Salta al contenuto

DIRITTI E PREVENZIONE > COME TUTELARE LA TUA PRIVACY

ricerca avanzata

Raccolta di dati via Internet per finalità promozionali: sempre necessario il consenso degli interesssati - 15 luglio 2010 [1741998]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
1741998
Data:
15/07/10
Argomenti:
Profilazione , Informativa , Trattamento e diffusione dei dati personali
Tipologia:
Prescrizioni e divieto del Garante

[doc. web n. 1741998]

Raccolta di dati via Internet per finalità promozionali: sempre necessario il consenso degli interesssati - 15 luglio 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan, componente, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del Regolamento del Garante n. 1/2000;

VISTA la segnalazione del Centro per i diritti del cittadino, con la quale è stato lamentato che la società Casa.it srl, nel form di registrazione al suo sito www.casa.it, richiede indistintamente per vari trattamenti di dati personali un unico consenso, peraltro configurato come preimpostato;

VISTA la nota di risposta a una richiesta di informazioni di questa Autorità, nella quale la società in questione, al riguardo, si limita ad affermare che il consenso degli interessati al trattamento dei dati personali che vogliano accedere al sito "è liberamente prestato e con riferimento specifico all'attività del sito, posto che senza il consenso l'Utente non avrebbe la possibilità di riessere contattato e quindi di ricevere informazioni sull'immobile di riferimento";

VISTO che, dall'accertamento condotto dall'Ufficio, risulta che la società in oggetto, nel form di registrazione al sito, non richiede il consenso espresso e distinto per le finalità di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati a terzi, poste in essere dalla medesima come emerge dall'informativa del detto sito ("Il trattamento dei dati…sarà finalizzato a: … b) raccogliere dati ed informazioni in via generale e particolare sugli orientamenti e le preferenze dell'Utente; inviare informazioni ed offerte commerciali, anche di terzi; inviare materiale pubblicitario e informativo; effettuare comunicazioni commerciali, anche interattive;…elaborare studi e ricerche statistiche su vendite, clienti e altre informazioni, ed eventualmente comunicare le stesse a terze parti; cedere a terzi, anche al di fuori del territorio dell'Unione Europea, i dati raccolti ed elaborati a fini commerciali anche per la vendita o tentata vendita, ovvero per tutte quelle finalità a carattere commerciale e/o statistico lecite...");

RILEVATO, peraltro, che l'unico consenso richiesto indistintamente dalla società per il trattamento dei dati personali è preimpostato;

VISTO l'art. 23 del Codice, il quale prevede invece che il trattamento di dati personali da parte dei privati è ammesso solo previa acquisizione di un consenso dell'interessato libero, informato e specifico, con riferimento a un trattamento chiaramente individuato, e da documentare per iscritto; e che, analogamente, l'art. 130, comma 2, del Codice prevede per l'invio di e-mail promozionali il preventivo consenso informato e specifico dell'interessato;

CONSIDERATO, inoltre, che, come già rilevato da questa Autorità (provv. 22 febbraio 2007, doc. web n. 1388590; provv.  12 ottobre 2005, doc. web n.  1179604; provv.  3 novembre 2005 , doc. web n.  1195215; provv.  10 maggio 2006 , doc. web n.  1298709 in  www.garanteprivacy.it), non può definirsi "libero", e risulta indebitamente necessitato, il consenso ad un ulteriore trattamento dei dati personali che l'interessato "debba" prestare quale condizione per conseguire una prestazione richiesta; e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso -allorché richiesto per legge- per ciascuna distinta finalità perseguita dal titolare (cfr. provv.  24 febbraio 2005, punto 7, in www.garanteprivacy.it, doc. web n.  1103045);

CONSIDERATO, peraltro, che tale capacità di autodeterminazione non è assicurata quando si assoggetta l'accesso a un servizio alla preventiva autorizzazione a trattare i dati conferiti per il medesimo servizio per una finalità diversa, qual è quella promozionale e pubblicitaria, o quella di profilazione; con la conseguenza che i dati personali raccolti dal titolare (e conferiti dall'interessato) per l'esecuzione del rapporto contrattuale vengono di fatto piegati ad un utilizzo diverso dallo scopo che ne ha giustificato la raccolta, in violazione del principio di finalità (art. 11, comma 1, lett. b), del Codice);

RILEVATO, inoltre, che, nel testo dell'informativa ex art. 13 del Codice, pubblicato sul sito www.casa.it,  non vengono specificati in modo chiaro e preciso i soggetti o le categorie di soggetti cui tali dati vengono comunicati e/o ceduti;

CONSIDERATO che, in caso di comunicazione e/o cessione di dati personali a terzi, non solo deve essere richiesto uno specifico e libero consenso all'interessato, ma è anche necessario che questi, mediante idonea informativa, sia reso edotto almeno della categoria di soggetti cui sono trasmessi i suoi dati personali, e che, in mancanza di tale indicazione, l'informativa resa deve considerarsi inidonea, come già affermato da questa Autorità in diverse occasioni (provv. 26 giugno 2008, doc. web n. 1544326; provv. 25 giugno 2009, doc. web n. 1629107);

CONSIDERATO che le attività di trattamento dei dati, come sopra individuate, effettuate dalla società senza il prescritto consenso costituiscono quindi un trattamento illecito di dati;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato alle attività di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati personali a terzi senza l'acquisizione del necessario consenso preventivo e specifico degli  utenti del sito che si siano registrati e tuttora si registrino al medesimo;

RILEVATA, altresì, la necessità di adottare nei confronti della società un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, è  altresì  applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento le eventuali violazioni amministrative di competenza di questa Autorità;

CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore il prof. Francesco Pizzetti;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento di dati personali posto in essere dalla società Casa.it srl, con sede legale in Treviso, via Carlo Cattaneo n. 4, tramite il sito Internet www.casa.it per le finalità di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico e libero, e documentato per iscritto per ciascuna delle predette finalità;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla società Casa.it srl il trattamento di dati personali per le finalità di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico e libero, e documentato per iscritto per ciascuna delle predette finalità;

c)  ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla società Casa.it srl di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:

1) modificare l'informativa del sito www.casa.it indicando specificamente i soggetti, o, perlomeno,  le categorie di soggetti cui siano eventualmente comunicati i dati personali degli interessati;

2) modificare il form di raccolta dei dati personali sul sito www.casa.it inserendo la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle predette finalità perseguite in relazione al trattamento dei dati degli interessati;

3)  trasmettere, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare della modulistica, utilizzata rispettivamente per l'informativa ex art. 13 del Codice e per il consenso ex artt. 23 e 130 del Codice, riformulata in conformità alle prescrizioni di cui ai nn. 1) e 2).

Roma, 15 luglio 2010

IL PRESIDENTE
Pizzetti

IL RELATORE
Pizzetti

IL SEGRETARIO GENERALE
De Paoli