Garante per la protezione
    dei dati personali


Raccolta di dati via Internet per finalitą promozionali: sempre necessario il consenso degli interesssati

PROVVEDIMENTO DEL 15 LUGLIO 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan, componente, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del Regolamento del Garante n. 1/2000;

VISTA la segnalazione del Centro per i diritti del cittadino, con la quale Ź stato lamentato che la societą Casa.it srl, nel form di registrazione al suo sito www.casa.it, richiede indistintamente per vari trattamenti di dati personali un unico consenso, peraltro configurato come preimpostato;

VISTA la nota di risposta a una richiesta di informazioni di questa Autoritą, nella quale la societą in questione, al riguardo, si limita ad affermare che il consenso degli interessati al trattamento dei dati personali che vogliano accedere al sito "Ź liberamente prestato e con riferimento specifico all'attivitą del sito, posto che senza il consenso l'Utente non avrebbe la possibilitą di riessere contattato e quindi di ricevere informazioni sull'immobile di riferimento";

VISTO che, dall'accertamento condotto dall'Ufficio, risulta che la societą in oggetto, nel form di registrazione al sito, non richiede il consenso espresso e distinto per le finalitą di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati a terzi, poste in essere dalla medesima come emerge dall'informativa del detto sito ("Il trattamento dei dati…sarą finalizzato a: … b) raccogliere dati ed informazioni in via generale e particolare sugli orientamenti e le preferenze dell'Utente; inviare informazioni ed offerte commerciali, anche di terzi; inviare materiale pubblicitario e informativo; effettuare comunicazioni commerciali, anche interattive;…elaborare studi e ricerche statistiche su vendite, clienti e altre informazioni, ed eventualmente comunicare le stesse a terze parti; cedere a terzi, anche al di fuori del territorio dell'Unione Europea, i dati raccolti ed elaborati a fini commerciali anche per la vendita o tentata vendita, ovvero per tutte quelle finalitą a carattere commerciale e/o statistico lecite...");

RILEVATO, peraltro, che l'unico consenso richiesto indistintamente dalla societą per il trattamento dei dati personali Ź preimpostato;

VISTO l'art. 23 del Codice, il quale prevede invece che il trattamento di dati personali da parte dei privati Ź ammesso solo previa acquisizione di un consenso dell'interessato libero, informato e specifico, con riferimento a un trattamento chiaramente individuato, e da documentare per iscritto; e che, analogamente, l'art. 130, comma 2, del Codice prevede per l'invio di e-mail promozionali il preventivo consenso informato e specifico dell'interessato;

CONSIDERATO, inoltre, che, come gią rilevato da questa Autoritą (provv.  22 febbraio 2007; provv.  12 ottobre 2005; provv.  3 novembre 2005; provv.  10 maggio 2006), non puė definirsi "libero", e risulta indebitamente necessitato, il consenso ad un ulteriore trattamento dei dati personali che l'interessato "debba" prestare quale condizione per conseguire una prestazione richiesta; e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso -allorché richiesto per legge- per ciascuna distinta finalitą perseguita dal titolare (cfr. provv.  24 febbraio 2005, punto 7);

CONSIDERATO, peraltro, che tale capacitą di autodeterminazione non Ź assicurata quando si assoggetta l'accesso a un servizio alla preventiva autorizzazione a trattare i dati conferiti per il medesimo servizio per una finalitą diversa, qual Ź quella promozionale e pubblicitaria, o quella di profilazione; con la conseguenza che i dati personali raccolti dal titolare (e conferiti dall'interessato) per l'esecuzione del rapporto contrattuale vengono di fatto piegati ad un utilizzo diverso dallo scopo che ne ha giustificato la raccolta, in violazione del principio di finalitą (art. 11, comma 1, lett. b), del Codice);

RILEVATO, inoltre, che, nel testo dell'informativa ex art. 13 del Codice, pubblicato sul sito www.casa.it,  non vengono specificati in modo chiaro e preciso i soggetti o le categorie di soggetti cui tali dati vengono comunicati e/o ceduti;

CONSIDERATO che, in caso di comunicazione e/o cessione di dati personali a terzi, non solo deve essere richiesto uno specifico e libero consenso all'interessato, ma Ź anche necessario che questi, mediante idonea informativa, sia reso edotto almeno della categoria di soggetti cui sono trasmessi i suoi dati personali, e che, in mancanza di tale indicazione, l'informativa resa deve considerarsi inidonea, come gią affermato da questa Autoritą in diverse occasioni (provv 26 giugno 2008; provv 25 giugno 2009);

CONSIDERATO che le attivitą di trattamento dei dati, come sopra individuate, effettuate dalla societą senza il prescritto consenso costituiscono quindi un trattamento illecito di dati;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresď, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessitą di adottare nei confronti della societą un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato alle attivitą di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati personali a terzi senza l'acquisizione del necessario consenso preventivo e specifico degli  utenti del sito che si siano registrati e tuttora si registrino al medesimo;

RILEVATA, altresď, la necessitą di adottare nei confronti della societą un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto Ź punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, Ź  altresď  applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento le eventuali violazioni amministrative di competenza di questa Autoritą;

CONSIDERATO che resta impregiudicata la facoltą per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore il prof. Francesco Pizzetti;

TUTTO CIŮ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento di dati personali posto in essere dalla societą Casa.it srl, con sede legale in Treviso, via Carlo Cattaneo n. 4, tramite il sito Internet www.casa.it per le finalitą di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico e libero, e documentato per iscritto per ciascuna delle predette finalitą;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla societą Casa.it srl il trattamento di dati personali per le finalitą di profilazione dei clienti, di invio di comunicazioni promozionali, di comunicazione e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico e libero, e documentato per iscritto per ciascuna delle predette finalitą;

c)  ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla societą Casa.it srl di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:

1) modificare l'informativa del sito www.casa.it indicando specificamente i soggetti, o, perlomeno,  le categorie di soggetti cui siano eventualmente comunicati i dati personali degli interessati;

2) modificare il form di raccolta dei dati personali sul sito www.casa.it inserendo la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle predette finalitą perseguite in relazione al trattamento dei dati degli interessati;

3)  trasmettere, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare della modulistica, utilizzata rispettivamente per l'informativa ex art. 13 del Codice e per il consenso ex artt. 23 e 130 del Codice, riformulata in conformitą alle prescrizioni di cui ai nn. 1) e 2).

Roma, 15 luglio 2010

Il presidente
Pizzetti

Il relatore
Pizzetti

Il segretario generale reggente
De Paoli