g-docweb-display Portlet

Minori e trattamento dei dati personali a fini di marketing - 30 novembre 2005 [1212652]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1212652]

Minori e trattamento dei dati personali a fini di marketing - 30 novembre 2005

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

VISTA la previgente normativa nazionale in materia di protezione dei dati personali (l. 31 dicembre 1996, n. 675; d.lg. 28 dicembre 2001, n. 467);

VISTE la normativa comunitaria e nazionale vigente in materia di protezione dei dati personali (direttiva n. 95/46/CE del 24 ottobre 1995; d.lg. n. 30 giugno 1996, n. 196 recante il Codice in materia di protezione dei dati personali);

VISTA la decisione adottata dal Garante sul ricorso proposto da ZX, in qualità di rappresentante legale della propria figlia minore, nei confronti di Model Management e di Gruppo Piramide s.r.l.;

VISTI gli elementi acquisiti a seguito degli accertamenti avviati e le deduzioni pervenute al Garante al riguardo da parte di Gruppo Piramide s.r.l.;

RITENUTA la necessità di prescrivere misure ed accorgimenti a garanzia degli interessati al fine di rendere conforme il trattamento dei dati di cui alla documentazione in atti alle disposizioni in materia di protezione dei dati personali e di vietarne trattamenti illeciti (art. 154, comma 1, lett. c) e d), del Codice);

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Chiaravalloti;

PREMESSO

1. Il 22 ottobre 2001, ZX ha proposto ricorso al Garante in nome e per conto della figlia, all´epoca minore di età, nei confronti di Mo&Ma Model Management di Gabrielli Giorgio (di seguito, "Mo & Ma", impresa operante nel settore della formazione per aspiranti modelle ed indossatrici, cessata nel 2001) e di Gruppo Piramide s.r.l. (società che svolge operazioni di raccolta e di comunicazione a terzi di dati personali per il compimento di attività anche di marketing, di seguito "Gruppo Piramide"), assumendo di non aver ricevuto un completo riscontro alle richieste rivolte ai soggetti menzionati ai sensi dell´art. 13 della legge n. 675/1996. Tali istanze, relative all´invio da parte di Mo & Ma alla minore di un messaggio di invito a partecipare ad una selezione di aspiranti modelle, avevano ad oggetto, in particolare, la cancellazione dei dati trattati e la comunicazione della loro origine.

Nell´ambito di tale procedimento Mo-Ma s.r.l. (di seguito, "Model Management", società che svolge attualmente attività di organizzazione di corsi per indossatrici e modelle, costituita successivamente alla cessazione di Mo & Ma) ha dichiarato al Garante, con riferimento all´origine dei dati relativi alla minore, di averli acquisiti –tramite la società collegata P.d.m.-Professioni didattiche moderne s.r.l (di seguito "P.d.m.")– da Gruppo Piramide. Al riguardo Gruppo Piramide, nel medesimo procedimento, ha però dichiarato di non aver "mai intrattenuto alcun rapporto" con Model Management e di non detenere nei propri archivi il nominativo della minore; ha altresì precisato che il solo dato presente nei propri archivi era relativo all´utenza telefonica intestata al nucleo familiare della minore (peraltro, mai comunicato a terzi).

Con provvedimento del 21 novembre 2001, con il quale l´Autorità si è pronunciata in ordine al ricorso di cui sopra, il Garante ha altresì disposto l´avvio di un autonomo procedimento al fine di accertare l´origine dei dati trattati e i rapporti intrattenuti fra Model Management e Gruppo Piramide in ordine all´acquisizione di particolari banche dati, nonché per verificare la liceità e correttezza del connesso trattamento.

2. Dalle dichiarazioni rese da Model Management nel corso del conseguente accertamento ispettivo svolto dall´Autorità, è emerso che la medesima società ha utilizzato dati acquisiti da Gruppo Piramide per svolgere attività di marketing, conformemente a quanto già sostenuto in sede di ricorso (cfr. verbale dell´8 aprile 2003).

A conferma di tale affermazione P.d.m., interessata dagli accertamenti svolti da questa Autorità a seguito delle dichiarazioni rese da Model Management, ha esibito la documentazione contabile comprovante le transazioni intercorse con Gruppo Piramide in ordine all´acquisto di dati di soggetti residenti nella Regione Lombardia (in particolare, di quelli relativi alle persone nate fra il 1982 e il 1984 e residenti nella provincia di Milano, tra cui la figlia del ricorrente), nonché i supporti informatici contenenti tali dati e provenienti, in base a quanto dichiarato dalla medesima, da Gruppo Piramide (cfr. verbale del 12 giugno 2003).

Model Management ha altresì dichiarato di aver ricevuto assicurazioni verbali da parte dei rappresentanti di Gruppo Piramide circa la lecita provenienza dei dati stessi (cfr. verbale dell´8 aprile 2003, p. 3).

Nel corso del medesimo accertamento ispettivo Gruppo Piramide ha  dichiarato, al contrario, di non aver mai comunicato i dati sopraindicati a P.d.m., esibendo in tal senso la documentazione (tra cui fatture e moduli d´ordine) relativa alle cessioni di dati intervenute con P.d.m.; Gruppo Piramide ha altresì precisato di trattare dati abitualmente ricavati da pubblici elenchi (ed in particolare elenchi telefonici e liste elettorali), nonché di non effettuare più la raccolta, né la cessione a terzi, di dati relativi a minori dal maggio del 1997 e che pertanto nella propria banca-dati erano presenti solo quelli raccolti in epoca antecedente all´entrata in vigore della legge n. 675/1996 (cfr. verbale del 3 aprile 2003).

Più in generale, in base a quanto dichiarato dalla medesima società, è emerso che Gruppo Piramide di regola non fornisce una propria autonoma e specifica informativa agli interessati, "considerati anche l´elevato numero, la natura e l´origine dei dati personali presenti nella banca-dati", e che di norma, per le medesime ragioni, non richiede il consenso degli interessati (cfr. verbale del 3 aprile 2003, p. 4).

3. Tenuto conto degli elementi contrastanti emersi, il Garante ha disposto che si effettuasse un ulteriore accertamento ispettivo in loco avente ad oggetto le banche dati rispetto alle quali Gruppo Piramide è titolare del trattamento.
In occasione dell´accesso a tali banche dati effettuato in data 1° ottobre 2003 (cfr. verbali resi in pari data), questa Autorità ha riscontrato in particolare:

  1. l´esistenza di un programma di gestione degli ordini nel quale erano memorizzati, tra l´altro, quelli effettuati da P.d.m. e da Model Management nel corso del 1998 e del 1999, nonché la presenza di alcune fatture emesse nei confronti di dette società corrispondenti a quelle esibite spontaneamente da P.d.m. nel corso di precedenti accertamenti (cfr. verbale del 12 giugno 2003) e di moduli d´ordine concernenti i nominativi di persone nate in Lombardia tra il 1982 e il 1984 e tra il 1979 e 1981;
  2. l´assenza, a quel momento (1° ottobre 2003), di informazioni relative alla minore e alla sua famiglia;
  3. la presenza in una copia di back-up della predetta banca-dati risalente all´anno 1998 del nominativo della minore e in una copia di back-up della banca-dati aggiornata all´anno 1999 dei nominativi di altri minori relativi alla provincia di Milano;
  4. l´avvenuto invio da parte di Gruppo Piramide a P.d.m. nel corso del 1998 dei supporti magnetici acquisiti nell´ambito dell´accertamento svolto presso la società P.d.m. e contenenti, tra l´altro, i dati personali relativi alla minore. Tale circostanza è stata confermata dalla persona incaricata della gestione informatica delle banche dati del Gruppo Piramide.

4. Ai sensi dell´art. 154, comma 1, lett. c) e d) del Codice, con il presente provvedimento il Garante prescrive a Gruppo Piramide, a P.d.m. e a Model Management l´adozione delle misure e degli accorgimenti a garanzia degli interessati, al fine di conformare i trattamenti descritti alla disciplina in materia di protezione dei dati personali nei termini di seguito specificati, e vieta ai menzionati titolari il trattamento illecito dei dati raccolti.

Emergono profili di illiceità relativi all´adempimento degli obblighi connessi alla raccolta del consenso e all´informativa agli interessati nell´ambito del compimento di attività di raccolta e di cessione di dati a terzi, nonché di successivo utilizzo dei medesimi per svolgere attività di marketing; ciò, con riguardo sia alla vicenda descritta in premessa relativa alla minore sia, più in generale, alle operazioni di trattamento svolte dalle suddette società in ordine ai dati personali raccolti prima dell´entrata in vigore della legge n. 675/1996 concernenti anche altri minori.

5. Con riferimento al profilo del consenso degli interessati, benché Gruppo Piramide abbia in merito dichiarato di trattare dati abitualmente ricavati da pubblici elenchi (in particolare, elenchi telefonici e liste elettorali) –per i quali ai sensi degli artt. 12, comma 1, lett. c) e 20, comma 1, lett. b) della legge n. 675/1996 non era necessario acquisire il consenso degli interessati– occorre rilevare che, alla luce della documentazione acquisita, i dati personali oggetto di comunicazione da parte di Gruppo Piramide a Model Management riguardano individui (all´epoca) minori (tra i quali la figlia del ricorrente) che, proprio per tale specifica caratteristica, non compaiono in elenchi telefonici o liste elettorali.

Non è inoltre invocabile, né soccorre nel caso di specie, quale presupposto di liceità delle operazioni di trattamento effettuate dai soggetti menzionati sui dati raccolti antecedentemente all´entrata in vigore della legge n. 675/1996, il precetto già contenuto nell´art. 41 della medesima legge secondo cui "le disposizioni che prescrivono il consenso dell´interessato non si applicano in riferimento ai dati personali raccolti precedentemente alla data di entrata in vigore della legge stessa, o il cui trattamento sia iniziato prima di tale data". La norma appena richiamata, infatti, riconosceva espressamente, facendola salva, l´applicabilità ai predetti dati della disciplina di cui alla legge n. 675/1996 nell´ipotesi di comunicazione.

Pertanto, sebbene la raccolta dei dati in esame sia avvenuta anteriormente all´entrata in vigore della stessa legge, dalla disposizione sopra richiamata deriva che l´accertata comunicazione nel 1998 a Model Management, tramite la società P.d.m., di dati relativi a minori (riferiti anche alla minore), poteva essere effettuata lecitamente da Gruppo Piramide solamente dopo aver acquisito il preventivo consenso degli interessati secondo le modalità di cui all´art. 11 della legge n. 675/1996; consenso che doveva essere espresso, nel caso di specie, dai soggetti titolari della potestà genitoriale (art. 11 della l. n. 675/1996; artt. 316 e ss. cod. civ.; al riguardo cfr. punto 2.6. del European Code of Practice for the use of personal data in direct marketing - Codice della Fedma, federazione europea del marketing diretto, allegato a Gruppo di lavoro per la tutela dei dati personali Art. 29, Parere n. 3/2003 sul Codice di condotta europeo della Fedma per l´utilizzazione dei dati personali nel marketing diretto, 13 giugno 2003). In termini analoghi anche P.d.m. e, quindi, Model Management avrebbero potuto procedere, rispettivamente alla comunicazione e al successivo trattamento di tali dati, soltanto in presenza del medesimo presupposto.

Oltre al menzionato profilo dell´illecita comunicazione dei dati merita altresì rilevare che, alla luce delle verifiche svolte in ordine ai dati della minore (e di altri minori residenti nella provincia di Milano) oggetto di comunicazione a P.d.m. e, successivamente, a Model Management (all´epoca ancora custoditi, in una copia di back-up, presso le banche dati di Gruppo Piramide), in base a quanto indicato nell´art. 18 del d.lg. n. 467/2001, la norma transitoria di cui all´art. 41 della legge sopra citata non è più applicabile a far data dal 30 giugno 2003: anche da ciò deriva l´inutilizzabilità da parte dei titolari coinvolti nel procedimento in esame dei dati raccolti da Gruppo Piramide in epoca antecedente all´entrata in vigore della legge n. 675/1996 in mancanza di uno specifico ed espresso consenso degli interessati.

6. Ulteriori profili di difformità rispetto alla disciplina in materia di protezione dei dati personali emergono (come rappresentato nel ricorso indicato in premessa con riferimento alla comunicazione inviata da Model Management ed in base a quanto successivamente accertato da questa Autorità) in relazione al mancato adempimento dell´obbligo di rendere l´informativa agli interessati sul trattamento di dati che li riguardano da parte dei soggetti coinvolti nel procedimento in esame.

Fermo restando il rispetto dell´obbligo generale di rendere l´informativa agli interessati al momento della raccolta (art. 10, comma 1, l. n. 675/1996, ora art. 13, comma 1, del Codice), occorre evidenziare che, anche quando i dati non vengano raccolti presso l´interessato l´informativa, comprensiva delle categorie di dati trattati, deve comunque essere resa "all´atto della registrazione dei dati o, quando sia prevista la loro comunicazione, non oltre la prima comunicazione" (v. art. 10, comma 3, l. n. 675/1996, ora art. 13, comma 4, del Codice), fatte salve le ipotesi di esoneri di cui all´art. 13, comma 5, del medesimo Codice che nel caso di specie non si sono verificate.

Tenuto conto di quanto avvenuto nell´ambito delle operazioni di trattamento poste in essere dai soggetti indicati, e di quanto successivamente accertato da questa Autorità, va pertanto constatato che i titolari menzionati avrebbero dovuto rendere l´informativa agli interessati nei termini di cui sopra.

TUTTO CIÒ PREMESSO, IL GARANTE:

a) accertata l´illiceità del trattamento effettuato, vieta ai titolari dei trattamenti di cui in atti, ai sensi dell´art. 154, comma 1, lett. d), del Codice, di proseguire le operazioni di trattamento di dati personali raccolti in epoca antecedente all´entrata in vigore della legge n. 675/1996 effettuate in violazione delle disposizioni in materia di protezione di dati personali all´epoca vigenti, dati che dovranno essere comunque cancellati;

b) prescrive ai medesimi titolari del trattamento, ai sensi dell´art. 154, comma 1, lett. c), del Codice, al fine di rendere il trattamento conforme alle disposizioni vigenti, di adottare nei termini di cui in motivazione le misure necessarie per rispettare l´obbligo di acquisire il consenso degli interessati al trattamento dei dati, salvi i casi in cui operano presupposti equipollenti del trattamento (artt. 23 e 24 del Codice), nonché di rendere l´informativa agli stessi al momento della relativa raccolta (art. 13 del Codice), avendo cura, in particolare:

  • che il consenso sia manifestato da chi esercita la potestà genitoriale nel caso di trattamento dei dati riguardante minori;
  • che sia resa l´informativa anche quando la raccolta dei dati non sia effettuata presso gli interessati (art. 13, commi 4 e 5, del Codice);
  • di comunicare al Garante entro e non oltre il 15 febbraio 2006, in ottemperanza alla presente statuizione adottata anche ai sensi e per gli effetti di cui agli artt. 157, 164 e 168 del Codice, che i trattamenti di dati effettuati sono conformi alle prescrizioni del presente provvedimento, conformità che dovrà essere comprovata anche da ogni informazione e documento utili da allegare alla comunicazione all´Autorità.

Roma, 30 novembre 2005

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli