Profilazione e GDPR: quando è lecita e cosa deve fare chi la utilizza

Newsletter segmentate, fidelity card, pubblicità mirata: molte aziende fanno profilazione senza saperlo. Quando è lecita, quale consenso serve, quali adempimenti comporta e cosa rischia chi sbaglia.

In breve — La profilazione è il trattamento automatizzato di dati personali usato per valutare aspetti di una persona — gusti, comportamenti, affidabilità, situazione economica — e prevederne le scelte (art. 4, n. 4, del GDPR). La fanno molte più aziende di quanto si creda: newsletter segmentate, fidelity card, pubblicità mirata, punteggi sui clienti. È lecita, ma a condizioni precise: di regola serve un consenso specifico e separato da quello per il marketing, un’informativa che la dichiari espressamente, l’annotazione nel registro dei trattamenti e — quando è su larga scala — una valutazione d’impatto. Il Garante sanziona chi sbaglia: nel 2023 due grandi catene della moda e dei grandi magazzini hanno pagato 300.000 e 240.000 euro proprio per la profilazione dei clienti tramite fidelity card.

1. Che cos’è la profilazione

Profilare significa, in parole semplici, ricavare informazioni da altre informazioni. Da un singolo acquisto si può ricavare un interesse generale: chi compra un passeggino probabilmente ha un bambino piccolo, chi compra scarpe da running probabilmente corre. Mettendo insieme tanti dati di questo tipo — gli acquisti, le pagine visitate, i link cliccati — si arriva a definire un profilo della persona: i suoi interessi, le sue abitudini, la sua capacità di spesa. Ed è un lavoro che nessuno fa a mano: la profilazione avviene, in generale, in forma automatizzata, con software che elaborano i dati e producono il profilo.

La definizione del GDPR dice, con parole più tecniche, la stessa cosa: c’è profilazione quando i dati non vengono solo raccolti, ma usati per valutare o prevedere qualcosa della persona — i suoi gusti, il suo comportamento, la sua affidabilità.

2. Chi fa profilazione (spesso senza saperlo)

Quando parliamo di profilazione il pensiero corre ai colossi del web. In realtà la fanno — o vorrebbero farla — moltissime imprese di ogni dimensione. Profilare è una libera scelta del titolare del trattamento: nel momento in cui raccoglie i dati dei propri clienti o utenti, può anche decidere di usarli per costruirne il profilo. Nessuna norma lo vieta. E spesso chi ci contatta per un adeguamento privacy scopre di farlo già, senza averlo mai dichiarato. Qualche esempio concreto:

La profilazione, tuttavia, per essere legittima richiede il rispetto di precise condizioni. Prima fra tutte il consenso: la persona profilata deve sapere che questo trattamento esiste e deve averlo accettato. L’errore tipico, infatti, non è profilare — è profilare senza dirlo: con un’informativa che non lo menziona e un consenso mai richiesto.

3. Il consenso

La regola è semplice: per profilare a fini di marketing serve il consenso della persona. E non un consenso qualsiasi: deve essere specifico e separato — una casella dedicata alla profilazione, distinta da quella per l’invio delle comunicazioni promozionali e da quella per la comunicazione dei dati a terzi. Il modulo con un’unica spunta “acconsento al marketing e alla profilazione” non vale: per il Garante è un consenso non libero e non specifico, perché ogni finalità vuole il suo consenso.

C’è un secondo paletto, meno conosciuto: il consenso non può essere condizionato. La fidelity card va rilasciata anche al cliente che rifiuta la profilazione: lo sconto base spetta a tutti, il trattamento dei dati per costruire il profilo solo a chi lo ha accettato. Subordinare l’adesione al programma fedeltà al consenso alla profilazione rende il consenso non libero — e quindi invalido.

Il legittimo interesse (art. 6, par. 1, lett. f) può sorreggere forme leggere di analisi della clientela, ma è un terreno stretto: richiede un bilanciamento documentato con i diritti degli interessati, e il Garante lo ha ammesso solo per trattamenti a basso impatto. Per la profilazione vera e propria — quella che costruisce profili individuali a fini commerciali — la strada sicura resta il consenso.

Una precisazione, infine: non tutta la profilazione passa dal consenso. Quella svolta per finalità diverse dal marketing — come la valutazione della solvibilità nel credito o nel recupero crediti, o i controlli antifrode — si fonda su altre basi giuridiche, tipicamente il legittimo interesse o l’esecuzione del contratto. Le regole di questo articolo (informativa, registro, DPIA, art. 22) valgono comunque anche per lei.

4. Gli adempimenti per chi profila

Chi decide di profilare i propri clienti è un titolare del trattamento come per ogni altro trattamento, e gli adempimenti seguono la filiera consueta — con alcune specificità.

L’informativa deve dichiarare la finalità di profilazione in modo espresso: non basta un generico “finalità di marketing”. L’interessato deve capire che i suoi dati verranno usati per costruire un profilo, con quali dati, per quanto tempo e con quali conseguenze. È esattamente il punto su cui è caduta una nota catena di grandi magazzini nel 2023: un’informativa troppo generica sui tempi di conservazione (Garante, provv. 8 giugno 2023, n. 9909907).

La profilazione va poi annotata nel registro dei trattamenti come trattamento a sé, con la sua base giuridica e i suoi tempi di conservazione. E qui una regola pratica di lunga data del Garante per le fidelity card: i dati di dettaglio degli acquisti si conservano per finalità di profilazione non oltre 12 mesi (24 per il marketing), salvo tempi più lunghi specificamente giustificati.

Infine, la DPIA: la valutazione sistematica e su larga scala di aspetti personali basata su trattamenti automatizzati, compresa la profilazione, è uno dei casi in cui la valutazione d’impatto è obbligatoria per espressa previsione dell’art. 35, par. 3. Chi profila un numero significativo di clienti con strumenti automatizzati deve mettere in conto di farla — prima di avviare il trattamento, non dopo.

5. Le decisioni solo automatizzate (art. 22)

Un gradino sopra la profilazione c’è la decisione basata unicamente sul trattamento automatizzato: quando non è una persona ma l’algoritmo a decidere, e la decisione produce effetti giuridici o incide in modo significativo sull’interessato. L’esempio classico è il rifiuto automatico di un finanziamento sulla base del punteggio di affidabilità, senza che nessun operatore valuti la pratica.

L’art. 22 del GDPR riconosce all’interessato il diritto di non essere sottoposto a decisioni di questo tipo, salvo tre eccezioni: la decisione è necessaria per il contratto, è autorizzata dalla legge, oppure si fonda sul consenso esplicito. E anche nei casi ammessi, l’interessato conserva il diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione. Per le aziende la regola operativa è semplice: se l’algoritmo decide da solo su cose che contano, deve esserci sempre un modo per far rivedere la decisione a una persona.

6. I diritti degli interessati

Chi viene profilato conserva tutti i diritti che il GDPR riconosce agli interessati, con uno in particolare: il diritto di opposizione (art. 21). Quando la profilazione è connessa al marketing diretto, l’opposizione è incondizionata — l’interessato può opporsi in qualsiasi momento, senza dover motivare, e il titolare deve interrompere il trattamento. In pratica: ogni comunicazione profilata deve offrire una via d’uscita semplice, e le richieste vanno evase senza ritardo. Ignorarle costa caro: diversi provvedimenti del Garante in materia di fidelity card nascono proprio da richieste di cancellazione o opposizione rimaste senza risposta.

7. Le sanzioni: i casi del Garante

La profilazione irregolare rientra tra le violazioni più gravi (art. 83, par. 5: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, trattandosi di base giuridica e diritti degli interessati). E il Garante, negli ultimi anni, è intervenuto più volte proprio sul terreno delle carte fedeltà.

I due casi dicono la stessa cosa da angolazioni diverse: il problema non era profilare, era farlo senza le regole — informative generiche, conservazioni illimitate, consensi non dimostrabili. E la coda del secondo provvedimento merita attenzione: il divieto di usare i dati senza un consenso dimostrabile significa, per un’azienda commerciale, perdere l’uso del proprio database clienti. Un danno spesso superiore alla sanzione stessa.

8. Come ti assiste lo Studio Legale Calzoni

La profilazione è il terreno dove l’esigenza commerciale e le regole privacy si incontrano — e dove un errore di impostazione può costare la sanzione o, peggio, l’inutilizzabilità del database clienti. Lo Studio Legale Calzoni offre consulenza privacy e GDPR a imprese ed enti: verifichiamo se le attività di marketing in essere costituiscono profilazione, impostiamo basi giuridiche, consensi e informative corretti, curiamo registro e DPIA e strutturiamo i programmi fedeltà perché siano validi e difendibili. L’obiettivo non è rinunciare alla profilazione: è poterla usare senza rischi.

Domande frequenti

Che cosa si intende per profilazione? È il trattamento automatizzato di dati personali usato per valutare aspetti di una persona — preferenze, comportamento, situazione economica, affidabilità — e prevederne scelte e interessi (art. 4, n. 4, GDPR). In pratica: usare i dati per costruire un profilo del cliente o dell’utente.

Quando è ammessa la profilazione? Quando ha una base giuridica valida: per il marketing, di regola, il consenso specifico e separato dell’interessato. Il consenso non può essere condizionato (la fidelity card va rilasciata anche a chi rifiuta la profilazione) né cumulato in un’unica casella con il marketing.

Serve un consenso separato per la profilazione? Sì. Marketing, profilazione e comunicazione dei dati a terzi sono finalità diverse e vogliono consensi distinti: un’unica spunta cumulativa non è un consenso valido secondo il Garante.

La newsletter segmentata è profilazione? Se le offerte vengono differenziate in base al comportamento del singolo iscritto (acquisti, click, navigazione), sì: si sta usando un profilo. Serve dichiararlo nell’informativa e acquisire il consenso dedicato.

Serve la DPIA per fare profilazione? Quando la valutazione degli aspetti personali è sistematica e su larga scala, la valutazione d’impatto è obbligatoria (art. 35, par. 3). Per una profilazione estesa della clientela con strumenti automatizzati la risposta è, in concreto, quasi sempre sì.

Quanto tempo si possono conservare i dati di profilazione? Per le fidelity card la regola pratica del Garante è di non oltre 12 mesi per la profilazione e 24 per il marketing, salvo tempi più lunghi specificamente giustificati. Conservazioni illimitate sono state sanzionate.

Che differenza c’è tra marketing diretto e profilazione? Il marketing diretto è l’invio di comunicazioni promozionali; la profilazione è la costruzione del profilo che permette di personalizzarle. Si possono fare entrambe, ma sono finalità distinte, con consensi distinti.

Cosa rischia chi profila senza consenso? Sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale, più il possibile divieto di usare i dati raccolti: in un caso del 2023 il Garante ha vietato a un’azienda l’uso promozionale di tutti i dati privi di un consenso dimostrabile.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.