Diritti interna

Doveri interna

ricerca avanzata

Parere su uno schema di regolamento recante le nuove disposizioni in materia di iscrizione e funzionamento del registro pubblico delle opposizioni e istituzione dei prefissi nazionali per le chiamate telefoniche a scopo statistico, promozionale e di ricerche di mercato - 30 aprile 2019 [9109315]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
9109315
Data:
30/04/19
Argomenti:
Marketing , E-mail promozionali , Registro delle opposizioni , SMS promozionali , Telefonate promozionali
Tipologia:
Parere del Garante

[doc. web n. 9109315]

Parere su uno schema di regolamento recante le nuove disposizioni in materia di iscrizione e funzionamento del registro pubblico delle opposizioni e istituzione dei prefissi nazionali per le chiamate telefoniche a scopo statistico, promozionale e di ricerche di mercato - 30 aprile 2019

Registro dei provvedimenti
n. 109 del 30 aprile 2019

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dello sviluppo economico;

Visto l’articolo 36, par. 4, del Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito Regolamento);

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito Codice);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

PREMESSO

1. Il Ministero dello Sviluppo economico ha chiesto il parere del Garante su uno schema di regolamento recante le nuove disposizioni in materia di iscrizione e funzionamento del registro pubblico delle opposizioni e istituzione dei prefissi nazionali per le chiamate telefoniche a scopo statistico, promozionale e di ricerche di mercato.

Lo schema di regolamento è adottato in attuazione dell'articolo 1, comma 15, della legge 11 gennaio 2018, n. 5 e sostituisce integralmente il decreto del Presidente della Repubblica 7 settembre 2010, n. 178, in materia di registro pubblico dei contraenti che si oppongono all'utilizzo del proprio numero telefonico per vendite o promozioni commerciali. Quest’ultimo decreto è già stato recentemente modificato dal decreto del Presidente della Repubblica n. 149 del 2018 che, in attuazione dell’articolo 1, comma 54, della legge n. 124 del 2017, ha esteso la disciplina vigente rispetto all´utilizzo delle numerazioni telefoniche per le finalità di marketing, anche all´invio di posta cartacea.

In particolare lo schema di regolamento in esame, in attuazione della legge 11 gennaio 2018, n. 5, estende la possibilità che siano iscritti al “Registro pubblico delle opposizioni” (di seguito anche RPO) anche i numeri di telefonia mobile e i numeri riservati, ovvero non presenti negli elenchi telefonici pubblici di cui all'articolo 129 del Codice, ed è volto a dare organicità alle varie modifiche intervenute nel tempo e consentire un’applicazione sistematica delle disposizioni in materia di istituzione e gestione del registro pubblico delle opposizioni.

RILEVATO

2. Lo schema di regolamento si compone di 14 articoli e di un allegato (Allegato 1), in cui sono riportate le categorie merceologiche di operatori rispetto ai quali è esercitato il diritto di opposizione da parte dei contraenti.

Gli articoli 1 e 2 dello schema di regolamento recano le modifiche necessarie a ricomprendere – ed estendere rispetto a quanto già previsto dal d.P.R. n. 178/2010 e s.m.i. – il trattamento per fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale di tutte le numerazioni nazionali fisse e mobili, che siano o meno riportate in elenchi di contraenti, oltre agli indirizzi postali riportati negli elenchi dei contraenti di cui all’articolo 129 del Codice.

L’articolo 3 “conferma” l’istituzione del registro e disciplina, al comma 2, il diritto di opposizione per i contraenti. In particolare, fermo restando quanto previsto dall’articolo  21, paragrafo 2 del Regolamento, il contraente, al momento dell’iscrizione nel RPO, può opporsi al trattamento indicando le categorie merceologiche di cui all’allegato 1 nei confronti delle quali esprime opposizione al trattamento dei dati personali per fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale mediante posta cartacea. Tale allegato può essere modificato mediante una determina del  Ministero dello sviluppo economico, previa consultazione del gestore, se diverso dal Ministero, delle associazioni  di categoria  e dei principali  operatori.

L’articolo 4 dello schema disciplina nel dettaglio le attività per la realizzazione e la gestione del registro, ponendole in capo al Ministero dello sviluppo economico.

L’articolo 5 individua le modalità di adesione e di accesso al registro, mentre l’articolo 7 definisce nel dettaglio le modalità e i tempi di iscrizione dei contraenti al RPO, prevedendo, tra l’altro, che l'iscrizione, il rinnovo e la revoca da parte dei contraenti al nuovo sistema siano riferiti alle categorie di soggetti individuate  nell'allegato  (in linea  con  la  previsione  di  cui all'articolo 1, comma 4, della legge n. 5/2018, relativa alla revoca selettiva dell'opposizione).

L’articolo 8 disciplina le modalità tecniche di funzionamento e di accesso al RPO da parte degli operatori prevedendo l’obbligo mensile di consultazione e comunque  precedentemente all'inizio di ogni campagna promozionale, mentre l’articolo 10 prevede in capo all’operatore alcuni obblighi di informazione del contraente.

Infine, l’articolo 12, oltre a disciplinare il controllo da parte del Garante sull’organizzazione e sul funzionamento del RPO, è dedicato all’'impianto sanzionatorio per la violazione del diritto di opposizione nelle forme previste dal regolamento e stabilisce la responsabilità in solido del titolare del trattamento nel caso di affidamento a terzi di attività di call center.

RITENUTO

3. Lo schema in esame tiene conto di alcune delle indicazioni fornite dall’Ufficio del Garante nell’ambito del tavolo tecnico inter-istituzionale istituito - per la redazione di suddetto schema - presso il Ministero dello sviluppo economico e dei contatti anche informali intercorsi con i competenti uffici del ministero.

Nondimeno, al fine di rendere il regolamento pienamente conforme ai principi in materia di protezione dei dati personali e ai presupposti di liceità previsti dal Regolamento e dal Codice come modificato dal decreto legislativo 10 agosto 2018, n. 101, di adeguamento al predetto Regolamento, si svolgono di seguito le seguenti osservazioni.

3.1. Modalità di esercizio del diritto di opposizione

In via prioritaria, si ritiene necessario che nello schema di decreto sia precisato, con opportuna chiarezza espositiva, che l’iscrizione al Registro comporta automaticamente, ai sensi dell’articolo 21, paragrafo 2, del Regolamento, l’opposizione a tutti i trattamenti a fini promozionali da parte di chiunque effettuati, con revoca anche dei consensi precedentemente manifestati. Ne consegue che, in questa sede, è improprio invocare qualunque categoria merceologica della quale la legge n. 5 del 2018 non fa menzione.

Pertanto, si suggerisce di rimodulare il primo periodo di cui al comma 2 dell’articolo 3, espungendo ogni riferimento alle categorie merceologiche e ricorrendo alla seguente formulazione: “2. Il diritto di cui all’articolo 21, paragrafo 2, del RGPD può essere esercitato dal contraente iscrivendosi al Registro di cui al comma 1 ed ha efficacia con riferimento a tutti i trattamenti effettuati per fini di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale. E’ fatto salvo quanto previsto all’articolo 7, comma 5, secondo periodo”.

Sempre al medesimo fine di fugare ulteriori dubbi che potrebbero derivare dall’ambiguità del tenore letterale di alcune disposizioni, lo schema di decreto andrebbe allineato all’articolo 1, commi, 2 e 4 della legge n. 5 del 2018, espungendo dagli articoli 3 e 7, commi 1, 4, 5 e 12, ovunque si trovi, ogni riferimento alle categorie merceologiche di cui all’allegato 1.

Sotto un diverso profilo, il comma 1 dell’articolo 3 dello schema di decreto, riprendendo pedissequamente il testo attualmente vigente degli articoli 2, comma 2, e 3, comma 2, del d.P.R. n. 178/2010, come modificati dal d.P.R. n. 149/2018, prevede che il registro pubblico delle opposizioni si estende “agli indirizzi postali riportati negli elenchi di contraenti”. In proposito, al fine di garantire una adeguata tutela agli interessati, ed in coerenza con l’articolo 1, comma 2, della legge n. 5 del 2018, si suggerisce di valutare l’opportunità che nel Registro medesimo possano confluire anche gli indirizzi postali, pur non presenti negli elenchi dei contraenti, suscettibili di esservi iscritti e qualora indicati espressamente dagli interessati.

3.2. Categorie merceologiche e modalità di revoca dell’opposizione

In attuazione dell’articolo 1, comma 4, della legge n. 5 del 2018, con una disposizione di complessa attuazione, si prevede la possibilità di revocare la propria opposizione nei confronti di uno o più operatori di cui all’allegato 1 (v. articolo 7, comma 3, dello schema di decreto). E’ presumibile che l’esercizio della revoca dell’opposizione, nei termini configurati nello schema di decreto, si riveli una ipotesi residuale - in quanto è prevedibile che tale revoca verrà, nella maggior parte dei casi, più facilmente esercitata dal contraente attraverso la specifica manifestazione di consenso di volta in volta prestata al singolo titolare del trattamento. Anche per tale ragione, la gestione delle categorie merceologiche di cui all’allegato 1 appare di difficile esecuzione pratica.

Al riguardo, deve ribadirsi che nelle disposizioni di rango primario non si rinviene alcun riferimento a “categorie merceologiche”, come indicate nell’allegato 1 dello schema di decreto (per la cui eventuale revisione occorrerebbe in ogni caso consultare il Garante), nei confronti delle quali i contraenti possono revocare l’opposizione al trattamento effettuato per invio di materiale pubblicitario o per il compimento di ricerche di mercato o di comunicazione commerciale di prodotti o di servizi (art. 1, comma 2, l. n. 5/2018). Invero, ai sensi dell’articolo 1, comma, 4 della medesima legge n. 5 del 2018, l’esercizio della revoca dell’opposizione può essere rivolto “nei confronti di uno o più soggetti”.

Si consideri, infatti, che le attività degli operatori (quali, ad esempio, le piattaforme attive nel commercio elettronico) potrebbero essere anche riconducibili a più categorie merceologiche. L’ipotesi normativa prospettata, dunque, per poter essere utilmente applicata a tutela dei diritti e degli interessi sia dei contraenti che degli operatori, dovrebbe astrattamente consentire ai contraenti medesimi di esercitare la revoca dell’opposizione non solo in relazione all’attività del titolare, ma anche in relazione all’oggetto di singole campagne promozionali.

Peraltro, l’introduzione delle predette categorie può comportare ulteriori problemi applicativi, in ragione della oggettiva difficoltà, in taluni casi, di stabilire con precisione i confini delle diverse tipologie merceologiche entro le quali ricondurre l’attività dei diversi operatori e, quindi, di verificare nei confronti di quale categoria merceologica il contraente abbia manifestato la propria volontà, con il rischio di un elevato contenzioso.

Analogamente, si osserva che la previsione di cui all’articolo 7, comma 3, dello schema di decreto, in base alla quale i contraenti iscritti al Registro possono revocare la propria opposizione per periodi di tempo definiti, può creare non poche criticità nella sua applicazione pratica. Ciò in quanto il contraente potrebbe astrattamente richiedere la revoca dell’opposizione anche per periodi di tempo estremamente limitati e frazionati fra loro (ad esempio, con riferimento ad alcune fasce orarie o a determinati giorni della settimana).

Infine, dal mero punto di vista sistematico, si segnala la necessità di riportare nell’articolo 7, comma 3, il riferimento alla determina del Ministero dello sviluppo economico con il quale può essere modificato l’allegato 1 - attualmente presente al comma 2, secondo periodo, dell’articolo 3, prevedendo espressamente la consultazione del Garante sul relativo schema.

3.3. Trattamento per finalità statistiche

All’articolo 2 (“Ambito di applicazione”), al comma 3, per maggiore chiarezza in ordine all’ambito di applicazione del regolamento, è opportuno indicare, quali trattamenti esclusi da tale ambito, invece che  i “trattamenti di dati effettuati per finalità statistiche” (come prevede attualmente la norma) “i trattamenti di dati riferiti alle numerazioni telefoniche nazionali fisse e mobili e agli indirizzi di posta inseriti negli elenchi, effettuati per finalità statistiche ...".

3.4. Realizzazione e gestione del Registro

Con riferimento all’articolo 4, comma 1, lett. e), considerato il ruolo di vigilanza attribuito a questa Autorità dall’articolo 12 dello schema di decreto medesimo, nonché la ricaduta sostanziale sulla tutela della riservatezza degli interessati di tale compito, si segnala che tale lettera andrebbe opportunamente integrata con la previsione secondo la quale l’obbligo di consentire l’esercizio dell’attività di vigilanza e controllo riguarda, per i profili di competenza, anche il Garante per la protezione dei dati personali.

3.5. Modalità e tempi di iscrizione dei contraenti al Registro

All’articolo 7, ai commi 1, lett. b), e 9, è previsto che il contraente possa, tra l’altro, “rinnovare” l’iscrizione al Registro. Atteso che l’iscrizione medesima è a tempo indeterminato, sarebbe opportuno chiarire che tale rinnovo è utile al fine di revocare i consensi eventualmente prestati ai titolari del trattamento successivamente all’iscrizione al Registro. Pertanto, si suggerisce di aggiungere, dopo l’ultimo periodo dell’articolo 7, comma 1, lett. b), il seguente inciso “Il rinnovo dell’iscrizione al registro comporta la revoca del consenso al trattamento dei dati personali prestato ai titolari del trattamento successivamente alla predetta iscrizione”.

Lo schema, poi, ai commi 4 e 5 dell’articolo 7, sembra introdurre un differente regime di tutela nei confronti degli interessati, la cui numerazione sia iscritta o meno negli elenchi dei contraenti di cui all’articolo 129 del Codice. In particolare, si segnala l’opportunità di espungere, dal comma 4, l’inciso iniziale che va da “con riferimento” fino a “ivi riportati”.

Inoltre, l’articolo 7, comma 5, nel prevedere che con l’iscrizione nel Registro “si intendono revocati tutti i consensi precedentemente espressi (c.d. “revoca a tappeto”) stabilisce altresì che sono “fatti salvi i consensi al trattamento delle numerazioni telefoniche da parte dell’operatore che li ha legittimamente raccolti”.

Al riguardo, per maggiore chiarezza del disposto normativo, oltre ad espungere ogni riferimento alle categorie merceologiche, si ritiene necessario sopprimere le parole “delle numerazioni telefoniche da parte dell'operatore che li ha legittimamente raccolti" al fine di fare salvi solo i consensi espressi nei confronti dell'operatore con cui si ha un contratto in essere. In caso contrario, la disposizione si presterebbe ad un'interpretazione estensiva che potrebbe consentire di considerare validi tutti i consensi lecitamente acquisiti, così vanificando l'obiettivo della revoca “a tappeto”. In sostanza si ritiene necessario uniformare la disposizione dello schema in esame al disposto dell’articolo 1, comma 5, secondo periodo, della legge n. 5/2018 che così recita: “Sono fatti salvi i consensi prestati nell’ambito di specifici rapporti contrattuali in essere, ovvero cessati da non più di trenta giorni, aventi ad oggetto la fornitura di beni o servizi, per i quali è comunque assicurata, con procedure semplificate, la facoltà di revoca”.

Analoghe considerazioni vanno formulate con riferimento al comma 12 dell’articolo 7, nel cui ambito andrebbe chiarito anche, con riferimento ai contraenti già iscritti nel Registro, che gli unici consensi da essi “legittimamente prestati” fatti salvi sono quelli manifestati ai sensi dell’articolo 1, comma 5, secondo periodo, della legge n. 5 del 2018.

3.6. Ulteriori aspetti del trattamento

L’articolo 7, comma 8, prevede per il titolare del trattamento il divieto di “comunicazione a terzi, … trasferimento e … diffusione delle numerazioni iscritte al Registro…”.

Il significato della disposizione (che sembra ricalcare l’articolo 1, comma 7, della legge n. 5/2018) non appare chiaro; pertanto al fine di consentire una corretta interpretazione della disposizione sotto il profilo soggettivo, si suggerisce di sostituire le parole “titolare del trattamento” con “operatore”.

L’articolo 8, comma 2, stabilisce che gli operatori interessati hanno “l’obbligo di consultare mensilmente e comunque precedentemente all’inizio di ogni campagna promozionale, il Registro…”. Al riguardo si ritiene opportuna una valutazione circa la congruenza di tale termine mensile con le tempistiche successivamente previste di 15 e 30 giorni relative alla validità delle estrazioni.

L’articolo 9, comma 1, disciplina la presentazione della linea chiamante. Poiché tale obbligo è previsto dall’articolo 2, comma 1, della legge n. 5 del 2018 in capo a tutti coloro che effettuano attività di marketing diretto, si invita a valutare la congruenza della locuzione adoperata, che sembra riferirsi unicamente ai soggetti che svolgono attività di call center per conto degli operatori, con quanto previsto in termini generali dall’articolo 2, comma 1, della legge n. 5 del 2018, in modo da ricomprendere nella previsione normativa anche gli operatori che svolgono direttamente e in proprio l’attività in questione. Pertanto, per maggiore chiarezza, si ritiene opportuno riformulare il primo periodo del comma 1, dell’articolo 9, nei termini che seguono: “Gli operatori e i soggetti che svolgono attività di call center per conto di questi ultimi”.

L’articolo 10 disciplina alcune informazioni che l’operatore, titolare del trattamento, dovrebbe rendere al contraente sul trattamento dei dati che lo riguardano relativi alle numerazioni telefoniche.

Al fine di adeguare pienamente i contenuti e la terminologia adoperata nelle disposizioni ai principi e alle regole codificate nel Regolamento, si richiama l’attenzione sul fatto che, alla stregua di tale normativa, le informazioni (e non più l’”informativa” come prevedeva il Codice) sul trattamento dei dati devono essere fornite all’interessato dal titolare del trattamento (e non dal responsabile del trattamento o dall’”incaricato”, termine quest’ultimo peraltro non più adoperabile per indicare le persone autorizzate al trattamento sotto la autorità del titolare: cfr. artt. 29 Reg. e 2-quaterdecies Codice), anche quando i dati non siano raccolti presso l’interessato stesso (come nel caso di specie), al “momento della prima comunicazione all’interessato” (cfr. art. 14, par. 3, lett. b, Reg.). Ciò non toglie, ovviamente, che il titolare possa in concreto incaricare il responsabile del trattamento (es. il call center) o una persona autorizzata al trattamento dei dati a “riferire” le informazioni dovute al contraente in occasione del contatto telefonico. Pertanto, si suggerisce di sostituire le parole “o i loro responsabili o incaricati del trattamento” con le parole “o i soggetti dagli stessi a tal fine designati”.

Quanto alle modalità con cui rendere le informazioni, si rammenta che il Regolamento prevede che le informazioni possono essere rese “in combinazione con icone standardizzate” la cui definizione è demandata alla Commissione europea (cfr. art. 12, par. 7 e 8, Reg.).

Ciò premesso, al comma 1 dell’articolo in esame, si ritiene opportuno sostituire il secondo periodo (“L’informativa può essere resa con modalità semplificate”) con il seguente: “Le informazioni sono rese anche con le modalità indicate dal Garante per la protezione dei dati personali in conformità a quanto previsto dall’articolo 12, paragrafi 7 e 8 RGPD.”.

3.7. Quadro sanzionatorio e responsabilità

Con riferimento all'impianto sanzionatorio di cui all'articolo 12, commi 2 e 4, si richiama l’attenzione sull’opportunità di uniformare il riferimento normativo alla sanzione applicabile mediante il solo rinvio all’articolo 166, comma 2, del Codice il quale assoggetta alla sanzione prevista dall’articolo 83, paragrafo 5, del Regolamento la violazione dell’articolo 130 del Codice che riguarda, com’è noto, le comunicazioni indesiderate e il RPO.

In particolare, al citato comma 4, il riferimento ad una “corrispondente sanzione amministrativa prevista dal RGPD” risulta inconferente, poiché il Regolamento non disciplina il trattamento di dati effettuato nell’ambito delle comunicazioni elettroniche.

Pertanto, al comma 2, le parole “sanzione di cui all’articolo 83, paragrafo 5, del RGPD” andrebbero sostituite dalle seguenti: “sanzione prevista dall’articolo 166, comma 2, del Codice”.

Inoltre, al comma 4, si suggerisce di sostituire le parole “Al di fuori dei casi previsti” con “fermo restando” e le parole da “corrispondente sanzione” sino alla fine con le seguenti: “sanzione prevista dall’articolo 166, comma 2, del Codice”. A titolo meramente collaborativo, poi, si segnala l’opportunità di sostituire al citato comma 4, le congiunzioni “e/o” con la sola “o”.

Infine, si fa notare che il disposto del comma 3 (solidarietà fra titolare e responsabile del trattamento), probabilmente per un refuso, riproduce pedissequamente la previsione contenuta nell'articolo 1, comma 11, della legge n. 5/2018, facendo riferimento alla violazione della predetta legge piuttosto che al presente regolamento.

In ogni caso, al fine di chiarire la portata cogente del disposto normativo ed evitare comportamenti non corretti, si suggerisce di prevedere, in tale sede, in caso di illeciti, una responsabilità del titolare “non derogabile contrattualmente in concorso o in solido” con i soggetti terzi che hanno effettuato la chiamata.

TUTTO CIÒ PREMESSO IL GARANTE

esprime parere nei termini di cui in motivazione sullo schema di regolamento recante le nuove disposizioni in materia di iscrizione e funzionamento del Registro pubblico delle opposizioni e istituzione dei prefissi nazionali per le chiamate telefoniche a scopo statistico, promozionale e di ricerche di mercato, adottato ai sensi dell’articolo 1, comma 15, della legge 11 gennaio 2018, n. 5, con le osservazioni di cui ai punti da 3.1. a 3.7.

Roma, 30 aprile 2019

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia