questa modifica normativa può avere sull'uso del web e della posta elettronica a fini pubblicitari. Anche per questo il tempo, apparentemente lungo, che ci separa dall'entrata in vigore delle nuove regole, va usato con cura per fare in modo che tutti i soggetti interessati ( l'informatico, il marketing manager, il content manager, il legale) possano confrontarsi e far emergere la soluzione migliore e più adatta alle esigenze specifiche del sito. Occorre infatti diffidare, in particolare in questo ambito, delle tecniche “taglia e incolla”. Quello che è adeguato per un sito non va bene per un altro. Ognuno deve trovare la propria strada per fare in modo che i cookies non siano irrimediabilmente “bruciati” e “sbriciolati” da questa normativa ma mantengano, intatti, la consueta fragranza e consistenza che tanto piacciono ai web marketers.

Come gestire il verbal order nelle attività di vendita telefonica dopo la riforma del codice del consumo

Le novità introdotte a seguito dell'approvazione del d.lgs del 21 febbraio 2014 n. 21
 

di Marco Maglio

Avvocato – Lucerna Iuris International Legal Network – Studio Legale Maglio & Partners

Dal 13 giugno 2014 le società che effettuano vendite di prodotti o servizi utilizzando tecniche di comunicazone a distanza (telefono, e commerce, posta) devono rispettare le novità normative introdotte dal D.Lgs 21 febbraio 2014 n. 21 al Codice del Consumo (Dlgs. 6 settembre 2005 n. 206). Questa riforma, tra le numerose modifiche apportate per regoare il rapporto tra imprese e consumatori, prevede significativi cambiamenti con riferimento ai requisiti formali per la conclusione dei contratti stipulati mediante l'uso del telefono. In pratica non è più sufficiente che il compratore accetti verbalmente l'offerta formulatagli nel corso della conversazione con l'operatore che gli ha illustrato il prodotto o il servizio messo in vendita. Occorrerà che la conferma dell'adesione del cliente sia adeguatamente provata per dare certezza all'acquisto ed evitare forniture non richieste.

La riforma del codice del consumo rispetto alle vendite telefoniche

Prima di vedere questo aspetto essenziale per le vendite telefoniche è utile inquadrare il contesto in cui si inserisce questa novità normative e ricordare che le modifiche introdotte dal D.lgs 21 febbraio 2014 recepiscono la direttiva 2011/83/UE sui diritti dei consumatori, recante modifica delle direttive 93/13/CEE e 1999/44/CE e che abroga le direttive 85/577/CEE e 97/7/CE. (14G00033).

Il testo normativo che attua in Italia tale direttiva è stato pubblicato sulla Gazzetta Ufficiale n. 58 dell'11 marzo 2013 apportando al codice del consumo sostanziali modifiche relative principalmente alle regole che disciplinano i contratti a distanza e ai contratti conclusi fuori dai locali commerciali.

In estrema sintesi la riforma, che ha una portata molto ampia, incidendo anche su norme procedurali, sanzionatorie e comportamentali, indice sulle vendite a distanza per questi tre diversi profili:

1) viene esteso l'obbligo di informativa precontrattuale a carico del venditore: l'obbligo, più gravoso rispetto al precedente, riguarda l'identità del professionista, caratteristiche del prodotto o del servizio, modalità di pagamento, garanzie a favore del consumatore;

2) viene estesa la rilevanza del diritto di recesso: il consumatore se correttamente informato dell'esistenza di tale diritto può, unilateralmente, entro 14 giorni (dal momento della conclusione del contratto per la fornitura di servizi o dal momento della consegna del bene per la vendita di prodotti) recedere dal contratto e senza necessità di motivazione; se non viene informato il termine per esercitare tale diritto di ripensamento si estende a 12 mesi (contro gli attuali 60 giorni dalla conclusione del contratto e i 90 dalla consegna del bene); inoltre il consumatore non ha vincoli di forma per esercitare il recesso (mentre attualmente è tenuto a comunicare il recesso con raccomandata A.R.) ed ha la possibilità di restituire il prodotto ricevuto, anche se deteriorato a seguito del suo temporaneo utilizzo, essendo ritenuto a pagare al venditore solo per la diminuzione del valore del bene restituito.

3) vengono modificati i requisiti formali per tutti i contratti a distanza ed in particolare sono introdotti specifici vincoli di forma per la conferma dell'ordine da parte del consumatore: è previsto che se la vendita avviene mediante un sito internet, al momento di inoltrare l'ordine, il consumatore deve poter riconoscere espressamente che l'ordine che sta effettuando implica l'obbligo di effettuare un pagamento. Per le vendite telefoniche viene previsto a carico del venditore l'obbligo di formalizzare dettagliatamente, su supporto durevole da mettere a disposizione del cliente, le caratteristiche del bene venduto e le condizioni dell'offerta e di ricevere, sempre su supporto durevole, la conferma dell'accettazione dell'offerta.

Le nuove disposizioni entrano in vigore dal 13 giugno 2014 mentre le modifiche e le abrogazioni delle norme ora vigenti sono applicabili già dal 26 marzo 2014.

I requisiti formali per documentare la conclusione del contratto nelle vendite telefoniche

Fatte queste premesse vediamo in particolare in cosa consistono i requisiti formali previsti dalla legge per la corretta acquisizione dei verbal order.

A tale riguardo va richiamato il contenuto del nuovo articolo 51 del Codice del consumo (rubricato come “Requisiti formali per i contratti a distanza”) che, dopo aver chiarito che se il venditore telefona al consumatore al fine di concludere un contratto a distanza, all'inizio della conversazione con il consumatore deve rivelare la sua identita' e, ove applicabile, l'identità della persona per conto della quale effettua la telefonata, nonche' lo scopo commerciale della chiamata e l'informativa relativa all'eventuale utilizzo del registro delle opposizioni (se il numero chiamato è stato esrtatto dall'elenco telefonico), espressamente al comma 6 prevede quanto segue

6. Quando un contratto a distanza deve essere concluso per telefono, il professionista deve confermare l'offerta al consumatore, il quale e' vincolato solo dopo aver firmato l'offerta o dopo averla accettata per iscritto; in tali casi il documento informatico puo' essere sottoscritto con firma elettronica ai sensi dell'articolo 21 del decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni. Dette conferme possono essere effettuate, se il consumatore acconsente, anche su un supporto durevole.

Questa previsione introduce quindi una regola innovativa che prevede, come situazione tipica, la necessità di ottenere la firma del consumatore o in ogni caso l'accettazione scritta dell'offerta) per determinare la nascita del vincolo contrattuale a carico del cliente. In mancanza di questo requisito formale il contratto non sorge in capo al cliente che quindi non sarà obbligato a corrispondere il prezzo previsto dall'offerta, né a suo carico potranno essere poste ulteriori obbligazioni accessorie. Per una corretta lettura di questo comma va peraltro tenuto conto che dopo aver fissato, come regola generale, il requisito dell'accettazione in forma scritta da parte del consumatore, peraltro, lo stesso comma prevede due modalità equivalenti per documentare l'adesione all'offerta: da un lato la sottoscrizione del documento informatico che contiene l'offerta con firma elettronica e dall'altro, quale possibile alternativa, a condizione che il consumatore sia d'accordo, la manifestazione di tale accettazione su supporto durevole.

Va detto che mentre le tre ipotesi della firma autografa, dell'accettazione per iscritto e della apposizione della firma elettronica introducono nelle vendite telefoniche la necessità di introdurre un momento successivo alla conclusione della telefonata per perfezionare la vendita, richiedendo l'uso di strumenti atti a documentare per iscritto la volontà contrattuale del consumatore, l'ipotesi residuale (che prevede la possibilità di utilizzare un supporto durevole per confermare l'esistenza dell'adesione del cliente) apre lo spazio alla gestione di forme di espressione della volontà diverse dalla mera sottoscrizione di una dichiarazione successiva alla telefonata medesima.

In particolare il legislatore affermando, nella parte finale del comma 6 del suddetto articolo 51, che “dette conferme possono essere effettuate, se il consumatore acconsente, anche su un supporto durevole” ha inteso in modo evidente esprimere una significativa deroga rispetto al requisito della forma scritta che rappresenta la nuova regola generale che accompagna la conclusione dei contratti telefonici.

Questa previsione, peraltro, risponde ad una analoga previsione contenuta nella direttiva comunitaria 83/2011 che il D.lgs 21/2014 recepisce. Infatti l'art. 8 della direttiva relativo ai requisiti formali dei contratti a distanza espressamente prevede al comma 6

“Quando un contratto a distanza deve essere concluso per telefono, gli Stati membri possono prevedere che il professioni sta debba confermare l’offerta al consumatore, il quale è vincolato solo dopo aver firmato l’offerta o dopo averla accettata per iscritto. Gli Stati membri possono anche prevedere che dette conferme debbano essere effettuate su un mezzo durevole”

Si pone quindi la necessità di definire in cosa consista tale supporto durevole e definire come possa essere raccolta con tale modalità la volontà del consumatore di aderire all'offerta telefonica.

Va detto a tale riguardo che la definizione di “supporto durevole” è contenuta nell'articolo 45 lettera l) del nuovo testo del Codice del Consumo (riformato dal suddetto D.lgs 21/2014) dove viene precisato che "supporto durevole" è

ogni strumento che permetta al consumatore o al professionista di conservare le informazioni che gli sono personalmente indirizzate in modo da potervi accedere in futuro per un periodo di tempo adeguato alle finalità cui esse sono destinate e che permetta la riproduzione identica delle informazioni memorizzate.

In questo ambito, tenuto conto della specifica natura della vendita telefonica e della peculiarità del canale di comunicazione a distanza utilizzato per presentare l'offerta, si deve intendere che la registrazione vocale della telefonata abbia le caratteristiche proprie del “supporto durevole” previsto dalla normativa vigente. Per poter assumere tale natura è peraltro necessario che la registrazione rispetti alcuni specifici requisiti che in sintesi sono i seguenti:

1) è essenziale che la fase della registrazione della telefonata sia introdotta da una chiara richiesta al consumatore del suo consenso ad utilizzare questo strumento in alternativa alla possibilità di formulare in forma scritta la sua adesione al contratto telefonico

2) occorre che il consumatore sia informato del fatto che la registrazione della telefonata viene effettuata a sua tutela e che la copia del file audio gli verrà messa a disposizione in caso di sua richiesta senza nessun onere a suo carico

3) occorre che il consumatore dopo la conclusione della registrazione riceva, per posta ordinaria o per posta elettronica, un messaggio che gli confermi la conclusione del contratto e che in particlare precisi che, a sua tutela e con il suo consenso, l'ordine telefonico è stato registrato e che tale registrazione è in ogni momento accessibile dal consumatore a sua richiesta. In alternativa, se possibile va prevista la possibilità di mettere a disposizione del cliente la registrazione in uno spazio web accessibile al solo consumatore come area riservata mediante uso di userid e pasword univoche.

4) vanno infine definite specifiche modalità di conservazione della registrazione con adeguate misure di sicurezza, definendo un tempo di conservazione del file audio commisurato alla natura del contratto ed alla sua durata.

Peraltro sul piano interpretativo, a pieno conforto di tale lettura del comma 6 dell'articolo 51 del codice del consumo riformato dal D.lgs 21/2014 vanno tenuti presenti due argomenti rilevanti che confortano tale interpretazione della categoria del “supporto durevole”.

Innanzi tutto va fatto presente che la previsione che attribuisce valore di forma contrattuale rilevante alla registrazione della telefonata è già previsto dal nostro sistema e dalla prassi operativa del telemarketing per alcune specifiche categorie merceologiche a seguito di previsioni regolamentari emanate dalle Autorità preposte al controllo del settore: faccio specifico riferimento alle regole che disciplinano la vendita telefonica di servizi di comunicazione elettronica con la Delibera n. 664/06/cons dell'Autorità per le garanzie nelle Comunicazioni (Adozione del regolamento recante disposizioni a tutela dell’utenza in materia di fornitura di servizi di comunicazione elettronica mediante contratti a distanza) ove si afferma esplicitamente quanto segue:

“in caso di utilizzo di comunicazioni telefoniche, per soddisfare l’esigenza di certezza in ordine all’effettiva conclusione del contratto, il consenso informato del titolare dell’utenza possa risultare dalla registrazione integrale della conversazione telefonica e debba altresì pervenire al recapito dell’utente uno specifico modulo di conferma, al più tardi al momento dell’inizio dell’esecuzione del contratto”.

Analoghe previsioni sono poi state adottate dalle autorità di settore competenti anche per le vendite a distanza di prodotti finanziari mediante strumenti di remote banking e per la fornitura di servizi energetici. Questo conferma in modo evidente che il nostro sistema giuridico, già da tempo ha recepito la registrazione vocale della telefonata come uno standard documentale idoneo a documentare in modo inequivocabile la volontà del consumatore di aderire all'offerta ricevuta tramite telefono.

Inoltre sempre sul piano interpretativo va tenuto presente che anche dall'analisi dei lavori parlamentari che hanno portato all'approvazione del D.lgs 21/2014 si può trarre analoga conferma della volontà del legislatore di dare spazio al riconoscimento di una modalità operativa alternativa rispetto alla sottoscrizione dell'ordine per confermare l'adesione alla vendita telefonica da parte del cliente.

Infatti dall'esame dei dibattiti svoltisi presso le commissioni parlamentari competenti che hanno esaminato in sede consultiva lo schema di decreto legislativo recante attuazione della direttiva 2011/83/UE sui diritti dei consumatori ( http://www.senato.it/leg/17/BGT/Schede/docnonleg/26391.htm http://www.parlamento.it/leg/17/BGT/Schede/ProcANL/ProcANLscheda28560.htm emerge in modo chiaro che mentre la versione originale dell'articolo 51 comma 6 dello schema di decreto legislativo licenziato dal Governo e sottoposto alle Camere, in sede consultiva, non prevedeva la possibilità di fare ricorso al supporto durevole senza la sottoscrizione del consumatore per documentare la conferma dell'ordine da parte del cliente, tale previsione è stata introdotta dal Governo, nella sua veste di legislatore delegato, nella stesura finale del Decreto legislativo n. 21/2014, a seguito della richiesta formulata a più riprese da vari parlamentari nelle Commissioni competenti nel corso dell'esame del provvedimento di iniziativa governativa.

La modifica è stata motivata proprio dall'esigenza di non snaturare le caratteristiche della vendita telefonica e di introdurre modalità alternative alla firma del consumatore per documentare l'adesione al contratto anche nel corso della stessa telefonata di vendita, tenendo conto delle esperienze già maturate in alcuni settori merceologici che da tempo, come sopra ricordati, hanno adottato lo standard della registrazione della telefonata a tutela dei diritti dei consumatori per prevenire i ben noti fenomeni della fornitura di prodotti o servizi non desiderati.

Conclusione

In conclusione la lettura dell'art. 51 comma 6 del Codice del Consumo riformato dal D.lgs 21/2014 permette di precisare che il verbal order telefonico per dare luogo alla costituzione di un contratto vincolante tra le parti richiede il rispetto di questi due successivi passaggi:

1) che il venditore confermi l'offerta al consumatore

e

2) che il compratore confermi a sua volta l'offerta ricevuta

Queste conferme possono essere rese in uno dei seguenti tre modi alternativi:

a) dopo la telefonata: mediante il successivo invio (per posta o per posta elettronica) di un'offerta scritta al recapito del compratore di un documento. Sarà necessaria in questo caso la restituzione del documento firmato per accettazione dal compratore (la firma del compratore deve essere autografa. In alternativa se il documento inviato dal compratore con l'offerta da sottoscrivere è un file informatico è valida anche la firma elettronica apposta dal compratore tramite smart card , business key o altro strumento idoneo per la sottoscrizione elettronica).

oppure

b) dopo la telefonata: mediante una successiva comunicazione scritta del compratore che in risposta ad una comunicazione scritta del venditore conferma espressamente di voler accettare l' offerta ricevuta telefonicamente. Anche in questo caso la conferma deve inequivocabilmente provenire dal compratore.

oppure

c) al termine delle telefonata di vendita ma prima che la comunicazione venga chiusa: mediante la registrazione della conferma (ma solo nel caso in cui il consumatore abbia espresso il suo consenso a fornire la sua conferma ad accettare l'offerta mediante registrazione della telefonata) In questo caso è essenziale che la registrazione sia messa a disposizione dell'interessato in modo che questi possa, senza costi a suo carico, accedervi in futuro per un periodo di tempo adeguato per permettergli di esercitare i diritti derivanti dal contratto. A tal fine è importante prevedere che il consumatore, dopo la conclusione della telefonata riceva al suo recapito una comunicazione scritta che gli confermi che la registrazione è a sua disposizione indicandogli le modalità per accedervi.

Pur se il quadro normativo definito dalla riforma del codice del consumo è chiaramente definito nei termini sopra riassunti, di fronte alle numerose letture restrittive e penalizzanti per il settore del telemarketing che pure si sono diffuse su questo punto è auspicabile che, dopo la prima fase di applicazione della riforma, le varie autorità di settore (in particolare Agcom, Autorità per l'Energia, Ivass, Banca d'Italia, Consob) oltre all'Autorità per la concorrenza ed il mercato ed il Ministero per lo Sviluppo Economico potranno definire i dettagli operativi necessari per garantire uniformità nell'applicazione di questo innovativo sistema di raccolta dei verbal order telefonici.