L'autorità francese di protezione dei dati e le sue aspettative
La Commission nationale de l'informatique et des libertés — la CNIL — è l'autorità che vigila sul modo in cui i dati personali sono raccolti e utilizzati in Francia, prospezione via email inclusa. Pubblica indicazioni pratiche dettagliate sulla prospezione commerciale per via elettronica, e le fa rispettare.
Una cosa è cambiata in modo sostanziale da quando il GDPR è entrato in applicazione nel 2018, e gli articoli meno recenti continuano a sbagliarla: non esiste più alcun obbligo di dichiarare il proprio archivio di contatti alla CNIL. Il vecchio regime di dichiarazione è stato abolito. Al suo posto è subentrata la responsabilizzazione: dovete essere in grado di dimostrare la conformità, il che in pratica significa tenere un registro delle attività di trattamento e poter produrre la prova del consenso.
Raccolta degli indirizzi: che cosa è permesso e che cosa no
Gli indirizzi raccolti da siti web, forum e directory non possono essere usati per la prospezione. Quando è la persona stessa a fornirvi il proprio indirizzo — tramite un modulo, l'iscrizione a una newsletter, un sondaggio — deve essere informata in quel momento che potrà essere usato per inviarle messaggi commerciali, e da parte di chi.
Il consenso non si trasmette lungo una catena. Se gli indirizzi sono raccolti per essere ceduti a partner, la persona deve sapere chi sono quei partner nel momento in cui presta il consenso; un generico riferimento ai "nostri partner" non è sufficiente. La CNIL ha sanzionato pesantemente diversi operatori proprio su questo punto.
I due livelli della prospezione
La CNIL distingue tra la prospezione rivolta a un consumatore e quella rivolta a un professionista.
Per i consumatori è richiesto il consenso preventivo, con la sola eccezione, di portata ristretta, dei messaggi inviati a un cliente esistente relativi a prodotti o servizi analoghi a quelli che ha già acquistato da voi.
Per i professionisti le regole sono più leggere. Un messaggio può essere inviato senza consenso preventivo quando il suo oggetto è attinente alla professione della persona contattata, purché essa sia informata e possa opporsi in modo semplice in qualsiasi momento. Il mittente deve comunque identificarsi chiaramente. Si tratta della posizione dichiarata della CNIL e non di un'esenzione di legge: documentate quindi le ragioni per cui ritenete che una data campagna vi rientri.
Per quanto tempo si possono conservare i dati dei potenziali clienti
Il quadro di riferimento della CNIL raccomanda di conservare i dati di un potenziale cliente che non è diventato cliente fino a tre anni dall'ultimo contatto proveniente da quella persona. Un clic su un link o una richiesta di documentazione contano come contatto; la semplice apertura di un'email no. Per i clienti, il periodo equivalente decorre dalla fine del rapporto commerciale.
Sono raccomandazioni che creano una presunzione di conformità e non termini di legge fissi: potete conservare i dati più a lungo se siete in grado di giustificarne e documentarne la ragione. L'obbligo vincolante è il principio di limitazione della conservazione previsto dal GDPR: non conservare i dati personali più a lungo di quanto la finalità richieda.
Le sanzioni sono concrete
La prospezione è una priorità costante della CNIL e produce sanzioni ogni anno. Le decisioni recenti hanno colpito invii privi di consenso valido, moduli costruiti in modo che il consenso non fosse né libero né inequivocabile, meccanismi di disiscrizione che imponevano di scrivere a un responsabile della protezione dei dati anziché offrire un solo clic, e la cessione a terzi dei dati dei potenziali clienti senza una base adeguata. Gli importi sono andati da decine di migliaia di euro fino a otto cifre nei casi più gravi.
La lezione pratica è la stessa in tutti i casi: raccogliete il consenso in modo pulito, conservatene la prova, rendete semplice l'uscita e non trattate un archivio di potenziali clienti come un bene da far circolare.
Vedete anche: normativa e mailing in Francia.