Diritti interna

Doveri interna

ricerca avanzata

Invio di di messaggi promozionali via posta elettronica, in assenza di un consenso libero, specifico e documentato - 7 marzo 2013 [2406175]

[doc. web n. 2406175]

Invio di di messaggi promozionali via posta elettronica, in assenza di un consenso libero, specifico e documentato - 7 marzo 2013

Registro dei provvedimenti
n. 105 del 7 marzo 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTO l´art. 154, comma 1, lett. a), c) e d) del Codice;

VISTA la direttiva 95/46/CE del 24 ottobre 1995, del Parlamento europeo e del Consiglio, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati;

VISTA la direttiva 2002/58/CE del 12 luglio 2002, del Parlamento europeo e del Consiglio, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche come da ultimo modificata dalla direttiva 2009/136/CE del 25 novembre 2009;

VISTA la nota della PCA S.r.l. del 7 maggio 2012, con la quale si lamentava la ricezione, su tre diversi account di posta, di e-mail promozionali inviate da Aruba S.p.A.;

VISTO che la PCA S.r.l. ha rappresentato di continuare a ricevere le suddette e-mail pur avendo più volte richiesto, anche utilizzando l´apposito link in calce alle stesse, la cancellazione;

VISTA la nota del 1 agosto 2012, inviata in risposta a una richiesta di informazioni di questa Autorità, nella quale la società Aruba S.p.A. (di seguito "la società"), ha rappresentato che gli indirizzi e-mail della PCA S.r.l. erano stati acquisiti a seguito della registrazione della stessa sul sito www.aruba.it con lo scopo di attivare il servizio "Aruba Free Internet" e che non era stato possibile per la destinataria dell´e-mail esercitare il diritto di opporsi a causa di un mero problema tecnico;

VISTO che nella suddetta nota la società - nel chiarire le modalità con cui vengono acquisiti i dati degli utenti che richiedono l´iscrizione al servizio "Aruba Free Internet" - ha dichiarato che l´informativa in materia di trattamento dei dati personali viene fornita al momento della compilazione dell´anagrafica sul sito http://free.aruba.it e che " … a seguito dell´accettazione delle Condizioni Generali di Contratto "Aruba Free Internet" e del rilascio dell´apposito consenso al ricevimento di messaggi promozionali, l´anagrafica del cliente viene inserita nel database contenente i recapiti e-mail utilizzabili per l´invio della newsletter";

VISTO che - per verificare le modalità con cui veniva effettivamente resa l´informativa ed acquisito il consenso dei contraenti all´atto dell´iscrizione al servizio - è stato effettuato in data 10 dicembre 2012 un accertamento d´ufficio sul sito http://free.aruba.it simulando la registrazione al servizio "Aruba Free Internet", a seguito del quale sono emersi i seguenti elementi:

-  al momento dell´inserimento dei dati in anagrafica, viene mostrata ai contraenti l´informativa relativa al trattamento dei dati personali seguita dalle opzioni "accetta" e "rifiuta": scegliendo quest´ultima, compare il messaggio "Per continuare è necessario accettare il contratto";

-  in calce all´informativa è presente una formula per l´acquisizione del consenso. Testualmente: "In mancanza di diversa indicazione da parte dell´Interessato, da comunicarsi al Titolare con le modalità sopra indicate, lo stesso dichiara fin da adesso di accettare che i propri dati personali possano essere trattati da Aruba anche al fine di trasmettere, con qualsiasi mezzo, comunicazioni commerciali e/o richieste di informazioni statistiche";

- non risulta siano previste altre modalità di espressione del consenso se non, come detto, le opzioni "accetta" e "rifiuta" in calce all´informativa: ne consegue che, per poter attivare il servizio, è necessario accettare la ricezione di messaggi promozionali che la società potrà inviare "con qualsiasi mezzo";

VISTO l´art. 23, comma 3, del Codice, il quale prevede che il trattamento di dati personali da parte dei privati è ammesso solo previa acquisizione di un consenso dell´interessato libero, informato e specifico, con riferimento a trattamenti chiaramente individuati, e da documentare per iscritto;

VISTO l´art. 24, comma 1, lett. b) del Codice che prevede, tra le altre, un´ipotesi di deroga rispetto all´obbligo dell´acquisizione del consenso qualora il trattamento sia necessario per eseguire obblighi derivanti da un contratto del quale è parte l´interessato;

CONSIDERATO che i trattamenti di dati per finalità commerciali esulano da quelli necessari per adempiere al contratto di fornitura del servizio e che pertanto per il conseguimento di tali finalità, proprio perché ulteriori rispetto a quelle di carattere contrattuale, il titolare è tenuto alla preventiva acquisizione di uno specifico consenso;

CONSIDERATO inoltre che, come già rilevato da questa Autorità (v., in www.garanteprivacy.it, provv. 22 febbraio 2007, doc. web n. 1388590; provv.  12 ottobre 2005, doc. web n. 1179604; provv. 3 novembre 2005, doc. web n.  1195215;  provv. 15 luglio 2010, doc. web n. 1741998, provv. 19 maggio 2011, doc. web n. 1823148), non può definirsi "libero", e risulta indebitamente necessitato, il consenso a ulteriori trattamenti di dati personali che l´interessato "debba" prestare quale condizione per conseguire una prestazione richiesta, e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso per ciascuna distinta finalità perseguita dal titolare (cfr. provv.  24 febbraio 2005, punto 7, doc. web n.  1103045);

RILEVATO quindi che la società non consente agli interessati di esprimere uno specifico consenso per la ricezione di messaggi promozionali essendo, come detto, obbligatoria l´integrale accettazione dell´informativa per effettuare la registrazione;

CONSIDERATO che l´art. 130, comma 4, del Codice prevede la possibilità che il titolare utilizzi per finalità promozionali, anche senza il consenso dell´interessato, le coordinate di posta elettronica fornite dallo stesso nel contesto della vendita di un prodotto o di un servizio, purché i servizi oggetto della promozione siano analoghi a quelli oggetto della vendita e sempre che l´interessato adeguatamente informato non rifiuti tale uso inizialmente o in occasione di successive comunicazioni;

RILEVATO tuttavia che i messaggi promozionali contenuti nelle e-mail inviate dalla PCA S.r.l. in allegato alla segnalazione, erano inerenti servizi di Aruba di diversa natura (promozioni per la stampa delle foto, inviti allo stand Aruba del Forum PA, servizi di posizionamento del sito web) che non possono essere considerati analoghi al servizio acquistato da PCA S.r.l. e che, in ogni caso, non è prevista la possibilità per l´interessato di rifiutare l´invio di comunicazioni  promozionali all´atto della registrazione al servizio;

CONSIDERATO che le attività di trattamento dei dati, come sopra individuate, effettuate dalla società senza il relativo consenso specifico costituiscono quindi un trattamento illecito di dati;

CONSIDERATO che il Garante, ai sensi dell´art. 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d´ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento illecito di dati personali, ai sensi dell´ art. 154, comma 1, lett. d), del Codice correlato alle attività di invio di messaggi promozionali tramite posta elettronica senza l´acquisizione del necessario consenso libero, specifico e documentato degli utenti già registrati sul sito http://free.aruba.it;

RILEVATA, altresì, la necessità di adottare nei confronti della società un provvedimento prescrittivo ai sensi dell´art. 154, comma 1, lett. c), del Codice;

TENUTO CONTO che, ai sensi dell´art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni, e che, ai sensi dell´art. 162, comma 2-ter, del Codice, in caso di inosservanza del medesimo provvedimento, è  altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l´art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento le eventuali violazioni amministrative di competenza di questa Autorità;

CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE  la dottoressa Giovanna Bianchi Clerici;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento dei dati personali effettuato da Aruba S.p.A., con sede legale in Bibbiena (Arezzo), località palazzetto 4, tramite l´invio, agli utenti registrati al servizio "Aruba Free Internet", di messaggi promozionali via posta elettronica, in assenza di un consenso libero, specifico e documentato degli interessati ex artt. 23 e 130 del Codice;

b) ai sensi dell´art. 154, comma 1, lett. d), del Codice, vieta ad Aruba S.p.A. l´ulteriore trattamento dei dati personali già acquisiti per le finalità di invio, agli utenti registrati al servizio "Aruba Free Internet", di messaggi promozionali via posta elettronica effettuato dalla medesima società senza aver ottenuto i suddetti consensi;

c) ai sensi dell´art. 154, comma 1, lett. c) del Codice, prescrive ad Aruba S.p.A. - qualora quest´ultima intenda continuare ad utilizzare lo strumento della posta elettronica per l´invio di comunicazioni promozionali - di adottare le misure necessarie e opportune, atte a garantire la completa ottemperanza a quanto stabilito dagli artt. 23 e 130 del Codice prevedendo, in fase di registrazione, la possibilità per gli interessati di esprimere un consenso distinto e facoltativo per ciascuna delle finalità – con particolare riferimento alle finalità di marketing - indicate nell´informativa ex art. 13 del Codice e fornendone adeguata documentazione al Garante entro trenta giorni dalla comunicazione del presente provvedimento.

Avverso il presente provvedimento può essere proposta opposizione ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011 con ricorso dinanzi all´autorità giudiziaria ordinaria, in particolare al tribunale del luogo ove risiede il titolare del trattamento, da presentarsi entro il termine di trenta giorni dalla data della sua comunicazione ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 7 marzo 2013

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia