NOYB – European Centre for Digital Rights, l’organizzazione no profit fondata da Max Schrems, lo scorso 24 agosto 2022 ha rilasciato un comunicato stampa con cui dichiarava di aver presentato in pari data un formale reclamo[1] contro Google dinnanzi all’ Autorità francese per la protezione dei dati personali (CNIL) relativamente all’attività di marketing conosciuta come inbox advertising all’interno di Gmail.
In estrema sintesi, si tratta della visualizzazione di messaggi pubblicitari nelle caselle di posta in arrivo degli utenti di un servizio di posta elettronica in una forma simile a veri messaggi di posta elettronica, pur essendo nella sostanza degli annunci pubblicitari distinguibili solo per alcune lievi caratteristiche, come ad esempio: l’assenza dell’indicazione del mittente e/o della data, la presenza di diciture come “annuncio” o “ad” in lettere e/o su sfondo avente differente colore.
È come se fosse un banner pubblicitario che, anziché comparire sullo schermo (di solito a latere), si presenta all’utente sottoforma di email. Per di più non permette, se l’utente non interviene sull’annuncio (verificandone il contenuto e poi eliminandolo), di poter visualizzare il resto delle email in arrivo della propria casella rischiando altresì di atterrare sui siti degli inserzionisti in modo inconsapevole.
Si tratta di meccanismi di pubblicità online ideati dai player del settore che sembrano sfuggire, forse volutamente, a categorie di strumenti la cui disciplina normativa è già definita nell’ambito della protezione dei dati personali e delle comunicazioni elettroniche (basti pensare a: email, SMS, MMS, push notification) ed è ovvio che il mercato digital avanzi e si evolva sempre più velocemente delle norme.
Su questo punto cosi tecnico e specifico, quale la natura dell’inbox advertising, come noto, è intervenuta per la prima volta il 25/11/2021 la sentenza della Corte di giustizia europea (CGUE) sul caso C-102/20 “StWL Städtische Werke Lauf a.d. Pegnitz GmbH contro eprimo GmbH” e, da pochissimo è stato presentato il reclamo di NOYB.
Indice degli argomenti
Inbox advertising: il precedente nella sentenza della CGUE
Alla CGUE è stato chiesto di verificare se la pratica di inserire nella posta in arrivo di un utente di un servizio di posta elettronica dei messaggi pubblicitari con modalità simili a quelle delle e-mail e un’identica collocazione, integri una fattispecie di direct marketing, che, senza previo consenso dell’utente, è da ritenersi vietata ai sensi della Direttiva 2002/58/CE (ePrivacy Directive).
La Corte ha risposto affermativamente, ritendendo che la casella di posta in arrivo costituisce il mezzo attraverso il quale i messaggi in discussione sono trasmessi all’utente, comportando con ciò l’uso della sua posta elettronica a fini di commercializzazione diretta proprio ai sensi dell’art. 13(1) della ePrivacy Directive; tale valutazione poggia, inter alia, su tali considerazioni:
- “dal punto di vista del destinatario, detto messaggio pubblicitario compare nella casella di posta in arrivo, ossia in uno spazio normalmente riservato ai messaggi di posta elettronica privati”[2];
- proprio in ragione della somiglianza tra e-mail private e gli annunci nella inbox e tenuto conto che i “messaggi pubblicitari occupano stringhe della casella di posta in arrivo normalmente riservate ai messaggi di posta elettronica privati, sussiste un rischio di confusione tra queste due categorie di messaggi potenzialmente idoneo a far sì che l’utente cliccando la stringa corrispondente al messaggio pubblicitario sia reindirizzato contro la propria volontà al sito internet contenente la pubblicità di cui trattasi, invece di continuare a consultare i propri messaggi di posta elettronica privati”[3].
I giudici di Lussemburgo si addentrano in analisi tecniche molto approfondite per giungere alla loro decisione. Vediamo alcuni punti interessanti per la nostra analisi.
L’inbox advertising e il direct marketing
Per rispondere compiutamente alla prima domanda, i giudici ritengono sia necessario verificare se una siffatta comunicazione persegua uno scopo commerciale e si rivolga direttamente e individualmente ad un consumatore.
La Corte ritiene che la natura stessa di messaggi pubblicitari nella inbox, che riguardino la promozione di servizi unitamente al fatto che essi siano diffusi sotto forma di messaggio di posta elettronica – tali da comparire direttamente nella casella di posta in arrivo dell’utente interessato-, consentono di qualificare tali messaggi come comunicazioni riguardanti la commercializzazione diretta (c.d. direct marketing) proprio ai sensi dell’art. 13(1) della ePrivacy Directive[4].
L’inbox advertising e la scelta dei destinatari dei messaggi pubblicitari
Dunque, se l’inbox advertising ha natura di direct marketing, resta tale anche se i destinatari di tali messaggi pubblicitari sono scelti in modo aleatorio?
In merito a questa domanda, viene indicato che la circostanza secondo la quale il destinatario dei messaggi pubblicitari venga scelto in modo aleatorio “non può rimettere in discussione tale conclusione” (vale a dire la natura di direct marketing) poiché ciò che realmente rileva non è tanto che la pubblicità sia indirizzata a un destinatario predeterminato e identificato individualmente o che si tratti di una diffusione di massa e aleatoria a numerosi destinatari, quanto piuttosto “l’esistenza di una comunicazione a finalità commerciale che raggiunge direttamente e individualmente uno o più utenti di servizi di posta elettronica comparendo nella casella di posta dell’account di detti utenti”[5].
Nel caso dell’inbox advertising, quindi, per la CGUE i destinatari di tali messaggi pubblicitari sono individuati, in quanto: 1. essi sono utenti di un determinato fornitore di posta elettronica; 2. l’utente accede alla propria casella di posta in arrivo solo dopo aver indicato i dati di registrazione e la password.
Da ciò ne consegue che la visualizzazione degli annunci pubblicitari, in modo individualizzato, avviene: a seguito di una procedura di autenticazione del destinatario nonché nell’ambito di uno spazio privato – che gli è riservato – e che è destinato alla consultazione di contenuti aventi forma di email.
Il consenso nell’inbox advertising
Se dunque l’inbox advertising costituisce una forma di direct marketing, vero è che la comunicazione commerciale in oggetto per avvenire legittimamente richiede un previo consenso del destinatario, come previsto dall’art. 13 (1) ePrivacy Directive.
La Corte, infatti, ribadisce tale assunto, ricordando che i requisiti del consenso sono quelli di cui all’art. 4, punto 11 del GDPR: libero, specifico, informato ed inequivocabile.
“Ripetute e sgradite sollecitazioni commerciali” e popup
La pubblicità nella casella di posta degli utenti dei servizi di posta elettronica rientra nella definizione di “ripetute e sgradite sollecitazioni commerciali” ai sensi dell’allegato I, punto 26 della Direttiva sulle pratiche commerciali sleali (Direttiva 2005/29/CE), poiché sussistono le condizioni qualificanti.
L’inbox advertising è dunque:
- una “sollecitazione commerciale”, inquanto trattatasi di messaggio pubblicitario come abbiamo già verificato sopra;
- “ripetuta”, dato che i messaggi di marketing giungono con sufficiente frequenza e regolarità. Nel caso di specie si tratterebbe di tre messaggi giunti nell’arco di circa 30 giorni;
- “sgradita”, poiché la visualizzazione degli annunci è avvenuta senza il previo consenso dell’utente.
Ma vi è secondo noi, anche di più; i giudici, entrando in sottili tecnicismi, sembrano definire a contrario dei possibili parametri per non ricadere nell’ambito di applicazione sin qui delineato dell’inbox advertising dove si legge che: “contrariamente ai banner pubblicitari e alle finestre pop-up, che compaiono a margine dell’elenco dei messaggi privati o separamenti dai medesimi, la comparsa dei messaggi di inbox advertising, ostacola l’utente all’accesso dei messaggi privati in modo analogo a quanto accade con le comunicazioni indesiderate (spam )”[6].
Da quanto riferito dalla Corte sembrerebbe potersi rilevare un margine di distinzione tra i banner pubblicitari/pop-up, da un lato, e l’inbox advertising, dall’altro.
Il reclamo di NOYB presentato alla CNIL
NOYB ha ritenuto, agendo in rappresentanza degli interessati ai sensi dell’art. 80 (1) GDPR, di presentare il proprio reclamo dinanzi alla CNIL affermando che Google abbia ripetutamente ignorato la sentenza della CGUE di cui sopra, utilizzando la propria piattaforma di posta elettronica Gmail per “piazzare” annunci non richiesti senza un preventivo consenso degli utenti, violando così la Direttiva 2002/58/CE (ePrivacy Directive) e la normativa francese di recepimento[7] (e quindi non il GDPR generalmente inteso).
Perché NOYB agisce dinanzi alla CNIL
Lo fa per due ordini di ragioni:
- la particolare sensibilità dimostrata dalla stessa autorità francese, in merito alle modalità di trattamento dei dati da parte di Google. Sul punto basti pensare, tra le altre, alle sanzioni del dicembre 2021 per le violazioni delle norme sui cookie (in data 31 dicembre 2021 ha imposto sanzioni di 90 milioni di euro e 60 milioni di euro rispettivamente a Google LLC e Google Ireland,) ed a quella di 50 milioni di euro (inflitta in data 21 gennaio 2019 a causa dell’opaca politica sulla privacy dell’azienda e della mancanza di una base giuridica per gli annunci personalizzati);
- l’applicazione al caso di specie della ePrivacy Directive e non nel GDPR, godendo pertanto la CNIL di competenza nel decidere e sanzionare Google senza la necessità di cooperare con le altre autorità di protezione dei dati personali.
L’autonoma competenza delle autorità di controllo nazionali, è stata anche da ultimo attivata dal Garante Privacy italiano con il Provvedimento d’urgenza del 7 luglio 2022 nei confronti di TikTok.
Nel comunicato stampa si legge infatti che “l’Autorità ha ora concluso che tale mutamento della base giuridica risulta incompatibile con la direttiva europea 2002/58, la cosiddetta direttiva “ePrivacy” , e con l’art. 122 del Codice in materia di protezione dei dati personali (che ne dà attuazione) […]. La violazione della direttiva “ePrivacy” ha consentito al Garante di intervenire direttamente e in via d’urgenza nei confronti di Tik Tok, al di fuori della procedura di cooperazione prevista dal GDPR, che avrebbe visto l’esercizio dell’iniziativa da parte dell’Autorità di protezione dati irlandese, Paese ove TikTok ha fissato il proprio stabilimento principale”.
In ogni caso nel provvedimento stesso il Garante afferma “salva la facoltà per l’Autorità di intervenire d’urgenza, laddove se ne ravvisasse in prosieguo l’esigenza, anche ai sensi dell’art. 66 del Regolamento”.
Ma veniamo al merito dell’azione. NOYB ribadisce che:
- l’inserimento di annunci pubblicitari nella casella di posta elettronica costituisce un “uso della posta elettronica a fini di fini di marketing diretto” alla luce della sentenza C-102/20 oltre che in base alla normativa nazionale francese dell’articolo L34-5 CPCE, che al paragrafo 3 specifica che: “L’invio di qualsiasi messaggio volto a promuovere, direttamente o indirettamente, beni, servizi o l’immagine di una persona che vende beni o fornisce servizi costituisce marketing diretto”;
- né Google né gli inserzionisti hanno ottenuto il consenso preventivo per l’invio di tali comunicazioni di marketing diretto (di inbox advertising), come previsto dall’art. 13 ePrivacy Directive e dall’art. L34-5 CPCE (Codice delle comunicazioni postali ed elettroniche), non applicandosi le condizioni per il ricorso al c.d. soft spam;
- le e-mail pubblicitarie di Gmail violano anche l’art. L34-5, paragrafo 5, del CPCE il quale in sostanza recepisce l’articolo 6 della direttiva 2000/31/CE che prevede che “in ogni caso, è vietato inviare, ai fini del marketing diretto, messaggi mediante un sistema automatizzato di comunicazione elettronica ai sensi dell’articolo L. 32, 6°, fax ed e-mail, senza indicare validi recapiti a cui il destinatario può utilmente inviare una richiesta per ottenere che tali comunicazioni cessino senza costi diversi da quelli relativi alla trasmissione delle stesse. È altresì vietato occultare l’identità della persona per conto della quale viene effettuata la comunicazione e menzionare un oggetto estraneo alla prestazione o al servizio offerto”.
NOYB nello specifico ha ritenuto che Google abbia adottato due pesi e due misure, prevendo in sostanza due tipologie spam, “mentre Gmail filtra con successo la maggior parte dei messaggi di spam esterni in una cartella spam separata, i messaggi di spam non richiesti da Google vengono inviati direttamente alla casella di posta dell’utente. In questo modo si ha l’impressione che l’utente si sia iscritto a queste e-mail o a questi servizi, mentre in realtà non è stato ottenuto alcun consenso da parte dell’utente”.
Conclusione
Il nuovo reclamo di NOYB porta nuovamente in auge la tematica dell’inbox advertising affrontato dalla Corte di Giustizia nel caso C-102/20.
E in Italia? Possiamo dire che il Garante Privacy italiano non è mai sceso cosi approfonditamente nell’analizzare le tecniche di advertising e la loro liceità, avendo nei provvedimenti sanzionatori in questi anni valutato per l’appunto la finalità, cioè lo scopo di marketing perseguito, e la base giuridica adottata, più che il tipo e la modalità di utilizzo dello strumento.
Ciò probabilmente perché tali distinzioni (banner/pop-up piuttosto che inbox adversting), in definitiva non mutano la sostanza del nostro art. 130 del Codice Privacy che quando prevede:
“1….l’uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l’intervento di un operatore per l’invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente […].
2.La disposizione di cui al comma 1 si applica anche alle comunicazioni elettroniche, effettuate per le finalità ivi indicate, mediante posta elettronica, telefax, messaggi del tipo MMS (Multimedia Messaging Service) o Sms (Short Message Service) o di altro tipo”,
non si riferisce tanto alle modalità, ma alla finalità di marketing che con tali strumenti automatizzati o “di altro tipo” si persegue.
Naturalmente ove la comunicazione tramite banner/pop-up o altro strumento, non dovesse perseguire espressamente una finalità di marketing, allora la stessa non sarà considerabile come un’azione di direct marketing.
È lo scopo perseguito il fattore dirimente; si potrebbe dire che la nostra Autorità ha un approccio “sostanziale” sulla questione.
Vedremo quale sarà la decisione della CNIL su tale importante aspetto.
NOTE
Paragrafo 41 della sentenza. ↑
Paragrafo 43 della sentenza. ↑
Paragrafo: 47 -48 della sentenza. ↑
Paragrafi 49 e 50 della sentenza. ↑
Paragrafo 42 della sentenza. ↑
Si ricorda che questa è stata recepita in Italia nel Codice Privacy, al Titolo X sulle comunicazioni elettroniche dove compare anche l’art. 130 Codice Privacy, e negli altri paesi membri, tra cui la Francia, con simile regolamentazione nazionale. ↑
