Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze legali e giornalistiche in materia di protezione dei dati, conformità informatica e regolamentazione dell'IA.
Nella sua sentenza C‑654/23, la Corte di giustizia dell'Unione europea (CGUE) fornisce chiare indicazioni. Linee guida sull'interpretazione del termine „pubblicità diretta“ ai sensi della direttiva ePrivacy e sul rapporto tra la direttiva ePrivacy e la GDPR. In particolare, la Corte di giustizia europea chiarisce a quali condizioni è consentito l'invio di newsletter a indirizzi e-mail raccolti nell'ambito di account utente gratuiti e quando non è necessaria un'autorizzazione separata. Consenso è necessario. Quali sono le conseguenze pratiche per le imprese derivanti dalla sentenza della Corte di giustizia dell'Unione europea.
Account gratuito e newsletter senza consenso
Il caso riguardava la piattaforma online rumena avocatnet.ro, che offre notizie di carattere giuridico. Inteligo Media SA, gestore della piattaforma, consentiva inizialmente agli utenti di leggere gratuitamente fino a sei articoli al mese. Per ottenere ulteriori contenuti gratuiti, gli utenti potevano creare un account gratuito, fornendo il proprio indirizzo e-mail. Con la creazione di questo account gratuito, gli utenti avevano accesso a due articoli extra al mese e a una newsletter quotidiana via e-mail denominata „Personal Update“. Al momento della registrazione, potevano espressamente opporsi alla ricezione della newsletter (opt-out). Ogni newsletter conteneva inoltre un link di cancellazione per poter terminare l'abbonamento in qualsiasi momento.
L'autorità nazionale rumena per la protezione dei dati (ANSPDCP) ha ritenuto che ciò costituisse un Violazione Contro la legge sulla protezione dei dati: Inteligo Media avrebbe utilizzato gli indirizzi e-mail raccolti per un altro scopo, ovvero per inviare pubblicità diretta tramite newsletter, senza averne ottenuto il consenso esplicito. Consenso dell'utente. È stato creato un Fine di circa 9.000 euro. Inteligo Media ha contestato l'accusa e ha sostenuto di aver agito in conformità con la direttiva ePrivacy e quindi di non aver bisogno di un'ulteriore base giuridica GDPR come una Consenso necessario. Infine, la Corte d'appello rumena ha sottoposto diverse questioni alla Corte di giustizia dell'Unione europea. Tra le altre cose, sulla definizione di „pubblicità diretta“, sull'interpretazione di „in relazione alla vendita di un prodotto o di un servizio“ (art. 13, paragrafo 2, della direttiva ePrivacy) e sull'applicazione della GDPR (Art. 6 e Art. 95 GDPR) in questo contesto.
Quando una newsletter è considerata pubblicità diretta?
Una questione centrale era se la newsletter inviata quotidianamente dovesse essere classificata come „pubblicità diretta“ ai sensi della direttiva ePrivacy. Inteligo Media ha sostenuto che la newsletter serviva principalmente a fornire informazioni sulle nuove modifiche legislative e aveva carattere editoriale. La Corte di giustizia dell'Unione europea ha tuttavia chiarito che non è solo il contenuto, ma soprattutto lo scopo perseguito dal messaggio ad essere determinante. Sebbene la newsletter Personal Update contenga sintesi informative, essa persegue in ultima analisi un obiettivo commerciale: indirizzare gli utenti al sito web tramite link, in modo che possano sfruttare il loro limite gratuito e siano incoraggiati ad acquistare un abbonamento completo. Si tratta quindi di un approccio pubblicitario individuale rivolto agli utenti. La Corte di giustizia dell'Unione europea conferma che tali e-mail "per scopi di pubblicità diretta“, anche se a prima vista sembrano avere carattere editoriale.
Conclusione: Le aziende possono inviare newsletter con contenuti „misti“ (informazioni più pubblicità nascosta). Pubblicità) considerati come pubblicità diretta ai sensi della normativa sulla protezione dei dati. Ciò che conta è lo scopo promozionale del messaggio, non solo il suo contenuto superficiale.
Account utente gratuito = „vendita di un servizio“?
Di particolare rilevanza pratica è la questione se la creazione di un account gratuito possa essere considerata „correlata alla vendita di un prodotto o di un servizio“ (art. 13, comma 2 della direttiva ePrivacy). Questa definizione determina se si applica la deroga del „soft opt-in“, ovvero la pubblicità diretta senza previo consenso. Consenso è consentito. La Corte di giustizia dell'Unione europea lo conferma espressamente: anche un servizio apparentemente gratuito può costituire una „vendita“ se l'utente fornisce i propri dati in cambio. È determinante il fatto che la creazione di un account dia luogo a un rapporto contrattuale tra l'utente e il fornitore e che quest'ultimo ne tragga un vantaggio economico indiretto. Nel caso in esame, il „pagamento indiretto“ consisteva nel fatto che l'offerta gratuita aveva lo scopo di promuovere la vendita dell'abbonamento premium a pagamento. La Corte di giustizia dell'Unione europea sottolinea che i costi del servizio gratuito sono economicamente inclusi nel prezzo dell'offerta a pagamento e sono quindi considerati una remunerazione indiretta.
Con questa interpretazione ampia, anche l'account gratuito soddisfa il requisito di una „vendita“ ai sensi dell'articolo 13, paragrafo 2, della direttiva ePrivacy. Le aziende con modelli freemium possono quindi considerare i propri utenti gratuiti come „clienti“ ai sensi della direttiva ePrivacy e inviare loro newsletter nell'ambito della propria offerta senza previo opt-in, purché siano rispettate le ulteriori condizioni. Rimane poco chiaro solo fino a che punto si spinga questa interpretazione. La Corte di giustizia dell'Unione europea ha lasciato aperta la questione se anche i servizi puramente gratuiti senza alcuna intenzione di upselling siano considerati „vendita“ o se debba sempre sussistere un interesse economico proprio del fornitore. Nella pratica, tuttavia, le aziende dovrebbero partire dal presupposto che i dati in cambio di prestazioni corrispondano a uno scambio simile a un pagamento: il „pagamento con i dati“ è riconosciuto come un modello di business reale.
ePrivacy vs. GDPR: non è necessaria una doppia base giuridica (lex specialis)
Di grande importanza è il chiarimento della Corte di giustizia dell'Unione europea sul rapporto tra la direttiva ePrivacy e la GDPR. Articolo 95 GDPR afferma che la GDPR non impone obblighi aggiuntivi, nella misura in cui per determinati settori (come le comunicazioni elettroniche) esistono norme specifiche con lo stesso obiettivo nella direttiva ePrivacy. La Corte di giustizia dell'Unione europea conferma ora espressamente il principio della lex specialis in questo contesto: se un'operazione di trattamento dei dati soddisfa le condizioni specifiche della direttiva ePrivacy, non è necessario ricorrere alle basi giuridiche generali della GDPR (art. 6, comma 1). In parole povere: l'art. 13, comma 2 della direttiva ePrivacy costituisce una base giuridica autonoma e definitiva per l'invio di e-mail di pubblicità diretta. Se sono soddisfatti tutti i requisiti ivi indicati, quali la possibilità di opt-out e prodotti simili, si applica la Elaborazione come legittimo. Una verifica separata ai sensi dell'art. 6 GDPR (ad es. su interessi legittimi) non è necessario.
In tal modo, la Corte di giustizia dell'Unione europea contraddice l'opinione precedentemente diffusa secondo cui, oltre all'eccezione prevista dalla normativa ePrivacy, fosse comunque necessario un presupposto di autorizzazione ai sensi del GDPR (spesso si faceva riferimento all'art. 6, comma 1, lett. f GDPR, interesse legittimo, impegno). Nella pratica, molte aziende avevano già adottato una soluzione separata nei casi di soft opt-in. Consenso rinunciato e ha invece accettato l'interesse legittimo. Secondo la sentenza, è chiaro che la regola del soft opt-in fornisce di per sé la necessaria autorizzazione. Importante: ciò non significa che la GDPR non trova alcuna applicazione. Tutti gli altri obblighi (ad es. Obbligo di informazione, Sicurezza dei dati, Diritti degli interessati) continuano naturalmente a valere. Tuttavia, non è più necessario, per la stessa operazione, aggiungere alla norma ePrivacy anche una base giuridica GDPR (come Consenso o LI).
Suggerimento di lettura: Dati personali e pseudonimizzazione – La Corte di giustizia dell'Unione europea precisa i requisiti
Newsletter senza consenso: cosa occorre tenere presente in futuro?
In linea di principio, la direttiva ePrivacy richiede una previa autorizzazione per le comunicazioni elettroniche non richieste a fini pubblicitari. Consenso il destinatario (opt-in, art. 13, par. 1 della direttiva ePrivacy). L'art. 13, par. 2 della direttiva ePrivacy contiene tuttavia la nota eccezione („soft opt-in“) per la pubblicità rivolta ai clienti esistenti, che nella legislazione tedesca è recepita, ad esempio, nel § 7, par. 3 della legge sulla concorrenza sleale (UWG). La sentenza della Corte di giustizia dell'Unione europea chiarisce ora come applicare tale eccezione e ne sottolinea le rigide condizioni:
- Relazione con il cliente: Deve sussistere un rapporto con il cliente, compresi i rapporti remunerati indirettamente come nel modello freemium. Un account utente gratuito può quindi essere considerato un „cliente“ se fa parte di uno scambio commerciale di servizi (ad es. accesso in cambio di dati).
- Prodotto/servizio simile: Il Pubblicità può riferirsi esclusivamente a prodotti o servizi propri dello stesso tipo. Nel caso Inteligo, la newsletter era incentrata sui contenuti della propria piattaforma, il che rientra nella categoria dei servizi simili. Chi desidera invece pubblicizzare prodotti di terzi o completamente diversi non può avvalersi di questa eccezione.
- Opt-out nella raccolta dei dati: Già al momento della raccolta dei dati (ad es. durante la creazione dell'account), il cliente deve avere la possibilità chiara e inequivocabile di opporsi all'utilizzo del proprio indirizzo e-mail. Nel caso specifico, ciò è avvenuto tramite una casella di selezione „Non desidero ricevere la newsletter“. Questa opzione di rinuncia deve essere gratuita e semplice.
- Opt-out in ogni messaggio: Ogni e-mail pubblicitaria inviata deve contenere un chiaro riferimento alla possibilità di opposizione (link per la cancellazione). I destinatari devono poter annullare l'iscrizione in qualsiasi momento e senza complicazioni.
Solo se tutte queste condizioni sono soddisfatte, è possibile inviare una newsletter senza previo consenso opt-in. Se una delle condizioni non è soddisfatta, ad esempio perché il contenuto pubblicizzato non può più essere classificato come „simile“ o perché al momento del contatto iniziale non è stata data la possibilità di opt-out, l'eccezione non si applica. In questi casi, prima di inviare la newsletter è necessario ottenere un consenso esplicito. Consenso dell'utente, che deve soddisfare i severi criteri del GDPR (volontario, informato, verificabile, ecc.).
Conseguenze pratiche per le imprese
La sentenza della Corte di giustizia europea ha conseguenze pratiche sulla struttura degli abbonamenti alle newsletter e sulle strategie di marketing. Le aziende dovrebbero ora verificare i propri processi e, se necessario, adeguarli:
- Utilizzare i modelli freemium in modo legalmente sicuro: Le aziende che offrono account utente gratuiti o offerte „freemium“ possono ora utilizzare il soft opt-in in modo più sicuro dal punto di vista legale. Utilizzate gli indirizzi e-mail delle registrazioni gratuite per la pubblicità diretta delle vostre offerte premium, senza bisogno di un consenso separato. Consenso. Ma solo se sono state rispettate le condizioni di opt-out. Assicurati che già al momento della registrazione sia presente un chiaro riferimento all'invio della newsletter e che sia possibile deselezionarla.
- Verifica di somiglianza della Pubblicità: Verificate che i contenuti pubblicitari pianificati riguardino effettivamente solo i vostri prodotti/servizi simili. Pubblicità per prodotti non specialistici, offerte di terzi o servizi completamente nuovi dell'azienda non rientra nell'eccezione e richiede Consenso. Mantieni i contenuti di marketing strettamente legati al prodotto originariamente acquistato.
- Applicare con coerenza l'opt-out: Documentate le possibilità di opt-out nei vostri sistemi. Ogni e-mail pubblicitaria dovrebbe contenere un link di cancellazione ben visibile. Ciò favorisce anche la fiducia dei clienti. Verificate regolarmente che le cancellazioni vengano eseguite in modo tecnicamente affidabile.
- Nessun collegamento nascosto: Rinunciate a offrire newsletter nascoste come parte di un „pacchetto obbligatorio“. Se volete una Consenso (poiché il soft opt-in non è applicabile), questa non deve essere collegata all'utilizzo dell'account. Gli utenti devono poter usufruire dell'offerta gratuita anche se rifiutano la newsletter, altrimenti la Consenso inefficace (Divieto di legatura).
- Trasparenza nelle informative sulla privacy: Adeguate la vostra informativa sulla privacy e le informazioni per i clienti. Spiegate chiaramente per quali scopi utilizzate l'indirizzo e-mail (ad es. invio di una newsletter gratuita su offerte simili) e che l'utente può opporsi in qualsiasi momento. Ciò sottolinea la vostra Conformità e informa gli interessati ai sensi dell'art. 13. GDPR.
- Documentazione la base giuridica: Individuate la base giuridica su cui inviate le newsletter. Potete fare riferimento al § 7 comma 3 UWG / Art. 13 comma 2 ePrivacy-RL (soft opt-in) oppure sussiste una Consenso prima? Una pulita Documentazione aiuta a dimostrare che il vostro studio è conforme alla normativa vigente.
Conclusione: newsletter senza consenso in condizioni rigorose
La sentenza della Corte di giustizia dell'Unione europea C‑654/23 Inteligo Media apporta chiarezza e semplifica la situazione per le aziende: la normativa ePrivacy relativa al Marketing via e-mail è una lex specialis e consente, a condizioni rigorose, l'invio di newsletter senza previo opt-in Gli obiettivi di marketing devono essere classificati come pubblicità diretta, anche se il loro contenuto è apparentemente informativo.
Le aziende farebbero bene ad adeguare ora i propri processi relativi alle newsletter: chi desidera avvalersi dell'eccezione del soft opt-in deve soddisfare tutti i requisiti. In caso contrario, è necessaria un'esplicita Consenso del destinatario. Nel complesso, la sentenza rafforza gli approcci pratici nel marketing diretto e tiene conto della realtà dei servizi online „gratuiti“. Per i responsabili della protezione dei dati e i decisori ciò significa maggiore certezza giuridica nella progettazione di Marketing via e-mail, Tuttavia, è necessario prestare attenzione per mantenere la fiducia degli utenti ed evitare rischi legali.
Fonte: Sentenza della Corte di giustizia dell'Unione europea C‑654/23 del 13 novembre 2025
German 
English 
Italian 
French