[doc. web n. 1630006]

Servizi turistici e trattamento dei dati personali - 4 giugno 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Giuseppe Fortunato e del dott. Mauro Paissan, componenti, e del dott. Filippo Patroni Griffi, segretario generale;

Visto il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

VISTA la segnalazione presentata da A. Checchi, F. Grazzini, F. Grazzini e L. Tognarelli nei confronti di Viva Club S.r.l. (ora Holiday Business Consulting s.r.l. in sigla, HBC s.r.l. e di Finemiro Stile S.p.a. (di seguito, Finemiro);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO:

1. I segnalanti hanno rappresentato di essere stati contattati da Maurizio Piccolo, procacciatore di affari nell´interesse di HBC per l´acquisto di "punti vacanza" che consentono all´acquirente l´utilizzo, per un determinato periodo di tempo, di alloggi siti in complessi immobiliari ubicati fuori dal territorio italiano ed amministrati da una società fiduciaria inglese (trustee), in nome e per conto della quale ha agito HBC. Il contratto proposto ai segnalanti prevedeva altresì la possibilità di un finanziamento tramite Finemiro, società con cui HBC ha stipulato apposita convenzione di finanziamento.

I segnalanti sottoscrissero quindi due contratti di compravendita di "punti vacanze" e relative contestuali richieste di finanziamento; per parte sua, il procacciatore di affari si impegnò ad inviare un documento informativo da considerarsi parte integrante del contratto. Non rispettato l´impegno e subentrato un contenzioso circa la validità dei contratti stipulati, i segnalanti hanno lamentato che:

- nei contratti conclusi con HBC non sarebbe stata fornita idonea informativa in base alla disciplina di protezione dei dati personali;

- non sarebbe stato definito a che titolo, in base alla disciplina di protezione dei dati, il procacciatore di affari, non vincolato da rapporto di lavoro subordinato con nessuna delle due società sopra citate, abbia trattato i dati personali riferiti ai segnalanti.

2.1. Nel corso dell´istruttoria sono stati forniti elementi dalle società oggetto della segnalazione. In particolare, Viva Club s.r.l., con nota del 10 maggio 2002, ha precisato che:

- opera quale titolare del trattamento dei dati personali riferiti ai clienti raccolti in fase di stipula dei contratti di vendita, trattando i dati necessari per l´esecuzione degli obblighi di legge e di quelli derivanti dai contratti, con esclusione di dati sensibili; a tale proposito sarebbero state altresì adottate "tutte le misure di sicurezza di natura informatica necessarie per la catalogazione, conservazione, accesso e distruzione dei dati raccolti";

- è convenzionata con Finemiro, la quale opera come titolare del trattamento dei dati personali raccolti in relazione alle richieste di finanziamento connesse all´acquisto dei "punti vacanza";

- Maurizio Piccolo opera in base ad un contratto di procacciamento di affari concluso con HBC per procurare a quest´ultima, dietro compenso, clienti interessati all´acquisto dei "punti vacanza"; in questa veste ha operato nella qualità di incaricato del trattamento dei dati raccolti per conto di HBC nei contratti di acquisto dei "punti vacanza", attenendosi alle istruzioni e direttive impartitegli nell´ambito del contratto di procacciamento d´affari (v. nota cit. p.2 e 3);

- in tale ambito, il procacciatore sarebbe stato, altresì, designato come incaricato del trattamento dei dati raccolti nell´ambito dei contratti di finanziamento con Finemiro (v. nota cit. p. 3);

- l´informativa di cui all´art. 10 della legge n. 675/1996 (ora, art. 13 del Codice) sarebbe stata fornita ai segnalanti oralmente, dal medesimo procacciatore di affari, in relazione al trattamento dei dati personali concernenti il contratto di acquisto dei "punti vacanza", mentre, per quanto riguarda il trattamento dei dati concernenti il contratto di finanziamento, era contenuta nei moduli da sottoscrivere per la relativa richiesta (v. nota cit. p. 2).

Nella corrispondenza intercorsa con i segnalanti ed acquisita agli atti, HBC ha inoltre rappresentato che l´art. 14 del contratto concluso prevede che "l´acquirente autorizza Viva Club S.r.l. [ora HBC] ad elaborare e/o comunicare ad altri soggetti dalla stessa incaricati le informazioni rilasciate, al fine di inviare ulteriori vantaggiose offerte commerciali" (all. 11 alla nota citata).

2.2. Finemiro, con nota datata 8 maggio 2002, ha precisato che, in relazione alle richieste di finanziamento sottoscritte dai segnalanti:

- non ha intrattenuto nessun rapporto diretto con il procacciatore di affari indicato nella segnalazione, avendo come unico interlocutore contrattuale HBC (che ha provveduto a raccogliere i dati personali dei segnalanti sotto la sua responsabilità, ai sensi dell´art. 2 della legge n. 197/1991);

- i dati, necessari per l´istruttoria precontrattuale e per l´esecuzione del contratto di finanziamento sono stati trattati conformemente al consenso informato prestato dagli interessati al momento della sottoscrizione delle richieste.

2.3. I segnalanti, nel replicare alle osservazioni delle controparti, ribadita l´assenza, nella fattispecie in esame, dell´informativa, quantomeno sotto il profilo dell´omesso richiamo all´art. 13 della l. n. 675 (ora art. 7 del Codice), hanno evidenziato anche la violazione della disciplina relativa al trasferimento dei dati personali all´estero. Infatti, sebbene i dati raccolti nel contratto di acquisto di "punti vacanza" siano trasferiti da HBC all´estero in paesi extracomunitari, non risulta essere stato prestato in proposito dai segnalanti nessun consenso, né sarebbero state rispettate le condizioni alternative al consenso degli interessati che rendono legittimo il trasferimento (indicate dalla delibera del Garante n. 3 del 10 aprile 2002).

Sono state, altresì, integralmente ribadite le dichiarazioni circa il ruolo ricoperto, nel trattamento dei dati personali dei segnalanti dal procacciatore di affari.

3. Al fine di integrare gli elementi acquisiti all´esito dell´istruttoria documentale, si è provveduto a verificare con un accertamento in loco presso HBC:

- la designazione quali incaricati del trattamento dei procacciatori di affari di cui la società si avvale;

- le istruzioni impartite agli stessi, nonché le modalità di esercizio della vigilanza sui medesimi.

In occasione delle menzionate verifiche ispettive, la società, nel dichiarare che "a seguito dell´allagamento dei locali […] avvenuto in data 26/11/2006, i vigili del fuoco hanno dichiarato inagibili gli uffici, e ad oggi non sono fruibili dal personale della società", si è riservata di "comunicare eventuali nomine di responsabili e/o incaricati al trattamento" (cfr. verbale 13 dicembre 2006), senza che ciò abbia avuto luogo (cfr. comunicazione 22 dicembre 2006, con la quale la società, nel ribadire le difficoltà operative a fornire la documentazione a causa dell´allagamento subito, ha trasmesso esclusivamente copia del documento programmatico sulla sicurezza).

La società ha, altresì, dichiarato ai sensi dell´art. 168 del Codice, che "per quanto riguarda l´informativa di cui all´art. 13 del Codice, questa viene fornita sia nel contratto che nel coupon [di] richiesta [delle] informazioni dove vengono inseriti i dati del cliente" (v. verbale operazioni compiute 19 dicembre 2006, p.3; v. anche all. 5). In sede di accertamento ispettivo è stato, inoltre, acquisito il modello di contratto di compravendita dei punti vacanza "Genesis vacation club gold" recante l´informativa fornita dalla società ai clienti ai sensi dell´art. 13 del Codice (v. all. 4 al verbale operazioni compiute cit., punto 15).

Ritenuta inidonea l´informativa resa, atteso che in base ad essa sono fornite agli interessati indicazioni relative ai soli scopi del trattamento, senza che risultino indicati né la natura obbligatoria o facoltativa del conferimento dei dati e le conseguenze del loro mancato rilascio, né i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati e l´ambito di diffusione dei dati stessi, tale profilo ha formato oggetto di contestazione –notificata in data 9 marzo 2007– ai sensi dell´art. 161, anche con riguardo alla mancanza all´interno del coupon di un idoneo messaggio sintetico che permetta all´interessato di comprendere le conseguenze derivanti dalla spedizione del medesimo. La società ha quindi provveduto al pagamento della sanzione amministrativa in data 27 marzo 2007 (cfr. copia bollettino postale in atti).

4.1. Al di là del profilo sanzionatorio, già oggetto della menzionata contestazione e della conseguente attività solutoria da parte della società, emerge, comunque, la necessità di prescrivere a HBC, in qualità di titolare del trattamento posto in essere nei confronti dei segnalanti, talune misure necessarie al fine di conformare il predetto trattamento alle disposizioni vigenti, e segnatamente l´integrazione dell´informativa con tutti gli elementi previsti dal citato art. 13 del Codice.

Diversamente, l´informativa inserita nelle richieste di finanziamento a Finemiro complessivamente soddisfa i requisiti previsti dalla legge (v. nota Finemiro 8 maggio 2002, all. 1).

4.2. A seguito degli accertamenti effettuati, non è risultata comprovata l´avvenuta designazione di Maurizio Piccolo quale incaricato del trattamento da parte di HBC, né risulta condivisibile l´affermazione della società secondo cui detta designazione sarebbe desumibile dal contratto di procacciamento di affari: il riferimento all´"incarico", in tale ambito, fa infatti riferimento all´attività di procacciatore di affari, senza che alcuna determinazione sia da esso ricavabile in ordine alle operazioni di trattamento da porre in essere per la sua esecuzione. Dalla documentazione in atti non si ricava, inoltre, nessun elemento in ordine alle istruzioni impartite circa i trattamenti effettuati dalla società e le modalità di esercizio, da parte del titolare e/o del responsabile, della sorveglianza diretta sul rispetto delle disposizioni impartite.

HBC dovrà quindi adottare ogni misura organizzativa idonea per la designazione dei procacciatori di affari di cui la società si serve in qualità di incaricati del trattamento.

In merito, invece, al ruolo del procacciatore di affari, Maurizio Piccolo relativamente alla raccolta dei dati personali dei segnalanti contenuti nelle richieste di finanziamento a Finemiro quest´ultima ha affermato di non avere intrattenuto rapporti con lo stesso, ma di avere avuto come solo interlocutore contrattuale HBC, per il cui tramite e sotto la cui responsabilità i predetti dati sono stati raccolti, circostanza che, allo stato degli atti, non risulta smentita. Rispetto alle comunicazioni di dati relative all´eventuale attivazione di contratti di finanziamento intervenute tra HBC e Finemiro non risulta peraltro necessario il consenso dell´interessato, essendo tale comunicazione necessaria per adempiere, prima della conclusione del contratto a specifiche richieste (di finanziamento) degli interessati (cfr. ora art. 24, comma 1, lett. b) del Codice).

5. Per quanto riguarda, da ultimo, la contestazione dell´inosservanza, da parte di HBC, della normativa sul trasferimento dei dati personali all´estero (art. 28 della l. n. 675/1996 ed ora art. 43 del Codice), sotto il profilo dell´assenza di uno specifico consenso dei segnalanti a tale forma di trattamento, si osserva che i dati dei segnalanti sono trasferiti per l´esecuzione degli obblighi derivanti da un contratto di acquisto di "punti vacanza" e precisamente per consentirgli di utilizzare gli alloggi siti nei complessi immobiliari amministrati dalla società fiduciaria inglese, rispetto a cui Viva Club S.r.l. opera come società di commercializzazione.

Ne discende che per il trasferimento in discorso la disciplina di protezione dei dati personali non risulta violata, atteso che il consenso degli interessati non è richiesto ai sensi dell´art. 28, comma 4, lett. b), della legge n. 675/1996 (ora, art. 43, comma 1, lett. b) del Codice).

TUTTO CIÒ PREMESSO, IL GARANTE

1. prescrive a Holiday Business Consulting s.r.l. ai sensi degli artt. 143, comma 1), lett. b) e 154, comma 1, lett. c), del Codice, quali misure necessarie:

a. l´integrazione della modulistica contenente l´informativa da fornire alla propria clientela, con tutti gli elementi previsti dall´art. 13 del Codice (punto 4.1.);

b. la designazione per iscritto dei procacciatori di affari come incaricati del trattamento dei dati ai sensi dell´art. 30 del Codice, impartendo ai medesimi le relative istruzioni (punto 4.2.);

2. ai sensi dell´art. 157 del Codice, prescrive a Holiday Business Consulting s.r.l. di dare tempestivo e documentato riscontro a questa Autorità, entro e non oltre il 30 settembre 2009, delle misure adottate per conformare i trattamenti effettuati alle prescrizioni del presente provvedimento, fornendo ogni informazione utile al riguardo.

Roma, 4 giugno 2009

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Patroni Griffi