CNIL: Domande e Risposte sulla Raccomandazione sui Pixel di Tracciamento nelle Email

Contesto

La CNIL (Autorità francese per la protezione dei dati) ha risposto alle principali domande dei professionisti riguardo all'implementazione della sua raccomandazione sull'uso dei pixel di tracciamento nelle email. L'iniziativa mira a chiarire l'applicazione di questa raccomandazione che, sebbene focalizzata sui pixel, include principi applicabili anche ad altre tecnologie di tracciamento, come i “liens traçants” (link di tracciamento).
Questi link, che permettono di associare azioni (come i clic) al destinatario del messaggio, implicano operazioni di lettura e/o scrittura sul terminale dell'utente. Di conseguenza, sono soggetti all'articolo 82 della legge francese “Informatique et Libertés” in aggiunta al GDPR, come specificato dalle linee guida n° 02/2023 del Comitato europeo per la protezione dei dati (CEPD).
La raccomandazione si applica a tutti i tipi di email, indipendentemente dal mittente o dal destinatario (clienti, prospect, dipendenti). La necessità di ottenere il consenso dipende dalle finalità specifiche del tracciamento, con alcune eccezioni per operazioni strettamente necessarie a un servizio richiesto dall'utente.

Perché conta

Questo chiarimento della CNIL è fondamentale per DPO e responsabili IT, in quanto ribadisce e amplia gli obblighi relativi al consenso per l'uso di tecnologie di tracciamento nelle comunicazioni email. La necessità di ottenere il consenso è un pilastro del GDPR e della conformità privacy, e la CNIL ne chiarisce l'applicazione anche per i link di tracciamento che comportano operazioni di lettura/scrittura sul terminale dell'utente, in linea con l'articolo 82 della legge francese e le linee guida del CEPD.
L'estensione della giurisdizione della CNIL, che può controllare e sanzionare attori stabiliti anche fuori dall'UE se il tracciamento riguarda persone sul territorio francese, evidenzia l'importanza di una conformità transfrontaliera. Per i fornitori di servizi (es. piattaforme di invio email), la loro qualifica come responsabili o incaricati del trattamento determina obblighi specifici (Art. 28 GDPR), richiedendo loro di progettare soluzioni che facilitino la conformità dei propri clienti, mitigando i rischi di sanzioni.

Cosa fare

• Valutare l'uso di pixel di tracciamento e link traccianti nelle email e stabilire se sono strettamente necessari per un servizio richiesto dall'utente.
• Ottenere il consenso esplicito per l'uso di pixel di tracciamento e link traccianti non strettamente necessari, in conformità con il GDPR.
• Implementare misure di sicurezza adeguate per le operazioni di trattamento dei dati legate ai pixel e ai link traccianti, come richiesto dall'Art. 28 del GDPR se si è un incaricato del trattamento.
• I fornitori di servizi devono progettare le loro soluzioni per permettere ai clienti di rispettare la normativa, offrendo funzionalità per la disattivazione dei tracker e la gestione differenziata dei destinatari basata sul consenso.
• Assistere il responsabile del trattamento nel rispetto dei suoi obblighi, se si agisce come incaricati del trattamento, fornendo le informazioni e gli strumenti necessari.

Cosa evitare

• Non presumere che i link di tracciamento siano automaticamente esenti dall'obbligo di consenso, specialmente se non sono strettamente necessari per un servizio richiesto.
• Non ignorare l'applicazione dell'articolo 82 della legge 'Informatique et Libertés' per le operazioni di lettura/scrittura sul terminale dell'utente.
• Non trascurare la giurisdizione della CNIL, anche se l'organizzazione non è stabilita in Francia o nell'UE, se si tracciano utenti residenti sul territorio francese.
• Non utilizzare soluzioni di invio email che non permettono una facile gestione del consenso e della disattivazione dei tracker da parte dei destinatari.

Implicazioni pratiche

Le organizzazioni devono rivedere le loro pratiche di email marketing e comunicazione per garantire che l'uso di pixel e link di tracciamento sia conforme al GDPR e alla legge francese. Questo implica una mappatura delle finalità di tracciamento, una valutazione della necessità e la gestione appropriata del consenso. I fornitori di servizi devono assicurarsi che le loro piattaforme supportino la conformità dei clienti, ad esempio offrendo opzioni per il consenso granulare e la disattivazione dei tracker, mitigando così i rischi legali e reputazionali.

Azioni da fare

• Eseguire un audit interno sulle tecnologie di tracciamento (pixel, link traccianti) utilizzate nelle campagne email.
• Aggiornare le informative sulla privacy e le politiche sui cookie/tracker per riflettere l'uso specifico di queste tecnologie e la base giuridica.
• Implementare un meccanismo robusto e user-friendly per la raccolta e la gestione del consenso (e del suo ritiro) per tutte le attività di tracciamento non essenziali.
• Revisionare i contratti con i fornitori di servizi di email marketing e altre piattaforme per assicurare la conformità all'Art. 28 GDPR, specificando i ruoli e le responsabilità.
• Formare il personale addetto al marketing, alle vendite e all'IT sugli obblighi normativi relativi all'uso dei tracker nelle comunicazioni digitali.

Errori da evitare

• Continuare ad usare tracker senza una base giuridica valida e documentata, esponendosi a sanzioni.
• Non considerare l'impatto extraterritoriale delle norme sulla protezione dei dati, ignorando le regole applicabili agli utenti in diversi paesi.
• Non fornire agli utenti un meccanismo semplice e accessibile per esprimere o revocare il proprio consenso al tracciamento.

Domande di self-assessment

• Quali pixel e link di tracciamento utilizziamo attualmente nelle nostre comunicazioni email e per quali finalità specifiche?
• Abbiamo una base giuridica valida e documentata (principalmente il consenso) per ogni tipo di tracciamento non strettamente necessario per il servizio?
• I nostri processi di raccolta e gestione del consenso sono chiari, trasparenti, documentati e offrono una facile revoca del consenso?
• I nostri fornitori di servizi di email marketing e altre piattaforme di comunicazione supportano pienamente la nostra conformità, offrendo funzionalità adeguate per la gestione del consenso e dei tracker?
• Siamo consapevoli degli obblighi specifici della legge francese 'Informatique et Libertés' (Art. 82) e della giurisdizione delle autorità di controllo per i destinatari che si trovano in Francia?

Riferimenti

Normativa nazionale: GDPR art. 28 · Linee guida n° 02/2023 del CEPD · Loi Informatique et Libertés art. 82