g-docweb-display Portlet

Ricezione di messaggi promozionali indesiderati tramite posta cartacea - 5 marzo 2015 [3871397]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 3871397]

Ricezione di messaggi promozionali indesiderati tramite posta cartacea - 5 marzo 2015

Registro dei provvedimenti
n. 120 del 5 marzo 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito «Codice»);

VISTA la legge 31 dicembre 1996, n. 675, recante «Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali» (abrogata a partire dal 1° gennaio 2004, data di entrata in vigore del Codice); 

VISTA la segnalazione della signora XY pervenuta al Garante il 25 settembre 2013 e riguardante la ricezione di messaggi promozionali indesiderati tramite posta cartacea da parte di Crea Futuro S.r.l.;

VISTO che i messaggi promozionali ricevuti erano indirizzati alla figlia della segnalante, deceduta nel 1995 all´età di 16 mesi;

VISTO che, dopo la prima richiesta di cancellazione presentata dalla segnalante, è stata inviata alla medesima destinataria una ulteriore comunicazione promozionale della società;

VISTI gli esiti dell´accertamento ispettivo condotto, su delega dell´ufficio, dal Nucleo speciale privacy della Guardia di Finanza nei giorni 4 e 5 febbraio 2014 dal quale è emerso che:

- Crea Futuro S.r.l. detiene un database contenente dati acquistati, come dichiarato dalla stessa, a partire circa dal 1994 da Cedap S.r.l.; l´ultima versione di tale database, contenente i dati oggetto di segnalazione, sarebbe stata acquistata dalla società all´incirca nel 2001, all´atto della cessazione di attività della stessa Cedap S.r.l.;

- tale database contiene circa 2.000.000 nominativi e viene utilizzato periodicamente per l´invio di comunicazioni finalizzate a promuovere l´attività della società nell´ambito della formazione professionale;

-  la società ha dichiarato che l´aggiornamento del database viene effettuato solo in caso di eventuali richieste di cancellazione mentre non vengono inseriti nuovi nominativi; pertanto i dati così acquisiti, e non oggetto di cancellazione, continuano ad essere utilizzati;

-  la società ha assicurato di aver provveduto alla definitiva cancellazione dei dati della figlia della segnalante nell´ottobre 2013, dopo aver ricevuto una seconda richiesta di cancellazione da parte della segnalante;

- con riguardo alle modalità con cui si è provveduto al rilascio dell´informativa, la società ha rappresentato che "il database … è stato costituito in data antecedente alla data di entrata in vigore della prima normativa sulla tutela dei dati personali, pertanto la nostra azienda provvede al rilascio di un´informativa agli interessati al momento del primo contatto, che di norma avviene in occasione dell´invio per posta ordinaria della nostra missiva di proposta dei servizi";

- l´informativa presente in calce ai messaggi promozionali inviati indica come finalità del trattamento il "solo scopo informativo".

TENUTO CONTO  che la disposizione transitoria contenuta nell´art. 41, comma 1, della legge n. 675/1996, prevedeva un´esclusione dall´obbligo di raccolta del consenso per i dati raccolti antecedentemente all´entrata in vigore della stessa;

CONSIDERATO che la società ha dichiarato di aver acquisito i dati da Cedap S.r.l. anche in epoca successiva all´entrata in vigore della legge n. 675/1996, poiché l´ultima banca dati, contenente in particolare i dati personali oggetto di segnalazione, sarebbe stata acquisita all´incirca nel 2001, e che in tal caso la società avrebbe dovuto acquisire il consenso degli interessati ai sensi dell´art. 11 della legge citata;

CONSIDERATO che la menzionata disposizione transitoria di cui all´art. 41, comma 1, della legge. n. 675/1996, è stata abrogata, ai sensi dell´art. 18 del d.lgs. 28 dicembre 2001, n. 467, a partire dalla data del 30 giugno 2003;

CONSIDERATO, altresì, che dal 1° gennaio 2004, data di entrata in vigore del Codice, il trattamento di dati personali da parte dei privati, anche effettuato per finalità promozionali, è ammesso solo previa acquisizione del consenso libero e specifico dell´interessato, da documentare per iscritto, e conseguente al rilascio di un´idonea informativa (artt. 13, 23, comma 3, e 183 del Codice medesimo);

CONSIDERATO che, dalle risultanze dell´accertamento ispettivo, il consenso degli interessati non risulta essere stato richiesto da Crea Futuro S.r.l. e non ne viene documentata l´acquisizione all´origine da parte di Cedap S.r.l., soggetto terzo che avrebbe fornito i dati;

CONSIDERATO inoltre che, dai medesimi accertamenti, non è emersa né tantomeno è stata comprovata l´esistenza di eventuali esimenti dall´obbligo di acquisizione del consenso di cui all´art. 24 del Codice;

TENUTO CONTO che, in sede di prima applicazione della legge n. 675/1996, la disposizione transitoria di cui all´art. 41, comma 7-bis, prevedeva, laddove i dati personali non fossero raccolti presso l´interessato, che l´informativa fosse resa entro il 30 novembre 1997;

VISTO che, ai sensi dell´art. 10, comma 3, della legge n. 675/1996, e, successivamente, dell´art. 13, comma 4, del Codice, se i dati personali non sono raccolti presso l´interessato, l´informativa deve essere data all´atto della registrazione degli stessi o quando è prevista la loro comunicazione;

RILEVATO che non risulta dalla documentazione in atti che la società abbia tempestivamente reso un´informativa agli interessati i cui dati siano stati acquisiti con le modalità sopra descritte e tenuto conto delle dichiarazioni rese a verbale, sopra riportate testualmente, dalle quali risulta che la società rende l´informativa solo all´atto dell´invio del primo messaggio promozionale che, come è risultato evidente dall´evento segnalato, può essere disposto anche ad anni di distanza dalla raccolta dei dati;

CONSIDERATO che qualunque operazione di trattamento, in assenza del consenso informato degli interessati è, già di per sé, illecita;

RILEVATO che l´art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

CONSIDERATO inoltre che, ai sensi dell´art. 11, comma 1 , lett. c) del Codice, i dati personali oggetto di trattamento devono essere esatti e, se necessario, aggiornati e che nel caso di specie la banca dati formata dal 1994 al 2001 – utilizzata per finalità promozionali nel 2013 - non risulta essere stata oggetto di idoneo e tempestivo aggiornamento come risulta dagli elementi indicati nella segnalazione e confermati in sede istruttoria;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d´ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali, disponendo –ove necessario- anche la cancellazione dei dati trattati in violazione di legge;

RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento di dati personali, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, senza l´acquisizione del necessario consenso libero, specifico, informato e documentato degli interessati;

RISERVATA, con autonomo procedimento, la verifica della sussistenza dei presupposti per la contestazione della violazione delle disposizioni di cui agli artt. 13 e 23 del Codice e la conseguente applicazione delle sanzioni di cui agli artt. 161 e 162, comma 2-bis, del Codice;

TENUTO CONTO che, ai sensi dell´art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni, e che, ai sensi dell´art. 162, comma 2-ter, del Codice, in caso di inosservanza del medesimo provvedimento, è  altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento dei dati personali posto in essere da Crea Futuro S.r.l. con sede legale in Loro Ciuffenna (Arezzo), via Gen. C.A. Dalla Chiesa, n. 5/E, effettuato dalla medesima senza aver fornito un´idonea informativa di cui all´art. 13 del Codice e senza aver ottenuto un consenso libero e specifico ai sensi dell´art. 23 del Codice;

b) vieta a Crea Futuro S.r.l., ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, il trattamento dei dati personali acquisiti senza aver fornito la suindicata informativa e senza aver acquisito il relativo consenso;

c) dispone conseguentemente, ai sensi dell´art. 154, comma 1, lett. d), del Codice, la cancellazione dei dati trattati illecitamente al più presto, dando riscontro a questa Autorità dell´avvenuta cancellazione entro e non oltre il termine di sessanta giorni dalla data di ricezione del presente provvedimento.

Avverso il presente provvedimento può essere proposta opposizione ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011 con ricorso dinanzi all´autorità giudiziaria ordinaria, in particolare al tribunale del luogo ove risiede il titolare del trattamento, da presentarsi entro il termine di trenta giorni dalla data della sua comunicazione ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 5 marzo 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia