Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Nella sua sentenza C‑654/23, la Corte di giustizia dell'Unione europea (CGUE) fornisce chiare indicazioni. Linee guida sull'interpretazione del termine „pubblicità diretta“ ai sensi della direttiva ePrivacy e sul rapporto tra la direttiva ePrivacy e la GDPR. In particolare, la Corte di giustizia europea chiarisce a quali condizioni è consentito l'invio di newsletter a indirizzi e-mail raccolti nell'ambito di account utente gratuiti e quando non è necessaria un'autorizzazione separata. Consenso è necessario. Quali sono le conseguenze pratiche per le imprese derivanti dalla sentenza della Corte di giustizia dell'Unione europea.
Account gratuito e newsletter senza consenso
Der Fall betraf die rumänische Online-Plattform avocatnet.ro, die juristische News anbietet. Inteligo Media SA, Betreiber der Plattform, ermöglichte Nutzern zunächst, bis zu sechs Artikel im Monat kostenlos zu lesen. Um darüber hinaus zusätzlichen kostenlosen Content zu erhalten, konnten Nutzer ein kostenloses Konto erstellen, wobei sie ihre E-Mail-Adresse angeben mussten. Mit Einrichtung dieses Gratis-Kontos erhielten Nutzer Zugriff auf zwei Extra-Artikel pro Monat und einen täglichen E-Mail-Newsletter namens „Personal Update“. Beim Registrieren konnten sie ausdrücklich dem Erhalt des Newsletters widersprechen (Opt-out). Jeder Newsletter enthielt zudem einen Abmeldelink, um jederzeit das Abo beenden zu können.
L'autorità nazionale rumena per la protezione dei dati (ANSPDCP) ha ritenuto che ciò costituisse un Violazione Contro la legge sulla protezione dei dati: Inteligo Media avrebbe utilizzato gli indirizzi e-mail raccolti per un altro scopo, ovvero per inviare pubblicità diretta tramite newsletter, senza averne ottenuto il consenso esplicito. Consenso dell'utente. È stato creato un Fine di circa 9.000 euro. Inteligo Media ha contestato l'accusa, sostenendo di aver agito in conformità con la direttiva ePrivacy e di non essere quindi soggetta ad alcuna ulteriore GDPR-Base giuridica come quella di un Consenso necessario. Infine, la Corte d'appello rumena ha sottoposto diverse questioni alla Corte di giustizia dell'Unione europea. Tra le altre cose, sulla definizione di „pubblicità diretta“, sull'interpretazione di „in relazione alla vendita di un prodotto o di un servizio“ (art. 13, paragrafo 2, della direttiva ePrivacy) e sull'applicazione della GDPR (Art. 6 e Art. 95 GDPR) in questo contesto.
Quando una newsletter è considerata pubblicità diretta?
Ein zentrales Thema war, ob der täglich versandte Newsletter als „Direktwerbung“ im Sinne der ePrivacy-Richtlinie einzustufen ist. Inteligo Media argumentierte, der Newsletter diene primär der Information über neue Gesetzesänderungen und habe redaktionellen Charakter. Der EuGH stellt jedoch klar, dass nicht allein der Inhalt, sondern vor allem der verfolgte Zweck der Nachricht entscheidend ist. Obwohl der Personal Update-Newsletter informative Zusammenfassungen enthalte, verfolge er doch letztlich ein kommerzielles Ziel: Die Nutzer über Links zurück auf die Webseite zu führen, damit sie ihr Gratis-Limit ausschöpfen und zum Kauf eines Voll-Abos animiert werden. Damit liegt eine individuelle werbliche Ansprache der Nutzer vor. Der EuGH bestätigt, dass solche E-Mails "für die Zwecke der Direktwerbung“ versandt werden, selbst wenn sie auf den ersten Blick redaktionell wirken.
Conclusione: Le aziende possono inviare newsletter con contenuti „misti“ (informazioni più pubblicità nascosta). Pubblicità) considerati come pubblicità diretta ai sensi della normativa sulla protezione dei dati. Ciò che conta è lo scopo promozionale del messaggio, non solo il suo contenuto superficiale.
Kostenloses Nutzerkonto = „Verkauf eines Dienstes“?
Di particolare rilevanza pratica è la questione se la creazione di un account gratuito possa essere considerata „correlata alla vendita di un prodotto o di un servizio“ (art. 13, comma 2 della direttiva ePrivacy). Questa definizione determina se si applica la deroga del „soft opt-in“, ovvero la pubblicità diretta senza previo consenso. Consenso è consentito. La Corte di giustizia dell'Unione europea lo conferma espressamente: anche un servizio apparentemente gratuito può costituire una „vendita“ se l'utente fornisce i propri dati in cambio. È determinante il fatto che la creazione di un account dia luogo a un rapporto contrattuale tra l'utente e il fornitore e che quest'ultimo ne tragga un vantaggio economico indiretto. Nel caso in esame, il „pagamento indiretto“ consisteva nel fatto che l'offerta gratuita aveva lo scopo di promuovere la vendita dell'abbonamento premium a pagamento. La Corte di giustizia dell'Unione europea sottolinea che i costi del servizio gratuito sono economicamente inclusi nel prezzo dell'offerta a pagamento e sono quindi considerati una remunerazione indiretta.
Mit dieser weiten Auslegung erfüllt bereits das kostenlose Konto die Voraussetzung eines „Verkaufs“ im Sinne von Art. 13 Abs. 2 ePrivacy-RL. Unternehmen mit Freemium-Modellen können daher ihre kostenlosen Nutzer als „Kunden“ im ePrivacy-Sinne betrachten und ihnen im Rahmen des eigenen Angebots Newsletter zusenden, ohne vorheriges Opt-in, sofern die weiteren Bedingungen eingehalten werden. Unklar bleibt lediglich, wie weit diese Interpretation reicht Der EuGH ließ offen, ob rein kostenlose Dienste ohne jede Upselling-Absicht ebenfalls als „Verkauf“ gelten oder ob stets ein wirtschaftliches Eigeninteresse des Anbieters vorliegen muss. In der Praxis sollten Unternehmen aber davon ausgehen, dass Daten gegen Leistung einem entgeltähnlichen Tausch entsprechen – das „Bezahlen mit Daten“ wird als reales Geschäftsmodell anerkannt.
ePrivacy vs. GDPR: non è necessaria una doppia base giuridica (lex specialis)
Di grande importanza è il chiarimento della Corte di giustizia dell'Unione europea sul rapporto tra la direttiva ePrivacy e la GDPR. Articolo 95 GDPR afferma che la GDPR non impone obblighi aggiuntivi, nella misura in cui per determinati settori (come le comunicazioni elettroniche) esistono norme specifiche con lo stesso obiettivo nella direttiva ePrivacy. La Corte di giustizia dell'Unione europea conferma ora espressamente il principio della lex specialis in questo contesto: se un'operazione di trattamento dei dati soddisfa le condizioni specifiche della direttiva ePrivacy, non è necessario ricorrere alle basi giuridiche generali della GDPR (art. 6, comma 1). In parole povere: l'art. 13, comma 2 della direttiva ePrivacy costituisce una base giuridica autonoma e definitiva per l'invio di e-mail di pubblicità diretta. Se sono soddisfatti tutti i requisiti ivi indicati, quali la possibilità di opt-out e prodotti simili, si applica la Elaborazione come legittimo. Una verifica separata ai sensi dell'art. 6 GDPR (ad es. su interessi legittimi) ist nicht nötig.
Con ciò la Corte di giustizia dell’Unione europea contraddice l’opinione, un tempo diffusa, secondo cui, oltre all’eccezione prevista dalla direttiva ePrivacy, dovesse comunque sussistere un GDPR-Motivo di autorizzazione (spesso l’art. 6, comma 1, lett. f GDPR, interesse legittimo, impegno). Nella pratica, molte aziende avevano già adottato una soluzione separata nei casi di soft opt-in. Consenso rinunciato e ha invece accettato l'interesse legittimo. Secondo la sentenza, è chiaro che la regola del soft opt-in fornisce di per sé la necessaria autorizzazione. Importante: ciò non significa che la GDPR non trova alcuna applicazione. Tutti gli altri obblighi (ad es. Obbligo di informazione, Sicurezza dei dati, Diritti degli interessati) rimangono ovviamente in vigore. Non è però più necessario, per la stessa operazione, presentare parallelamente alla normativa ePrivacy anche un GDPR-Motivo giuridico (come Consenso o LI).
Suggerimento di lettura: Personenbezogene Daten und Pseudonymisierung – EuGH präzisiert Anforderungen
Newsletter ohne Einwilligung: Was ist künftig zu beachten?
In linea di principio, la direttiva ePrivacy richiede una previa autorizzazione per le comunicazioni elettroniche non richieste a fini pubblicitari. Consenso il destinatario (opt-in, art. 13, par. 1 della direttiva ePrivacy). L'art. 13, par. 2 della direttiva ePrivacy contiene tuttavia la nota eccezione („soft opt-in“) per la pubblicità rivolta ai clienti esistenti, che nella legislazione tedesca è recepita, ad esempio, nel § 7, par. 3 della legge sulla concorrenza sleale (UWG). La sentenza della Corte di giustizia dell'Unione europea chiarisce ora come applicare tale eccezione e ne sottolinea le rigide condizioni:
- Relazione con il cliente: Es muss ein Kundenverhältnis bestehen, einschließlich indirekt vergüteter Beziehungen wie im Freemium-Modell. Ein kostenloser Nutzeraccount kann also als „Kunde“ gelten, sofern er Teil eines geschäftlichen Leistungsaustauschs ist (z. B. Zugang gegen Daten).
- Ähnliches Produkt/Dienstleistung: Il Pubblicità può riferirsi esclusivamente a prodotti o servizi propri dello stesso tipo. Nel caso Inteligo, la newsletter era incentrata sui contenuti della propria piattaforma, il che rientra nella categoria dei servizi simili. Chi desidera invece pubblicizzare prodotti di terzi o completamente diversi non può avvalersi di questa eccezione.
- Opt-out nella raccolta dei dati: Bereits zum Zeitpunkt der Datenerhebung (z. B. beim Anlegen des Kontos) muss der Kunde klar und deutlich die Möglichkeit erhalten haben, der Nutzung seiner E-Mail-Adresse zu widersprechen. Im konkreten Fall geschah dies durch eine Abwahl-Checkbox „Ich möchte keinen Newsletter erhalten“. Diese Opt-out-Möglichkeit muss kostenlos und einfach sein.
- Opt-out in ogni messaggio: In jeder versandten Werbe-E-Mail muss ein deutlicher Hinweis auf die Widerspruchsmöglichkeit (Abmeldelink) enthalten sein. Empfänger müssen sich jederzeit unkompliziert austragen können.
Solo se tutte queste condizioni sono soddisfatte, è possibile inviare una newsletter senza previo consenso opt-in. Se una delle condizioni non è soddisfatta, ad esempio perché il contenuto pubblicizzato non può più essere classificato come „simile“ o perché al momento del contatto iniziale non è stata data la possibilità di opt-out, l'eccezione non si applica. In questi casi, prima di inviare la newsletter è necessario ottenere un consenso esplicito. Consenso è necessario che gli utenti rispettino i rigorosi GDPR-deve soddisfare determinati criteri (volontario, informato, verificabile ecc.).
Praktische Folgen für Unternehmen
Das EuGH-Urteil hat praktische Auswirkungen auf die Gestaltung von Newsletter-Abonnements und Marketingstrategien. Unternehmen sollten ihre Prozesse nun prüfen und gegebenenfalls anpassen:
- Utilizzare i modelli freemium in modo legalmente sicuro: Le aziende che offrono account utente gratuiti o offerte „freemium“ possono ora utilizzare il soft opt-in in modo più sicuro dal punto di vista legale. Utilizzate gli indirizzi e-mail delle registrazioni gratuite per la pubblicità diretta delle vostre offerte premium, senza bisogno di un consenso separato. Consenso. Ma solo se sono state rispettate le condizioni di opt-out. Assicurati che già al momento della registrazione sia presente un chiaro riferimento all'invio della newsletter e che sia possibile deselezionarla.
- Verifica di somiglianza della Pubblicità: Verificate che i contenuti pubblicitari pianificati riguardino effettivamente solo i vostri prodotti/servizi simili. Pubblicità per prodotti non specialistici, offerte di terzi o servizi completamente nuovi dell'azienda non rientra nell'eccezione e richiede Consenso. Tenete Marketing-Contenuti strettamente correlati al prodotto originariamente acquistato.
- Applicare con coerenza l'opt-out: Dokumentieren Sie die Opt-out-Möglichkeiten in Ihren Systemen. Jede Werbe-E-Mail sollte einen gut sichtbaren Abmelde-Link enthalten. Das fördert auch Vertrauen der Kunden. Prüfen Sie regelmäßig, ob Abmeldungen technisch zuverlässig umgesetzt werden.
- Nessun collegamento nascosto: Rinunciate a offrire newsletter nascoste come parte di un „pacchetto obbligatorio“. Se volete una Consenso (poiché il soft opt-in non è applicabile), questa non deve essere collegata all'utilizzo dell'account. Gli utenti devono poter usufruire dell'offerta gratuita anche se rifiutano la newsletter, altrimenti la Consenso inefficace (Divieto di legatura).
- Trasparenza nelle informative sulla privacy: Adeguate la vostra informativa sulla privacy e le informazioni per i clienti. Spiegate chiaramente per quali scopi utilizzate l'indirizzo e-mail (ad es. invio di una newsletter gratuita su offerte simili) e che l'utente può opporsi in qualsiasi momento. Ciò sottolinea la vostra Conformità e informa gli interessati ai sensi dell'art. 13. GDPR.
- Documentazione la base giuridica: Individuate la base giuridica su cui inviate le newsletter. Potete fare riferimento al § 7 comma 3 UWG / Art. 13 comma 2 ePrivacy-RL (soft opt-in) oppure sussiste una Consenso prima? Una pulita Documentazione aiuta a dimostrare che il vostro studio è conforme alla normativa vigente.
Conclusione: newsletter senza consenso in condizioni rigorose
Das EuGH-Urteil C‑654/23 Inteligo Media bringt für Unternehmen erleichternde Klarheit: Die ePrivacy-Regelung zum Marketing via e-mail ist lex specialis und erlaubt unter engen Bedingungen den Newsletterversand ohne vorheriges Opt-in Zielsetzung als Direktwerbung einzustufen sind, selbst wenn ihr Inhalt vordergründig informativ ist.
Le aziende farebbero bene ad adeguare ora i propri processi relativi alle newsletter: chi desidera avvalersi dell'eccezione del soft opt-in deve soddisfare tutti i requisiti. In caso contrario, è necessaria un'esplicita Consenso del destinatario. Nel complesso, la sentenza rafforza gli approcci pratici nel marketing diretto e tiene conto della realtà dei servizi online „gratuiti“. Per i responsabili della protezione dei dati e i decisori ciò significa maggiore certezza giuridica nella progettazione di Marketing via e-mail, Tuttavia, è necessario prestare attenzione per mantenere la fiducia degli utenti ed evitare rischi legali.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French