Marketing: necessario il consenso per l'invio di comunicazioni promozionali...
Marketing: necessario il consenso per l'invio di comunicazioni promozionali via e-mail - 8 aprile 2010 [1721205]
VEDI ANCHE
- Newsletter del 24 giugno 2010
- Ordinanza di ingiunzione del 21 dicembre 2011
[doc. web n. 1721205]
Marketing: necessario il consenso per l´invio di comunicazioni promozionali via e-mail - 8 aprile 2010
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale reggente;
VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");
VISTA la segnalazione del sig. XY in data 4 settembre 2009, con la quale lo stesso ha lamentato l´invio - dopo la registrazione al relativo sito www.edreams.it - di varie e-mail indesiderate da parte della società eDreams srl (di seguito indicata come "la società"), contenenti la promozione di offerte relative a voli aerei, anche dopo la reiterata opposizione del segnalante a tale trattamento di dati;
VISTA la documentazione allegata dal segnalante, comprovante l´invio di dette e-mail da parte della società e la proposizione delle istanze di opposizione al trattamento formulate dal segnalante alla medesima;
VISTA l´iniziale richiesta di informazioni formulata dall´Ufficio alla società il 5 ottobre 2009, rispetto alla quale non sono pervenuti gli elementi richiesti, e la successiva richiesta formulata ai sensi dell´art. 157 del Codice in data 17 novembre 2009, rimasta anch´essa inevasa, e pertanto reiterata e notificata dalla Guardia di Finanza - Nucleo Speciale Privacy in data 18 febbraio 2010, unitamente al verbale di contestazione della violazione amministrativa di cui all´art. 164 del Codice per omessa informazione al Garante;
VISTI il verbale di operazioni compiute redatto dalla G.d.F. in data 18 febbraio 2010 e i riscontri forniti dalla società con nota del 3 marzo 2010, ad integrazione delle dichiarazioni contenute nel detto verbale, dai quali risulta che la società è titolare del trattamento e non ha negato l´invio di e-mail promozionali al segnalante anche successivamente all´opposizione da parte del medesimo;
CONSIDERATO che in base all´art. 7, comma 4 del Codice il consenso è sempre revocabile da parte dell´interessato;
RILEVATO che tuttavia risulta cessata l´attività di invio al segnalante di tali comunicazioni indesiderate e che, pertanto, non vi è necessità di adottare nei confronti della società un provvedimento inibitorio; ferma restando, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento la violazione amministrativa di cui al combinato disposto degli artt. 130, comma 2 e 162, comma 2-bis del Codice, in riferimento al trattamento posto in essere successivamente alla reiterata opposizione del segnalante;
RILEVATO, altresì, che, dall´accertamento condotto dall´Ufficio, sono emersi ulteriori aspetti meritevoli di approfondimenti istruttori, e in particolare che nel form di registrazione al suo sito la società non richiede un espresso consenso - distinto rispetto a quello necessario per i trattamenti con finalità di marketing - all´impiego dei dati per la finalità di profilazione, posta in essere dalla medesima come emerge dall´informativa del detto sito ("I dati verranno trattati per finalità istituzionali, connesse o strumentali all´attività del nostro Gruppo, e quindi: "1. per dare esecuzione ad un Servizio o ad una o più operazioni contrattualmente convenute …; 4. raccogliere informazioni sui gusti e preferenze del cliente in tema di viaggi ed informazioni socio demografiche….");
RILEVATO altresì che nella detta informativa la società non rende edotti gli interessanti riguardo alla possibilità di opporsi in qualunque momento allo specifico trattamento di profilazione;
RILEVATO che l´art. 23 del Codice prevede che i dati personali sono utilizzabili da parte dei privati solo con il consenso dell´interessato preventivo, specifico, con riferimento a un trattamento chiaramente individuato, e da documentare per iscritto;
CONSIDERATO che l´attività di profilazione effettuata dalla società senza il prescritto consenso costituisce quindi un trattamento illecito di dati;
RILEVATO che, dall´accertamento successivamente condotto dall´Autorità, è emerso che il form di registrazione e l´informativa di cui sopra risultano ancora configurati come sopra descritto;
CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d´ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;
RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato all´attività di profilazione senza l´acquisizione del necessario consenso preventivo e specifico del segnalante e degli altri utenti del sito che si siano registrati e tuttora si registrino al medesimo;
RILEVATA, altresì, la necessità di adottare nei confronti della società un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;
TENUTO CONTO che, ai sensi dell´art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni, e che, ai sensi dell´art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;
RILEVATO, inoltre, che l´art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;
RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento la violazione amministrativa concernente l´omessa acquisizione del consenso (artt. 23 e 162, comma 2-bis del Codice);
CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;
VISTA la documentazione in atti;
VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;
Relatore il dott. Mauro Paissan;
TUTTO CIÒ PREMESSO IL GARANTE:
a) dichiara illecita l´attività di profilazione effettuata dalla società eDreams srl, con sede legale in Milano, Via Boscovich n. 14, senza il consenso preventivo, specifico e da documentare per iscritto;
b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla società eDreams srl qualunque trattamento a fini di profilazione effettuato dalla medesima senza aver ottenuto il predetto consenso;
c) ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla società eDreams srl di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:
1) modificare il form di registrazione al sito www.edreams.it, inserendo la richiesta agli interessati di un preventivo consenso - distinto rispetto a quello necessario per i trattamenti con finalità di marketing - in relazione ai trattamenti per la finalità di profilazione;
2) modificare l´informativa del sito www.edreams.it indicando la possibilità per gli interessati di opporsi in qualunque momento allo specifico trattamento di profilazione;
d) prescrive altresì alla predetta società, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, di trasmettere al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare del form di registrazione al sito www.edreams.it e un esemplare dell´informativa conformi alle prescrizioni di cui sopra.
Roma, 8 aprile 2010
PRESIDENTE
Pizzetti
IL RELATORE
Paissan
IL SEGRETARIO GENERALE REGGENTE
De Paoli