Quadro normativo britannico: PECR e UK GDPR

Nel Regno Unito le comunicazioni elettroniche – telefonate, email, SMS, fax e messaggi via app – sono disciplinate dalla Privacy and Electronic Communications Regulations 2003 (PECR). Parallelamente, il UK GDPR regola il trattamento dei dati personali, garantendo che i due regimi operino congiuntamente quando le attività di marketing coinvolgono dati identificabili.

Il PECR si applica in particolare a:

    • telefonate commerciali
    • email e messaggi SMS a fini promozionali
    • uso di cookie e altri strumenti di tracciamento
    • servizi di comunicazione, inclusi dati di traffico, localizzazione e identificazione della linea

Non è necessario che vengano trattati dati personali per attivare il PECR: alcune disposizioni proteggono anche le persone giuridiche, come le società, quando ricevono comunicazioni non richieste.

Definizioni chiave: direct marketing e comunicazioni sollecitate

Direct marketing

Il concetto di direct marketing è identico a quello previsto dalla normativa italiana: qualsiasi messaggio promozionale, inviato con qualsiasi mezzo, rivolto a individui identificati. Include la vendita di beni o servizi, ma anche la promozione di iniziative non profit, purché l’intento sia pubblicitario.

Comunicazioni sollecitate vs non sollecitate

Una comunicazione è sollecitata solo se il destinatario ha richiesto esplicitamente di riceverla e ha fornito un consenso specifico per quel canale. L’opt‑in generale, tipico di molti form online, non trasforma automaticamente una comunicazione in sollecitata: resta comunque non sollecitata ai fini del PECR.

Il consenso deve essere:

    • libero, specifico e informato
    • espresso mediante un’azione positiva inequivocabile
    • riferito sia all’organizzazione che invia il messaggio sia al canale utilizzato (telefono, email, SMS, fax)

Una casella preselezionata non costituisce consenso valido e l’operatore deve conservare prova del momento, del metodo e dello scopo per cui il consenso è stato ottenuto.

Il caso Elderly Aids: fatti e sanzione

Elderly Aids offriva un servizio di blocco delle telefonate indesiderate, ma, secondo l’ICO, ha violato il PECR in diversi modi:

    • ha effettuato centinaia di migliaia di chiamate a numeri iscritti al Telephone Preference Service (TPS) senza autorizzazione;
    • gli operatori hanno indotto i soggetti a sottoscrivere abbonamenti per “eliminare” le chiamate, fornendo informazioni ingannevoli;
    • non ha fornito un numero di contatto o indirizzo valido per l’opposizione, né ha rispettato le richieste di opt‑out.

La sanzione amministrativa è stata di 190 000 sterline, una delle più elevate mai inflitte per violazioni del PECR. Il provvedimento evidenzia sia la portata delle tutele offerte ai consumatori sia i limiti della capacità di enforcement dell’ICO.

Meccanismi di opposizione: TPS, CTPS e Fax Preference Service

Per le telefonate commerciali il riferimento principale è il Telephone Preference Service (TPS). Gli utenti possono iscriversi gratuitamente per bloccare le chiamate di marketing. Le organizzazioni devono verificare la propria lista di contatti contro il TPS prima di effettuare chiamate.

Le imprese hanno a disposizione il Corporate Telephone Preference Service (CTPS), rivolto a organizzazioni che desiderano escludere le chiamate di marketing a numeri aziendali. Anche in questo caso, le chiamate devono essere autorizzate esplicitamente dal soggetto chiamato.

Le chiamate automatizzate (robocall) richiedono un consenso preventivo specifico. Il numero del chiamante deve essere visibile e il messaggio deve includere un indirizzo o un numero di contatto gratuito per esercitare l’opt‑out.

Per i fax, il regime è analogo: le imprese devono consultare il Fax Preference Service e verificare le liste interne di opposizione prima di inviare comunicazioni di marketing.

Consenso, soft opt‑in e differenze con la normativa italiana

Il PECR prevede una eccezione limitata, il soft opt‑in, che consente di inviare comunicazioni promozionali a clienti esistenti quando i dati sono stati raccolti nell’ambito di una vendita o trattativa di vendita e la promozione riguarda prodotti o servizi simili. Tale eccezione non si applica a:

    • nuovi contatti acquisiti da liste acquistate;
    • contatti che non hanno mai acquistato nulla dall’azienda;
    • comunicazioni a soggetti giuridici che non sono clienti diretti.

In Italia, la disciplina è contenuta nell’art. 130 del Codice Privacy e nella Direttiva ePrivacy, ma la prassi è simile: anche qui il consenso deve essere esplicito e il soft opt‑in è ammesso solo in contesti di vendita preesistente.

Un punto di divergenza riguarda le comunicazioni a persone giuridiche. Nel Regno Unito è generalmente lecito inviare email o SMS a un’azienda senza consenso, purché non vi sia una lista di opposizione specifica. Tuttavia, se si utilizza l’indirizzo personale di un dipendente (es. [email protected]), si applica la normativa per le persone fisiche, richiedendo consenso preventivo.

Obblighi di trasparenza e diritto di opposizione

Tutte le comunicazioni di marketing elettronico devono:

    • indicare chiaramente l’identità del mittente;
    • fornire un indirizzo valido o un numero di contatto per esercitare l’opt‑out;
    • rispettare immediatamente la richiesta di opposizione, cessando ulteriori invii.

La revoca del consenso può avvenire in qualsiasi momento e deve essere resa altrettanto semplice della procedura di accettazione.

Cosa apprendono le imprese dal caso Elderly Aids

Il caso offre una serie di insegnamenti pratici:

    • Verifica preventiva delle liste: prima di qualsiasi chiamata o invio di messaggi, confrontare i contatti con TPS, CTPS o Fax Preference Service.
    • Formazione degli operatori: garantire che gli operatori conoscano le regole di identificazione, forniscano informazioni veritiere e non inducano a sottoscrivere abbonamenti fraudolenti.
    • Documentazione del consenso: mantenere registri dettagliati su quando, come e per quale scopo è stato ottenuto il consenso, compreso il canale specifico.
    • Procedure di opt‑out: implementare sistemi automatizzati per gestire le richieste di opposizione in tempo reale.
    • Audit periodico: condurre controlli regolari per verificare la conformità al PECR e all’UK GDPR, riducendo il rischio di sanzioni.

Il rispetto di queste best practice non solo riduce il rischio di multe, ma migliora la reputazione dell’azienda e la fiducia dei consumatori.

Conclusioni

Il Regno Unito, attraverso PECR e UK GDPR, offre una tutela forte contro le comunicazioni commerciali non richieste, molto simile alla disciplina europea. Il caso Elderly Aids dimostra che, nonostante le analogie, le autorità di controllo britanniche applicano sanzioni significative quando le regole non sono rispettate.

Le imprese che operano a livello internazionale devono adottare politiche di consenso rigorose, verificare costantemente le liste di opposizione e formare il personale sulle norme specifiche di ogni giurisdizione. Solo così potranno condurre campagne di marketing efficaci senza incorrere in violazioni costose.