Diritti interna

Doveri interna

ricerca avanzata

Trattamento di dati personali da parte di un franchisor - 23 aprile 2015 [3966213]

VEDI ANCHE NEWSLETTER DEL 22 MAGGIO 2015

[doc. web n. 3966213]

Trattamento di dati personali da parte di un franchisor - 23 aprile 2015

Registro dei provvedimenti
n. 242 del 23 aprile 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano, componente, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lgs. 30 giugno 2003, n. 196, recante il "Codice in materia di protezione dei dati personali" (di seguito "Codice");

VISTO il reclamo presentato da XY ai sensi degli artt. 142 e ss. del Codice;

VISTI i riscontri forniti dalle società interessate;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

PREMESSO

1. Il reclamo.

Con reclamo del 27 giugno 2013 (regolarizzato con nota del 12 settembre 2013), la sig.ra XY –collaboratrice di una società di consulenza e assistenza informatica– ha contestato, per il tramite del proprio legale, un illecito trattamento di dati personali e sensibili a sé riferiti da parte dei sigg.ri YY e XX, dichiaratamente collaboratori, rispettivamente, di HH s.r.l. e di Tecnocasa Franchising S.p.A.

Riferisce l´istante –solita a intrattenere rapporti con alcuni affiliati al gruppo "Tecnocasa"– di aver inviato, in data 26 novembre 2012, una email "promozionale" a uno dei franchisee conosciuti, rappresentando la convenienza dei servizi informatici offerti suo tramite e invitandolo a recedere dal contratto di assistenza allora vigente con altra società. Il contenuto di tale email –in cui preannunciava, in via confidenziale, anche una imminente "operazione" che l´avrebbe, di lì a poco, interessata– sarebbe stato integralmente riprodotto, peraltro con un artato "ritocco" in aumento del prezzo della collaborazione offerta, in allegato a una comunicazione (datata 13 febbraio 2013) inviata dai sigg.ri YY e XX "ad almeno 200 (duecento) indirizzi di posta elettronica di altrettanti franchisee Tecnocasa", con la quale li si invitava a rivolgersi, per eventuali attività di consulenza e assistenza informatica, alla sola società appositamente autorizzata. Tale condotta, avvenuta in assenza di informativa e di adeguati presupposti giustificativi, avrebbe integrato, a detta dell´interessata, un´indebita divulgazione dei propri dati personali e sensibili (peraltro inconferenti rispetto al tenore e alle finalità della missiva inviata), aggravata dal disagio provocatole dalle numerose telefonate ricevute nei giorni successivi all´intervento ad opera di alcuni franchisee, ormai al corrente delle sue condizioni di salute (e del relativo numero di cellulare, anch´esso riportato nell´email allegata).

In considerazione della ritenuta violazione degli artt. 13, 23 e 26 del Codice, la reclamante ha chiesto all´Autorità di inibire a Tecnocasa Franchising S.p.A. e HH s.r.l. l´ulteriore trattamento dei suoi dati personali e sensibili, disponendone altresì la relativa cancellazione. È stato inoltre richiesto di prescrivere alle due società l´invio di una nuova nota di rettifica, con indicazione dell´esatto importo dell´offerta originariamente formulata dalla reclamante.

A corredo dell´istanza presentata è stata prodotta documentazione relativa, tra l´altro, a: la comunicazione "promozionale" del 26 novembre 2012, inviata dall´istante a un affiliato commerciale del gruppo "Tecnocasa"; la email inviata in data 13 febbraio 2013 dai sigg.ri YY e XX, avente come destinatari numerosissimi franchisee del medesimo gruppo e recante in allegato, nella sua forma integrale, la predetta comunicazione.

2. I riscontri delle società.

A seguito di una prima richiesta di informazioni formulata dall´Ufficio (successivamente integrata da un´ulteriore richiesta di chiarimenti), Tecnocasa Franchising S.p.A. e HH s.r.l., con note congiunte del 30 ottobre e del 10 dicembre 2013, hanno fatto pervenire le proprie osservazioni in merito alla vicenda contestata.

Muovendo dal ruolo effettivamente rivestito dai sigg.ri XX e YY –rispettivamente, rappresentante di KK di XX s.a.s. (società appaltatrice dei servizi di "consulenza commerciale e informatica" per conto di HH s.r.l., a sua volta appaltatrice per conto di Tecnocasa Franchising S.p.A. della gestione dei servizi informatici rivolti alla "rete in franchising" e del coordinamento dei consulenti informatici) e collaboratore di Consul Center s.r.l. (società preposta da Tecnocasa Franchising S.p.A. alla verifica della puntuale osservanza della disciplina di regolazione dei rapporti tra franchisor e franchisee)– le due società hanno chiarito che i predetti soggetti, nelle loro qualità di incaricati del trattamento ex art. 30 del Codice, avrebbero operato, previo "benestare" di HH s.r.l. (sia pure rispetto a un testo in parte diverso da quello effettivamente trasmesso), al solo fine di "avvisare i franchisee della opportunità di avvalersi in via preferenziale di società che offrono servizi di supporto informatico preventivamente valutate" dalle stesse società. In tale contesto, "la mail della sig.ra XY [sarebbe] stata allegata solo a scopo dimostrativo", senza che ciò potesse ledere –nella prospettiva evidenziata– i diritti di chicchessia. In ogni caso, le società non ritengono di aver posto in essere alcun trattamento di dati personali, men che meno sensibili, stante il generico riferimento contenuto nella mail allegata a una non meglio precisata "operazione" riguardante la reclamante; e ciò, a tacere del fatto che le informazioni ivi contenute non avrebbero comunque formato oggetto, in alcun modo, di ulteriore utilizzo da parte delle medesime società.

Nel ritenere, conseguentemente, che le operazioni poste in essere non necessitassero di informativa e consenso da parte dell´interessata –pena, a loro dire, l´impossibilità stessa di utilizzare il servizio di posta elettronica– e che quanto accaduto, in ogni caso, rivestirebbe carattere episodico, le due società hanno precisato, infine, che la email oggetto di allegazione sarebbe stata "inviata da un pc di Consul Center s.r.l.".

A sostegno delle proprie deduzioni, le società hanno prodotto: copia dei contratti di appalto intercorrenti tra HH s.r.l. e KK di XX s.a.s. e tra Tecnocasa Franchising S.p.A. e Consul Center s.r.l.; copia delle designazioni dei sigg.ri XX e YY quali incaricati del trattamento ex art. 30 del Codice.

3. I chiarimenti di Consul Center s.r.l. e gli accertamenti ispettivi nei confronti di Tecnocasa Franchising S.p.A.

3.1. Chiamata, a sua volta, a formulare le proprie osservazioni sulla vicenda, Consul Center s.r.l., con comunicazione del 28 gennaio 2014, ha confermato l´episodicità dell´accaduto, allineandosi alle posizioni espresse da Tecnocasa Franchising S.p.A. e HH s.r.l., sia per quanto concerne il ritenuto difetto di lesività della condotta posta in essere, sia in relazione all´asserita assenza di trattamento di dati personali e sensibili riferiti alla reclamante. È stata inoltre ribadita, con riferimento al caso di specie, la ritenuta ultroneità dell´informativa e del consenso dell´interessata, rispetto a operazioni di utilizzo di uno strumento (posta elettronica) altrimenti impedite. Infine, sono state precisate le principali misure di sicurezza adottate dalla società a tutela dei dati trattati.

3.2. Le risultanze degli accertamenti ispettivi condotti, ad altro titolo, dal Nucleo Speciale Privacy della Guardia di Finanza hanno confermato, per quanto qui di interesse, che Tecnocasa Franchising S.p.A., nell´espletamento di talune attività, si avvale della collaborazione di HH s.r.l. per le operazioni di cui al contratto in essere con la stessa Tecnocasa Franchising S.p.A. Tale contratto, acquisito agli atti solo con nota del 20 gennaio 2015, prevede l´erogazione di molteplici servizi anche informatici da parte di HH s.r.l., chiamata appositamente ad operare, in conformità alle prescrizioni fornite dal franchisor (committente), quale responsabile esterno del trattamento in relazione ai trattamenti di dati personali effettuati per conto di Tecnocasa Franchising S.p.A. (v. atto di designazione del 1° gennaio 2005).

4. Le ultime comunicazioni di Tecnocasa Franchising S.p.A., HH s.r.l. e Consul Center s.r.l.

4.1. Con ulteriore comunicazione del 15 dicembre 2014, Tecnocasa Franchising S.p.A. e HH s.r.l., nel ribadire la propria estraneità all´accaduto, hanno affermato che la decisione di inviare in allegato alla comunicazione del 13 febbraio 2013 la mail della sig.ra XY sarebbe stata assunta, autonomamente e personalmente, dai sig.ri XX e YY, onde sensibilizzare i singoli franchisee su questioni di rilevante interesse per costoro, ma di scarso "rilievo economico" per le due società (che, nella prospettiva evidenziata, non erogherebbero "servizi in concorrenza a quelli oggetto di pubblicizzazione da parte della Sig.ra XY"). Inoltre, il testo della comunicazione inviata risulterebbe parzialmente diverso da quello previamente visionato e avallato da HH s.r.l. Pertanto, le società non ritengono che alcun trattamento di dati personali e sensibili dell´interessata sia loro ascrivibile sulla base di quanto stabilito dall´art. 4, comma 1, lett. f), del Codice.

4.2. Per parte sua, Consul Center s.r.l., nella persona dello stesso YY, ha invece sostenuto, con nota del 13 dicembre 2014 (data del timbro postale), che la comunicazione inviata ai franchisee sarebbe stata trasmessa previa visione di HH s.r.l. (nella persona del responsabile del settore informatico del Gruppo Tecnocasa), che "nulla [avrebbe] eccepi[to] al riguardo". Nel riaffermare, quindi, lo scopo della mail, la società ha ribadito di non "aver posto in essere (almeno consapevolmente) alcun trattamento di dati sensibili".

4.3. Con la già menzionata nota del 20 gennaio 2015, infine, Tecnocasa Franchising S.p.A. e HH s.r.l. hanno prodotto copia del contratto di appalto di servizio tra loro intercorrente. Nell´ambito di tale contratto, HH s.r.l. risulta destinataria di  "tutte le deleghe e le responsabilità" in relazione ai contratti sottoscritti con i "fornitori terzi".

5. Le valutazioni dell´Autorità.

5.1. La reclamante si duole del fatto che una sua email, originariamente inviata a un franchisee del gruppo Tecnocasa e contenente anche informazioni di natura confidenziale relative a una imminente operazione, sia stata successivamente trasmessa, in assenza di informativa e consenso, in allegato a una email inoltrata da alcuni collaboratori di Tecnocasa Franchising S.p.A. e HH s.r.l. a numerosissimi altri affiliati del medesimo gruppo; ciò avrebbe determinato, a detta dell´istante, un trattamento dei suoi dati personali e sensibili non sorretto da adeguati presupposti giustificativi.

Il reclamo, alla luce delle risultanze in atti, risulta fondato nei termini di cui appresso.

5.2. Premesso che l´operazione posta in essere integra una "comunicazione" ex art. 4, comma 1, lett. l), del Codice occorre anzitutto individuare, in ragione dei molteplici soggetti coinvolti nella vicenda, i (con)titolari del contestato trattamento, qui ravvisabili, sulla base delle attuali evidenze documentali, in Tecnocasa Franchising S.p.A. e Consul Center s.r.l.

Risulta anzitutto indimostrato che i sigg.ri XX e YY abbiano operato per finalità proprie e al di fuori della sfera di controllo di Tecnocasa Franchising S.p.A. (sia pure attraverso HH s.r.l.) e di Consul Center s.r.l. (in proposito, v. anche il Parere 1/2010 sui concetti di "responsabile del trattamento" e "incaricato del trattamento" adottato dal Gruppo di lavoro art. 29 in data 16 febbraio 2010, WP 169, pp. 16 e ss.), sì da poterli quindi qualificare, come pure sostenuto dalla stessa Tecnocasa Franchising S.p.A. e da HH s.r.l., quali effettivi titolari del trattamento. Al contrario, sussistono in atti sufficienti elementi (tra cui il tenore letterale della comunicazione del 13 febbraio 2013, che denota l´inequivoco intendimento di salvaguardare i "servizi forniti dal franchisor e l´integrità dei dati") per ritenere che costoro abbiano agito –in adempimento di più generali obblighi derivanti dai contratti di appalto in essere e nella veste di incaricati del trattamento formalmente designati da Tecnocasa Franchising S.p.A. e da Consul Center s.r.l.– per finalità, nell´interesse e a tutela, anzitutto, del franchisor. Né, per altro verso, risultano individuabili specifici "indici" (anche contrattuali) tali da giustificare la riconducibilità del trattamento in esame in capo ad KK di XX s.a.s. o a HH s.r.l.: la prima, infatti, non gode, alla luce del rapporto contrattuale in essere con HH s.r.l., di specifici poteri decisionali in ordine alle finalità e modalità dei trattamenti svolti; la seconda, invece, risulta designata responsabile ex art. 29 del Codice in ordine alle operazioni di trattamento di dati personali derivanti dal contratto in essere con Tecnocasa Franchising S.p.A., con delega in nome e per conto del franchisor alla gestione dei rapporti con eventuali (sub)fornitori. A ciò, si aggiunga che:

Tecnocasa Franchising S.p.A.

–  è chiamata a vigilare sull´operato dei propri responsabili (art. 29 del Codice), anche rispetto a operazioni di trattamento poste in essere nell´ambito di servizi esternalizzati;

– era a conoscenza della collaborazione prestata dai sigg.ri XX e YY, nelle loro qualità, rispettivamente, di rappresentante di KK di XX s.a.s. e di collaboratore di Consul Center s.r.l.;

–  è responsabile delle azioni dei "consulenti informatici locali";

– vanta, sul piano più generale, poteri prescrittivi in ordine alle "caratteristiche essenziali" dei servizi appaltati a HH s.r.l. e parzialmente svolti, suo tramite, anche a mezzo di "fornitori terzi";
Consul Center s.r.l.

– opera, sulla base del contratto in essere con Tecnocasa Franchising S.p.A., in totale "autonomia e indipendenza, sia per quanto concerne le modalità che per quanto attiene ai criteri di svolgimento delle prestazioni […] e senza essere soggetta a vincoli di subordinazione e/o di presenza o dipendenza dalla società franchisor";

– verifica "che il franchisee operi correttamente utilizzando il servizio banca dati e i sistemi informativi forniti dal franchisor".

Muovendo da tali complessive considerazioni, non può essere condivisa la tesi in merito alla ritenuta estraneità di Tecnocasa Franchising S.p.A. (sotto il profilo della disciplina di protezione dei dati personali) rispetto alla condotta contestata, né può essere escluso, per le ragioni innanzi evidenziate, un coinvolgimento di Consul Center s.r.l. quale co-titolare del medesimo trattamento.

5.3. Nel merito delle contestazioni formulate, la documentazione acquisita ha confermato, per espressa ammissione delle società, che la trasmissione della email recante in allegato i dati personali della reclamante (tra cui il suo numero di cellulare) è avvenuta senza informare previamente l´interessata e senza acquisire il relativo consenso (artt. 13 e 23 del Codice), presupposti necessari –contrariamente a quanto sostenuto da Tecnocasa Franchising S.p.A. e da Consul Center s.r.l.– non già per l´utilizzo dello strumento di posta elettronica (invero sempre possibile, sia pure nel quadro delle tutele accordate dal Codice), ma per il corretto trattamento dei suoi dati personali. Non potendo trovare applicazione, sulla base dei fatti rappresentati, altro pertinente presupposto di liceità del trattamento (art. 24 del Codice), ovvero di esonero dall´informativa (art. 13, comma 5, del Codice), deve concludersi che lo stesso è stato effettuato in violazione di legge, in specie delle disposizioni sopra richiamate.

Alle medesime conclusioni deve pervenirsi con riferimento ai dati sensibili trattati da Tecnocasa Franchising S.p.A. e da Consul Center s.r.l. Contrariamente a quanto sostenuto, infatti, la missiva inviata in allegato alla comunicazione del 13 febbraio 2013 conteneva, tra le altre, inequivoche espressioni ("Io la prossima settimana dovrei operarmi finalmente!!! (ho un po´ paura in realtà…)"; "[…] fatemi sapere, così passo a trovarvi prima che mi ricoverano!!") che –alla luce dell´immediato e diretto riferimento alla persona dell´interessata e al suo prospettato "ricovero", nonché alle relative (palesate) condizioni psicologiche– risultano indubbiamente idonee, sulla base della nozione di "dato sensibile" accolta dall´art. 4, comma 1, lett. d), del Codice, a rivelarne lo stato di salute; e ciò, a prescindere dalla specifica tipologia di intervento che l´ha poi riguardata. Ne consegue che l´aver trasmesso la comunicazione del 13 febbraio 2013 allegando, in forma integrale, l´email originariamente inviata dall´istante ha comportato un trattamento di dati anche sensibili che, allo stato degli atti, non risulta supportato – argomentando ex artt. 13 e 26 del Codice– da idonei presupposti di legittimità. E ciò, a tacere del fatto che la finalità "dimostrativa" dichiarata avrebbe potuto essere comunque perseguita, in termini  ugualmente efficaci, oscurando i dati identificativi dell´interessata e le altre informazioni a lei riconducibili; sicché l´allegazione integrale dell´anzidetta email e il suo invio agli affiliati del Gruppo Tecnocasa risulta aver altresì violato, nella prospettiva qui evidenziata, non solo l´art. 3 del Codice –che impone ab origine al titolare di ridurre al minimo l´utilizzo di dati personali e identificativi degli interessati–, ma anche l´art. 11, comma 1, lett. d), dello stesso Codice, a mente del quale possono formare oggetto di lecito trattamento i soli dati personali pertinenti e non eccedenti rispetto alla finalità perseguita.

Alla luce di tali considerazioni, non può che dichiararsi illecito il trattamento effettuato da Tecnocasa Franchising S.p.A. e Consul Center s.r.l. relativamente ai dati personali e sensibili dell´interessata; nei loro confronti, quindi, non può che disporsi, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, il divieto dell´ulteriore trattamento dei predetti dati in assenza di idonei presupposti giustificativi, in particolare sotto il profilo della liceità, necessità e proporzionalità (artt. 3, 11, comma 1, lett. a), d), 13, 23, 24 e 26 del Codice), con possibilità di conservarli solo al fine di tutelare eventuali diritti in sede giudiziaria.
Fermo restando che l´Autorità si riserva, con autonomo procedimento, la contestazione di eventuali sanzioni amministrative, deve altresì prescriversi alle due società, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, di adottare idonee misure atte a garantire (anche ai sensi dell´art. 31 del Codice) una scrupolosa vigilanza sull´operato dei soggetti che eseguono trattamenti per loro conto e/o nel loro interesse, sensibilizzandoli al puntuale rispetto delle istruzioni ricevute e avviando, se del caso, specifiche iniziative di formazione sotto il profilo della disciplina di protezione dei dati personali.

Infine, stante l´assenza di specifici poteri decisionali in capo ad KK di XX s.a.s., si ritiene di dover prescrivere a Tecnocasa Franchising S.p.A., ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, di designare quest´ultima quale responsabile del trattamento per le operazioni connesse all´esecuzione del contratto di appalto intercorrente con HH s.r.l. (sul piano più in generale, in materia di appalto e subappalto, v. anche Provv. 29 aprile 2009 [doc. web n. 1617709] e Provv. 29 novembre 2012 [doc. web n. 2276103]).

Deve essere infine disattesa, in questa sede, la richiesta dell´interessata di prescrivere alle società (con)titolari l´invio di una nuova comunicazione recante l´esatto importo dell´offerta originariamente formulata; tale richiesta, infatti, deve essere attivata nell´ambito di un procedimento instaurato su ricorso (artt. 145 e ss. del Codice), previo esercizio del diritto di rettifica di cui all´art. 7, comma 3, lett. a), dello stesso Codice.

Il presente provvedimento lascia ovviamente impregiudicata la possibilità per l´interessata di rivolgersi all´Autorità giudiziaria per il risarcimento dei danni eventualmente subiti in conseguenza dell´acclarato indebito trattamento.

TUTTO CIÒ PREMESSO, IL GARANTE

– dichiara illecito, per le ragioni di cui in motivazione, il trattamento effettuato da Tecnocasa Franchising S.p.A. e Consul Center s.r.l. relativamente ai dati personali e sensibili dell´interessata;

– vieta alle due società, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, di trattare ulteriormente tali dati in assenza di idonei presupposti giustificativi, in particolare sotto il profilo della liceità, necessità e proporzionalità (artt. 3, 11, comma 1, lett. a), d), 13, 23, 24 e 26 del Codice), con possibilità di conservarli solo al fine di tutelare eventuali diritti in sede giudiziaria;

– prescrive a Tecnocasa Franchising S.p.A. e Consul Center s.r.l., ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, di adottare idonee misure atte a garantire (anche ai sensi dell´art. 31 del Codice) una scrupolosa vigilanza sull´operato dei soggetti che eseguono trattamenti per loro conto e/o nel loro interesse, sensibilizzandoli al puntuale rispetto delle istruzioni ricevute e avviando, se del caso, specifiche iniziative di formazione sotto il profilo della disciplina di protezione dei dati personali;

– prescrive a Tecnocasa Franchising S.p.A., ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, di designare KK di XX s.a.s. quale responsabile del trattamento per le operazioni connesse all´esecuzione del contratto di appalto intercorrente con HH s.r.l.;

– rigetta la richiesta dell´interessata di prescrivere alle società (con)titolari l´invio di una nuova comunicazione recante l´esatto importo dell´offerta originariamente formulata.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 23 aprile 2015

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia