Consenso marketing e privacy dei clienti: come gestirli

Per un'attività locale i dati dei clienti sono un patrimonio: permettono di ricordare un appuntamento, proporre il servizio giusto, riportare chi non torna. Proprio per questo vanno gestiti con regole chiare. Questa guida spiega i concetti essenziali in modo pratico.

Nota: questo articolo ha scopo informativo e non sostituisce una consulenza legale sul tuo caso specifico.

Informativa e consenso non sono la stessa cosa

L'informativa (artt. 13 e 14 del GDPR) è il documento che spiega chi tratta i dati, per quali finalità, su quale base giuridica, per quanto tempo e quali diritti ha la persona. Va sempre fornita.
Il consenso (art. 6 e art. 7 del GDPR) è una delle possibili basi giuridiche. Serve per alcuni trattamenti, tipicamente il marketing e la profilazione, ma non per tutto: per gestire una prenotazione, per esempio, la base è l'esecuzione del servizio richiesto.

Errore frequente: chiedere un unico "accetto" che copre tutto. Non funziona.

Quali consensi chiedere

Per un'attività locale in genere bastano tre voci, separate:

Voce	Serve per	Obbligatoria per il servizio?
Presa visione dell'informativa	Gestire prenotazioni e rapporto con il cliente	Sì (è una presa visione, non un consenso)
Consenso marketing	Promozioni, inviti, newsletter, campagne WhatsApp	No
Consenso profilazione	Proposte basate sulle abitudini e sugli acquisti del cliente	No

Le regole da rispettare:

caselle non preselezionate;
un consenso per ogni finalità, non uno solo per tutto;
il servizio non dipende dal consenso marketing: chi dice no può comunque prenotare;
linguaggio semplice, comprensibile da chiunque.

Il soft spam: l'eccezione per le email ai clienti

Il Codice privacy italiano (art. 130, comma 4) prevede un'eccezione limitata: puoi usare l'email che il cliente ti ha dato in occasione di un acquisto per inviargli comunicazioni su prodotti o servizi analoghi, anche senza consenso specifico, a condizione che:

il cliente sia stato informato e non si sia opposto;
ogni messaggio permetta di opporsi facilmente (per esempio con un link di disiscrizione).

Attenzione: l'eccezione riguarda l'email. Per SMS, WhatsApp e telefonate promozionali serve il consenso. Lo approfondiamo nella guida a WhatsApp Business per le attività locali.

Dimostrare il consenso

Il GDPR chiede al titolare di poter dimostrare che il consenso è stato dato (art. 7, par. 1) e, più in generale, di essere in grado di provare il rispetto delle regole (principio di responsabilizzazione, art. 5, par. 2). In pratica, per ogni cliente dovresti sapere:

quale consenso ha dato o negato;
quando e dove (al banco, dal sito, dall'area riservata);
con quale testo dell'informativa;
se e quando lo ha revocato.

Un foglio di calcolo con una colonna "sì/no" non basta. Serve uno storico.

Revoca e diritti

Revocare il consenso dev'essere facile quanto darlo (art. 7, par. 3). Le soluzioni più semplici:

link di disiscrizione in ogni email;
istruzione di stop nei messaggi WhatsApp promozionali;
un'area riservata dove il cliente vede e modifica i propri consensi.

Il cliente ha anche altri diritti: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Tienine conto nei processi interni.

Attenzione ai dati sanitari

Farmacie, studi e ambulatori trattano spesso dati relativi alla salute, che il GDPR considera categorie particolari (art. 9). Regola di prudenza: non costruire campagne o segmenti basati su informazioni sanitarie senza aver verificato la base giuridica con il tuo consulente privacy. Promuovere un servizio aperto a tutti (una giornata di prevenzione, il noleggio di un dispositivo) è diverso dal selezionare i destinatari in base a una patologia.

Chi fa cosa: titolare e responsabile

Titolare del trattamento è la tua attività: decidi tu finalità e mezzi.
Il fornitore del software che usi per agenda, CRM e campagne è normalmente responsabile del trattamento e va nominato con un contratto (art. 28).

Verifica che il fornitore ti dia il contratto di nomina e indichi dove sono conservati i dati.

Checklist veloce

Informativa aggiornata e consegnata a ogni nuovo cliente
Consensi marketing e profilazione separati e non preselezionati
Storico dei consensi con data, canale e testo dell'informativa
Revoca semplice su ogni canale
Campagne inviate solo a chi ha il consenso valido
Contratto di nomina a responsabile con i fornitori software

Come funziona in OneAgent

In OneAgent i consensi privacy, marketing e profilazione sono registrati nella scheda di ogni cliente con il loro storico. Le campagne WhatsApp e le newsletter vanno solo a chi ha detto sì. Ogni cliente può accedere a un'area riservata con un codice via email e gestire i propri consensi. La tua attività resta titolare dei dati dei suoi clienti.

Domande frequenti

Posso usare un'unica casella per privacy e marketing?

No. Il consenso deve essere specifico per ogni finalità. La presa visione dell'informativa e il consenso marketing vanno separati.

Se un cliente non dà il consenso marketing, posso comunque mandargli il promemoria dell'appuntamento?

Sì. Il promemoria riguarda il servizio richiesto e non è una comunicazione promozionale.

Per quanto tempo vale un consenso marketing?

Il GDPR non fissa una scadenza unica. Vale finché il cliente non lo revoca, ma è buona prassi verificare periodicamente che i dati siano ancora pertinenti e aggiornati, secondo le indicazioni del tuo consulente privacy.

Il consenso dato al banco su carta è valido?

Sì, se è libero, specifico, informato e documentato. Va poi registrato nel sistema, così da poterlo dimostrare e rispettare nelle campagne.

Consensi privacy e marketing dei clienti: guida pratica per le attività locali