Diritti interna

Doveri interna

ricerca avanzata

Raccolta di dati personali da parte di un sito specializzato per richieste di preventivi (prestiti personali) - 20 novembre 2014 [3657934]

[doc. web n. 3657934]

Raccolta di dati personali da parte di un sito specializzato per richieste di preventivi (prestiti personali) - 20 novembre 2014

 

Registro dei provvedimenti
n. 532 del 20 novembre 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano, componente, della dott.ssa Giovanna Bianchi Clerici, componente, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito «Codice»), e in particolare le disposizioni di cui agli artt. 11, comma 2; 13; 23, comma 3;

VISTE le "Linee guida in materia di attività promozionale e contrasto allo spam" del 4 luglio 2013 (pubblicate in G.U. n. 174 del 26 luglio 2013 e in www.garanteprivacy.it, doc. web n. 2542348);

TENUTO CONTO che questa Autorità, anche nel corrente anno, al fine di garantire l´effettiva tutela del diritto alla protezione dei dati personali dell´interessato-consumatore, al quale venga richiesto di rilasciare i propri dati personali nel delicato momento della ricerca di possibili fonti di finanziamento, ha effettuato alcuni controlli a campione sui siti web dei soggetti di cui sopra, fra cui il sito www.italprestonline.com, in quanto emerso fra i primi nei risultati reperibili sui comuni motori di ricerca, riguardo al servizio di intermediazione nelle richieste di prestiti sul territorio italiano;  

CONSIDERATO che, nell´occasione, in particolare dall´analisi del form di raccolta dei dati personali degli utenti presente sul detto sito, emergeva che veniva acquisito un consenso preimpostato al trattamento per più eterogenee finalità;    

CONSIDERATO che nelle date del 15 e 16 ottobre u.s. questa Autorità, con l´ausilio del Nucleo Speciale Privacy della Guardia di Finanza, ha condotto un accertamento ex art. 157 del Codice presso la sede operativa di Italprest di Luca Bosimini & C. S.a.s. (di seguito indicata come Italprest), in Perugia, via Martiri dei Lager n. 60/62, risultante quale titolare del sito www.italprestonline.com, al fine di verificare la liceità del trattamento dei dati personali effettuati dalla medesima, anche alla luce delle recenti Linee guida sopra citate;

RILEVATO che in occasione dell´accertamento di cui sopra (come da relativo verbale del 15 ottobre u.s.) è emerso che Italprest svolge attività di intermediazione nel settore finanziario e che nello specifico propone prodotti di cessione del quinto e delegazione di pagamento per conto di Intesa Sanpaolo Personal Finance S.p.A. (già Neos Finance S.p.A.), trattando i dati personali degli interessati, in qualità di responsabile del trattamento, somministrando la modulistica della detta società; invece agisce come titolare del trattamento dei dati personali degli utenti raccolti, a partire dal 2007, mediante il proprio sito www.italprestonline.com, nonché mediante propri moduli cartacei, tramite i quali rilascia una propria informativa e richiede per sé il consenso al trattamento degli interessati;

RILEVATO che, sia in relazione al proprio sito web, sia in relazione ai propri moduli cartacei,  Italprest acquisisce un unico consenso preselezionato per l´attività promozionale e per quella di comunicazione  dei dati raccolti a soggetti terzi, come titolari autonomi, per le loro finalità promozionali (come da verbale del 15 ottobre cit.) e che peraltro il consenso preimpostato nel form on line non risulta deseleziona-bile, dato che la relativa formula di acquisizione del consenso è inserita in un file pdf raggiungibile mediante un link inserito nel form;

RILEVATO inoltre che il form del sito in questione prevede la compilazione obbligatoria dei campi relativi a nome, email, provincia, telefono e tipologia reddito; che la procedura di invio della richiesta di preventivo prevede obbligatoriamente la spunta della voce "accetto le condizioni di trattamento della privacy e regole di trasparenza di Italprest S.a.s.", come evidenziato dall´avviso riportante la dicitura "devi accettare le condizioni di privacy e trasparenza prima di inviare la richiesta"; e che, solo a seguito della predetta spunta, la richiesta di preventivo può essere inviata con esito positivo (verbale del 15 ottobre cit.);

CONSIDERATO peraltro che la società ha dichiarato che l´attività promozionale e quella di comunicazione in questione non sono attualmente svolte ma potrebbero essere svolte in futuro in quanto la stessa si è riservata questa possibilità (verbale del 15 ottobre cit.);

CONSIDERATO che, come dichiarato dalla medesima società, attraverso il sito predetto ogni giorno vengono veicolate, in media, circa 5/10 richieste di preventivo e che, alla data dell´accertamento, "i clienti attivi (cioè con ammortamento del prestito in corso)" che hanno richiesto il prestito sottoscrivendo anche la siffatta modulistica "privacy", risultano essere circa 2500 (verbale del 16 ottobre u.s.); e che pertanto il trattamento posto in essere dalla società, tenuto conto anche del mezzo del web uti-lizzato per la raccolta dei dati, presenta carattere sistematico;

VISTO il disposto dell´art. 23, comma 3, del Codice, in base al quale il tratta-mento di dati personali da parte dei privati è ammesso solo dopo la previa acquisi-zione di un consenso dell´interessato espresso, libero, informato e specifico, con rife-rimento a trattamenti chiaramente individuati e documentato per iscritto, come ri-badito dalle citate "Linee guida in materia di attività promozionale e contrasto allo spam"; e che pertanto il titolare non può, come nel caso di specie, chiedere un consenso unico per finalità fra loro eterogenee, peraltro già preselezionato e non deselezionabile dall´interessato, che quindi non può scegliere riguardo al trattamento dei propri dati;

CONSIDERATO peraltro che la raccolta di dati personali effettuata per svolgere le attività sopra individuate senza il relativo consenso espresso, libero, informato, specifico e documentato per iscritto, costituisce un trattamento illecito di dati e che, ai sensi dell´art. 11, comma 2, del Codice, i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

CONSIDERATO inoltre che -qualora Italprest intenda proseguire a raccogliere dati personali, mediante il proprio sito, moduli cartacei o qualunque altro strumen-to, per finalità ulteriori e diverse da quella di erogazione del servizio di inoltro agli intermediari abilitati delle richieste di preventivi da parte degli utenti- dovrà richie-dere agli interessati, ex art. 23 del Codice, un consenso espresso, preventivo, infor-mato, documentato per iscritto, libero e specifico per ciascuna diversa finalità;

RILEVATO peraltro che, relativamente all´adempimento dell´informativa resa agli interessati ai sensi dell´art 13 del Codice, se Italprest vorrà svolgere  l´attività promozionale, dovrà anche specificare nel testo dell´informativa le modalità tradi-zionali (come ad es.: posta cartacea, telefonate con operatore)  e/o automatizzate (po-sta elettronica, sms, fax) che intenda eventualmente utilizzare;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d´ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare altresì gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessità, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1, lett. d) del Codice, di adottare nei confronti di Italprest, in qualità di titolare del trattamento, un provvedimento di divieto del trattamento dei dati personali degli utenti raccolti sul sito www.italprestonline.com  e mediante moduli cartacei per le attività di invio di comunicazioni promozionali per conto proprio e/o per conto terzi, nonché di comunicazione dei dati raccolti a soggetti terzi, come titolari auto-nomi, per le loro finalità promozionali (o comunque per finalità diverse da quelle strumentali ovvero collegate all´erogazione del servizio o dell´esecuzione del contratto), senza aver provveduto alla previa acquisizione del necessario consenso libero e specifico, oltre che informato e documentato per iscritto, degli interessati ex art. 23, comma 3, del Codice;

RITENUTO necessario altresì, ai sensi degli artt. 143, comma 1, lett. b),  e 154, comma 1, lett. c) del Codice, adottare nei confronti di Italprest un provvedimento prescrittivo volto a rendere conforme alla normativa in materia di protezione dei dati personali il trattamento dei dati raccolti sul sito www.italprestonline.com  e mediante moduli cartacei o con qualunque altro strumento che la società eventualmente deciderà di utilizzare;

TENUTO CONTO che, ai sensi dell´art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni; che, ai sensi dell´art. 162, comma 2-ter del Codice, in caso di inosservanza del predetto divieto o delle prescrizioni impartite con il medesimo provvedimento, in ogni caso, è altresì applicata in sede amministrativa la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATA la sussistenza dei presupposti per contestare a Italprest, mediante un autonomo procedimento sanzionatorio, le violazioni amministrative di compe-tenza di questa Autorità, con particolare riguardo alla mancata acquisizione di un consenso specifico degli interessati per le finalità di invio di comunicazioni promo-zionali, nonché di comunicazione dei dati raccolti a soggetti terzi;

RISERVATA la facoltà dell´Autorità di condurre un´apposita istruttoria anche relativamente ai trattamenti dei dati personali raccolti da Italprest effettuati da Inte-sa Sanpaolo Personal Finance S.p.A., in qualità di titolare del trattamento;

RILEVATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecita la raccolta dei dati personali degli utenti effettuata da Italprest di Luca Bosimini & C. S.a.s., con sede legale in Perugia, via Chirigiola n. 16, sul sito www.italprestonline.com e mediante moduli cartacei, per le attività di invio di comunicazioni promozionali per conto proprio e/o per conto terzi, nonché di comunicazione dei dati raccolti a soggetti terzi per le loro finalità promozionali (o comunque per finalità diverse da quelle strumentali ovvero collegate all´erogazione del servizio o dell´esecuzione del contratto), senza aver provveduto alla previa acquisizione del necessario consenso libero e specifico degli interessati, oltre che informato e documentato per iscritto, ex art. 23, comma 3, del Codice;

b) vieta alla suddetta società, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, il trattamento dei dati indicati alla precedente lettera a) per l´invio di comunicazioni promozionali per conto proprio e/o per conto terzi, nonché per la comunicazione dei dati raccolti a soggetti terzi come sopra specificata, in assenza del necessario consenso libero e specifico degli interessati;

c) prescrive alla medesima società, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di adottare le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni del Codice, qualora intenda proseguire a raccogliere dati personali, mediante il proprio sito, moduli cartacei o qualunque altro strumento deciderà eventualmente di utilizzare, per finalità ulteriori e diverse da quella di erogazione del servizio di inoltro agli in-termediari abilitati delle richieste di preventivi da parte degli utenti, e in particolare di:

1) modificare la formula di acquisizione del consenso al trattamento dei dati raccolti, richiedendo agli interessati, ex art. 23 un consenso espresso, preventivo, informato, documentato per iscritto, libero e specifico per ciascuna diversa finalità,

2) specificare, conseguentemente, nell´informativa resa ai sensi dell´art 13 del Codice, le modalità tradizionali (come ad es.: posta cartacea, telefonate con operatore) e/o automatizzate (posta elettronica, sms, fax ) che intenda eventualmente utilizzare  per lo svolgimento dell´attività promozionale;

d) prescrive alla medesima società di dare riscontro documentato a questa Autorità comprovante l´avvenuto adeguamento, accompagnato da una dichiarazio-ne del legale rappresentante della società, rilasciata ai sensi e per gli effetti dell´art. 168 del Codice, entro e non oltre il termine di sessanta giorni dalla data di ricezione del presente provvedimento.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero. 

Roma, 20 novembre 2014

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia