Come già noto, il Regno Unito ha una regolamentazione privacy molto simile all’Europa, avendo adottato un “UK GDPR” ed altresì il PECR, ossia una regolamentazione specifica nell’ambito delle comunicazioni elettroniche.
Il fatto che ci sia una regolamentazione analoga alla nostra ci fa chiedere se anche l’applicazione della stessa della stessa sia affine: sul punto, è di interesse un provvedimento recente nei confronti Elderly Aids – dell’Autorità di controllo inglese riguardo detta società, la quale offriva un servizio di blocco delle telefonate indesiderate.
Tale servizio veniva effettuato attraverso telefonate a soggetti ad un registro dedicato alle opposizione alle chiamate; gli operatori inducevano in ogni modo i soggetti interessati ad acquistare abbonamenti al fine di non ricevere chiamate indesiderate, dando informazioni non veritiere.
L’interesse emerge infatti considerando che anche nel Regno Unito al momento c’è urgenza di limitare e bloccare il fenomeno delle chiamate indesiderate e quindi presta il fianco anche ad una verifica di quelle che possono essere eventuali differenze rispetto alla nostra legislazione europea.
Ecco una breve panoramica.
Indice degli argomenti
Le regole del marketing nel Regno Unito tra PECR e UK GDPR
Il punto di partenza è la Privacy and Electronic Communications Regulations 2003 (PECR) che disciplina appunto le comunicazioni elettroniche, mentre il c.d. UK GDPR disciplina il trattamento dei dati personali. I due regimi operano spesso contemporaneamente, considerando la trasversalità del GDPR.
La regolamentazione PECR si applica in particolare a fronte di telefonate commerciali, email, SMS, fax, uso di cookie e strumenti di tracciamento, nonché, per i fornitori di servizi di comunicazione, sicurezza delle reti e dei servizi, dati di traffico, dati di localizzazione, identificazione della linea. Il fatto che non vengano trattati dati personali non esclude necessariamente l’applicazione del PECR: alcune regole proteggono anche le persone giuridiche, come le società, come vedremo di seguito.
Che cosa rientra nel direct marketing
Per quanto riguardo l’oggetto di applicazione della normativa, si fa riferimento alla nozione di c.d. direct marketing, ossia alla comunicazione, effettuata con qualsiasi mezzo, di materiale pubblicitario o promozionale indirizzato a individui determinati. Tale definizione è la medesima anche in Italia.
Inoltre, essa non riguarda soltanto la vendita di beni o servizi, ma comprende anche la promozione di iniziative senza scopo di lucro di organizzazioni non profit, quanto l’intento è promozionale.
La ricerca di mercato non viene considerata “commerciale” di per sé, ma se un questionario contiene elementi promozionali o raccoglie dati destinati a successive campagne di marketing, allora rientra nella disciplina qui in analisi. Non solo, anche una comunicazione di servizio può trasformarsi in marketing se contiene materiale promozionale volto a vendere ulteriori prodotti o servizi.
Come sappiamo, tale tema è noto all’Autorità di Controllo italiana che, in maniera analoga, indaga sempre sul contenuto promozionale o meno delle attività per definirle commerciali oppure no.
Consenso e direct marketing nel Regno Unito
Una distinzione centrale, sempre riguardo l’oggetto della disciplina in oggetto, è quella tra comunicazioni sollecitate e non sollecitate, come in Italia: è sollecitata la comunicazione che il destinatario ha specificamente richiesto e nello specifico a cui ha acconsentito; è invece non sollecitata una comunicazione non richiesta specificamente dal destinatario. Il fatto che una persona abbia effettuato un c.d. opt-in generale non rende la comunicazione “sollecitata”: l’opt-in consente di ricevere future comunicazioni, ma queste restano tecnicamente non sollecitate ai fini dell’applicazione del PECR.
Al fine della liceità della comunicazione, può essere richiesto quale base di legittimazione – come accade infatti in Italia, vedasi l’art. 130 del Codice Privacy – il consenso, il quale deve essere libero, specifico, informato, espresso mediante un’azione positiva inequivocabile e riferito sia all’organizzazione che invia il marketing sia al tipo di canale utilizzato, per esempio telefono, email, SMS o fax.
Si specifiche anche qui che una casella preselezionata non costituisce consenso valido e che occorre conservare prova di quando, come e per cosa il consenso è stato ottenuto. Il consenso acquisito tramite soggetti terzi – il c.d. marketing conto terzi – richiede verifiche attente, non essendo sufficiente una formula generica riferita a “partner”, “terze parti selezionate” o soggetti analoghi.
Il consenso può essere revocato in qualsiasi momento e la revoca deve essere resa semplice.
Tale impostazione risulta in linea, oltre che con quanto dichiarato dall’Autorità di Controllo italiana, ma anche in sede europea. Si vedano in tal senso le conclusioni dell’Avvocato Generale nella causa innanzi al CGue C-317/25 Gruope Canal + Sas contro CNIL (e altri).
Email, SMS e soft opt-in nel marketing britannico
Per email, SMS e altri messaggi elettronici la regola generale è che non si può inviare marketing a persone fisiche senza un consenso specifico (come descritto sopra): s’intende per “electronic mail” un ampio spettro di attività, che includono email, SMS, messaggi con immagini o video, messaggi vocali e messaggi diretti attraverso piattaforme elettroniche.
Esiste tuttavia una limitata eccezione, il cosiddetto soft opt-in, ossia il nostro soft spam: esso consente di inviare marketing ai propri clienti quando i dati personali sono stati raccolti nel contesto di una vendita o di una trattativa di vendita e la comunicazione riguarda prodotti o servizi simili.
Come in Europea, al destinatario deve essere offerta una possibilità chiara di opt-out sia al momento della raccolta dei dati sia in ogni comunicazione successiva (il c.d. unsubscribe). Il soft opt-in non si applica normalmente a nuovi contatti o a liste acquistate, non facendo riferimento al contesto di una vendita di un prodotto o servizio.
Società e indirizzi professionali individuali
Per le società e le persone giuridiche in generale le regole sono più permissive e limitate, in quanto è generalmente possibile inviare email o SMS a una società senza il consenso richiesto per le persone fisiche; viene ritenuto utile avere una propria “do not email/text list” e rispettare ogni opposizione. Tuttavia, quando si utilizza l’indirizzo professionale personale di un dipendente, per esempio nome.cognome@azienda.co.uk, si ritiene applicabile la normativa privacy e quindi la regola del preventivo consenso.
Le comunicazioni di marketing elettronico non devono mai nascondere l’identità del mittente e devono fornire un indirizzo valido o altro mezzo che consenta al destinatario di esercitare l’opt-out. La richiesta di opposizione deve essere rispettata e da quel momento non devono essere inviate ulteriori comunicazioni.
Marketing nel Regno Unito tra telefonate, fax e posta
Per le telefonate commerciali effettuate da un operatore umano, il meccanismo centrale è il Telephone Preference Service (TPS), affiancato dal Corporate Telephone Preference Service (CTPS) per le organizzazioni. Non devono essere effettuate telefonate di marketing a numeri iscritti al TPS o CTPS, salvo che il soggetto abbia specificamente autorizzato quella determinata organizzazione a chiamarlo. Il chiamante deve inoltre mostrare il proprio numero, identificarsi e, se richiesto, fornire un indirizzo o un numero gratuito di contatto.
Chiamate automatizzate, fax e posta
Le chiamate automatizzate contenenti messaggi preregistrati richiedono un consenso specifico preventivo. Il numero del chiamante deve essere visibile e il messaggio deve indicare chiaramente l’identità dell’organizzazione e un indirizzo o numero gratuito di contatto.
Per i fax il regime è analogo. Non possono essere inviati fax di marketing a individui senza consenso specifico. Per le imprese è possibile effettuare marketing via fax, ma occorre verificare preventivamente il Fax Preference Service e la propria lista interna di soggetti che hanno manifestato opposizione. Ogni fax deve indicare il nome del mittente e un indirizzo o numero gratuito di contatto.
Il marketing c.d. postale è invece fuori dall’ambito specifico delle PECR, ma rimane soggetto alle norme di protezione dei dati quando riguarda persine fisiche identificate. Il soggetto può opporsi alla ricezione di posta e l’organizzazione deve rispettare la richiesta e verificare le proprie liste interne di esclusione.
Il ruolo dello UK GDPR
Il trattamento dei dati personali per attività di marketing deve comunque rispettare il c.d. UK GDPR. Come detto, costituiscono dati personali anche indirizzi email professionali individuali, numeri di cellulare, indirizzi IP, cookie e identità social quando consentono di identificare una persona. Devono dunque essere garantiti i diritti dell’interessato, compresi accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e tutela rispetto a decisioni automatizzate e profiling. Nel marketing, il diritto di opposizione in particolare assume importanza, poiché, una volta esercitato, l’organizzazione deve interrompere le comunicazioni. Tali prescrizioni naturalmente coincidono con il GDPR europeo.
Elderly Aids e le sanzioni al marketing illecito nel Regno Unito
Il 6 agosto 2026 l’ICO ha inflitto alla società una sanzione di £190.000 per gravi violazioni degli artt. 21 e 24 PECR. L’azienda commercializzava servizi e dispositivi di “call blocking”, ossia un sistema di blocco di chiamate indesiderate e, secondo l’indagine, aveva effettuato campagne telefoniche su scala molto elevata. Nel periodo 27 maggio 2024–10 febbraio 2025 risultavano 1.860.705 chiamate in outbound complessive, delle quali 758.053 effettuate verso numeri registrati nel TPS da oltre 28 giorni e pertanto già iscritti al registro relativo alle opposizioni alle chiamate.
Nello specifico l’ICO ha accertato che 758.053 chiamate erano state effettuate a soggetti iscritti al TPS senza che questi avessero specificamente manifestato la volontà di ricevere chiamate di marketing da Elderly Aids Limited. Sono state inoltre registrate 20 denunce presso ICO e TPS.
Consenso, TPS e obblighi informativi
Il provvedimento è particolarmente importante perché chiarisce il significato concreto del consenso necessario e dell’operatività del TPS: il destinatario iscritto al TPS deve compiere un’azione chiara e positiva che dimostri specificamente la volontà di ricevere chiamate telefoniche di marketing. Secondo l’ICO, un consenso generico al marketing non è sufficiente se non comprende chiaramente il riferimento alle chiamate telefoniche, considerando appunto che il soggetto è iscritto al registro suddetto. Inoltre, il consenso deve riguardare quella specifica società che effettua la chiamata e non un riferimento generico.
In tal senso, l’ICO non ha trovato prove dell’esistenza di notifiche valide dei destinatari e ha inoltre accertato che l’impresa non forniva correttamente le informazioni obbligatorie relative alla propria identità e ai recapiti, violando quindi anche l’art. 24 PECR.
Aggravanti e funzione deterrente della sanzione
La condotta è stata considerata grave e negligente. L’ICO ha ritenuto che la società avrebbe dovuto conoscere gli obblighi previsti dalle PECR, considerando l’ampia disponibilità di linee guida e precedenti provvedimenti, e che non avesse adottato ragionevoli misure preventive.
Tra gli elementi aggravanti sono stati considerati anche la mancata collaborazione con l’ICO, il tentativo di cancellazione volontaria della società dal registro dopo l’avvio dell’indagine, il carattere aggressivo e fuorviante di alcune telefonate e il proseguimento delle chiamate non richieste anche dopo l’apertura delle indagini. Non sono pertanto state individuate circostanze attenuanti, considerando appunto la condotta tenuta.
La sanzione è stata fissata in £190.000, ritenuta proporzionata sia alla gravità delle violazioni sia alla funzione deterrente del provvedimento sanzionatorio stesso.
Marketing illecito nel Regno Unito: i limiti delle regole
Sembra evidente che anche nel Regno Unito vi sono problematiche similari all’Italia riguardo alle telefonate commerciali non sollecitate; del pari, sembra evidente che la normativa non riesce davvero ad essere efficace nella riduzione e prevenzione delle stesse.
Nonostante la presenza di un registro – c.d. TPS – similare all’RPO in Italia e nonostante la presenza di un portale dedicato alle telefonate indesiderate all’interno del sito web dell’ICO – ancora oggi si assiste ad un aumento di dette chiamate.
Alcuni sottolineano che la fuga di dati e quindi i breach in aumento, consente a chi è già nell’illegalità di utilizzare tali dati per varie attività, fra cui appunto le chiamate indesiderate.
Appare quindi utile prevedere una serie differenziata di attività e misure, che riescano a partire dall’analisi di attività criminose legate appunto alla violazione di dati, per meglio intercettare il fenomeno dell’illegalità nell’ambito marketing e originare investigazioni efficaci aventi al suo contrasto.
Partecipa alla community