Garante per la protezione
    dei dati personali


Attivitł di profilazione dei clienti, invio di comunicazioni promozionali e cessione di dati a terzi per finalitł commerciali: Ć necessario il consenso degli interessati

PROVVEDIMENTO DEL 7 OTTOBRE 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componente, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

CONSIDERATO che a questa Autoritł sono pervenute varie segnalazioni della societł Inoxveneta spa riguardanti la ricezione di comunicazioni promozionali indesiderate tramite e-mail da parte di alcune societł, le quali, secondo gli esiti dell'istruttoria condotta dall'Ufficio, hanno acquisito l'indirizzo di posta elettronica della segnalante dal sito www.expopage.net;

CONSIDERATO, peraltro, che questa Autoritł, con il provvedimento del 26 marzo 2010 adottato nei confronti della societł One srl per l'invio di e-mail indesiderata, si Ć riservata la verifica, con autonomo procedimento, dei presupposti per l'eventuale adozione di un provvedimento inibitorio e prescrittivo, in relazione all'inidonea informativa del sito e per l'eventuale contestazione delle conseguenti violazioni amministrative, nei confronti di Fiera Milano S.p.a., al quale gruppo societario afferisce la societł Expopage S.p.A;

CONSIDERATO che dalle note di riscontro di Expopage S.p.A - gestrice del sito de quo e titolare del trattamento dei dati personali di cui sopra - e dai successivi accertamenti condotti dall'Ufficio, risulta che la medesima societł, nel form di registrazione al sito, non richiede il consenso espresso e distinto per le finalitł di invio di comunicazioni promozionali, di profilazione degli utenti e di cessione di dati a terzi, poste in essere dalla medesima come emerge dall'informativa del detto sito;

RILEVATO, peraltro, che l'unico consenso - richiesto dalla suddetta societł - all'utente che si voglia registrare non Ć riferito a ciascun tipo di trattamento svolto, ma Ć indistintamente riferito all'insieme dei trattamenti indicati nel testo dell'informativa ex art. 13 del Codice ("Esprimo il mio consenso all' informativa di cui all'art. 13 del Codice Privacy╔");

RILEVATO, inoltre, che tale consenso - nel testo dell'informativa in questione - Ć  ritenuto necessario per accedere al servizio offerto dalla medesima agli utenti registrati (servizio consistente, peraltro, nella possibilitł di consultare online tutti i cataloghi delle manifestazioni sul portale di Expopage S.p.A., organizzare la propria visita alla fiera di Milano, entrare in contatto diretto con gli espositori, promuovere le attivitł delle varie aziende);

VISTI l'art. 23 del Codice, il quale prevede invece che il trattamento di dati personali da parte dei privati Ć ammesso solo previa acquisizione di un consenso dell'interessato libero, informato e specifico, con riferimento a un trattamento chiaramente individuato e documentato per iscritto; e l'art. 130, comma 2, del Codice che, analogamente, prevede per l'invio di e-mail promozionali il preventivo consenso informato e specifico dell'interessato;

CONSIDERATO, inoltre, che, come gił rilevato da questa Autoritł (provv. 22 febbraio 2007; provv12 ottobre 2005; provv3 novembre 2005; provv. ;10 maggio 2006), non puś definirsi "libero" il consenso ad un ulteriore trattamento dei dati personali che l'interessato "debba" prestare quale condizione per conseguire una prestazione richiesta; e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso - allorchÄ richiesto per legge - per ciascuna distinta finalitł perseguita dal titolare (cfr. provv24 febbraio 2005, punto 7);

RILEVATA la necessitł di evitare che i dati personali raccolti dal titolare del trattamento per l'esecuzione del rapporto contrattuale vengano di fatto piegati ad un utilizzo diverso dallo scopo che ne ha giustificato la raccolta, in violazione del principio di finalitł (art. 11, comma 1, lett. b), del Codice);

RILEVATO, inoltre, che, nel testo dell'informativa ex art. 13 del Codice, pubblicato sul sito www.expopage.net, non vengono specificati in modo chiaro e preciso i soggetti o le categorie di soggetti cui tali dati eventualmente vengono ceduti da Expopage S.p.A. ;

CONSIDERATO, al riguardo, che, in caso di comunicazione e/o cessione di dati personali a terzi, non solo deve essere richiesto specifico e libero consenso all'interessato, ma Ć anche necessario che questi, mediante idonea informativa, sia reso edotto almeno della categoria di soggetti cui sono trasmessi i suoi dati personali, e che, in mancanza di tale indicazione, l'informativa resa deve considerarsi inidonea, come gił affermato da questa Autoritł in diverse occasioni (provv. 26 giugno 2008; provv. 25 giugno 2009);

CONSIDERATO che le attivitł di trattamento dei dati, come sopra individuate, effettuate dalla societł senza il prescritto consenso costituiscono quindi un trattamento illecito di dati;

RILEVATO che, dall'accertamento condotto dall'Ufficio, il form di registrazione e il testo dell'informativa in questione risultano tuttora configurati come sopra descritti;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresô, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessitł di adottare nei confronti della societł un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato alle attivitł di profilazione dei clienti, di invio di comunicazioni promozionali, e di cessione di dati personali a terzi senza l'acquisizione del necessario consenso preventivo e specifico degli  utenti del sito che si siano registrati e tuttora si registrino al medesimo;

RILEVATA, altresô, la necessitł di adottare nei confronti della societł un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto Ć punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, Ć  altresô  applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento le eventuali violazioni amministrative di competenza di questa Autoritł;

CONSIDERATO che resta impregiudicata la facoltł per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore il dott. Giuseppe Fortunato;

TUTTO CI˝ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento di dati personali posto in essere dalla societł Expopage S.p.A., con sede legale in Milano, Piazzale Carlo Magno, n.1, tramite il sito Internet www.expopage.net per le finalitł di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico, libero e documentato per iscritto per ciascuna delle predette finalitł;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla societł Expopage S.p.A. il trattamento di dati personali per le finalitł di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico, libero e documentato per iscritto per ciascuna delle predette finalitł;

c)  ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla societł Expopage S.p.A. di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:

1) modificare l'informativa del sito www.expopage.net indicando specificamente i soggetti, o, perlomeno, le categorie di soggetti cui siano eventualmente comunicati i dati personali degli interessati;

2) qualora la societł suindicata intenda continuare a perseguire le finalitł di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, modificare il form di raccolta dei dati personali sul sito www.expopage.net inserendo la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle predette finalitł;

3) trasmettere, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare della modulistica, utilizzata rispettivamente per l'informativa ex art. 13 del Codice e per il consenso ex artt. 23 e 130 del Codice, riformulata in conformitł alle prescrizioni di cui ai nn. 1) e 2).

Roma, 7 ottobre 2010

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale reggente
De Paoli