Salta al contenuto

DIRITTI E PREVENZIONE > COME TUTELARE LA TUA PRIVACY

ricerca avanzata

Attività di profilazione dei clienti, invio di comunicazioni promozionali e cessione di dati a terzi per finalità commerciali: è necessario il con...

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
1763037
Data:
07/10/10
Argomenti:
E-mail promozionali , Comunicazioni indesiderate
Tipologia:
Prescrizioni e divieto del Garante

[doc. web n. 1763037]

Attività di profilazione dei clienti, invio di comunicazioni promozionali e cessione di dati a terzi per finalità commerciali: è necessario il consenso degli interessati - 7 ottobre 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componente, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

CONSIDERATO che a questa Autorità sono pervenute varie segnalazioni della società Inoxveneta spa riguardanti la ricezione di comunicazioni promozionali indesiderate tramite e-mail da parte di alcune società, le quali, secondo gli esiti dell'istruttoria condotta dall'Ufficio, hanno acquisito l'indirizzo di posta elettronica della segnalante dal sito www.expopage.net;

CONSIDERATO, peraltro, che questa Autorità, con il provvedimento del 26 marzo 2010 adottato nei confronti della società One srl per l'invio di e-mail indesiderata, si è riservata la verifica, con autonomo procedimento, dei presupposti per l'eventuale adozione di un provvedimento inibitorio e prescrittivo, in relazione all'inidonea informativa del sito e per l'eventuale contestazione delle conseguenti violazioni amministrative, nei confronti di Fiera Milano S.p.a., al quale gruppo societario afferisce la società Expopage S.p.A;

CONSIDERATO che dalle note di riscontro di Expopage S.p.A - gestrice del sito de quo e titolare del trattamento dei dati personali di cui sopra - e dai successivi accertamenti condotti dall'Ufficio, risulta che la medesima società, nel form di registrazione al sito, non richiede il consenso espresso e distinto per le finalità di invio di comunicazioni promozionali, di profilazione degli utenti e di cessione di dati a terzi, poste in essere dalla medesima come emerge dall'informativa del detto sito;

RILEVATO, peraltro, che l'unico consenso - richiesto dalla suddetta società - all'utente che si voglia registrare non è riferito a ciascun tipo di trattamento svolto, ma è indistintamente riferito all'insieme dei trattamenti indicati nel testo dell'informativa ex art. 13 del Codice ("Esprimo il mio consenso all' informativa di cui all'art. 13 del Codice Privacy…");

RILEVATO, inoltre, che tale consenso - nel testo dell'informativa in questione - è  ritenuto necessario per accedere al servizio offerto dalla medesima agli utenti registrati (servizio consistente, peraltro, nella possibilità di consultare online tutti i cataloghi delle manifestazioni sul portale di Expopage S.p.A., organizzare la propria visita alla fiera di Milano, entrare in contatto diretto con gli espositori, promuovere le attività delle varie aziende);

VISTI l'art. 23 del Codice, il quale prevede invece che il trattamento di dati personali da parte dei privati è ammesso solo previa acquisizione di un consenso dell'interessato libero, informato e specifico, con riferimento a un trattamento chiaramente individuato e documentato per iscritto; e l'art. 130, comma 2, del Codice che, analogamente, prevede per l'invio di e-mail promozionali il preventivo consenso informato e specifico dell'interessato;

CONSIDERATO, inoltre, che, come già rilevato da questa Autorità (provv. 22 febbraio 2007, doc. web n. 1388590; provv.  12 ottobre 2005, doc. web n. 1179604; provv.  3 novembre 2005, doc. web n. 1195215; provv. 10 maggio 2006, doc. web n. 1298709 in www.garanteprivacy.it), non può definirsi "libero" il consenso ad un ulteriore trattamento dei dati personali che l'interessato "debba" prestare quale condizione per conseguire una prestazione richiesta; e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso - allorché richiesto per legge - per ciascuna distinta finalità perseguita dal titolare (cfr. provv.  24 febbraio 2005, punto 7, in www.garanteprivacy.it, doc. web n. 1103045);

RILEVATA la necessità di evitare che i dati personali raccolti dal titolare del trattamento per l'esecuzione del rapporto contrattuale vengano di fatto piegati ad un utilizzo diverso dallo scopo che ne ha giustificato la raccolta, in violazione del principio di finalità (art. 11, comma 1, lett. b), del Codice);

RILEVATO, inoltre, che, nel testo dell'informativa ex art. 13 del Codice, pubblicato sul sito www.expopage.net, non vengono specificati in modo chiaro e preciso i soggetti o le categorie di soggetti cui tali dati eventualmente vengono ceduti da Expopage S.p.A. ;

CONSIDERATO, al riguardo, che, in caso di comunicazione e/o cessione di dati personali a terzi, non solo deve essere richiesto specifico e libero consenso all'interessato, ma è anche necessario che questi, mediante idonea informativa, sia reso edotto almeno della categoria di soggetti cui sono trasmessi i suoi dati personali, e che, in mancanza di tale indicazione, l'informativa resa deve considerarsi inidonea, come già affermato da questa Autorità in diverse occasioni (provv. 26 giugno 2008, doc. web n. 1544326; provv. 25 giugno 2009, doc. web n. 1629107);

CONSIDERATO che le attività di trattamento dei dati, come sopra individuate, effettuate dalla società senza il prescritto consenso costituiscono quindi un trattamento illecito di dati;

RILEVATO che, dall'accertamento condotto dall'Ufficio, il form di registrazione e il testo dell'informativa in questione risultano tuttora configurati come sopra descritti;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato alle attività di profilazione dei clienti, di invio di comunicazioni promozionali, e di cessione di dati personali a terzi senza l'acquisizione del necessario consenso preventivo e specifico degli  utenti del sito che si siano registrati e tuttora si registrino al medesimo;

RILEVATA, altresì, la necessità di adottare nei confronti della società un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, è  altresì  applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento le eventuali violazioni amministrative di competenza di questa Autorità;

CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore il dott. Giuseppe Fortunato;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento di dati personali posto in essere dalla società Expopage S.p.A., con sede legale in Milano, Piazzale Carlo Magno, n.1, tramite il sito Internet www.expopage.net per le finalità di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico, libero e documentato per iscritto per ciascuna delle predette finalità;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla società Expopage S.p.A. il trattamento di dati personali per le finalità di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico, libero e documentato per iscritto per ciascuna delle predette finalità;

c)  ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla società Expopage S.p.A. di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:

1) modificare l'informativa del sito www.expopage.net indicando specificamente i soggetti, o, perlomeno, le categorie di soggetti cui siano eventualmente comunicati i dati personali degli interessati;

2) qualora la società suindicata intenda continuare a perseguire le finalità di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, modificare il form di raccolta dei dati personali sul sito www.expopage.net inserendo la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle predette finalità;

3) trasmettere, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare della modulistica, utilizzata rispettivamente per l'informativa ex art. 13 del Codice e per il consenso ex artt. 23 e 130 del Codice, riformulata in conformità alle prescrizioni di cui ai nn. 1) e 2).

Roma, 7 ottobre 2010

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
De Paoli