La storia infinita del "Regolamento opposizioni"

Privacy e sicurezza - Manlio Cammarata - 11 novembre 2021

La questione è vecchia almeno quanto la legislazione sui dati personali, in vigore da più di un quarto di secolo. Nei primi tempi c'era lo spam, l'invasione della posta-spazzatura (in fondo a questa pagina c'è un parziale elenco degli articoli dell'epoca). Il problema è stato risolto, in buona parte, con l'adozione di software che identificano le email unsolicited e le bloccano. Oggi, ma non da oggi, il problema sono le telefonate commerciali. Uno strazio continuo, sempre più spesso perpetrato con sistemi automatici.

Nei primi anni di applicazione delle regole sulla protezione dei dati si discuteva sulla scelta tra opt-in, cioè l'obbligo di un consenso preventivo al ricevimento di comunicazioni commerciali e  e opt-out, ovvero il rifiuto, sempre preventivo, di riceverle. Il tutto avrebbe dovuto essere documentato da appositi elenchi. Ora il problema sono le telefonate "di disturbo" e la soluzione adottata in Italia è l'opt-out: per non essere disturbati è necessario iscrivere in un elenco i propri numeri di telefono. Gli operatori sono obbligati a consultare periodicamente il Registro pubblico delle opposizioni (oltre che a usare prefissi che rivelino a colpo d'occhio che la telefonata in arrivo è commerciale o per ricerche statistiche).

Il punto critico è proprio nel Registro – varato con il DPR 178/2010 e tenuto dalla Fondazione Ugo Bordoni: vi si possono iscrivere solo numeri presenti negli elenchi telefonici pubblici. Niente da fare per i numeri fissi riservati e per il cellulari. La conseguenza è paradossale: chi vuole tenere riservato il proprio numero di telefono può essere disturbato e viceversa. La lacuna sarebbe formalmente colmata con una nuova versione del regolamento, scritta nel 2018 e bloccata da un assurdo palleggio di "pareri".

La direttiva europea è del 1995, la legge italiana è entrata in vigore nel 1997, sostituita nel 2003 dal "Codice privacy" (DLGV 196). Il Registro pubblico delle opposizioni è stato istituito nel 2010 (e modificato nel 2018 con l'estensione alla posta cartacea). Come mai tanto ritardo? I malpensanti affermano che è il risultato delle azioni di lobby degli operatori. E qualcuno potrebbe osservare che i Garanti per la protezione dei dati personali pro tempore non sono stati abbastanza insistenti nel sollecitare il legislatore. Hanno preferito intervenire su casi singoli, comminando sanzioni per il mancato rispetto della normativa generale: Ma gli abusi non sono cessati.

La soluzione è nella legge 5/2018, che estende l'opt-out ai numeri non inclusi negli elenchi e ai cellulari. Ma per far partire il nuovo assetto occorre il nuovo regolamento. La legge prevedeva che fosse emanato entro novanta giorni, ma la bozza ha visto la luce in Consiglio dei ministri dopo due anni, il 17 gennaio 2020 e ha incominciato il lento giro di pareri e approvazioni. La storia è ben raccontata dalla sottosegretaria per lo Sviluppo economico Anna Ascani nella risposta a un interrogazione, resa alla Camera dei Deputati il 22 ottobre scorso. Ha detto Ascani (i neretti sono miei):

«Dopo essere stato approvato in via preliminare dal Consiglio dei Ministri il 17 gennaio 2020 ed aver ricevuto i pareri del Consiglio di Stato (luglio 2020) e delle Commissioni parlamentari competenti (tra il dicembre del 2020 e il gennaio del 2021), il testo del regolamento è stato aggiornato dal Ministero dello Sviluppo economico alla luce delle osservazioni sollevate ed è stato condiviso nuovamente con le istituzioni competenti per il concerto finale ed, in particolare, con il Ministero per la Pubblica amministrazione, il Ministero per l'Innovazione tecnologica e la transizione digitale, il Ministero dell'Economia e delle finanze, l'Autorità per le garanzie nelle comunicazioni (Agcom) e l'Autorità garante per la protezione dei dati personali (Garante della privacy). Rispetto alla precedente versione, con nota del giugno 2021, il Garante della privacy ha suggerito delle modifiche al testo in merito all'applicazione del nuovo impianto alle sole chiamate effettuate con operatore umano e agli effetti dell'iscrizione ex lege delle numerazioni nel Registro. Recepite tali modifiche, il testo del regolamento è stato trasmesso il 30 luglio 2021 al dipartimento per gli affari giuridici e legislativi della Presidenza del Consiglio dei Ministri, per l'iscrizione dello stesso all'ordine del giorno per la sua approvazione. Tuttavia, con successive note di luglio e di settembre 2021, l'Agcom ha manifestato contrarietà sulle modifiche apportate al testo di regolamento, ribadendo il parere espresso sulla versione precedente del testo medesimo. Allo stato attuale, dunque, il concerto finale non è stato raggiunto, a causa delle posizioni contrapposte dell'Agcom e del Garante della privacy sul testo. In particolare, il Garante della privacy ritiene doversi mantenere distinta la disciplina prevista dall'articolo 130, comma 1, del codice in materia di protezione dei dati personali (decreto legislativo n. 196 del 2003), ritenendo che non vi sia alcuna previsione legislativa che imponga agli operatori di telemarketing che adottano sistemi automatizzati di chiamata di effettuare la revisione periodica degli iscritti nel registro, per verificare l'attualità del consenso conferitogli dall'utente.

Ecco il punto: nell'art. 130 del Codice c'è una poco comprensibile differenza di trattamento tra le chiamate automatiche e quelle con operatore umano. Il primo comma dice che "l´uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l´intervento di un operatore per l´invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente". Cioè, per i sistemi automatizzati vale l'opt-in: un operatore può usare sistemi automatici di chiamata solo a fronte di un esplicito consenso preventivo.

Invece, per le chiamate con operatore, il comma 3-bis dello stesso articolo prescrive "...il trattamento dei dati di cui al comma 1 del predetto articolo, mediante l´impiego del telefono e della posta cartacea per le finalità di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, è consentito nei confronti di chi non abbia esercitato il diritto di opposizione, con modalità semplificate e anche in via telematica, mediante l´iscrizione della numerazione della quale è intestatario e degli altri dati personali di cui all´articolo 129, comma 1, in un registro pubblico delle opposizioni". Quindi vale l'opt-out.

Conclusione: anche senza il nuovo regolamento sul registro delle opposizioni, è vietato usare sistemi automatici per chiamare chi non ha espresso il consenso preventivo a essere contattato. L'obiezione del Garante sarebbe dunque corretta (uso il congiuntivo perché il testo del regolamento in discussione non è disponibile, sicché non è neanche possibile capire il punto, richiamato da Ascani, della "iscrizione ex lege" nel registro).

Ma per le chiamate con operatore, nell'attesa infinita del regolamento, valgono le regole generali della protezione dei dati. Dunque gli elenchi di utenti da contattare dovrebbero soddisfare tutti i requisiti imposti dal GDPR, a partire dal consenso dell'interessato ad essere chiamato. Consenso che dovrebbe essere documentato dal titolare del trattamento e, se del caso, dal soggetto che gestisce il call center.
Resta il fatto che il doppio regime, opt-out per le chiamate con operatore e opt-in per le chiamate automatiche, è insensato. L'ennesima, inutile complicazione della normativa sulla protezione dei dati.

In sostanza, tutte le chiamate che riceviamo da sistemi automatici sono illegittime, salvo il caso di un cittadino che, in crisi di solitudine, chieda di essere chiamato da qualcuno, sia pure da un robot. Invece le chiamate con operatore sono lecite se rispettano i requisiti del GDPR e del Codice, a partire dalla verifica sul Registro delle opposizioni.
Ma a questo punto è giusto chiedersi perché gli operatori continuano con le chiamate automatiche "a tappeto"? Non dovrebbe il Garante intervenire per far cessare questo supplizio?

Opt-in o opt-out: vent'anni di discussioni
Spam e indirizzi e-mail. Quando la 675 è impotente di Andrea Monti - 15.02.01
Consenso, informativa e direct marketing - 1 di Andrea Putignani - 17.05.01
Opt-out: per l'AIDIM "buonsenso e concretezza" - 19.07.01
Opt-out: il galateo invertito dello spam builder di Andrea Monti - 19.07.01
Scusi, ma lei è "optinista" o "optautista"? di Marco Maglio - 26.07.01
Opt-in, ovvero la ricerca del contatto diretto di Andrea Monti - 06.09.01
La piaga dello spam di Giancarlo Livraghi - 12.09.02
Qualcosa si muove contro "spammatori" e spioni di Manlio Cammarata - 12.09.02
Privacy e comunicazioni indesiderate: un nuovo capitolo di Paolo Ricchiuto - 23.02.06
Telemarketing: il governo allarga il buco di Paolo Ricchiuto - 19.02.09
I botti di fine anno: telemarketing e amministratori di sistema di Paolo Ricchiuto - 18.01.10