FAQ GDPR | L’agenzia può usare una propria lista di contatti?

Quando un'agenzia di comunicazione (o di PR) detiene una propria lista di contatti considerandola patrimonio proprio, può utilizzarla, ma riveste il ruolo di "autonomo titolare del trattamento".

In questo ruolo, l'agenzia opera indipendentemente dall'azienda cliente (la quale non è titolare di quella specifica lista) e risponde in modo del tutto autonomo di eventuali violazioni legate all'uso di quei dati.

Per poter utilizzare legalmente la propria lista, l'agenzia è tenuta a rispettare una serie di rigorosi obblighi imposti dal GDPR:

• Informativa e base giuridica: deve fornire l'informativa privacy ai giornalisti e identificare una base giuridica adeguata (come il consenso o un'altra base legittima). L'invio di comunicati stampa deve avvenire strettamente secondo le finalità che sono state dichiarate in tale informativa.
• Sicurezza e registro: è obbligata a implementare sistemi di sicurezza per proteggere i dati da violazioni, perdite o accessi illegittimi, oltre a dover tenere un registro dei trattamenti.
• Diritti degli interessati: deve garantire l'esercizio dei diritti dei giornalisti (Capo III del GDPR), permettendo loro di richiedere e ottenere l'aggiornamento dei propri dati o la cancellazione immediata dalle liste.
• Aggiornamento dei dati: deve mantenere la lista sempre corretta e aggiornata, poiché l'utilizzo di liste vecchie ("risalenti") espone l'agenzia a notevoli responsabilità legali.

Risposta a cura dell’avvocato Gaia Morelli, membro del comitato privacy dell’Ordine degli Avvocati di Roma, specializzata nella gestione delle tematiche di governance e compliance del GDPR.