Il trattamento dei dati nel direct marketing
di Gabriele Faggioli* - 16.11.98

La lettera aperta dell’AIDM e l’acuto articolo di commento di Manlio Cammarata sollevano interessanti e effettivi problemi applicativi di cui soffre la legge 675/96.
L’esclusione del "consenso implicito" al trattamento, infatti, sicuramente impatta pesantemente con la normale organizzazione delle aziende affliggendo il budget e comportando seccanti aumenti di procedure. Ed è altresì vero che la scelta effettuata dal legislatore non viene incontro a quello che Manlio Cammarata definisce il "senso comune" dei cittadini.

Mi permetto tuttavia di svolgere alcune considerazioni sui principi alla base (e sulla applicazione) della legge 675/96.
Le regole generali stabilite dagli articoli 10 e 11 della legge 675/96 costituiscono il fondamento della tutela dell’interessato nei confronti di chi voglia trattare per i più disparati motivi dati personali che lo riguardano. Contrariamente a quanto spesso (a sproposito) affermato da più parti, la legge sulla privacy non intende affatto vietare i la possibilità di utilizzare dati personali, ma al contrario si pone l’obiettivo di regolamentare i flussi di informazioni rendendoli controllabili non da parte del Garante (se non in casi eccezionali), ma invece da parte dell’interessato.

Se questo è vero, la ratio del consenso informato è un presupposto dal quale non si può prescindere se si vuole nel tempo migliorare la sensibilità dei diversi operatori economici (e di chi sfrutta o subisce le attività di questi) al rispetto della riservatezza.
Il contenuto degli articoli 10 e 11 della legge 675/96 tuttavia, deve essere valutato alla luce di quanto stabilito dall’articolo 12, che espressamente e tassativamente prevede alcune cause di esclusione dal consenso.
Nei casi previsti dal detto articolo (tra i quali dati raccolti e detenuti in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; dati necessari per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato o per l'acquisizione di informative precontrattuali attivate su richiesta di quest'ultimo, o per l'adempimento di un obbligo legale; trattamento di dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque) il consenso dell’interessato non è necessario nè in forma scritta nè espressa.
In tali casi non è dunque previsto alcun onere probatorio in capo al titolare del trattamento dell’avvenuto acquisito consenso dell’interessato, ed egli può tranquillamente trattare i dati personali raccolti, seppur nei limiti di quanto notificato al Garante (qualora necessario) e di quanto indicato nella informativa resa ai sensi dell’articolo 10.
Ed è questo il punto.

Nei casi di esclusione dal consenso previsti dall’articolo 12 non si realizza un consenso implicito, ma si ha invece una deroga ex lege ad una regola generale.
Non può certo parlarsi di consenso implicito nel caso di trattamento effettuato in base a un obbligo stabilito dalla legge!
La necessità del consenso per svolgere le attività di informazione commerciale, vendita diretta etc. è quindi esclusa, rientrandosi in punto nell’ambito della detta deroga, stante il richiamo effettuato dall’inciso inserito nella lettera f) del comma 1 dell’articolo 12, che espressamente richiama la seguente disposizione dell’articolo 13 (Diritti dell’interessato): "l’interessato ha diritto di opporsi, in tutto o in parte, al trattamento di dati personali che lo riguardano, previsto a fini di informazione commerciale o di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva e di essere informato dal titolare, non oltre il momento in cui i dati sono comunicati o diffusi, della possibilità di esercitare gratuitamente tale diritto".

Una interpretazione logica di tali due disposizioni non può che portare a concludere che le aziende (e gli altri operatori economici) possono trattare i dati che hanno a disposizione per effettuare ogni tipo di attività pubblicitaria o promozionale (purchè tali attività siano lecite e corrette e non violino i diritti, le libertà fondamentali e la dignità delle persone), ma devono garantire agli interessati la possibilità di esercitare il diritto di opposizione a questo trattamento.
Lo stesso discorso, evidentemente, riguarda l’adempimento da parte delle aziende delle proprie obbligazioni contrattuali. Nessuna azienda ha il dovere di raccogliere il consenso dei clienti nè espresso nè tantomeno scritto per svolgere quanto si è impegnata a compiere nei loro confronti.

In entrambi i detti casi, tuttavia, rimane sempre in capo all’azienda l’onere di informare l’interessato riguardo le finalità che verranno perseguite, e quindi occorrerà segnalare che i dati serviranno sia per adempiere alle obbligazioni contrattuali che per effettuare attività di informazione commerciale o quant’altro.
Il problema del consenso, quindi, nei casi sopraindicati non appare così rilevante come invece quello dell’informativa, soprattutto perchè non appare agevole interpretare i risvolti applicativi del comma 4 dell’articolo 10.
La norma in commento prevede che qualora i dati non siano raccolti presso l’interessato l’informativa può non essere resa se ciò comporta un impiego di mezzi che il Garante dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si rivela, a giudizio del Garante, impossibile, ovvero nel caso in cui i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria.

Se il terzo caso è del tutto pacifico, i primi due sono più difficili da interpretare.
Senza entrare nel merito dell’impossibilità (concetto praticamente privo di contenuto sostanziale, posto che l’unica impossibilità assoluta si ha nei casi di dati anonimi) occorre porre l’attenzione sul principio dell’esonero in caso di tutela che comporti un impiego di mezzi che il Garante dichiari manifestamente sproporzionato.
Questa necessità di ottenere un provvedimento liberatorio del Garante potrebbe essere ritenuta una pecca della legge 675/96 per tutti i casi di direct marketing che si fondino sull’estrazione di nominativi da elenchi pubblici posto che, qualora i trattamenti di tali dati personali abbiano l’esclusiva finalità di svolgere informazione commerciale, vendita diretta, etc.., ben poteva il legislatore prevedere una espressa deroga così come per il regime del consenso.
Potrebbe allora il Garante emanare in punto una autorizzazione generale di diversa natura rispetto a quelle ad oggi conosciute, che sancisca definitivamente la non necessità del consenso per il trattamento di dati personali effettuato ai fini di direct marketing inteso nel senso più ampio del termine e che eventualmente sgravi altresì dall’onere della informativa qualora ciò non venga considerato lesivo della tutela dell’interessato (anche in considerazione del fatto che le informazioni relative al trattamento possono essere richieste dall’interessato al titolare o al responsabile in ogni momento).

Un ultima riflessione riguardo all’impatto della legge 675/96 nel mondo economico italiano.
A fronte di realtà economiche o sociali più avanzate in cui già prima del dicembre 1996 era presente un certo grado di sensibilità sull’argomento, vi erano e permangono tuttavia altre situazioni particolarmente prive di un’etica della gestione dei dati personali.
La legge sulla privacy, senz’altro non esente da pecche sia sotto il profilo della tecnica legislativa che sotto il profilo dei contenuti sostanziali, ha avuto ed ha il merito di aver obbligato anche questi settori a porsi il problema "gestione-riservatezza" (si pensi fra tutti al buco nero sanità), ed è pertanto a mio avviso un atto importante, nel suo piccolo rivoluzionario, che non necessita di essere stravolto, ma semmai riorganizzato in relazione ad alcuni aspetti relativi a specifiche categorie e gruppi economici..

* Studio Legale Tamburrini Savi & Associati, Milano