Posso mandare questa email?

Sì, anche a info@azienda.it

Questo è quello che quasi nessuno si aspetta. La definizione sta nella stessa legge, all’articolo 121, comma 1-bis, lettera f), e il contraente è «qualunque persona fisica, persona giuridica, ente o associazione parte di un contratto con un fornitore di servizi di comunicazione elettronica accessibili al pubblico per la fornitura di tali servizi».

Persona giuridica. Una Srl, una SpA, una cooperativa o un’associazione è dunque contraente, e la sua casella generica è protetta esattamente come l’indirizzo personale di qualcuno. La lettera g) aggiunge che «utente» è chi usa il servizio «per motivi privati o commerciali»: l’uso professionale è dentro, non fuori.

Guarda cosa comporta, perché è controintuitivo: qui la tutela è più ampia di quella del GDPR. Il GDPR parla solo di persone fisiche, quindi la casella di una società non è un dato personale e il tuo elenco può essere in perfetto ordine in materia di protezione dei dati. Questo non ti dice nulla sul fatto che tu possa inviare. Sono due domande diverse, e devono avere entrambe risposta sì. La prima la trovi in dati dei clienti e GDPR.

Prima di andare avanti: che cosa non è pubblicità

Il divieto riguarda la comunicazione commerciale, non ogni email. E la definizione è scritta: l’articolo 2, comma 1, lettera f) del decreto legislativo 70/2003 chiama comunicazioni commerciali «tutte le forme di comunicazione destinate, in modo diretto o indiretto, a promuovere beni, servizi o l’immagine di un’impresa».

Lo stesso articolo dice anche cosa non lo è: «Non sono di per sé comunicazioni commerciali: le informazioni che consentono un accesso diretto all’attività dell’impresa, come un nome di dominio, o un indirizzo di posta elettronica.» La firma in fondo alla tua email, quindi, non trasforma un messaggio in pubblicità.

Non è pubblicità la risposta a una richiesta. Né un preventivo che ti hanno chiesto. Né un messaggio su un lavoro in corso, la conferma di un appuntamento o una domanda su una consegna. Questa è normale corrispondenza commerciale e non ha alcun problema, anche verso qualcuno che non ti ha mai firmato niente. Per la stessa ragione sollecitare un preventivo che ti era stato chiesto non è un invio pubblicitario; mandarne uno che nessuno ha chiesto lo è.

Il confine sta dove offri qualcosa che nessuno ti ha chiesto. E la domanda che in pratica funziona meglio: questa email avrebbe ancora senso se io non avessi niente da vendere?

L’unica porta aperta: chi è già cliente

Il comma 4 dello stesso articolo 130 permette di non chiedere il consenso, e le condizioni vanno tutte insieme. Non tre su quattro:

1. Vendita diretta di prodotti o servizi tuoi. La legge dice «propri prodotti o servizi»: quelli di un partner, di un’altra società del gruppo o di un collega che ti paga una provvigione sono di terzi, e per quelli la porta non si apre.
2. L’indirizzo lo ha dato la persona stessa, e lo ha dato «nel contesto della vendita di un prodotto o di un servizio». Un biglietto da visita preso a una fiera non è questo. Un preventivo mai accettato non è questo. Un indirizzo copiato dal sito dell’azienda non è nemmeno vicino.
3. Servizi analoghi. Il testo dice «sempre che si tratti di servizi analoghi a quelli oggetto della vendita». Chi fa manutenzione di caldaie può proporre il suo contratto di revisione; non può proporre un’assicurazione.
4. E la persona non ha rifiutato quell’uso, «inizialmente o in occasione di successive comunicazioni». Un rifiuto arrivato dopo tre anni vale come quello arrivato il primo giorno.

C’è poi un obbligo che si incastra nella stessa norma e si dimentica sempre, perché non vive nel messaggio: la persona, «al momento della raccolta e in occasione dell’invio di ogni comunicazione», deve essere informata «della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente».

Al momento della raccolta è la parte che quasi nessuno rispetta, perché parla di un momento già passato. Se il tuo modulo d’ordine non diceva niente di tutto questo, non lo sistemi oggi con un link di disiscrizione perfetto. Vale la pena saperlo prima di costruire una lista sopra un consenso che non c’è: i tuoi clienti attuali restano il canale più semplice, e come trattarlo sta in i clienti che hai già.

La porta che in Italia resta chiusa: il registro delle opposizioni

Se conosci il registro pubblico delle opposizioni, a questo punto stai pensando: basta controllare il registro e poi scrivo. In Italia questo per le email non funziona, e conviene sapere esattamente perché.

Il comma 3-bis dell’articolo 130 apre quella strada, ma solo per il trattamento «mediante l’impiego del telefono e della posta cartacea». Due canali, scritti uno dopo l’altro. La posta elettronica non c’è. E la legge 11 gennaio 2018, n. 5, che ha allargato il registro, lo conferma: all’articolo 1, comma 2 l’iscrizione riguarda «tutte le utenze telefoniche, fisse e mobili» dell’intestatario, e l’opposizione riguarda «le proprie numerazioni telefoniche». Il Garante lo scrive allo stesso modo sulla sua pagina: si possono iscrivere «tutti i propri numeri di telefono fissi e mobili».

La conseguenza è doppia, e la seconda metà è quella che sorprende. Primo: non esiste un «mando finché non mi dicono di no» per le email. Secondo: non esiste nemmeno una lista che tu possa consultare per fare la cosa giusta. Per la posta elettronica quel gesto non ha un registro a cui rivolgersi, quindi non c’è un controllo che ti metta al sicuro. Resta solo il consenso, o il comma 4.

E se chi invia non è in Italia?

Qui sta la trappola di questo tema, e ci cade chi ha letto mezza legge. L’articolo 3, comma 1 del decreto legislativo 70/2003 lega gli obblighi ai «servizi della società dell’informazione forniti da un prestatore stabilito sul territorio italiano», e il comma 2 vieta di limitare i servizi «provenienti da un prestatore stabilito in un altro Stato membro». Chi si ferma lì conclude che un fornitore estero non è vincolato, e subito dopo manda email illecite.

Perché l’articolo 4 elenca le deroghe a quell’articolo 3, e la lettera h) è esattamente questo argomento: «ammissibilità delle comunicazioni commerciali non sollecitate per posta elettronica».

Il principio del paese d’origine copre altre cose e non copre questa. Se i tuoi destinatari sono in Italia, l’articolo 130 ti vincola da qualunque paese tu invii — e questo vale anche per noi, che siamo un’azienda olandese.

Che cosa deve contenere ogni messaggio

Tre cose, tutte dalla legge, e nessuna complicata:

1. Che si veda che è una comunicazione commerciale. L’articolo 8 del decreto legislativo 70/2003 la vuole riconoscibile «sin dal primo invio, in modo chiaro ed inequivocabile», insieme alla persona fisica o giuridica per conto della quale è fatta. E l’articolo 9 aggiunge che le comunicazioni non sollecitate devono essere identificate come tali «fin dal momento in cui il destinatario le riceve» e contenere l’indicazione che il destinatario può opporsi al ricevimento in futuro.
2. Niente trucchi sull’identità. L’articolo 130, comma 5 vieta in ogni caso l’invio effettuato «camuffando o celando l’identità del mittente». Un oggetto tipo «La tua richiesta» a chi non ha richiesto niente sta proprio lì.
3. Un recapito che funziona. Lo stesso comma 5 vieta l’invio «senza fornire un idoneo recapito presso il quale l’interessato possa esercitare i diritti di cui agli articoli da 15 a 22 del Regolamento». Un no-reply senza nessun’altra via è letteralmente il caso che la norma vieta.

E l’obbligo che conta davvero è quello che viene dopo il link: fermarsi per davvero. Una disiscrizione che non viene lavorata è peggio che non offrire il link, perché hai fatto una promessa e l’hai rotta.

La prova è tua, e qui l’Italia è più severa di tutti

Questo è il punto che rende l’Italia diversa anche dagli altri paesi che chiedono il consenso. L’articolo 9, comma 2 del decreto legislativo 70/2003, una riga sola: «La prova del carattere sollecitato delle comunicazioni commerciali è onere del prestatore.»

Leggila al rovescio e capisci cosa cambia nel tuo lavoro. Non sta a chi si lamenta dimostrare che non aveva chiesto niente; sta a te dimostrare che lo aveva chiesto. Un consenso che esiste ma di cui non resta traccia, nel giorno del reclamo, vale quanto un consenso che non c’è mai stato.

Per questo la parte noiosa di questo articolo è anche la più utile. Per ogni contatto, quattro informazioni: da dove viene l’indirizzo, su che cosa ti appoggi (consenso, con data e il testo esatto che la persona ha letto, oppure il comma 4 e che cosa aveva comprato), se si è opposto, e quando gliel’hai detto che poteva opporsi. Sembra burocrazia ed è la tua unica difesa.

E al telefono? Qui il canale è più aperto, non più chiuso

Vale la pena saperlo prima di cambiare canale, perché in Italia la direzione è opposta a quella della posta elettronica.

L’articolo 130, comma 1 parla di «sistemi automatizzati di chiamata o di comunicazione di chiamata senza l’intervento di un operatore» — le chiamate preregistrate. Il comma 3 dice che, fuori da quei casi, le comunicazioni fatte con altri mezzi «sono consentite ai sensi degli articoli 6 e 7 del Regolamento nonché ai sensi di quanto previsto dal comma 3-bis». Una telefonata fatta da una persona, quindi, può appoggiarsi a una base giuridica del GDPR — per esempio il legittimo interesse, che però richiede un bilanciamento che devi aver fatto prima e saper spiegare.

Con due obblighi concreti che l’email non ha. Prima consulti il registro, perché il comma 3-bis permette quel trattamento solo «nei confronti di chi non abbia esercitato il diritto di opposizione». E attenzione a una regola che manda in fumo i consensi vecchi: la legge 5/2018 stabilisce all’articolo 1, comma 5 che con l’iscrizione al registro «si intendono revocati tutti i consensi precedentemente espressi», salvi quelli «prestati nell’ambito di specifici rapporti contrattuali in essere, ovvero cessati da non più di trenta giorni». Un consenso raccolto due anni fa non è più una garanzia.

Come si conduce una prima telefonata — la preparazione, la prima frase, il momento di smettere — è mestiere e non diritto, e lo trovi in contatto a freddo.

Quello che non ti diciamo, perché non l’abbiamo trovato risolto nella fonte: che cosa succede esattamente quando chiami il centralino di una società, dove non c’è il dato personale di nessuno. L’articolo 130 protegge il «contraente», che è anche una persona giuridica; il comma 3 rimanda al GDPR, che parla solo di persone fisiche; e il registro iscrive i numeri dell’intestatario. Quella cucitura non è chiusa nel testo, quindi non trasformarla in un permesso.

Che cosa succede se non lo fai

Due strade, e portano a due tavoli diversi. La prima: l’articolo 166, comma 2 del Codice Privacy assoggetta la violazione dell’articolo 130, commi da 1 a 5, alla sanzione dell’articolo 83, paragrafo 5 del GDPR — la fascia più alta prevista dal Regolamento. L’importo lo fissa quell’articolo del GDPR e non il Codice, quindi è lì che va letto, e noi non lo scriviamo qui con un numero che non abbiamo verificato alla fonte. La seconda: l’articolo 21 del decreto legislativo 70/2003 punisce le violazioni degli articoli 8 e 9 con «una sanzione amministrativa pecuniaria da 103 euro a 10.000 euro», raddoppiata nei minimi e nei massimi «nei casi di particolare gravità o di recidiva».

Chi decide è il Garante per la protezione dei dati personali: l’articolo 166, comma 3 lo indica come l’organo competente ad adottare i provvedimenti correttivi e a irrogare le sanzioni. Il procedimento parte «a seguito di reclamo ai sensi dell’articolo 77 del Regolamento» o per iniziativa dell’Ufficio del Garante; ricevuta la contestazione hai trenta giorni per mandare scritti difensivi o chiedere di essere sentito, e il comma 7 prevede che l’ordinanza-ingiunzione possa essere pubblicata sul sito del Garante.

Due cose che cambiano il calcolo per un’azienda piccola. Per chi riceve la tua email è gratis e senza formalità: il Garante scrive che «la presentazione del reclamo è gratuita», e chiunque può mandare una segnalazione ai sensi dell’articolo 144 del Codice, per la quale «non sono previsti particolari vincoli di forma». Il destinatario infastidito ha quindi una leva che costa meno di cinque minuti. E in caso di violazione ripetuta, il comma 6 dell’articolo 130 permette al Garante di prescrivere ai fornitori di servizi di comunicazione elettronica «procedure di filtraggio o altre misure praticabili» sugli indirizzi da cui hai inviato.

Resta il rischio pratico, che per un’azienda di due persone arriva prima di qualsiasi procedimento: la tua posta. Chi riceve e clicca su «spam» danneggia la reputazione del tuo dominio di invio, e a un certo punto non arriva più nemmeno la tua posta normale — i preventivi, le risposte, le conferme. Te ne accorgi tardi e si ripara male.

Un modo praticabile di farlo bene

Le quattro informazioni per contatto sono il cuore, e le hai lette sopra. Il resto è una scelta semplice: in Italia il primo contatto a freddo non parte da una email. Parte da una telefonata fatta con il registro consultato, da un incontro, da una presentazione, da qualcuno che ti mette in contatto — e la email arriva dopo, quando c’è una richiesta o un consenso vero dietro. È più lento, e tiene.

In Nermio, oggi, quelle informazioni stanno a metà e preferiamo dirtelo. Puoi scrivere un messaggio a un contatto dalla scheda dell’azienda: parte dal tuo indirizzo, quindi le risposte arrivano nella tua casella, e resta nella cronologia di quell’azienda con la data e il mittente. L’invio a un gruppo, la schermata Campagne, non c’è ancora: niente lista di invio, niente link di disiscrizione automatico, e quello che non c’è non lo promettiamo. Non c’è nemmeno una casella «si è opposto» sulla scheda di un contatto, quindi finché non c’è scrivilo in una nota dove il tuo collega la vede. E in Italia non è ancora possibile fare le fatture da Nermio, perché fra soggetti stabiliti in Italia l’articolo 1, comma 3 del decreto legislativo 127/2015 vuole che siano «emesse esclusivamente fatture elettroniche utilizzando il Sistema di Interscambio», e il comma 6 aggiunge che altrimenti «la fattura si intende non emessa».

La cosa importante: Nermio non controlla per te se puoi inviare. Non sa se quel contatto ti ha dato il consenso, né se quello che offri è «analogo» a quello che aveva comprato. Quel pezzo resta dalla tua parte, e vale più leggerlo qui che scoprirlo dopo un reclamo.

E applica una regola più severa della legge, che è anche la più facile da ricordare: manda solo quello che ti farebbe piacere ricevere. Chi si attiene a questo non inciampa in nessuna di queste norme.

Questa è una spiegazione, non un parere legale

Quello che hai letto è il testo degli articoli 121, 130 e 166 del Codice Privacy (decreto legislativo 196/2003), degli articoli 2, 3, 4, 8, 9 e 21 del decreto legislativo 70/2003, dell’articolo 1 della legge 11 gennaio 2018, n. 5 e di due pagine del Garante. Quello che non c’è è la giurisprudenza, e pesa: soprattutto su che cosa significhi «analoghi», e su quando un indirizzo funzionale torna a essere un dato personale.

E non confondere due cose che queste norme invitano a confondere. La base giuridica per trattare i dati di contatto professionali di un’azienda è una domanda; poter inviare pubblicità a quell’indirizzo è un’altra, e la regge l’articolo 130. Un elenco clienti perfettamente in regola con il GDPR non è un permesso di invio.

Scritto da un fornitore di software a cui conviene che non ti sembri troppo complicato. Se mandi in grandi quantità, se lavori con liste comprate o se hai un dubbio vero, leggi i testi alla fonte o fai guardare la tua procedura a un giurista. Costa meno di un procedimento.