A cura di Avv. Anna Maria Lorito e Avv. Michele Defidio – DGRS Studio Legale per IAB Italia
Il 9 marzo 2023, il Garante per la protezione dei dati personali ha emanato un provvedimento per l’approvazione del nuovo “Codice di condotta per le attività di telemarketing e teleselling” (il “Codice”), promosso da associazioni di committenti, call center, teleseller e associazioni di consumatori1.
Che valore ha il Codice di condotta?
Il Codice, le cui disposizioni si applicheranno ai soli aderenti ma che sicuramente influenzerà anche i loro partner commerciali, è stato elaborato ai sensi dell’articolo 40 e 41 del Regolamento (UE) 2016/679 (il “Regolamento”). Secondo il Regolamento, questi strumenti sono finalizzati a “contribuire alla corretta applicazione del [Regolamento], in funzione delle specificità dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese”: lo scopo è quindi quello di precisare l’applicazione del Regolamento, con riferimento ad uno specifico settore.
A chi si applica?
Nel nostro caso, quindi, il Codice considera le attività di trattamento dei dati personali effettuate da soggetti (operanti in territorio italiano o estero) per promuovere e/o offrire beni o servizi, tramite il canale telefonico, a soggetti ubicati nel territorio dello Stato italiano. Restano invece escluse dall’applicazione del Codice le promozioni in-app e le attività di digital advertising (ossia, ricorrendo alle parole dello stesso Codice, “qualsiasi forma pagata di presentazione e promozione non personale di idee, beni e servizi a scopo informativo o commerciale, attraverso tecnologie digitali/internet come applicazioni, siti web, piattaforme on line, testate e pubblicazioni on line, messaggistica, chat, social network e similari, da parte di un committente identificato”), nonché i contatti telefonici con finalità esclusivamente limitata alla rilevazione del grado di soddisfazione della clientela, a sondaggi e/o ricerche di mercato senza alcuna finalità commerciale. Dall’ambito di applicazione del Codice sono inoltre escluse tutte le attività di contatto sviluppate tramite canali diversi da quello telefonico quale, ad esempio, il canale SMS, nonché, le attività di contatto e le altre attività a ciò connesse dirette verso soggetti diversi da persone fisiche, liberi professionisti e imprese individuali.
A partire da quando si applicherà?
Pur essendo stato approvato dal Garante, il Codice entrerà in vigore solo previo accreditamento dell’Organismo di monitoraggio (“OdM”), ai sensi dell’art. 41 del Regolamento, e 15 giorni dopo la sua pubblicazione nella Gazzetta ufficiale della Repubblica italiana. L’OdM dovrà essere un organismo indipendente, costituito al fine di verificare il rispetto e l’osservanza del Codice da parte dei soggetti aderenti e al fine di gestire la risoluzione dei reclami. Sarà lo stesso OdM, ai sensi dell’art. 19 del Codice, a definire, una volta formalmente accreditato, la procedura, le modalità e i costi di adesione al Codice da parte degli operatori interessati.
Come si aderirà?
L’adesione al Codice sarà libera e facoltativa, ma possiamo già anticiparne la massiva partecipazione da parte dei principali player del telemarketing e del teleselling, i quali renderanno, di fatto, obbligatoria l’adesione al Codice (o comunque vincolante il rispetto dei relativi requisiti), per chiunque intenda instaurare con essi una collaborazione commerciale o, più semplicemente, per chiunque intenda operare in questo mercato.
Punti di attenzione generali sul Codice di condotta
Tra le varie novità del nuovo Codice ve ne sono alcune che si ritiene opportuno sottoporre alla attenzione degli associati IAB, nell’ottica di permettere un pronto adeguamento dei flussi business ai nuovi requisiti che sarà richiesto di rispettare (come aderenti o fornitori e outsourcer di aderenti) una volta che il Codice sarà entrato in vigore.
In primo luogo, merita attenzione l’articolo 2, che riporta un elenco di definizioni, tra cui vi sono quelle di “telemarketing” e di “teleselling” che, finalmente, trovano una determinazione in relazione al contesto di riferimento. Inoltre, per quanto qui d’interesse, il Codice definisce
- come “committente”, “il soggetto che, operando in qualità di titolare del trattamento, incarica terzi, ad esempio, call center, teleseller e agenzie, per lo svolgimento di contatti commerciali telefonici per finalità di teleselling e telemarketing”,
- come “call-center/teleseller” e “agenzie”, “gli operatori economici che, operando in qualità di responsabili del trattamento dei committenti, sviluppano contatti telefonici per finalità di promozione della conclusione di contratti di vendita/locazione/abbonamento per servizi/prodotti o di richiesta di incontri al medesimo fine”
- e come “list provider” o “editore”, “il soggetto che, anche in via non principale rispetto alla propria attività, operando in qualità di titolare del trattamento, procede, in virtù del consenso degli interessati, alla comunicazione dei dati personali, autonomamente raccolti, a soggetti terzi per finalità di teleselling e telemarketing”.
Viene anche esplicitato il significato del termine “contraente”, qualificato come “la persona fisica, giuridica, ente, associazione o altro organismo che sia parte di un contratto con un fornitore di servizi di comunicazione elettronica accessibili al pubblico per la fornitura di tali servizi, o che comunque ne benefici anche tramite schede prepagate”.
Il Codice fornisce inoltre una chiara “divisione” dei ruoli data protection dei suoi destinatari, nonché delle relative responsabilità in ambito telemarketing e teleselling:
- all’articolo 4 del Codice, innanzitutto, viene stabilito come, a prescindere dalla fonte di provenienza dei dati e indipendentemente dal materiale accesso agli stessi, il soggetto che esegue direttamente o commissiona l’effettuazione tramite il canale telefonico di campagne di telemarketing e/o teleselling, agisce in qualità di titolare del trattamento. Il titolare del trattamento decide le modalità in base a cui sono organizzati i processi operativi che interessano tutte le fasi del trattamento, dalla raccolta del dato dell’interessato/contraente/utente, sino alla conclusione del contratto (compatibilmente con quanto previsto dalla disciplina prevista dall’eventuale contratto di agenzia).
- I call center, invece, ricadono nella categoria dei fornitori di servizi incaricati di svolgere uno o più trattamenti connessi all’esecuzione di campagne di telemarketing e/o teleselling, o anche di reperire dati dai list provider e, pertanto, operano in qualità di responsabili del trattamento, in virtù di un contratto, o altro atto giuridicamente vincolante ai sensi di legge, che includa tutti gli elementi e disciplini tutti i profili di cui all’articolo 28 del Regolamento.
In tale quadro, i titolari del trattamento dovranno porre particolare attenzione nella scelta dei partner commerciali, privilegiando, nel rispetto delle norme sulla concorrenza, gli operatori aderenti al Codice ed attuando in ogni caso le prescrizioni di cui al Regolamento, secondo gli standard e le best practices indicate nel Codice.
Al riguardo è plausibile ipotizzare che i Committenti, nella scelta dei soggetti demandati al trattamento di dati personali per proprio conto, provvederanno ad implementare (dove non lo facciano già) procedure strutturate di prequalifica dei propri fornitori di servizi in ambito telemarketing e teleselling, che (i) assicurino il rispetto degli standard previsti dal Codice e (ii) consentano una raccolta di informazioni funzionale ad una accurata selezione dei partner tra quanti presentino adeguati standard di compliance (non solo dal punto di vista data protection, ma anche con riferimento a quanto definito nelle Delibere AGCOM applicabili ai call center, nonché, con riferimento ai list provider che operano nel settore dei concorsi a premio, delle norme di cui al DPR 430/2001 e s.m.i., che regolano il settore).
Il Codice prevede inoltre, per tutti i suoi aderenti, ai sensi dell’articolo 8, una serie di impegni, che prescindono dal ruolo rivestito:
- svolgere un’adeguata valutazione degli impatti che l’attività promozionale può determinare sulla protezione dei dati, qualora dalla stessa possa derivare, particolarmente in caso di uso di nuove tecnologie, un rischio elevato per i diritti e le libertà degli interessati;
- non raccogliere, direttamente presso gli interessati o da fonti terze o list provider, più dati di quanti siano ragionevolmente necessari alla corretta esecuzione della comunicazione commerciale e, più in generale, a garantire l’attuazione del principio di minimizzazione;
- garantire la rettifica dei dati inesatti raccolti e trattati, anche attraverso attività di data quality, senza necessità di apposita richiesta da parte degli interessati, in tutti i casi in cui ricevano evidenza di errori nei dati di contatto riferiti all’interessato (dove per “data quality” s’intende, secondo le definizioni del Codice, “l’operazione o l’insieme di operazioni, con esclusione di ogni forma di profilazione, per garantire che i dati personali trattati per finalità promozionali siano sempre esatti ed aggiornati”);
- adottare procedure e misure tecniche e organizzative, anche di carattere contrattuale, idonee a garantire il tracciamento in maniera trasparente dell’intera filiera di contatto, nonché agevolare le varie attività di controllo da parte di organismi o Autorità competenti, oltre ad audit interni. A tal fine, ad esempio, gli aderenti dovranno archiviare e rendere facilmente accessibili ai soggetti autorizzati a svolgere attività di controllo, copia degli script utilizzati nel corso dell’attività di contatto e ad utilizzare sistemi di verifica delle liste fornite da terzi, astenendosi dall’utilizzo di quelle che non rispondano a criteri di liceità e trasparenza.
All’articolo 12 il Codice definisce in modo chiaro la differenza tra “consenso al marketing” e “consenso alla profilazione”, specificando che l’attività di profilazione “richiede un consenso specifico e distinto”, rispetto all’effettuazione di attività promozionali semplici. Non necessita, invece, di un consenso specifico e distinto l’attività di classificazione degli interessati, ovvero un’operazione di mera estrazione da database di macrocategorie di interessati effettuata tramite query per partizionare i dati grezzi presenti nella banca dati (ad esempio, fascia di età, genere, area di residenza, nazionalità) purché sia effettuata nel rispetto della definizione data dallo stesso codice, e non comporti in alcun modo un’attività di profilazione.
Importante inoltre segnalare come l’articolo 14 del Codice, rubricato “Controllo della filiera”, imponga invece ad ogni aderente di verificare “il possesso dei requisiti dichiarati dall’affidatario del servizio, ovvero del fornitore che fornisce servizio di call center, mediante verifica documentale e/o ispezione interna” nonché di prevedere, mediante inserimento di idonee previsioni nell’atto giuridico vincolante che disciplina i trattamenti (i.e. l’atto di nomina), tutte le obbligazioni a cui dovrà sottostare il responsabile del trattamento ai sensi del Regolamento, richiamate anche dallo stesso Codice.
Il Codice, infine, chiarisce come le operazioni di “data quality” debbano essere tenute distinte dall’attività, differente, di “arricchimento”, la quale richiede, ai sensi dell’articolo 15 punto 3 del Codice, “una valutazione preliminare della finalità della stessa e della necessità effettiva della realizzazione di tali trattamenti, al fine di garantire in modo comprovabile che le azioni poste in essere abbiano adeguata base giuridica e rispettino i principi di cui [al] Regolamento”.
Per saperne di più
Nell’introdurre una serie di nuove regole ad alto impatto operativo, il Codice di condotta comporterà anche conseguenze differenti tra i diversi soggetti cui lo stesso è destinato: call center e agenzie, da una parte, e list provider e committenti, dall’altra.
Per approfondire come le regole del Codice impatteranno queste diverse categorie di operatori e saperne di più, vi invitiamo a guardare le nostre video-pillole dedicate, accessibili qui di seguito:
Guarda le video pillole
_____________________________________________________________________________
1Da non confondere con il “Codice di condotta per attività di Call Center” approvato lo scorso 26 luglio, di competenza dell’Autorità per le Garanzie nelle Comunicazioni – AGCOM (delibera n.197/23/CONS)
