g-docweb-display Portlet

Esonero dall'obbligo di rendere l'informativa per un sistema di raccolta e organizzazione di informazioni pubbliche presenti su Internet e concern...

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1810147]

Esonero dall´obbligo di rendere l´informativa per un sistema di raccolta e organizzazione di informazioni pubbliche presenti su Internet e concernenti il mercato dell´energia - 31 marzo 2011

Registro dei provvedimenti
n.  124 del 31 marzo 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), con particolare riferimento agli artt. 2, 13, comma 5, lett. c), e 154;

VISTA l´istanza del 18 settembre 2009, con la quale Edison S.p.A. ha formulato una richiesta di verifica preliminare ai sensi dell´art. 17 del Codice e, al contempo, di esonero dall´obbligo di rendere l´informativa ai sensi dell´art. 13, comma 5 del Codice, in riferimento all´installazione di un sistema, basato su interfaccia web, avente per oggetto la raccolta e l´organizzazione sistematica di informazioni pubbliche presenti su Internet e concernenti il mercato dell´energia;

VISTE le comunicazioni inviate da Edison S.p.A. in data 21 aprile e 15 dicembre 2010;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Chiaravalloti;

PREMESSO

1. Le richieste.
Con istanza inviata il 18 settembre 2009, Edison S.p.A, società che opera in Italia nel settore dell´energia, ha formulato una richiesta di verifica preliminare ai sensi dell´art. 17 del Codice e, al contempo, di esonero dall´obbligo di rendere l´informativa ai sensi dell´art. 13, comma 5 del Codice, in riferimento all´installazione di un sistema, basato su interfaccia web, avente per oggetto la raccolta e l´organizzazione sistematica di informazioni pubbliche presenti su Internet e concernenti il mercato dell´energia.

Più precisamente, il progetto che Edison S.p.A. intenderebbe implementare consisterebbe in un sistema informativo, a solo uso interno ("limitato ai più rilevanti ruoli manageriali dell´Impresa Edison"), volto, da una parte, a fornire un osservatorio sulla legislazione in materia di energia e di ambiente (Osservatorio Regionale Energia), dall´altra a monitorare e conservare un quadro degli interlocutori istituzionali (c.d. stakeholders o attori istituzionali) interessati e coinvolti a livello regionale nell´ambito dei settori dell´energia e dell´ambiente (Piattaforma relazionale); in sintesi, secondo la società, il sistema, che darebbe luogo ad una raccolta ed organizzazione di informazioni "pubbliche diffuse sul media Internet (…) esclusivamente connesse all´esercizio dell´attività aziendale", si sostanzierebbe in un data-base legislativo organizzato per regioni, cui farebbero da complemento un data-base degli interlocutori istituzionali, una "rassegna stampa per singola regione" (…) e  "una newsletter mensile" (cfr. nota della società del 18 settembre 2009, p. 3).

Il progetto, quindi, sarebbe preordinato a raccogliere informazioni per permettere al top management non solo un costante aggiornamento sullo status normativo nelle aree di business di interesse dell´azienda, ma anche l´acquisizione di indicazioni sui soggetti istituzionali impegnati nel settore dell´energia, anche in vista della futura instaurazione e gestione di rapporti con costoro.

Inoltre, secondo la società, il progetto si inserirebbe nel più ampio contesto delle misure di organizzazione e di gestione che l´impresa è tenuta ad adottare ai sensi del d.lg. n. 231/2001, in quanto il data base in esame risulterebbe funzionale alla redazione del report che la società è tenuta a presentare semestralmente all´Organismo di vigilanza interno, attraverso cui vengono rese le informazioni sui rapporti che la società ha intrattenuto con i vari interlocutori istituzionali di riferimento (cfr. nota della società del 18 settembre 2009, p. 3); infine, il sistema risulterebbe in linea con il Codice Etico della società, in quanto costituirebbe "un efficace strumento di supporto idoneo a garantire effettiva trasparenza e certezza in merito ai rapporti con la Pubblica Amministrazione", consentendo, al contempo, "la condivisione e la tracciabilità delle relazioni istituzionali con gli interlocutori di volta in volta coinvolti a vario titolo nella tematica dell´energia" (cfr. nota della società del 21 aprile 2010, p. 2).

2. Le caratteristiche del sistema.
Mentre l´Osservatorio Regionale Energia costituirebbe, sostanzialmente, una banca dati normativa in materia di energia e ambiente, con specifico riguardo alla Piattaforma relazionale, secondo quanto dichiarato dalla società (cfr. nota della società del 21 aprile 2010, p. 3), verrebbero acquisite informazioni riguardo alle seguenti tipologie di soggetti:

a) personaggi politici i quali, per il ruolo pubblico ricoperto all´interno di una istituzione dello Stato e/o della Regione, operano nella predisposizione di normative in materia di energia elettrica, gas e ambiente;

b) personaggi, anche non di origine o provenienza politica, che ricoprano cariche pubbliche nel settore dell´energia elettrica, del gas e dell´ambiente;

c) Key opinion leader regionali esperti nel settore dell´energia e ambiente (quali, ad esempio, giornalisti, docenti universitari, associazioni).

In particolare, secondo la società, formerebbero oggetto di raccolta, soltanto se presenti sui siti web relativi a 13 Regioni italiane (siti ove vengono pubblicati specificamente gli atti adottati dalla Giunta regionale,  dal Consiglio regionale e dall´Agenzia regionale per l´ambiente), informazioni non attinenti in alcun modo a fatti di vita privata e concernenti esclusivamente il "ruolo professionale ricoperto dallo stakeholder considerato" in relazione alla sola materia dell´energia e dell´ambiente. Tali informazioni sarebbero costituite da: "nome e cognome; foto; ente e struttura di appartenenza; ruolo istituzionale; indirizzo, cap e città resi pubblici per il ruolo ricoperto dagli stessi (non sono inseriti i recapiti privati); telefono e fax; e-mail; curriculum vitae che contiene le principali esperienze professionali; articoli di rassegna stampa che citano l´attore e che concernono la materia dell´energia; atti normativi firmati dall´attore" (cfr. nota della società del 21 aprile 2010, p. 1); in ogni caso, sarebbero esclusi dalla raccolta i dati presenti su social networks o altri siti del genere" (cfr. medesima nota, p. 2).

Inoltre, al fine di consentire il "coordinamento/condivisione e tracciabilità dei contatti istituzionali attivati finalizzati alla trasparenza ed ottimizzazione delle relazioni istituzionali" e la "correlazione tra interlocutore istituzionale e rappresentante aziendale coinvolto a vario titolo nei temi/progetti di interesse", a tali informazioni si aggiungerebbero anche quelle contenute nelle "relazioni relative agli incontri con i soggetti decisori" (cfr. note in atti).

La società, in riferimento all´accessibilità delle informazioni raccolte ed inserite nei due distinti data-base (costituiti, come detto, dall´Osservatorio e dalla c.d. Piattaforma relazionale), nell´istanza del 18 settembre 2009 ha dichiarato che la disponibilità dei dati sarebbe riservata soltanto ad un numero limitato di soggetti, e precisamente ai "dipendenti della Direzione Affari Istituzionali e Regolamentari direttamente incaricati di garantire l´operatività del servizio", ai "Direttori di Business Unit" e agli "operativi di diretto riporto ai Direttori delle BU espressamente individuati", impegnandosi a procedere alle relative designazioni dei responsabili interni e degli incaricati del trattamento; successivamente, con nota pervenuta il 15 dicembre 2010, anche in ragione di alcuni rilievi mossi dall´ufficio in occasione dell´incontro del 19 novembre 2010, Edison ha ulteriormente ridotto il novero dei soggetti che avrebbero accesso ai predetti dati, sicché il trattamento sarebbe effettuato nei seguenti termini:

a) la raccolta dei dati dei "soggetti decisori" sarebbe accessibile solo alla Direzione Affari Istituzionali e Regolamentari ed ai Direttori di Business Unit (che dall´organigramma risultano essere in numero di 6);

b) l´archivio contenente le "relazioni relative agli incontri con i soggetti decisori", sarebbe posto a disposizione solo della "Funzione Affari Istituzionali della Direzione Affari Istituzionali e Regolamentari, in qualità di soggetto preposto a tale attività" (per un totale di 4 persone), nonché dell´Amministratore delegato e del suo staff (composto da un solo assistente).

Per quanto concerne la qualità delle informazioni trattate, Edison ha dichiarato che i dati saranno oggetto di costante verifica ed aggiornamento, sicché, qualora una certa carica o ruolo istituzionale venga affidato ad un nuovo soggetto, "automaticamente il sistema si aggiornerà e rimarranno solo i dati del nuovo soggetto"; inoltre, per quanto concerne i tempi di conservazione dei dati, la società ha dichiarato che essi verranno automaticamente cancellati decorso un anno dallo scadere della legislatura.

Infine, Edison ha altresì chiarito che, per la realizzazione ed il funzionamento del sistema (che si fonda su un algoritmo statistico-quantitativo per il monitoraggio e la valutazione di rilevanza regionale degli stakeholders, sviluppato dal  Dipartimento di Teoria Economica e Metodi Quantitativi dell´Università di Roma), si renderà necessario fare ricorso ad alcuni "fornitori del servizio". In particolare, "i sistemi software, di interfaccia web e i data base che compongono il progetto" verranno forniti, sulla base di un rapporto contrattuale, da Ketchum Italia s.r.l., con sede a Milano, "società specializzata nel mettere a disposizione dei propri clienti soluzioni tecnologicamente avanzate per sviluppare strategie e piani di comunicazione"; inoltre, il server dedicato al sistema sarà ubicato fisicamente presso il data center di IBM Italia S.p.A.. Entrambe le società saranno nominate da Edison S.p.A. responsabili esterni del trattamento (cfr. la bozza dell´atto di designazione che Edison ha allegato alla nota del 21 aprile 2010).

3. I presupposti di liceità del trattamento.
Tutto ciò premesso, Edison S.p.A. ha sostenuto che, mentre a suo avviso non sussisterebbero problemi circa la realizzazione della banca dati normativa (Osservatorio Regionale Energia), per il trattamento dei dati personali degli stakeholders (Piattaforma relazionale), in luogo della regola generale del consenso (art. 23), potrebbe trovare applicazione la previsione alternativa dell´art. 24, comma 1, lett. c) del Codice, trattandosi di informazioni "conoscibili da chiunque" perché "desunte da siti istituzionali di pubblico dominio" (cfr. nota del 21 aprile 2010, p. 6); inoltre, sul piano dell´informativa, la richiesta di esonero troverebbe giustificazione nel fatto che "dover fornire l´informativa singolarmente a tutti questi soggetti, per di più in relazione a notizie che sono già di pubblico dominio", sarebbe "sicuramente estremamente oneroso" e "presupporrebbe che di tutti tali soggetti" fossero "note le coordinate di residenza o di rintracciabilità, cosa che non necessariamente può esser vera" (cfr. nota del 9 settembre 2009, p. 11); pertanto, la società, in alternativa, ha suggerito, quale "misura appropriata" ai sensi dell´art. 13, comma 1, lett. c) del Codice, la pubblicazione su un quotidiano nazionale di un annuncio "in cui siano specificati finalità e modalità del trattamento, la tipologia di soggetti i cui dati possono essere inseriti nel data base, nonché tutte le altre informazioni previste e richieste dall´articolo 13 del d. lgs. 196/2003".

Ad avviso di questa Autorità, l´istanza avanzata da Edison S.p.A. può essere valutata soltanto in riferimento alla richiesta di esonero dall´obbligo di rendere l´informativa agli interessati, mentre l´ulteriore richiesta di verifica preliminare non può essere presa in considerazione dal momento che il progetto posto all´attenzione di questa Autorità, allo stato, non risulta dar luogo ad un trattamento di dati che presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità degli interessati.

Per quanto concerne il progetto che Edison S.p.A. intende realizzare, si ritiene che non vi siano rilievi da formulare rispetto alla creazione del c.d. Osservatorio Regionale Energia, trattandosi di una semplice banca dati normativa posta a disposizione dei propri dipendenti, la quale non dà luogo ad alcun trattamento di dati personali.

Ciò premesso, alla luce delle dichiarazioni rese dalla società e della documentazione prodotta, la finalità del progetto, volta ad acquisire informazioni che consentano al top management un costante aggiornamento sul novero degli attori istituzionali impegnati nel settore dell´energia e dell´ambiente, al fine di supportare alcuni specifici uffici interni deputati all´instaurazione e alla gestione della relazioni istituzionali, in via generale può ritenersi non incompatibile con la finalità istituzionale di informazione e di trasparenza sottesa alla divulgazione via Internet dei dati da parte degli enti pubblici cui sono riconducibili i siti in questione.

Riguardo, poi, alle diverse banche dati di cui il sistema dovrebbe comporsi, si rendono necessarie le seguenti considerazioni.

Per quanto concerne le informazioni relative ai c.d. stakeholders, il loro trattamento può essere ritenuto lecito se effettuato per le finalità e secondo le modalità dichiarate da Edison S.p.A. (a cui è connessa l´assunzione di specifica responsabilità ai sensi dell´art. 168 del Codice), con esclusivo riferimento ai dati riportati nella nota del 15 dicembre 2010 ed acquisiti dai siti delle Regioni, delle agenzie regionali  e della Conferenza delle Regioni e delle Province Autonome, indicati dalla stessa società negli allegati alla comunicazione del 21 aprile 2010.

Relativamente, invece, alle informazioni contenute nelle "relazioni relative agli incontri con i soggetti decisori", si ritiene che la richiesta di esonero dall´informativa non possa essere presa in considerazione, in quanto non necessaria.

Infatti, si tratta di ipotesi che non rientra nel campo di applicazione dell´art. 13, commi 4 e 5 del Codice, non trattandosi di dati raccolti presso terzi, bensì di informazioni acquisite direttamente presso gli interessati, che verrebbero trattate dai singoli dipendenti nell´ambito della loro ordinaria attività lavorativa –la quale ricomprende anche l´interlocuzione con soggetti esterni- e che sarebbero oggetto di limitata divulgazione all´interno della società, nel rispetto degli ordinari vincoli gerarchici.

4. L´esonero dall´informativa.
Da quanto appena detto deriva che la richiesta di esonero dall´informativa può essere presa in considerazione soltanto con riferimento al descritto trattamento dei dati concernenti gli attori istituzionali acquisiti dai suindicati siti web.

Nel merito, la richiesta di esonero dall´obbligo di rendere l´informativa in forma individuale agli interessati, con determinazione di eventuali "misure appropriate" da adottare ai sensi dell´art. 13, comma 5, lett. c) del Codice, risulta motivata dal fatto che la società ritiene che l´impiego dei mezzi necessari per fornire un´informativa in forma "individualizzata" sarebbe manifestamente sproporzionato rispetto ai diritti tutelati (cfr. nota del 18 settembre 2009, punto 9), tenuto conto dell´ampio numero di soggetti ai quali la stessa dovrebbe essere resa e della estrema difficoltà di reperire le relative "coordinate di residenza o di rintracciabilità".
Ad avviso di questa Autorità, la richiesta di esonero avanzata da Edison può essere accolta.

Infatti, il numero dei soggetti che istituzionalmente si occupano della materia dell´energia e dell´ambiente –anche a livello regionale- è notoriamente vasto, e le informazioni personali afferenti al ruolo pubblico rivestito da costoro e divulgate attraverso i siti web delle regioni (aventi, peraltro, specifica potestà normativa in materia) sono assai numerose. Ne consegue che, ai sensi dell´art. 13, comma 5, lett. c) del Codice, va riconosciuta la manifesta sproporzione per la società dell´obbligo di rendere un´informativa in forma individualizzata a ciascun attore istituzionale in relazione al trattamento, all´interno della Piattaforma relazionale, dei rispettivi dati personali,  provenienti da fonti pubblicamente accessibili quali i siti web degli enti regionali.

Pertanto, attesa la particolarità della raccolta di informazioni effettuata, si ritiene appropriato che la società ponga in evidenza, all´interno della sezione "compliance" del proprio sito web, le caratteristiche relative all´iniziativa volta alla realizzazione della Piattaforma relazionale, specificando le finalità del trattamento, i tipi di dati che verranno reperiti negli specifici siti web regionali e le tipologie di soggetti che formeranno oggetto di ricognizione.

TUTTO CIÒ PREMESSO, IL GARANTE:

valutata l´istanza di Edison S.p.A. di essere esonerata dall´obbligo di rendere un´informativa individualizzata in favore di ciascun attore istituzionale interessato alla materia dell´energia e dell´ambiente, in vista dell´implementazione, al proprio interno, del sistema informativo denominato Piattaforma Relazionale:

- ritiene lecito il trattamento dei dati personali relativi agli attori istituzionali, a condizione che sia effettuato per le finalità e secondo le modalità dichiarate da Edison S.p.A., con esclusivo riferimento ai dati riportati nella nota del 15 dicembre 2010 ed acquisiti dai siti delle Regioni, delle agenzie regionali  e della Conferenza delle Regioni e delle Province Autonome, indicati dalla stessa società negli allegati alla comunicazione del 21 aprile 2010;

- accoglie l´istanza di esonero dall´obbligo di rendere l´informativa individualizzata, a condizione che Edison S.p.A. ponga in evidenza, nella sezione "compliance" del proprio sito web, le caratteristiche relative all´iniziativa volta alla realizzazione del sistema informativo denominato Piattaforma relazionale, specificando le finalità del trattamento, i tipi di dati che verranno reperiti negli specifici siti web regionali e le categorie di soggetti che formeranno oggetto di ricognizione.

Roma, 31 marzo 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
De Paoli