Garante per la protezione
    dei dati personali


Provvedimento del 30novembre 2005

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale;

VISTA la previgente normativa nazionalein materia di protezione dei dati personali (l. 31 dicembre 1996, n. 675; d.lg.28 dicembre 2001, n. 467);

VISTE la normativa comunitaria enazionale vigente in materia di protezione dei dati personali (direttiva n.95/46/CE del 24 ottobre 1995; d.lg. n. 30 giugno 1996, n. 196 recante il Codicein materia di protezione dei dati personali);

VISTA la decisione adottata dal Garantesul ricorso proposto da ZX, in qualitł di rappresentante legale della propriafiglia minore, nei confronti di Model Management e di Gruppo Piramide s.r.l.;

VISTI gli elementi acquisiti a seguitodegli accertamenti avviati e le deduzioni pervenute al Garante al riguardo daparte di Gruppo Piramide s.r.l.;

RITENUTA la necessitł di prescriveremisure ed accorgimenti a garanzia degli interessati al fine di rendere conformeil trattamento dei dati di cui alla documentazione in atti alle disposizioni inmateria di protezione dei dati personali e di vietarne trattamenti illeciti(art. 154, comma 1, lett. c) e d), del Codice);

VISTE le osservazioni dell'Ufficioformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;

RELATORE il dott. Giuseppe Chiaravalloti;

PREMESSO

1. Il 22 ottobre 2001, ZX ha propostoricorso al Garante in nome e per conto della figlia, all'epoca minore di etł,nei confronti di Mo&Ma Model Management di Gabrielli Giorgio (di seguito,"Mo & Ma", impresa operante nel settore della formazione peraspiranti modelle ed indossatrici, cessata nel 2001) e di Gruppo Piramides.r.l. (societł che svolge operazioni di raccolta e di comunicazione a terzi didati personali per il compimento di attivitł anche di marketing, di seguito "Gruppo Piramide"), assumendodi non aver ricevuto un completo riscontro alle richieste rivolte ai soggettimenzionati ai sensi dell'art. 13 della legge n. 675/1996. Tali istanze,relative all'invio da parte di Mo & Ma alla minore di un messaggio diinvito a partecipare ad una selezione di aspiranti modelle, avevano ad oggetto,in particolare, la cancellazione dei dati trattati e la comunicazione dellaloro origine.

Nell'ambito di tale procedimento Mo-Mas.r.l. (di seguito, "Model Management", societł che svolgeattualmente attivitł di organizzazione di corsi per indossatrici e modelle,costituita successivamente alla cessazione di Mo & Ma) ha dichiarato alGarante, con riferimento all'origine dei dati relativi alla minore, di averliacquisiti –tramite la societł collegata P.d.m.-Professioni didattichemoderne s.r.l (di seguito "P.d.m.")– da Gruppo Piramide. Alriguardo Gruppo Piramide, nel medesimo procedimento, ha perś dichiarato di nonaver "mai intrattenuto alcun rapporto" con Model Management e di non detenere nei propri archivi ilnominativo della minore; ha altresô precisato che il solo dato presente neipropri archivi era relativo all'utenza telefonica intestata al nucleo familiaredella minore (peraltro, mai comunicato a terzi).

Con provvedimento del 21 novembre 2001,con il quale l'Autoritł si Ć pronunciata in ordine al ricorso di cui sopra, ilGarante ha altresô disposto l'avvio di un autonomo procedimento al fine diaccertare l'origine dei dati trattati e i rapporti intrattenuti fra ModelManagement e Gruppo Piramide in ordine all'acquisizione di particolari banchedati, nonchÄ per verificare la liceitł e correttezza del connesso trattamento.

2. Dalle dichiarazioni rese da ModelManagement nel corso del conseguente accertamento ispettivo svolto dall'Autoritł,Ć emerso che la medesima societł ha utilizzato dati acquisiti da GruppoPiramide per svolgere attivitł di marketing, conformemente a quanto gił sostenuto in sede diricorso (cfr. verbale dell'8 aprile 2003).

A conferma di tale affermazione P.d.m., interessatadagli accertamenti svolti da questa Autoritł a seguito delle dichiarazioni reseda Model Management, ha esibito la documentazione contabile comprovante letransazioni intercorse con Gruppo Piramide in ordine all'acquisto di dati disoggetti residenti nella Regione Lombardia (in particolare, di quelli relativialle persone nate fra il 1982 e il 1984 e residenti nella provincia di Milano,tra cui la figlia del ricorrente), nonchÄ i supporti informatici contenentitali dati e provenienti, in base a quanto dichiarato dalla medesima, da GruppoPiramide (cfr. verbale del 12 giugno 2003).

Model Management ha altresô dichiarato diaver ricevuto assicurazioni verbali da parte dei rappresentanti di GruppoPiramide circa la lecita provenienza dei dati stessi (cfr. verbale dell'8aprile 2003, p. 3).

Nel corso del medesimo accertamentoispettivo Gruppo Piramide ha  dichiarato, al contrario, di non aver maicomunicato i dati sopraindicati a P.d.m., esibendo in tal senso ladocumentazione (tra cui fatture e moduli d'ordine) relativa alle cessioni didati intervenute con P.d.m.; Gruppo Piramide ha altresô precisato di trattaredati abitualmente ricavati da pubblici elenchi (ed in particolare elenchitelefonici e liste elettorali), nonchÄ di non effettuare piŁ la raccolta, nÄ lacessione a terzi, di dati relativi a minori dal maggio del 1997 e che pertantonella propria banca-dati erano presenti solo quelli raccolti in epocaantecedente all'entrata in vigore della legge n. 675/1996 (cfr. verbale del 3aprile 2003).

PiŁ in generale, in base a quantodichiarato dalla medesima societł, Ć emerso che Gruppo Piramide di regola nonfornisce una propria autonoma e specifica informativa agli interessati, "consideratianche l'elevato numero, la natura e l'origine dei dati personali presenti nellabanca-dati", e che di norma,per le medesime ragioni, non richiede il consenso degli interessati (cfr.verbale del 3 aprile 2003, p. 4).

3. Tenuto conto degli elementicontrastanti emersi, il Garante ha disposto che si effettuasse un ulterioreaccertamento ispettivo in locoavente ad oggetto le banche dati rispetto alle quali Gruppo Piramide Ć titolaredel trattamento.
In occasione dell'accesso a tali banche dati effettuatoin data 1í ottobre 2003 (cfr. verbali resi in pari data), questa Autoritł hariscontrato in particolare:

0.     l'esistenza di un programma digestione degli ordini nel quale erano memorizzati, tra l'altro, quellieffettuati da P.d.m. e da Model Management nel corso del 1998 e del 1999,nonchÄ la presenza di alcune fatture emesse nei confronti di dette societłcorrispondenti a quelle esibite spontaneamente da P.d.m. nel corso diprecedenti accertamenti (cfr. verbale del 12 giugno 2003) e di moduli d'ordineconcernenti i nominativi di persone nate in Lombardia tra il 1982 e il 1984 etra il 1979 e 1981;

0.     l'assenza, a quel momento (1íottobre 2003), di informazioni relative alla minore e alla sua famiglia;

0.     la presenza in una copia di back-up della predetta banca-dati risalente all'anno 1998del nominativo della minore e in una copia di back-up della banca-dati aggiornata all'anno 1999 deinominativi di altri minori relativi alla provincia di Milano;

0.     l'avvenuto invio da parte diGruppo Piramide a P.d.m. nel corso del 1998 dei supporti magnetici acquisitinell'ambito dell'accertamento svolto presso la societł P.d.m. e contenenti, tral'altro, i dati personali relativi alla minore. Tale circostanza Ć stataconfermata dalla persona incaricata della gestione informatica delle banchedati del Gruppo Piramide.

4. Ai sensi dell'art. 154, comma 1, lett.c) e d) del Codice, con il presente provvedimento il Garante prescrive a GruppoPiramide, a P.d.m. e a Model Management l'adozione delle misure e degliaccorgimenti a garanzia degli interessati, al fine di conformare i trattamentidescritti alla disciplina in materia di protezione dei dati personali neitermini di seguito specificati, e vieta ai menzionati titolari il trattamentoillecito dei dati raccolti.

Emergono profili di illiceitł relativiall'adempimento degli obblighi connessi alla raccolta del consenso eall'informativa agli interessati nell'ambito del compimento di attivitł diraccolta e di cessione di dati a terzi, nonchÄ di successivo utilizzo deimedesimi per svolgere attivitł di marketing; ciś, con riguardo sia alla vicenda descritta inpremessa relativa alla minore sia, piŁ in generale, alle operazioni ditrattamento svolte dalle suddette societł in ordine ai dati personali raccoltiprima dell'entrata in vigore della legge n. 675/1996 concernentianche altri minori.

5. Con riferimento al profilo delconsenso degli interessati, benchÄ Gruppo Piramide abbia in merito dichiaratodi trattare dati abitualmente ricavati da pubblici elenchi (in particolare,elenchi telefonici e liste elettorali) –per i quali ai sensi degli artt.12, comma 1, lett. c) e 20, comma 1, lett. b) della legge n. 675/1996 non eranecessario acquisire il consenso degli interessati– occorre rilevare che,alla luce della documentazione acquisita, i dati personali oggetto dicomunicazione da parte di Gruppo Piramide a Model Management riguardanoindividui (all'epoca) minori (tra i quali la figlia del ricorrente) che,proprio per tale specifica caratteristica, non compaiono in elenchi telefonicio liste elettorali.

Non Ć inoltre invocabile, nÄ soccorre nelcaso di specie, quale presupposto di liceitł delle operazioni di trattamentoeffettuate dai soggetti menzionati sui dati raccolti antecedentementeall'entrata in vigore della legge n. 675/1996, il precetto gił contenutonell'art. 41 della medesima legge secondo cui "le disposizioni cheprescrivono il consenso dell'interessato non si applicano in riferimento aidati personali raccolti precedentemente alla data di entrata in vigore dellalegge stessa, o il cui trattamento sia iniziato prima di tale data". La norma appena richiamata, infatti,riconosceva espressamente, facendola salva, l'applicabilitł ai predetti datidella disciplina di cui alla legge n. 675/1996 nell'ipotesi di comunicazione.

Pertanto, sebbene la raccolta dei dati inesame sia avvenuta anteriormente all'entrata in vigore della stessa legge,dalla disposizione sopra richiamata deriva che l'accertata comunicazione nel1998 a Model Management, tramite la societł P.d.m., di dati relativi a minori(riferiti anche alla minore), poteva essere effettuata lecitamente da GruppoPiramide solamente dopo aver acquisito il preventivo consenso degli interessatisecondo le modalitł di cui all'art. 11 della legge n. 675/1996; consenso chedoveva essere espresso, nel caso di specie, dai soggetti titolari della potestłgenitoriale (art. 11 della l. n. 675/1996; artt. 316 e ss. cod. civ.; alriguardo cfr. punto 2.6. del European Code of Practice for the use ofpersonal data in direct marketing -Codice della Fedma, federazione europea del marketing diretto, allegato a Gruppo di lavoro per la tutela dei datipersonali Art. 29, Parere n. 3/2003 sul Codice di condotta europeo della Fedmaper l'utilizzazione dei dati personali nel marketing diretto, 13 giugno 2003).In termini analoghi anche P.d.m. e, quindi, Model Management avrebbero potutoprocedere, rispettivamente alla comunicazione e al successivo trattamento ditali dati, soltanto in presenza del medesimo presupposto.

Oltre al menzionato profilo dell'illecitacomunicazione dei dati merita altresô rilevare che, alla luce delle verifichesvolte in ordine ai dati della minore (e di altri minori residenti nellaprovincia di Milano) oggetto di comunicazione a P.d.m. e, successivamente, aModel Management (all'epoca ancora custoditi, in una copia di back-up, presso le banche dati di Gruppo Piramide), in basea quanto indicato nell'art. 18 del d.lg. n. 467/2001, la norma transitoria dicui all'art. 41 della legge sopra citata non Ć piŁ applicabile a far data dal30 giugno 2003: anche da ciś deriva l'inutilizzabilitł da parte dei titolaricoinvolti nel procedimento in esame dei dati raccolti da Gruppo Piramide inepoca antecedente all'entrata in vigore della legge n. 675/1996 in mancanza diuno specifico ed espresso consenso degli interessati.

6. Ulteriori profili di difformitłrispetto alla disciplina in materia di protezione dei dati personali emergono(come rappresentato nel ricorso indicato in premessa con riferimento allacomunicazione inviata da Model Management ed in base a quanto successivamenteaccertato da questa Autoritł) in relazione al mancato adempimento dell'obbligodi rendere l'informativa agli interessati sul trattamento di dati che liriguardano da parte dei soggetti coinvolti nel procedimento in esame.

Fermo restando il rispetto dell'obbligogenerale di rendere l'informativa agli interessati al momento della raccolta(art. 10, comma 1, l. n. 675/1996, ora art. 13, comma 1, del Codice), occorreevidenziare che, anche quando i dati non vengano raccolti presso l'interessatol'informativa, comprensiva delle categorie di dati trattati, deve comunqueessere resa "all'atto della registrazione dei dati o, quando siaprevista la loro comunicazione, non oltre la prima comunicazione" (v. art. 10, comma 3, l. n. 675/1996, ora art.13, comma 4, del Codice), fatte salve le ipotesi di esoneri di cui all'art. 13,comma 5, del medesimo Codice che nel caso di specie non si sono verificate.

Tenuto conto di quanto avvenutonell'ambito delle operazioni di trattamento poste in essere dai soggettiindicati, e di quanto successivamente accertato da questa Autoritł, va pertantoconstatato che i titolari menzionati avrebbero dovuto rendere l'informativaagli interessati nei termini di cui sopra.

TUTTO CI˝ PREMESSO, ILGARANTE:

a) accertata l'illiceitł del trattamentoeffettuato, vieta ai titolari dei trattamenti di cui in atti, ai sensidell'art. 154, comma 1, lett. d), del Codice, di proseguire le operazioni ditrattamento di dati personali raccolti in epoca antecedente all'entrata invigore della legge n. 675/1996 effettuate in violazione delle disposizioni inmateria di protezione di dati personali all'epoca vigenti, dati che dovrannoessere comunque cancellati;

b) prescrive ai medesimi titolari deltrattamento, ai sensi dell'art. 154, comma 1, lett. c), del Codice, al fine direndere il trattamento conforme alle disposizioni vigenti, di adottare neitermini di cui in motivazione le misure necessarie per rispettare l'obbligo diacquisire il consenso degli interessati al trattamento dei dati, salvi i casiin cui operano presupposti equipollenti del trattamento (artt. 23 e 24 delCodice), nonchÄ di rendere l'informativa agli stessi al momento della relativaraccolta (art. 13 del Codice), avendo cura, in particolare:

0.     che il consenso sia manifestatoda chi esercita la potestł genitoriale nel caso di trattamento dei datiriguardante minori;

0.     che sia resa l'informativa anchequando la raccolta dei dati non sia effettuata presso gli interessati (art. 13,commi 4 e 5, del Codice);

0.     di comunicare al Garante entro enon oltre il 15 febbraio 2006, in ottemperanza alla presente statuizioneadottata anche ai sensi e per gli effetti di cui agli artt. 157, 164 e 168 delCodice, che i trattamenti di dati effettuati sono conformi alle prescrizionidel presente provvedimento, conformitł che dovrł essere comprovata anche da ogniinformazione e documento utili da allegare alla comunicazione all'Autoritł.

Roma, 30 novembre 2005

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli