Le probabilità di un controllo da parte del Garante

Quante probabilità ci sono che il Garante controlli proprio la mia azienda? È la domanda che si sente fare più spesso fra gli imprenditori. E spesso, prima ancora di finire la domanda, si rispondono da soli, con quel mezzo sorriso tutto italiano che conosciamo bene: "Ma dai avvocato, la privacy? Soldi buttati. Vuoi che il Garante o la Guardia di Finanza vengano a cercare proprio me?" La risposta, in effetti, è semplice: poche. L'Italia conta milioni di imprese. Pensare che il Garante possa effettuare controlli sistematici su tutte è irrealistico.

Ma è la domanda sbagliata. La domanda giusta è un'altra: quante probabilità ci sono che un cliente scontento presenti un reclamo? Quelle sono decisamente più alte e la risposta la può conoscere solo l’imprenditore stesso. Ed è proprio così che nasce una parte significativa dei procedimenti in materia di protezione dati. Non perché il Garante bussa alla porta, ma perché qualcuno ha deciso di bussare alla porta del Garante.

Il caso dell’ex iscritto alla palestra

Un provvedimento dello scorso maggio lo dimostra con un'efficacia quasi didattica. Un ex iscritto ad una palestra milanese, dopo la fine dell’abbonamento, continuava a ricevere mail promozionali. Non una, non due: almeno sei, accertate nel fascicolo. Il cliente si era opposto usando il link di disiscrizione in calce alle mail. Niente. Aveva inviato una PEC formale invocando il diritto di opposizione previsto dal Regolamento. Anche quella, ignorata: la palestra ha continuato a scrivergli, tra l'altro invitandolo a tornare in forma a 29 euro al mese.

A quel punto il cliente ha fatto l'unica cosa possibile: ha scritto al Garante. Da lì in avanti, la vicenda è degenerata per la società in un modo che meriterebbe di essere studiato come caso scuola di come non si gestisce un'istruttoria. Il Garante ha chiesto informazioni alla palestra: nessuna risposta. Ha avviato il procedimento, invitandola a presentare difese o a chiedere di essere audita: silenzio totale, né scritti né richiesta di audizione.

Risultato: tre violazioni assenza di consenso valido per le comunicazioni commerciali, mancato riscontro al diritto di opposizione, mancata risposta alla richiesta di informazioni dell'Ufficio. Conseguenza, una sanzione di 3.930 euro, a cui si aggiunge la pubblicazione del provvedimento sul sito del Garante, con tanto di nome e indirizzo della società e obblighi di adeguamento. UN ulteriore costo.

La cifra, di per sé, non spaventa nessuno. Quello che dovrebbe far riflettere è la sequenza degli eventi che l'ha generata: una mail di troppo, un'opposizione ignorata, un silenzio davanti all'Autorità. Tre passaggi evitabili, ciascuno costato qualcosa in più del precedente sia in euro sia in credibilità.

Perché qui arriva il punto che interessa davvero chi fa impresa, al di là del singolo caso: quando un cliente clicca su "non voglio più ricevere queste e-mail" e continua a riceverle, il problema non è soltanto giuridico. È un problema di fiducia. È la dimostrazione concreta, agli occhi del cliente, che l'azienda non lo ascolta. E oggi un cliente che si sente ignorato non scrive una recensione negativa: scrive al Garante.

Lo stesso vale per strumenti meno visibili, come i tracking pixel inseriti nelle newsletter. Molte aziende usano piattaforme di e-mail marketing che raccolgono automaticamente dati sulle aperture dei messaggi, senza che il titolare abbia mai verificato se questa funzione sia attiva: si limita a usare il servizio fornito dal software o dall'agenzia che gestisce le campagne.

Con le recenti linee guida dedicate proprio ai tracking pixel, il messaggio del Garante è chiaro: il titolare deve conoscere gli strumenti che utilizza, sapere quali dati raccolgono, verificare che il loro impiego sia conforme alla normativa. Dire "non lo sapevo" o "ci pensa il mio fornitore" non elimina la responsabilità.

Il caso appena descritto lo conferma indirettamente: anche il silenzio davanti al Garante è stato trattato come un'aggravante, non come un'attenuante. La vera domanda che ogni impresa dovrebbe porsi non è se arriverà un controllo. È molto più semplice: se domani un cliente mi chiedesse come tratto i suoi dati, saprei rispondergli con precisione? E se mi chiedesse di smettere di scrivergli, sarei davvero in grado di farlo, o continuerei a inviargli comunicazioni per inerzia del sistema che uso?

La compliance non serve soltanto a evitare una sanzione. Serve a evitare che un cliente soddisfatto diventi il reclamante che apre la porta a un procedimento davanti al Garante. Perché, nella pratica, è molto più facile che sia un cliente scontento a bussare al Garante, piuttosto che il Garante a bussare spontaneamente alla vostra azienda.