Garante per la protezione
    dei dati personali


No alla profilazione occulta

PROVVEDIMENTO DEL 16 DICEMBRE 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Filippo Patroni Griffi, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito “Codice");

VISTO l'accertamento effettuato, nell'ambito dell'attivitą ispettiva di iniziativa curata dall'Ufficio del Garante, in data 23 settembre 2009 presso la sede legale di ASM Energia e Ambiente S.r.l. (di seguito, ASMEA) e il relativo verbale di operazioni compiute, volto a dare esecuzione alla richiesta di informazioni ex art. 157 del Codice, datata 23 giugno 2009;

RILEVATO che, dagli elementi emersi nel corso del predetto accertamento ispettivo, risulta che ASMEA effettua la raccolta, la conservazione e l'elaborazione dei dati personali dei clienti in relazione a diverse finalitą;

RILEVATO che, dall'esame del modello di raccolta del consenso utilizzato dalla societą e consegnato in copia in occasione della suddetta ispezione (allegato n. 5), viene richiesto il consenso rispetto ai trattamenti effettuati per adempiere alle obbligazioni contrattuali (punto n. 1);

VISTA la normativa in materia di protezione dei dati personali, la quale prevede che il titolare del trattamento potrebbe prescindere dal richiedere il consenso rispetto ai trattamenti effettuati per eseguire obbligazioni derivanti da contratti di cui Ź parte l'interessato (art. 24, comma 1, lett. b) del Codice);

RILEVATO che sul richiamato modello viene poi richiesto un unico consenso in relazione ai dati che possono essere utilizzati: per inviare al cliente le informazioni commerciali delle societą del Gruppo A2A (al quale appartiene la stessa ASMEA); per effettuare analisi delle abitudini e scelte di consumo, ricerche di mercato (realizzate anche con la collaborazione di terzi) attraverso lettere, telefono, e-mail e altri sistemi di comunicazione; per lo svolgimento di attivitą finalizzate all'elaborazione di studi e ricerche di mercato; per la realizzazione di attivitą dirette di vendita o di collocamento di prodotti/servizi e per l'invio di informazioni commerciali anche informatiche, nonché per l'invio di materiale pubblicitario/informativo, anche da parte degli stessi terzi (punto n. 2);

VISTO l'art. 23, comma 3, del Codice, in forza del quale "il consenso Ź validamente prestato solo se Ź espresso liberamente e specificamente con riferimento ad un trattamento chiaramente individuato";

RILEVATO che nel modello utilizzato da ASMEA la formula di consenso Ź viceversa generica, comprendendo trattamenti per finalitą (effettuare analisi delle abitudini e scelte di consumo, inviare informazioni commerciali) per le quali il consenso deve essere specificamente acquisito per legge;

CONSIDERATO che, come gią rilevato da questa Autoritą (cfr. Provv. 24 febbraio 2005, punto 7; Provv. 12 ottobre 2005; Provv 22 febbraio 2007; Provv 5 marzo 2009, gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso per ciascuna distinta finalitą perseguita dal titolare;

RILEVATO che non risulta quindi conforme ai criteri di liceitą e correttezza nel trattamento dei dati personali, nonché al principio di finalitą la scelta di ASMEA di richiedere un unico consenso per finalitą ulteriori e tra loro diverse, quali quelle di analisi delle abitudini e scelte di consumo e di invio di informazioni commerciali, di materiale pubblicitario informativo, anche da parte di terzi (art. 11, comma 1, lett. a) e b) e art. 23, comma 3, del Codice);

RILEVATA pertanto la necessitą che ASMEA modifichi la modellistica utilizzata per acquisire il consenso, fornendo ai clienti la possibilitą di prestare consensi differenziati in relazione alle distinte finalitą sopra indicate;

RILEVATO che il trattamento di dati personali che non risulta effettuato in modo lecito da parte di ASMEA ha carattere sistematico;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresď, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali; considerato inoltre che il Garante, ai sensi dell'art. 154, comma 1, lett. c) del Codice ha il compito di prescrivere al titolare le misure opportune o necessarie per rendere il trattamento conforme alle disposizioni vigenti;

RILEVATA pertanto la necessitą di adottare nei confronti di ASMEA un provvedimento di divieto del trattamento illecito di dati personali ai sensi dell'art. 154, comma 1, lett. d) del Codice correlato alla raccolta di dati personali della clientela in assenza di una chiara informativa e di richieste di consenso differenziato in relazione alle diverse finalitą perseguite dalla societą;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto Ź punito con la reclusione da tre mesi a due anni e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, Ź altresď applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila euro a centottantamila euro;

CONSIDERATO che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

TUTTO CIŮ PREMESSO IL GARANTE:

a) vieta a ASM Energia e Ambiente S.r.l., ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, l'ulteriore trattamento risultato illecito in atti, nonché di utilizzare le dichiarazioni di consenso al trattamento dei dati gią rilasciate dagli interessati per finalitą di analisi delle abitudini e scelte di consumo dei clienti e di comunicazione pubblicitaria o promozionale (art. 11, comma 2, del Codice), ferma restando l'utilizzabilitą dei dati per finalitą di fornitura dei servizi richiesti. Ciė, con effetto dalla data di notificazione del presente provvedimento presso la sede, residenza o domicilio risultanti dagli atti o comunque accertati dall'organo notificante;

b) prescrive alla predetta societą, ai sensi dell'art. 154, comma 1, lett. c) del Codice, di adottare entro il giorno 10 febbraio 2010 le misure necessarie indicate nel presente provvedimento al fine di rendere il trattamento di dati personali conforme alle disposizioni vigenti e, in particolare, di:

1. modificare il modello di raccolta del consenso, fornendo ai clienti la possibilitą di prestare consensi differenziati in relazione alle distinte finalitą sopra indicate;

2. trasmettere al Garante entro il medesimo termine del 10 febbraio 2010 un esemplare della modellistica utilizzata per il rilascio del consenso, riformulata in conformitą alle indicazioni fornite con il presente provvedimento.

Roma, 16 dicembre 2009

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
Patroni Griffi