Garante per la protezione
    dei dati personali


 Prescrizionie divieto del Garante [art. 154, 1 c) e d) del Codice

 

Raccolta di dati personali in strutture neonatali afini di marketing

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

 

NELLAriunione odierna, in presenza del prof. Francesco Pizzetti, presidente, deldott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e deldott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli,segretario generale;

VISTAla normativa comunitaria e nazionale in materia di protezione dei datipersonali (Codice in materia di protezione dei dati personali approvato cond.lg. n. 30 giugno 1996, n. 196; direttiva comunitaria 95/46/Ce del 24 ottobre1995), anche previgente (l. 31 dicembre 1996, n. 675; d.lg. 28 dicembre 2001,n. 467);

VISTEle segnalazioni dei coniugi YX relative all'utilizzo dei dati personali diuno di essi e dei figli neonati, al fine dell'invio di materiale editoriale daparte di Sfera Editore S.p.a.;

VISTIgli elementi acquisiti a seguito degli accertamenti avviati presso SferaEditore S.p.a. e delle successive deduzioni formulate dalla stessa, nonchédegli ulteriori accertamenti effettuati nei confronti dei c.d."promotori" che collaborano con tale societą;

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREil dott. Giuseppe Fortunato;

PREMESSO

 

1. Raccolta di dati personali per finalitą di marketing presso strutture sanitarieneonatali

1.1.Con nota inviata a Prenatal S.p.a. e Sfera Editore S.p.a. (di seguito,"Prenatal" e "Sfera"), e per conoscenza al Garante, YXha contestato l'invio della pubblicazione "Nuova generazione" editada Sfera (che invita a visitare il sito web dell'altra societą), affermando chenon era stato prestato alcun consenso alla societą in ordine al trattamento deidati dei componenti della propria famiglia. Contestualmente, il segnalante haesercitato nei confronti delle menzionate societą i diritti di cui all'art. 13della legge n. 675/1996 chiedendo, in particolare, di conoscere la natura, latipologia e l'origine dei dati raccolti, nonché la loro cancellazione.

Inriscontro a tali richieste del 30 giugno 2000, le societą hanno comunicato alsegnalante (Sfera, con comunicazione del 27 luglio 2000; Prenatal, con nota del9 agosto 2000), e per conoscenza al Garante, di aver detenuto nei propridata-base, e poi cancellato, i dati relativi alla sig.a YW, moglie delsegnalante, e quelli del figlio YZ.

Inpresenza di ulteriori istanze del segnalante e della richiesta di informazionidell'Autoritą dell'11 aprile 2001 (ai sensi dell'art. 32, comma 1,l. n. 675/1996), con proprie comunicazioni dell'11 maggio 2001 e del18 maggio 2001, Sfera dichiarava al Garante di aver:

a) cancellato i dati relativi allasig.a YW e al figlio YZ, nato il YK, concernenti l'abbonamento gratuitoalla rivista "Io e il mio bambino" edita da Sfera;

b) acquisito tali dati attraversouna cartolina postale ricevuta e registrata il 1° agosto 1999 (comunicata incopia all'Autoritą), contenente un modello di informativa ai sensi dell'art. 10della legge n. 675/1996 e una richiesta di consenso dell'interessato delseguente tenore: "se non desideri ricevere successivi invii di campionigratuiti e di informazioni scientifiche o commerciali, contrassegna con X lacasella";

c) comunicato i dati a Prenatal,quale inserzionista della rivista, nonché ad altre societą designate qualiresponsabili del trattamento.

1.2.Il 18 gennaio 2002, in occasione della nascita del secondo figlio, iconiugi YX hanno segnalato al Garante di aver ricevuto ulteriore materialeeditoriale proveniente da Sfera, rinnovando le proprie richieste volte aconoscere la natura, la tipologia e l'origine dei dati e chiedendone nuovamentela cancellazione.

Nellarisposta del 29 gennaio 2002 inviata ai segnalanti e per conoscenza al Garante,Sfera dichiara di aver utilizzato per l'invio del materiale promozionale di cuisopra i dati precedentemente raccolti in quanto, "pur essendo staticancellati, [i medesimi] sono presenti nel […] data base storico conl'annotazione della […] volontą [dei segnalanti] di non esserecontattati".

Nellamedesima comunicazione Sfera, con l'intento di giustificare il propriocomportamento, sosteneva che "la nascita di un figlio Ź un fattoinevitabilmente pubblico" e che a tale pubblicitą contribuiscono glistessi genitori che "annunciano l'evento ponendo un fiocco sulla porta dicasa" o diffondono il nome del nato attraverso la stampa locale, asserendocosď che, "salvo casi particolari, la nascita non Ź pertanto un datopersonale sul quale possa presumersi una situazione di segretezza o diriservatezza tale da inibirne in modo assoluto la comunicazione e, addirittura,la diffusione". La societą affermava di voler svolgere indagini piĚapprofondite sull'invio del materiale non richiesto, ma l'esito di taliasseriti accertamenti non Ź stato comunicato al Garante.

1.3.Considerata l'inidoneitą degli elementi forniti da Sfera in ordine alla liceitądel trattamento, il Garante ha disposto, con deliberazione 24 giugno 2003, n.13, ulteriori accertamenti ai sensi dell'art. 32, comma 2, della leggen. 675/1996 in ordine al trattamento effettuato da Sfera dei dati relativia donne in stato di gravidanza e a puerpere, raccolti tramite coupondistribuiti all'interno di strutture sanitarie neonatali, la cui compilazioneconsente agli interessati di ricevere gratuitamente una rivista in abbonamento.

Taliaccertamenti, effettuati presso gli uffici di Sfera in Milano e, successivamente,presso altri soggetti (Anna Guglielmi – Bari; GianfrancoBrescia – Foggia; Se.E.Con. s.c.a.r.l. – Alcamo(TP); Antonio Saglimbene – Siracusa; Giuseppe Carollo –Palermo; Paolo Milocco – Brindisi), individuati dalla societącome "promotori" operanti su tutto il territorio nazionale peracquisire i dati personali di donne che frequentano strutture sanitarieneonatali o consultori, hanno riguardato:

a) le modalitą di acquisizione deidati da parte della societą;

b) le procedure attuate perverificare il rispetto delle norme sull'informativa e la genuinitą delconsenso;

c) il sistema di registrazione deidati su supporti elettronici;

d) le procedure previste percancellare i dati e per rispettare l'opposizione al trattamento da parte degliinteressati;

e) la verifica della veridicitądelle dichiarazioni rese da Sfera al Garante nell'ambito del procedimentoinstaurato a seguito delle segnalazioni dei coniugi YX.

 

2.L'attivitą di Sfera

2.1.Nel corso delle verifiche Ź emerso che Sfera, societą editoriale del gruppo"Rcs Media Group", svolge la propria attivitą mediante l'invio diriviste, pubblicazioni e prodotti destinati a neo-genitori.

Taleattivitą viene realizzata anche mediante le societą controllate risultanti inatti e si articola sostanzialmente in tre fasi:

I)   raccolta dei datipersonali degli interessati;

II)  gestione del data-base nelquale i dati sono registrati;

III)    promozione delproprio materiale editoriale e di altri prodotti.

2.2.Con riguardo alla prima di tali fasi Ź emerso che la fonte primaria di raccoltadei dati da parte di Sfera consiste nella compilazione, per lo piĚ ad opera didonne in stato di gravidanza o puerpere, di coupon resi disponibili pressostrutture neonatali, consultori, studi ginecologici e pediatrici, farmacie enegozi per la prima infanzia.

Mediantei coupon viene chiesto agli interessati di conferire alcuni dati (inparticolare, quelli anagrafici propri e dei figli, o relativi a recapiti, anchetelefonici e di posta elettronica, o concernenti la professione) al fine diinvio di materiale editoriale e/o di altri prodotti. Sfera cura ladistribuzione dei coupon e la raccolta di quelli compilati, in larga misuratramite una rete di circa trenta "promotori" operanti per areegeografiche (con modalitą descritte nei punti 3 e 4).

2.3.I dati raccolti da Sfera confluiscono in tre data-base denominati:

a) "prima infanzia",contenente i dati acquisiti mediante le procedure appena descritte;

b) "rivista Cipria",relativo a dati acquisiti attraverso coupon pubblicati sulla omonima rivista;

c) "vendite dirette",concernente i dati acquisiti sulla base di vendite dirette.

Neldata-base "prima infanzia" –rispetto al quale sono statieffettuati gli accertamenti sopra menzionati, anche al fine di verificare lapresenza di dati riferiti ai segnalanti– sono registrate le informazioniraccolte mediante la distribuzione dei coupon ad opera dei promotori; essoconsta di circa 2.700.000 anagrafiche di soggetti i cui dati sono statiregistrati a partire dall'anno 1992.

 

3.Le attivitą svolte dai "promotori"

3.1.I "promotori" sono collaboratori professionali di Sfera legati allasocietą da un contratto che prevede una remunerazione in parte fissa e in partelegata al numero dei coupon compilati e delle strutture sanitarie contattate.Con riferimento ai compiti attribuiti da Sfera alla figura del"promotore", dai predetti accertamenti Ź emerso che le attivitą daquesti poste in essere consistono:

*  nell'individuazione, tra ilpersonale operante presso le strutture sanitarie, di persone denominate"referenti";

*  nella consegna ai"referenti" di coupon con i quali gli interessati (come detto, per lopiĚ donne in stato di gravidanza e puerpere) possono richiedere l'abbonamentogratuito alla rivista "Io e il mio bambino";

*  nell'illustrazione ai"referenti" della condotta da tenere nei confronti dei soggettichiamati a compilare i coupon;

*  nel "vigilare per evitare,per quanto possibile, la compilazione delle cartoline per la sottoscrizione diabbonamenti trimestrali gratuiti da parte di persone che vogliano approfittaredelle offerte gratuite della societą o vogliano effettuare scherzi a danni diinconsapevoli soggetti di loro conoscenza" (v. memoria integrativacontenente dichiarazioni spontanee di Sfera, dell'11 febbraio 2004, p. 3);

*  nella verifica in ordine allacorretta distribuzione, presso le strutture sanitarie di propria"competenza", del materiale sopra menzionato e dell'ulterioremateriale promozionale (ad esempio "cofanetti" e guide) distribuitodirettamente da Sfera;

*  nel ritiro delle cartolinecompilate (di regola, il mese successivo alla loro distribuzione);

*  nella verifica della congruitądel numero delle cartoline compilate rispetto alla media mensile delle nascitenelle strutture neonatali;

*  nella compilazione (ed invio,unitamente alle cartoline raccolte) di una scheda dedicata ad ogni strutturaospedaliera coinvolta (denominata "scheda di passaggio" nelledichiarazioni rese dai "promotori"), suddivisa in due sezioni: l'una,pre-compilata da Sfera, contenente i dati relativi alla struttura sanitaria, al"promotore" e ai "referenti" della struttura medesima(comprendenti tipologicamente il primario e altro personale sanitario), un"campo note" con indicazioni per i promotori, un riquadro denominato"regali", con l'indicazione dei premi eventualmente richiesti dai"referenti" in relazione ai punti maturati dai medesimi (in ordine alfunzionamento di tale sistema premiale, v. il punto 4.2.); tale sezionecontiene altresď l'indicazione, per mese, del numero di cartoline raccolte, ilnumero di riviste e di "cofanetti" distribuiti, e l'indirizzo dellastruttura sanitaria presso la quale questi ultimi vengono spediti; la secondasezione viene compilata direttamente dai "promotori" e riporta il numerodelle cartoline, l'eventuale motivo del loro mancato ritiro, il nome del"referente" a cui queste ultime sono state consegnate, il numerodelle riviste rilasciate e il totale delle nascite (per intervalli temporali),un campo libero per annotazioni, la data di passaggio e la sottoscrizione del"promotore";

*  nella consegna delle cartolinea Sfera, unitamente alla corrispondente scheda di passaggio.

Dall'analisidei compiti svolti (v., in tal senso, anche le dichiarazioni rese da PaoloMilocco nel verbale in atti del 6 ottobre 2004, p. 2) emerge che il"promotore" non effettua alcuna attivitą di raccolta diretta deidati, non avendo tra l'altro accesso ai reparti ospedalieri (e non potendoquindi interloquire con le persone ricoverate).

3.2.L'attivitą descritta al punto precedente Ź svolta dal "promotore" invirtĚ di un contratto di collaborazione professionale ai sensi dell'art. 2222del codice civile stipulato con la societą, il quale prevede che:

a) l'incarico Ź svolto inautonomia;

b) il promotore non Ź assoggettatoa vincoli di subordinazione nei confronti di Sfera, né Ź tenuto a rispettaredirettive (fatta salva l'osservanza, con riguardo ai profili di protezione deidati personali, delle "Linee guida che regolano la raccolta dei datipersonali da parte della societą Sfera Editore s.p.a.", allegate alcontratto); il controllo da parte di Sfera riguarda il risultato finale;

c) in caso di necessitą, ilpromotore puė farsi sostituire da persone da lui designate, comunicandone ilnominativo alla societą;

d) con la sottoscrizione delcontratto, il promotore "dichiara di essere informato delle modalitą ditrattamento dati delle potenziali lettrici delle pubblicazioni di Sfera cheegli raccoglierą durante lo svolgimento della sua attivitą" e dichiaracontestualmente "di accettare la nomina di incaricato deltrattamento" (clausola 10 del modello di contratto di collaborazioneprofessionale ex art. 2222 c.c. di Sfera, in atti).

 

4.Il ruolo del personale ospedaliero

4.1.Come gią accennato, gli accertamenti svolti hanno messo in evidenza che i"promotori", non avendo accesso ai reparti ospedalieri, né, piĚ ingenerale, contatti diretti con gli interessati, non sono in grado diraccogliere da soli i dati per Sfera, la quale si avvale a tal fine di unanello di collegamento rappresentato dal personale ospedaliero.

Dalledichiarazioni rese e dalla documentazione acquisita presso i"promotori" risulta che la messa a disposizione delle cartolineavviene da parte dei summenzionati "referenti", "reclutati"tra il personale medico e paramedico impiegato presso le strutture sanitarie diriferimento; questi ultimi provvedono alla raccolta e alla custodia dei couponfino alla loro riconsegna al "promotore". Tale procedura –cheevidenzia un ruolo attivo del personale sanitario nelle descritte operazioni ditrattamento dei dati– risulta essere stata seguita abitualmente in luogodi altre possibili modalitą curate direttamente da Sfera (invio dei coupon agliinteressati mediante comunicazione postale della societą –cfr. memoriaintegrativa di Sfera, cit., p. 3–; coinvolgimento diretto da parte diSfera del personale sanitario).

Peraltro,il ruolo dei "referenti" ospedalieri non Ź limitato alla trasmissionedei coupon: agli stessi viene chiesto infatti di richiamare l'attenzione degliinteressati sull'informativa resa da Sfera e di facilitarne la compilazione(cfr. memoria integrativa di Sfera, cit., p. 4; dichiarazioni reseda Paolo Milocco nel verbale del 6 ottobre 2004, p. 2).

4.2.L'attivitą dei "referenti" viene gratificata da Sfera con regali ealtre utilitą da destinarsi ai "referenti" medesimi o alle strutturepresso cui essi operano (cfr. dichiarazioni contenute nei verbali in atti reseda Gianfranco Brescia il 6 ottobre 2004, p. 3; da PaoloMilocco il 6 ottobre 2004, p. 3; da Giuseppe Carollo l'8 ottobre2004, p. 2; da Antonio Saglimbene l'8 ottobre 2004, p. 3; da VincenzoCottone, per Se.E.Con. s.c.a.r.l. di Trapani, l'8 ottobre 2004, p. 3;da Anna Guglielmi il 6 ottobre 2004, p. 3).

Regalie utilitą vengono assegnati sulla base di un sistema a punti in virtĚ del qualea ciascun "referente" Ź attribuito un punto per ogni cartolinacompilata. In base ai punti accumulati il "referente" puė scegliere,utilizzando una modulistica predisposta da Sfera, premi compresi in un catalogocostantemente aggiornato dalla societą.

Latipologia dei premi offerti Ź variegata, comprendendo oggetti di marca ad usopersonale (collier d'oro, orologi, depilatori, macchine fotografiche digitali,telefoni cellulari, piastre arricciacapelli a vapore, beauty case ), domestico(copripiumone matrimoniale, friggitrici da cucina, bistecchiere grill condoppia piastra, folletto aspirabriciole, tostapane, tovaglie) o destinati altempo libero (abbonamenti a riviste, apparecchiature di riproduzione musicale,televisori, borse da viaggio), peraltro di dubbia attinenza con i ruolisanitari ricoperti.

ťstato accertato, mediante annotazioni contenute nelle "schede dipassaggio", che vengono talora richiesti beni non compresi nel catalogo(cfr. scheda di un ospedale acquisita negli accertamenti effettuati presso ilsig. Saglimbene, nella quale si legge: "La professoressa XY contattatatelefonicamente dice che per questo lavoro vuole almeno un'incubatrice,paragona questa attivitą di propaganda ad uno spot televisivo e ritiene giustoapplicare le stesse tariffe"); altri, subordinano la propriacollaborazione alla concessione di "spazi" su riviste (cfr. scheda diun ospedale acquisita negli accertamenti effettuati presso il sig. Carollo,nella quale si legge: "Il primario pediatria dottoressa VZ vieta qualsiasitipo di promozione, salvo disponibilitą da parte di Eurotrend a dedicarle unospazio sulla rivista" e nella quale si legge, quale annotazione ulteriore,"Attenzione! L'incaricata collabora di nascosto" ).

 

5.I coupon c.d. " non spontanei"

5.1.Nel corso delle verifiche Sfera ha dichiarato che "puė accadere che ilcoupon non venga compilato direttamente dall'interessata, ma tramite lamediazione di persone operanti all'interno della struttura ospedaliera, lequali a titolo di cortesia e avendone informato l'interessata, provvedono acompletare la cartolina" (memoria integrativa di Sfera, cit., p. 3).

Talicartoline, prive di sottoscrizione (ed eventualmente del numero di telefonodegli interessati), vengono contrassegnate dai promotori con la dizione"da verificare", oppure "non spontanee" (cfr. dichiarazionidi Anna Guglielmi, verbale 6 ottobre 2004, p. 3). Al riguardo, la societą haaffermato che la classificazione delle cartoline come "non spontanee"(termine con il quale si qualificano "dati che sono il risultato di unamediazione, non pianificata, nella fase di compilazione della cartolinastessa") Ź attribuita non solo ai coupon "che presentano un'analogagrafia, ma anche alle cartoline incomplete, con dati mancanti ocontraddittori" (memoria integrativa di Sfera, cit., p. 6).

Intale contesto, sembrerebbe doversi ricomprendere anche la cartolina (riprodottain copia da Sfera) da cui sono stati ricavati i dati relativi a YW, privaanch'essa di sottoscrizione e del numero di telefono, che i segnalantisostengono di non aver mai compilato (cfr. note del sig. YX del 28 agosto2000 e del 16 gennaio 2002 inviate a Sfera e trasmesse per conoscenza a questaAutoritą).

5.2.Presso i "promotori", per trovare un'ulteriore conferma della prassisopra descritta e della circostanza che la stessa fosse nota a Sfera, sonostati successivamente acquisiti i seguenti documenti:

a) una missiva del 30 gennaio 2003(prodotta nel corso dell'ispezione presso Gianfranco Brescia) a firma delresponsabile dell'Area logistica di Sfera, sig. Maurizio Santandrea, chein un passo evidenzia che "alcuni ospedali […] consegnano cartoline nonspontanee. Nell'ottimizzare la vostra raccolta e il vostro rendimentoeconomico, abbiamo inserito nel pacco di questo mese la "dichiarazioneinformativa sulla privacy" che se compilata dall'incaricata permette allacartolina non spontanea di acquisire gli stessi vantaggi di quella spontanea,ottimizzando cosď tempi e costi";

b) una nota a firmadi Maurizio Santandrea e del coordinatore dell'area "Field"Antonio Saracino, in cui si ribadisce al"promotore"  Brascia la possibilitą di ricorrereall'informativa sottoscritta dai "referenti" ospedalieri peracquisire (in termini di incentivi e premi) gli stessi vantaggi delle cartolinespontanee anche da quelle non spontanee e si invia un prospetto degli enti che,"confrontati con l'aprile 2002, sono notevolmente calati nella raccoltadelle cartoline". La missiva prosegue invitando il Brescia a riferirei motivi del decremento e a prospettare rimedi;

c) una terza missiva indirizzataal Brescia dall'Area logistica di Sfera, nella quale si evidenzia che lecartoline provenienti da taluni enti "ci risultano essere nonspontanee" ed esorta il "promotore" a incentivare ladistribuzione delle informative ai referenti "anche regalando dei puntipiuttosto che dei regali";

d) in altra missiva, indirizzataanch'essa al Brescia da parte dell'Area logistica di Sfera, si affrontanuovamente la questione della "trasformazione" delle cartoline nonspontanee tramite la sottoscrizione dell'informativa da parte dei"referenti" ospedalieri, osservando che "per questi enti c'Źsempre il catalogo premi, l'articolo sulla rivista, qualche donazione,convegno, pertanto dia il massimo affinché possa convertirli".

Ilfatto che la societą sia a conoscenza che molti coupon non sono compilati dalleinteressate risulta anche dall'analisi delle annotazioni (dal seguente tenore:"cartoline compilate dall'incaricata"; "cartoline compilatedall'ostetrica") riportate nel "campo note" di talune delleschede riassuntive in atti che, come detto, il "promotore" Ź tenutoad inviare a Sfera.

5.3.Nel corso degli accertamenti, anche in relazione al rinvenimento negli archivicartacei di Sfera di diverse cartoline provenienti dagli ospedalidi Taranto e San Giuseppe di Nardė (in atti), apparentementecompilate da un unico soggetto (cfr. dichiarazione di AnnaGuglielmi nel verbale del 6 ottobre 2004, p. 3), Ź stato chiesto alresponsabile dell'Area logistica se la societą avesse contestato ai"promotori" comportamenti irregolari in ordine al fenomeno dellecartoline c.d. non spontanee. Dalle dichiarazioni rese per conto della societąŹ emerso che: "in ogni circostanza in cui la societą abbia nutrito dubbicirca la spontaneitą dell'acquisizione delle informazioni, ha proceduto aclassificare le stesse con la sigla "NS" (…) e che non sono statefatte specifiche contestazioni ma che, comunque, a partire dal 2003, ilcontratto dei promotori Ź stato integrato con le linee-guida per iltrattamento" (cfr. verbale del 22 dicembre 2003, p. 5).

Lasocietą ha precisato che "i dati definiti come non spontanei vengonotrattati con cautele aggiuntive che portano a chiedere all'interessata diconfermare il suo interesse a ricevere il materiale editoriale e, in caso dirisposta negativa o anche semplicemente di mancata risposta la societą, nelpieno rispetto del principio del consenso espresso dall'interessato su cui sifonda questa attivitą in base alla normativa, sospende precauzionalmentequalsiasi trattamento dei dati stessi" (memoria integrativa di Sfera,cit., p. 6; cfr. anche la nota di riscontro di Sfera del 18 maggio 2001, cit.).

 

6.Archiviazione e attivitą di tele-marketing per i dati contenuti nei coupon c.d."non spontanei"

6.1.Sulla base di quanto dichiarato da Sfera in sede ispettiva, Ź emerso che icoupon, una volta riconsegnati dai "promotori", vengono affidati aKalitype s.n.c. e D.S.Z. s.a.s. di Milano per le operazioni di data-entry neldata-base principale di Sfera.

Aseguito di un esame sommario dei coupon cosď raccolti, volto a verificare lacompletezza dei dati, vengono registrati nel data-base soltanto i datiriportati nelle cartoline contenenti il numero telefonico e la sottoscrizionedell'interessato.

Lecartoline classificate come "non spontanee" sono invece trasmesse aTelecontatto S.p.a., che provvede a reperire i numeri telefonici degliinteressati per rendere possibile la successiva attivitą di tele-marketing daparte di Sfera. A questo proposito Sfera ha dichiarato che al momento delcontatto telefonico l'operatore incaricato "provvede ad acquisire ilconsenso al trattamento dei dati personali […] con lettura integrale,all'interessato, dell'informativa".

 

7.Le istanze ex art. 7 del Codice e le verifiche in ordine a YW

Negliaccertamenti presso Sfera si Ź anche verificato il trattamento dei datipersonali relativi ai componenti della famiglia YX, in relazione alla proceduraseguita per dare corso alle richieste di cancellazione dei dati relativi acoloro che revocano il consenso o che si oppongono al trattamento.

Ipredetti dati risultano presenti nel data-base sotto il nominativo della sig.a"YW" (sebbene il nominativo risulti errato, come evidenziato nelcoupon a suo tempo esibito dalla societą). In relazione a tale nominativo Źpresente un c.d. "vincolo di utilizzo" denominato "bloccopermanente su richiesta persona". I dati della sig.a YW risultanoessere stati acquisiti in due circostanze, "rispettivamente in data 2agosto 1999, attraverso il coupon della rivista "Io & il miobambino" […] e in data 1° giugno 2001, attraverso un coupon"Ospedali"" (cfr. verbale del 22 dicembre 2003, p. 5).

Conriguardo poi alle richieste di cancellazione dei dati o alle opposizioni altrattamento, la societą ha dichiarato di aver modificato la relativa procedura(che in una prima fase prevedeva la estromissione del relativo record daldata-base) creando un'apposita black list formata dai nominativi e dai codicidi avviamento postale di residenza degli interessati che non desideranoricevere comunicazioni da Sfera.

 

8.Trattamenti effettuati da Sfera e protezione dei dati: in particolare, lamancata designazione di responsabili e incaricati

8.1.La complessa vicenda descritta Ź di seguito esaminata per ciė che concerne laliceitą e la correttezza del trattamento dei dati, profili questi di competenzadel Garante.

Vannopreliminarmente qualificate dal punto di vista della protezione dei dati leattivitą svolte da "promotori" e "referenti" nell'interessedi Sfera, titolare del trattamento sopra descritto.

Dallaricostruzione delle attivitą svolte e degli impegni contrattualmente assunti dasoggetti esterni quali i "promotori", la figura di questi ultimi (cheperaltro non sono sempre persone fisiche) non risulta qualificabile alla merastregua di semplici "incaricati del trattamento".

Ilgrado di autonomia del "promotore" in ordine alle modalitą daosservare nel trattamento dei dati, cosď come prefigurata dalle clausolecontrattuali che regolano il rapporto di collaborazione coordinata econtinuativa con la societą, risulta infatti alquanto ampio ancorchéall'interno delle direttive impartite da Sfera ("Sintesi delle linee guidache regolano la raccolta dei dati personali da parte della societą Sfera Editores.p.a.", allegata al contratto di collaborazione).

Vapertanto prescritto a Sfera, ai sensi dell'art. 154, comma 1, lett. c ), delCodice, di provvedere alla necessaria designazione dei promotori di cui intendacontinuare ad avvalersi quali "responsabili", anziché"incaricati" del trattamento, in conformitą a quanto previsto dagliartt. 4 e 29 del Codice.

8.2.Dagli atti non risulta che Sfera, pur sussistendone i presupposti e lanecessitą, abbia designato quale "responsabile del trattamento",salva la societą Kalitype –la quale comunque non risulta aver provvedutoa designare quali incaricati del relativo trattamento i propri dipendenti(cfr. verbale del 22 dicembre 2003, p. 4)– le societą Telecontatto eD.S.Z., né tale designazione Ź stata a tutt'oggi comunicata al Garante.

Iltrattamento dei dati presso tali societą non risulta quindi dagli attieffettuato in conformitą ai necessari requisiti di liceitą (artt. 4, 30,33 e All. B del Codice).

Laprescrizione di cui al punto 8.1. va quindi impartita dal Garante anche inrelazione all'attivitą di tali societą, oltre alla trasmissione degli atti e dicopia del presente provvedimento all'autoritą giudiziaria per le valutazioni dicompetenza in ordine alla non risultante adozione delle misure minime di sicurezzapreviste dal predetto All. B al Codice (art. 169 del Codice).

8.3.Sono emersi profili critici anche in relazione alla qualificazione, dal puntodi vista della disciplina di protezione dei dati personali, dei comportamentimateriali posti in essere dai "referenti" che, a titolo diverso,hanno consentito (o tollerato) o, ancora, effettuato direttamente un'attivitądi distribuzione dei coupon e di loro raccolta e conservazione una voltacompilati, con eventuale partecipazione diretta anche alla loro redazione,prestando assistenza agli interessati, o finanche sostituendosi (a loroinsaputa) ai medesimi.

Questeattivitą, basate su una distribuzione alquanto capillare dei"referenti" nell'ambito delle strutture sanitarie interessate agliaccertamenti, sono operazioni di trattamento di dati personali (art. 4, comma1, lett. a ) del Codice).

L'attivitądei "referenti", per le modalitą attraverso le quali trova regolareattuazione, lungi dal caratterizzarsi per la saltuarietą e l'occasionalitądell'apporto fornito per il trattamento dei dati, denota infatti una continuitąnell'impegno assunto dai "referenti" con i "promotori" (ela societą), rappresentando un elemento indefettibile ed imprescindibile per labuona riuscita delle operazioni di raccolta dei dati finalizzate al marketingda parte di Sfera.

Né,tenendo conto dell'attribuzione dei benefici sopra descritti al punto 4.2.,tale attivitą si caratterizza per disinteresse e spontaneitą, come ledichiarazioni della societą vorrebbero far intendere (cfr. memoria integrativadi Sfera, cit., p. 4, secondo cui le cartoline possono anche "essereraccolte con l'assistenza spontanea del personale ospedaliero […], che sipremura di distribuire le cartoline. A tale riguardo va precisato […] che non Źinfrequente che lo stesso personale ospedaliero agevoli la diffusione delmateriale distribuito e questo per un comprensibile elemento di caratterepsicologico (risulta infatti moralmente gratificante consentire alla neo-mammadi ricevere gratuitamente materiale di pregio e di immediata utilitą)".

Talielementi, valutati nelle concrete modalitą di svolgimento delle operazioni diraccolta, inducono a rinvenire nei "referenti" l'ultimo, ma vitale,anello della catena di cui Sfera si avvale per la raccolta (e, talora, la"generazione", nel caso delle c.d. cartoline non spontanee) delleinformazioni personali.

I"referenti" non risultano aver assunto questo compito in terminileciti in rapporto alle funzioni che i medesimi possono svolgere nellestrutture pubbliche e private di appartenenza in corrispondenza dell'esecuzionedella prestazione lavorativa (non constando, dagli atti acquisiti, chel'attivitą svolta per Sfera fosse prevista da convenzioni legittimamentesottoscritte dalle strutture sanitarie o consentita da atti autorizzativiinterni).

Oltreagli altri aspetti di illiceitą e non correttezza del trattamento legati atalune modalitą di concreta informativa e compilazione dei coupon, non risultaaltresď che i "referenti" abbiano trattato legittimamente i datinella qualitą di "incaricati del trattamento" designati da Sfera odai "promotori" (incarico di cui Ź peraltro difficile configurare laliceitą alla luce della disciplina vigente e dell'anomalo sistema dicollaborazione sinora instaurato, atteso che i "referenti" sonogeneralmente dipendenti o collaboratori delle strutture sanitarie presso lequali operano –e, quindi, gią "incaricati" dellemedesime– e che l'"incaricato del trattamento" puė esseredesignato come tale solo se opera "sotto la diretta autoritą del titolareo del responsabile": art. 30 del Codice).

Vapertanto vietato a Sfera, ai sensi degli artt. 143, comma 1, lett. c), 154,comma 1, lett. d), e 170 del Codice, di effettuare ulteriori operazioni ditrattamento dei dati avvalendosi di "referenti" sprovvisti deinecessari presupposti di legittimazione al trattamento.

Lacomunicazione all'autoritą giudiziaria di cui al punto 8.2. viene disposta dalGarante anche in relazione alla non risultante adozione delle predette misureminime di sicurezza concernenti la descritta attivitą dei"referenti".

 

9.L'informativa e il consenso degli interessati

9.1.I coupon distribuiti dai promotori (di cui sono state acquisite alcune copienel corso degli accertamenti) sono di tenore parzialmente diverso in relazioneall'informativa e alla dichiarazione di consenso al trattamento da parte degliinteressati riprodotte nei medesimi; contengono una sintetica informativa aisensi dell'art. 10 della legge n. 675/1996 e un apposito spazio perraccogliere la manifestazione del consenso.

Intaluni casi Ź previsto uno spazio per la sottoscrizione; in altri modelli, peresplicitare il consenso, Ź inserita solo una casella da barrare. A taleriguardo la societą ha asserito che le differenze "nelle formule diinformativa e consenso sono effetto di un processo in continuo divenire diadeguamento alle indicazioni provenienti dal Garante e di suggerimenti deiconsulenti dell'azienda" (v. verbale del 22 dicembre 2003, p. 2).

9.2.Ciė premesso, i diversi modelli di informativa esaminati non contengono unaspecifica e distinta indicazione in ordine alle finalitą perseguite(consistenti nell'utilizzo delle informazioni per l'invio dell'abbonamentogratuito alla rivista e nell'invio di altro materiale promozionale da partedella societą o di terzi, anche appartenenti allo stesso gruppo societario) ealle relative modalitą di trattamento dei dati. Né viene indicata la finalitądi profilazione degli interessati, che Ź stata oggetto di notificazione alGarante da parte di Sfera.

Imodelli, cosď come sono strutturati, non consentono agli interessati dicomprendere quali siano le informazioni che gli stessi dovrebbero conferire aifini dell'invio della rivista (tra i quali potrebbero ricomprendersi i datiidentificativi e i recapiti) e quelle, facoltative, utilizzate dalla societąper compiere altre attivitą (dati anagrafici propri e dei figli, sesso,professione, numeri telefonici e indirizzi di posta elettronica).

Inalcuni casi non Ź prevista un'indicazione chiara delle categorie di soggetticui i dati possono essere comunicati. In particolare, in uno dei modelli diinformativa predisposto dalla societą e acquisito agli atti, Sfera si limita adoperare un mero riferimento, per di piĚ a titolo esemplificativo, a "gliinserzionisti di "Io & il mio bambino" ed altre aziende diprimaria importanza". Nelle altre cartoline esaminate, invece (con cuisembrerebbero essere state sostituite a partire dal 2000 quelle appenadescritte: v. la nota di riscontro di Sfera del 18 maggio 2001 alla richiestadi informazioni del Garante ex art. 32, comma 1, l. n. 675/1996), ai finidell'individuazione delle categorie di soggetti cui i dati possono esserecomunicati, si rinvia, piĚ genericamente, ad un elenco aggiornato contenentetali indicazioni, che l'interessato puė richiedere al responsabile deltrattamento.

Oltreal divieto di cui al dispositivo per quanto riguarda i dati gią trattati inmodo illecito e non corretto, va pertanto prescritto a Sfera, ai sensidell'art. 154, comma 1, lett. c), del Codice, di riformulare l'informativainserita nei coupon, in conformitą alla previsione ora contenuta nell'art. 13del Codice e ai principi richiamati dal Garante in precedenti occasioni(Provv.24 febbraio 2005, punto 6, in www.garanteprivacy.it, doc. web n.1109624; Provv.13 gennaio 2000, ivi, doc. web n. 42276), integrandola inmaniera tale da rendere chiari e comprensibili tutti gli aspetti qualificantidel trattamento sopra rappresentati.

9.3.Con riguardo al profilo del consenso, le formule predisposte da Sfera risultanodifferenziate. Ricorrono, infatti, le seguenti locuzioni:

a) "Se non desideri ricevere successiviinvii di campioni gratuiti e di informazioni scientifiche o commerciali,contrassegna con X la casella". A questo proposito deve rilevarsi che taleformula, strutturata mediante l'inserimento di una casella da barrare, nonconsente all'interessato di esplicare pienamente il proprio dirittoall'autodeterminazione informativa, prevedendo solo un'opzione di tipo"negativo" (c.d. opt out) e non Ź quindi conforme ai requisiti giąprevisti dalla legge n. 675 e, ora, dal Codice (art. 23). Come gią rilevato(cfr. Provv. 13 gennaio 2000, cit., p. 42), la manifestazione delconsenso (o la sua documentazione) in forma negativa, ossia come mera possibilitądi esprimere un dissenso o di barrare una casella per la rinuncia ol'opposizione ad ulteriori contatti o comunicazioni commerciali, anche sepreceduta da una corretta informativa, si pone infatti in contrasto con quantostabilito dal citato art. 23, comma 3, del Codice (gią art. 11, comma 3, l. n.675/1996), il quale presuppone che il medesimo, per essere valido, sia"espresso liberamente" e "in forma specifica";

b) "In mancanza del suo consenso l'Editorenon potrą inviarle la rivista ed informarla sulle iniziative commerciali".Ponendo riguardo a tale formula, deve rilevarsi che il trattamento di datipreordinato all'invio della rivista Ź necessario, in base a quanto previstonell'art. 24, comma 1, lett. b), del Codice (gią art. 12, comma 1, lett. b), l.n. 675/1996), per eseguire obblighi derivanti da un contratto del quale Ź partel'interessato (ossia l'esecuzione del contratto gratuito di abbonamento). Non Źquindi corretto da parte di Sfera sollecitare, come risulta avvenire nel casodi specie, il consenso a tale trattamento di dati (cfr. Provv. 24 febbraio2005, cit., punto 7; Provv. 3 novembre 2005, in www.garanteprivacy.it,doc. web n. 1195215).

Laraccolta dei dati degli interessati di cui al punto a) effettuata da parte diSfera per compiere successive attivitą di marketing configura pertanto unaviolazione dei principi di liceitą e correttezza ai sensi degli artt. 11, comma1, lett. a ), e 23 del Codice. Ai sensi dell'art. 11, comma 2, del Codice idati cosď raccolti sono inutilizzabili.

Oltreal divieto di cui al dispositivo per quanto riguarda i dati gią trattati inmodo illecito e non corretto, va prescritto a Sfera, ai sensi dell'art. 154,comma 1, lett. c), del Codice, di:

*  definire, nei couponutilizzati, un modello uniforme di raccolta del consenso utilizzando soloformule che permettano agli interessati di manifestare validamente la propriavolontą in termini "positivi";

*  richiedere tale consenso soloin ordine ad ogni altra finalitą di trattamento differente da quella relativaall'invio della rivista (ossia, la finalitą di profilazione e ricerche dimercato da un lato; e quella di marketing dall'altro);

*  acquisire, in base a quantoprescritto nell'art. 23 del Codice, solo manifestazioni di consenso specifiche,informate e distinte per ciascuna delle finalitą perseguite dalla societąattraverso il trattamento dei dati raccolti con i predetti coupon (cfr.Provv. 24 febbraio 2005, cit., punto 7).

9.4.Con riferimento al trattamento dei dati effettuato mediante le c.d. cartoline"non spontanee" (descritto al punto 5) redatte in assenza dellasottoscrizione degli interessati, e comunque della prova (resa anche in altraforma) che il consenso Ź stato previamente prestato dagli stessi per lacessione e la successiva utilizzazione di dati personali per finalitą dimarketing, ricorre anche in questo caso un'ipotesi di violazione dei principidi liceitą e correttezza ai sensi degli artt. 11, comma 1, lett. a ), e 23 delCodice.

Le"cautele aggiuntive" cui fa riferimento Sfera e le "procedure dicontrollo" dalla medesima adottate (v. precedente punto 5.3.), consistentinel contattare telefonicamente gli interessati (al fine di "chiedere diconfermare il suo interesse a ricevere il materiale editoriale" e piĚ ingenerale quelle descritte al punto 6), comportano la realizzazione dioperazioni di trattamento che non possono ritenersi allo stato lecite,considerato che la raccolta dei dati da cui hanno avuto origine tali operazioniŹ avvenuta in contrasto con le previsioni normative sopra citate.

Anchesotto questo profilo, oltre a quanto gią affermato nel punto 8.3. ed estendendoal punto in esame sia la prescrizione di cui al punto 9.3., sia il divieto ditrattamento dei dati gią trattati in modo illecito e non corretto, va rilevato,ai sensi dell'art. 11, comma 2, del Codice, che i dati trattati sonoinutilizzabili.

 

10.Procedure di cancellazione ed opposizione al trattamento

Inordine alle procedure adottate da Sfera per garantire un esatto adempimentoalle istanze presentate dagli interessati ai sensi degli artt. 7 e 8 del Codice(cfr. punto 7), la societą, in caso di opposizione al trattamento ai sensidell'art. 7, comma 4, lett. b), del Codice, non Ź tenuta a cancellare i dati,essendo a tal fine sufficiente adottare un sistema (ad esempio medianteapposite black list ) che consenta di impedire l'ulteriore trattamento di talidati per le finalitą oggetto dell'opposizione (invio di materialepubblicitario, vendita diretta, compimento di ricerche di mercato,comunicazione commerciale).

Alcontrario, diversamente da quanto risulta effettuato da Sfera, la richiesta dicancellazione di dati dell'interessato comporta (quando sussistono ipresupposti previsti nell'art. 7, comma 3, lett. b), del Codice, ossia laviolazione di legge o l'esaurimento degli scopi per i quali sono statiraccolti) la necessaria eliminazione definitiva dei medesimi dal data-base ovesono custoditi, in maniera tale da escludere qualsiasi loro ulterioretrattamento, anche in forma di conservazione.

Anchetale profilo deve pertanto formare oggetto di prescrizione a Sfera perulteriori trattamenti di dati, ai sensi del predetto art. 154, comma 1, lett. c), del Codice, nonché di divieto del trattamento per ciė che concerne i datigią trattati in modo illecito e non corretto.

TUTTO CIŮ PREMESSO, IL GARANTE

 

1)vieta a Sfera Editore S.p.a., ai sensi dell'art. 154, comma 1, lett. d ), delCodice, di proseguire il trattamento dei dati personali che sono stati giątrattati in modo illecito e non corretto in violazione delle disposizioni e deiprincipi di cui ai punti 8, 9 e 10, a decorrere dalla data di ricezione delpresente provvedimento;

2)prescrive a Sfera Editore S.p.a., ai sensi dell'art. 154, comma 1, lett. c ),del Codice, al fine di rendere il trattamento conforme alle disposizionivigenti, di adottare per eventuali altri trattamenti leciti di dati, neitermini di cui in motivazione ed entro il 15 febbraio 2007, le misurenecessarie per rispettare l'obbligo di:

a. designare quali responsabilidel trattamento ai sensi dell'art. 29 del Codice i soggetti di cui la societąsi avvale per effettuare attivitą di gestione del data-base o per le attivitądi raccolta dei dati personali finalizzati allo svolgimento di attivitą dimarketing svolta dalla medesima (punti 8.1. e 8.2.);

b. fornire un'idonea informativaagli interessati, completa di tutti gli elementi di cui all'art. 13 del Codice(punto 9.2.);

c. acquisire e trattare i datidegli interessati in base ad un consenso validamente prestato ai sensidell'art. 23 del Codice (punto 9.3. e 9.4.);

d. adottare procedure idonee agarantire un esatto adempimento alle istanze rivolte dagli interessati in baseagli artt. 7 e 8 del Codice (punto 10);

e. dare conferma al Garante, entroe non oltre la medesima data del 15 febbraio 2007, in ottemperanza allapresente statuizione adottata anche ai sensi e per gli effetti di cui agliartt. 157, 164 e 168 del Codice, che i trattamenti di dati da essa effettuatisono conformi alle prescrizioni del presente provvedimento, conformitą chedovrą essere comprovata anche da ogni informazione e documento utili daallegare alla comunicazione all'Autoritą;

3)dispone la trasmissione degli atti e di copia del presente provvedimentoall'autoritą giudiziaria per le valutazioni di competenza in ordine alla non risultanteadozione delle misure minime di sicurezza previste dall'Allegato B al Codice(art. 169 del Codice) (punti 8.2. e 8.3.).

Roma,7 dicembre 2006

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli