Il 9 marzo 2023 il Garante per la protezione dei dati personali ha emanato un provvedimento per l’approvazione del nuovo “Codice di condotta per le attività di telemarketing e teleselling”.

Di cosa parla il nuovo codice? Quali novità introduce?

IL NUOVO CODICE DI CONDOTTA

Il nuovo Codice, elaborato ai sensi dell’articolo 40 del Regolamento (UE) 2016/679, fa riferimento al trattamento di dati personali utilizzati da società operanti in Italia (o all’estero) per la promozione o offerta di beni e servizi, tramite canale telefonico, a soggetti nel territorio dello stato italiano.

Vengono, tuttavia, escluse dall’applicazione del Codice le promozioni in-app e le attività di digital advertising come pure tutti i contatti telefonici che non hanno alcuna finalità di tipo commerciale.

PRINCIPALI NOVITA’ ED ASPETTI RILEVANTI PER CHI ADERISCE AL CODICE

L’articolo 2 del Codice inquadra, tra le altre, le attività di telemarketing e teleselling: definisce come “committente”, “il soggetto che, operando in qualità di titolare del trattamento, incarica terzi, ad esempio, call center, teleseller e agenzie, per lo svolgimento di contatti commerciali telefonici per finalità di teleselling e telemarketing”; definisce come “call-center/teleseller” e “agenzie”, “gli operatori economici che, operando in qualità di responsabili del trattamento dei committenti, sviluppano contatti telefonici per finalità di promozione della conclusione di contratti di vendita/locazione/abbonamento per servizi/prodotti o di richiesta di incontri al medesimo fine”; e come “list provider” o “editore”, “il soggetto che, anche in via non principale rispetto alla propria attività, operando in qualità di titolare del trattamento, procede, in virtù del consenso degli interessati, alla comunicazione dei dati personali, autonomamente raccolti, a soggetti terzi per finalità di teleselling e telemarketing”. Viene anche esplicitato il significato del termine “contraente”, qualificato come “la persona fisica, giuridica, ente, associazione o altro organismo che sia parte di un contratto con un fornitore di servizi di comunicazione elettronica accessibili al pubblico per la fornitura di tali servizi, o che comunque ne benefici anche tramite schede prepagate”.

Il Codice opera una netta demarcazione dei ruoli di privacy e delle conseguenti responsabilità in ambito di attività di telemarketing e teleselling. L’ articolo 4 precisa che il soggetto, che esegue direttamente o delega l’effettuazione tramite canale telefonico di campagne di telemarketing o teleselling, agisce in qualità di titolare del trattamento, decidendo come organizzare tutti i processi operativi legati al trattamento. I call center, invece, operano in qualità di responsabili del trattamento quando svolgono uno o più trattamenti legati alle campagne di telemarketing o teleselling oppure nel reperire dati dai list provider

Con riferimento allo svolgimento delle attività di teleselling e telemarketing chi aderisce al Codice si obbliga, in primo luogo, a svolgere un’attenta analisi sugli impatti che l’attività promozionale può determinare sulla protezione dati nel caso in cui possa esserci un rischio per i diritti e le libertà degli interessati; non raccogliere, direttamente o attraverso terzi (o list provider) più dati rispetto a quelli necessari per una corretta comunicazione commerciale e, in secondo luogo, a garantire la modifica dei dati non corretti raccolti e trattati, anche attraverso attività di cd. data quality, oltre che a adottare misure organizzative idonee a garantire il tracciamento in maniera lineare dell’intera filiera di contatto.

L’articolo 12 spiega in modo chiaro la differenza tra consenso al marketing e consenso alla profilazione, specificando come quest’ultima richieda un consenso specifico e distinto rispetto al marketing stesso; l’articolo 14, invece, impone ad ogni aderente, nel rispetto del principio di accountability, di verificare “il possesso dei requisiti dichiarati dall’affidatario del servizio, ovvero del fornitore che fornisce il servizio di call center, mediante verifica documentale e/o ispezione interna. Il Codice elenca inoltre la tipologia di evidenze che i committenti devono raccogliere e valutare nell’ambito di tali verifiche.

Sicuramente si tratta di una novità normativa con impatti soprattutto per coloro che operano – anche non principalmente – in qualità di call center o list provider.

GLI ASPETTI PIÙ RILEVANTI PER I CALL CENTER

Per chi svolge attività di telemarketing/teleselling è previsto l’obbligo, ai sensi dell’articolo 7, di iscriversi al Registro degli operatori di comunicazione (ROC).

Inoltre, gli aderenti che svolgono attività di call center, devono sottostare ad alcuni vincoli stabiliti nel terzo comma dell’articolo 7 tra cui quello di adottare adeguate misure tecnico-organizzative idonee a verificare l’adempimento, da parte dei soggetti autorizzati, delle istruzioni impartite ed assicurare l’adempimento degli obblighi di cui al Codice; utilizzare esclusivamente numerazioni richiamabili o identificabili e non accettare incarichi da committenti che non prevedano tale obbligo; produrre report che indichino tutti gli elementi riportati al punto c del medesimo articolo 7, da sottoporre ai propri mandanti entro 15 giorni dalla chiusura delle singole campagne promozionali; registrare in apposite black-list tutte le richieste di opposizione o di cancellazione verso il titolare ricevute; contattare l’interessato non prima delle 9.00 e non dopo le 20.00 nei giorni feriali e il sabato e nei giorni prefestivi tra le 10.00 e le 19.00, mentre sono vietati i contatti telefonici effettuati di domenica o nei giorni festivi. Al punto f viene chiaramente specificato che non devono sottostare a tali limiti temporali le chiamate richieste dallo stesso interessato. È previsto inoltre l’obbligo di fornire all’interessato tutte le informazioni necessarie sul trattamento dei dati personali e sulle modalità di esercizio dei propri diritti, nel corso della telefonata.

Al quarto comma dell’articolo 10 si stabilisce il divieto di raccolta sistematica di contatti potenzialmente interessati alla proposta commerciale, diversi dal soggetto contattato e da questo “segnalati” (cd. referenziati). Viene, però, specificato che è concesso, a chi aderisce al Codice in quanto call center, di mettere a disposizione del soggetto contattato un canale utile da comunicare al possibile referenziato.

All’articolo 11, comma 2, si tutelano invece i soggetti, quali gli anziani o chi soffre di disabilità (cd. vulnerabili), prevedendo che debbano ricevere, con modalità semplificate, tutte le informazioni obbligatorie (ai sensi del Codice e del Regolamento). Sempre nel suddetto articolo si prevede che, in occasione del primo contatto commerciale con l’utente, si utilizzi lo script fornito dal committente, che deve contenere anche un’informativa per il trattamento dei dati in forma semplificata. Prima di procedere alla raccolta dati – o su richiesta – l’operatore deve inoltre indicare dove può essere reperita l’informativa estesa, che dovrà essere rilasciata prima della possibile formalizzazione dell’accordo.

Un’altra novità riguarda il sesto comma dell’articolo 12 del Codice, dove viene ritenuta quale valida manifestazione d’interesse anche una delle seguenti circostanze, purché sia tracciata e comprovabile: a) la pressione di un tasto numerico sulla tastiera entro un dato intervallo di tempo o dai termini quali “CONSENTO”, “ACCETTO” o anche un semplice “SI’”; b) l’inserimento di un OTP univoco su una apposita pagina; c) il rilascio in un form web dei propri dati personali unitamente alla selezione di una casella relativa al consenso per le finalità promozionali; d) qualsiasi altra modalità di firma elettronica.

GLI ASPETTI PIÙ RILEVANTI PER I LIST PROVIDER

Per quanto riguarda i list provider, invece, il Codice decreta che essi debbano essere considerati titolari del trattamento quando acquisiscono autonomamente i dati personali, nell’ambito di un trattamento antecedente ed indipendente da quello legato all’esecuzione delle comunicazioni commerciali.

Tra le novità più rilevanti per questa categoria di operatori, sicuramente vi è quella per cui, nella selezione dei list provider, il committente debba prestare la massima attenzione e valutare l’esistenza di una serie di elementi di garanzia ed evidenze elencate nel Codice (anche attraverso l’analisi delle fonti di raccolta), il più rilevante dei quali è sicuramente l’adozione di correte modalità di acquisizione del consenso. Questo si considera validamente acquisito nel momento in cui è adeguatamente documentato (con modalità informatiche che ne assicurino la non modificabilità all’origine) tramite conservazione della coppia IP e timestamp del soggetto che ha fornito il consenso unitamente alla prova, in alternativa, o dell’avvenuto invio allo stesso di un messaggio di notifica della avvenuta registrazione (cd. “single opt-in” o “soft double opt-in”) o dell’utilizzo di meccanismi double opt-in tali da permettere all’interessato di prendere atto della registrazione effettuata convalidando, con un’ulteriore azione effettuata a seguito della ricezione del messaggio di conferma, il consenso prestato.

Ai sensi dell’articolo 6, comma 3, del Codice, infine, i list provider che raccolgono i dati in maniera autonoma devono fornire una dichiarazione debitamente sottoscritta che attesti la correttezza di tutti i consensi raccolti.

Infine, ai list provider viene richiesto di verificare presso il Registro Pubblico delle Opposizioni, prima della relativa trasmissione, le liste delle numerazioni da utilizzare nella campagna promozionale definita dal committente.

ULTIMI STEP

Pur essendo stato approvato dal Garante per la protezione dei dati personali, è bene precisare che il Codice entrerà in vigore solo previa individuazione del relativo Organismo di monitoraggio e 15 giorni dopo la sua pubblicazione in Gazzetta Ufficiale. Ciononostante, l’approvazione del Codice di Condotta dedicato al telemarketing rappresenta un importante tassello nella lotta al telemarketing selvaggio, nonché ai fini della definizione di regole uniformi, atte a garantire una maggiore uniformità del mercato e dei rapporti tra call center, list provider e committenti finali.