Garante per la protezione
    dei dati personali


Marketing: necessario il consenso per l'invio di comunicazioni promozionali via e-mail

PROVVEDIMENTO DEL 8 APRILE 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale reggente;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA la segnalazione del sig. XY in data 4 settembre 2009, con la quale lo stesso ha lamentato l'invio - dopo la registrazione al relativo sito www.edreams.it - di varie e-mail indesiderate da parte della societł eDreams srl (di seguito indicata come "la societł"), contenenti la promozione di offerte relative a voli aerei, anche dopo la reiterata opposizione del segnalante a tale trattamento di dati;

VISTA la documentazione allegata dal segnalante, comprovante l'invio di dette e-mail da parte della societł e la proposizione delle istanze di opposizione al trattamento formulate dal segnalante alla medesima;

VISTA l'iniziale richiesta di informazioni formulata dall'Ufficio alla societł il 5 ottobre 2009, rispetto alla quale non sono pervenuti gli elementi richiesti, e la successiva richiesta formulata ai sensi dell'art. 157 del Codice in data 17 novembre 2009, rimasta anch'essa inevasa, e pertanto reiterata e notificata dalla Guardia di Finanza - Nucleo Speciale Privacy in data 18 febbraio 2010, unitamente al verbale di contestazione della violazione amministrativa di cui all'art. 164 del Codice per omessa informazione al Garante;

VISTI il verbale di operazioni compiute redatto dalla G.d.F. in data 18 febbraio 2010 e i riscontri forniti dalla societł con nota del 3 marzo 2010, ad integrazione delle dichiarazioni contenute nel detto verbale, dai quali risulta che la societł Ć titolare del trattamento e non ha negato l'invio di e-mail promozionali al segnalante anche successivamente all'opposizione da parte del medesimo;

CONSIDERATO che in base all'art. 7, comma 4 del Codice il consenso Ć sempre revocabile da parte dell'interessato;

RILEVATO che tuttavia risulta cessata l'attivitł di invio al segnalante di tali comunicazioni indesiderate e che, pertanto, non vi Ć necessitł di adottare nei confronti della societł un provvedimento inibitorio; ferma restando, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento la violazione amministrativa di cui al combinato disposto degli artt. 130, comma 2 e 162, comma 2-bis del Codice, in riferimento al trattamento posto in essere successivamente alla reiterata opposizione del segnalante;

RILEVATO, altresô, che, dall'accertamento condotto dall'Ufficio, sono emersi ulteriori aspetti meritevoli di approfondimenti istruttori, e in particolare che nel form di registrazione al suo sito la societł non richiede un espresso consenso - distinto rispetto a quello necessario per i trattamenti con finalitł di marketing - all'impiego dei dati per la finalitł di profilazione, posta in essere dalla medesima come emerge dall'informativa del detto sito ("I dati verranno trattati per finalitł istituzionali, connesse o strumentali all'attivitł del nostro Gruppo, e quindi: "1. per dare esecuzione ad un Servizio o ad una o piŁ operazioni contrattualmente convenute ╔; 4. raccogliere informazioni sui gusti e preferenze del cliente in tema di viaggi ed informazioni socio demografiche╔.");

RILEVATO altresô che nella detta informativa la societł non rende edotti gli interessanti riguardo alla possibilitł di opporsi in qualunque momento allo specifico trattamento di profilazione;

RILEVATO che l'art. 23 del Codice prevede che i dati personali sono utilizzabili da parte dei privati solo con il consenso dell'interessato preventivo, specifico, con riferimento a un trattamento chiaramente individuato, e da documentare per iscritto;

CONSIDERATO che l'attivitł di profilazione effettuata dalla societł senza il prescritto consenso costituisce quindi un trattamento illecito di dati;

RILEVATO che, dall'accertamento successivamente condotto dall'Autoritł, Ć emerso che il form di registrazione e l'informativa di cui sopra risultano ancora configurati come sopra descritto;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresô, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessitł di adottare nei confronti della societł un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato all'attivitł di profilazione senza l'acquisizione del necessario consenso preventivo e specifico del segnalante e degli altri utenti del sito che si siano registrati e tuttora si registrino al medesimo;

RILEVATA, altresô, la necessitł di adottare nei confronti della societł un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto Ć punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, Ć  altresô  applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento la violazione amministrativa concernente l'omessa acquisizione del consenso (artt. 23 e 162, comma 2-bis del Codice);

CONSIDERATO che resta impregiudicata la facoltł per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore il dott. Mauro Paissan;

TUTTO CI˝ PREMESSO IL GARANTE:

a) dichiara illecita l'attivitł di profilazione effettuata dalla societł eDreams srl, con sede legale in Milano, Via Boscovich n. 14, senza il consenso preventivo, specifico e da documentare per iscritto;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla societł eDreams srl qualunque trattamento a fini  di profilazione effettuato dalla medesima senza aver ottenuto il predetto  consenso;

c)  ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla societł eDreams srl di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:

1) modificare il form di registrazione al sito www.edreams.it, inserendo la richiesta agli interessati di un preventivo consenso - distinto rispetto a quello necessario per i trattamenti con finalitł di marketing - in relazione ai trattamenti per la finalitł di profilazione;

2) modificare l'informativa del sito www.edreams.it indicando la possibilitł per gli interessati di opporsi in qualunque momento allo specifico trattamento di profilazione;

d) prescrive altresô alla predetta societł, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, di trasmettere al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare del form di registrazione al sito www.edreams.it e un esemplare dell'informativa conformi alle prescrizioni di cui sopra.

Roma, 8 aprile 2010

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale reggente
De Paoli