papa@vatican.va ... Ho indovinato?
Forse si, forse ho indovinato, ma per sicurezza manderò la mia richiesta di intercessione anche a Robert.Francis.Prevost@vatica.va
Ovviamente queste mail non andranno da nessuna parte e, di sicuro, non saranno lette dal Papa e dovrò rinunciare all'intercessione papale.
Questo giochino lo abbiamo fatto tutti.
A chi non è mai capitato di provare a indovinare l'indirizzo di un collega, un fornitore o un cliente, sulla base di uno specifico pattern, cioè della modalità di composizione delle email di una certa organizzazione, desumibile da altri esempi noti?
Se ho scritto costantemente email a aulo.agerio@acme.org, numerio.negidio@acme.org, probabilmente potrò contattare chiunque nell'azienda Acme semplicemente componendo nome.cognome@acme.org
Semplice, veloce, gratis.
Marie-Laure Denis deve essersi proprio stufata di ricevere email da gente sconosciuta che, con un pizzico di fantasia, è riuscita ad imbroccare il suo indirizzo email, a caso ma non troppo. La CNIL si è presa la briga di chiarire cosa sia lecito e cosa non lo sia in questa pratica.
Il principio base è tutto qui: "La semplice reperibilità pubblica o l'accessibilità di dati anagrafici su Internet (es. su motori di ricerca o social network) non rende il trattamento automaticamente lecito, né esenta l'organizzazione dall'applicazione rigorosa dei principi del GDPR (Regolamento UE 2016/679)."
Per poter ricostruire e utilizzare un indirizzo e-mail personale, il Titolare del trattamento, come prima cosa, deve individuare una base di legittimazione tra quelle papabili:
- Legittimo Interesse (Art. 6, par. 1, lett. f, GDPR): penso sia la base giuridica prevalente nei rapporti B2B, ma il suo utilizzo è subordinato al superamento del Test di Bilanciamento (LIA - Legitimate Interest Assessment) e al rispetto delle aspettative dell'interessato. Per poter usare il legittimo interesse devono sussistere tre condizioni:
- Interesse effettivo e lecito: l'obiettivo perseguito deve essere reale, lecito e conforme all'ordinamento (es. sviluppo della rete commerciale B2B, contatti di lavoro pertinenti al ruolo svolto).
- Strumentalità al trattamento principale: la ricostruzione deve configurarsi come una operazione tecnica secondaria, necessaria e proporzionata per raggiungere la finalità primaria (es. invio di una proposta commerciale specifica pertinente alla mansione del destinatario).
- Ragionevole aspettativa dell'interessato: in base al contesto e alla visibilità della propria figura professionale, la persona deve potersi ragionevolmente attendere di essere contattata su quell'indirizzo per motivi legati alla propria attività lavorativa.
- Esecuzione di un compito di interesse pubblico (Art. 6, par. 1, lett. e, GDPR): Applicabile solo per le comunicazioni istituzionali e gli scambi informativi con la PA.
- Consenso espresso dell'interessato (Art. 6, par. 1, lett. a, GDPR): di fatto, l'ultima spiaggia, la base di legittimazione che diventa obbligatoria in tutti i casi in cui non vi siano le condizioni per applicare il legittimo interesse o l'interesse pubblico. È anche la base di legittimazione più complessa da utilizzare.
In alcuni casi il legittimo interesse non può proprio essere utilizzato. Sbagliare significa violare il GDPR e, di conseguenza, ricostruire con la logica un indirizzo e-mail altrui diventa un trattamento illecito e sanzionabile:
- Persone prive di presenza pubblica identificabile online: qualora la persona non sia presente su social network professionali (es. LinkedIn) né citata sul sito web aziendale o su registri pubblicamente accessibili, si presume la volontà dell'interessato di mantenere riservati i propri dati di contatto.
- Persone che hanno adottato misure di protezione della riservatezza: qualora l'interessato utilizzi impostazioni di privacy restrittive sui propri profili, escluda i dati di contatto dalla visibilità pubblica o metta a disposizione esclusivamente form generici di contatto, anziché recapiti diretti, significa che quella persona ha fatto ogni sforzo per mantenere riservato il proprio indirizzo email.
Provare a comporre l'indirizzo email a buonsenso, sulla base di un pattern noto, significa adottare una presunzione contraria alla ragionevole aspettativa di ricontatto. In questi casi vige l'obbligo di astenersi dalla ricostruzione dell'e-mail, l'unica possibilità di contatto diretto diventa l'acquisizione preventiva di un consenso espresso.
Queste valutazioni trasformano una semplice email in spam, vietato, sanzionato.
A margine di questo schema di ragionamento, vincolante e necessario, vi sono i normali adempimenti necessari per la legittimità di qualsiasi trattamento che, anche in questo caso, devono essere attuati e garantiti:
Limitazione della Conservazione (Data Retention): gli indirizzi, nache quelli ricostruiti, non devono essere conservati a tempo indeterminato. Qualora il primo contatto tentato con l'interessato non vada a buon fine o non riceva riscontro entro un termine ragionevole, l'indirizzo ricostruito deve essere cancellato o anonimizzato.
Diritto di Opposizione Incondizionato (Opt-Out): nel primo contatto inviato, l'interessato deve essere informato della possibilità di opporsi al trattamento tramite un meccanismo semplice ed immediato (es. link di disiscrizione one-click o istruzioni chiare). In caso di opposizione, il Titolare deve interrompere qualsiasi contatto e inserire il recapito in una black list o suppression list (lista di blocco) per evitare che in futuro lo stesso indirizzo venga nuovamente ricostruito o contattato. L'opposizione non richiede alcuna motivazione da parte dell'interessato, anche laddove le e-mail inviate abbiano finalità diverse dal marketing diretto.
Trasparenza e informativa: poiché i dati non sono stati raccolti direttamente presso l'interessato, la prima comunicazione inviata deve contenere l'informativa privacy ex Art. 14 GDPR, specificando in modo chiaro: la fonte da cui sono state tratte le informazioni primarie (es. sito aziendale, rete professionale); la logica applicata per la ricostruzione del recapito; i diritti spettanti all'interessato e le modalità per esercitarli.
In alternativa, nel primo invio può essere presente anche solo un riassunto sintetico di questi elementi, rinviando i maggiori dettagli ad una informativa completa raggiungibile con link diretto.
Ancora una volta, la CNIL si dimostra vicina alle esigenze pratiche delle persone e delle aziende. Una guida breve chiara ed operativa su questo tema, anche se può apparire banale agli occhi di un esperto, permette a molte aziende di fare la scelta giusta, evitando comportamenti che il senso comune giudicherebbe accettabili, ma che leciti non sono.
| Scenario | Visibilità dell'Interessato | Base di Legittimazione | Liceità | Adempimenti |
|---|---|---|---|---|
| Contatto B2B pertinente alla mansione | Organigramma pubblico o profilo professionale visibile | Legittimo Interesse (Art. 6.1.f) | CONSENTITA | LIA preventivo; Informativa ex Art. 14 al 1° contatto; Opt-out. |
| Profilo con restrizioni di privacy | Account con contatti nascosti o form generico | Consenso (Art. 6.1.a) | VIETATA (senza consenso) | Astenersi dalla ricostruzione; usare i canali ufficiali o form messi a disposizione. |
| Soggetto privo di presenza online | Nessun dato reperibile su fonti aperte | Consenso (Art. 6.1.a) | VIETATA (senza consenso) | Presunzione di volontà di riservatezza; divieto di deduzione. |
Su questo blog ci sono altri 213 articoli.
Esplora, cerca, curiosa in giro...
Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.
Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.
Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!
Clicca qui per inviare una donazione
...un caffè, una birra, una pizza, una cena elegante...
