Garante per la protezione
    dei dati personali


Raccolta dati sul web: Ć necessario uno specifico consenso per ciascuna finalitł del trattamento dati

PROVVEDIMENTO DEL 23 MARZO 2011

Registro dei provvedimenti
n. 112 del 23 marzo 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del Regolamento del Garante n. 1/2000;

VISTA la segnalazione dell'ing. Maurizio Sarni del 28 agosto 2010, con la quale questi ha lamentato che la societł ModenaFiere srl (di seguito: "la societł"), afferente al gruppo BolognaFiere S.p.A., nell'informativa ex art. 13 del Codice relativa al form di registrazione del sito www.ambientelavoro.it, rilasciata ai fini della vendita on line di un biglietto per la manifestazione "Ambiente Lavoro Convention" del 6-7 ottobre 2010, avvisava che i dati personali forniti sarebbero stati riportati "per fini promozionali sul sito e negli stampati" relativi alla detta manifestazione;

VISTA la nota del 14 dicembre 2010, in risposta a una richiesta di informazioni di questa Autoritł, nella quale la societł ha ammesso di aver rilasciato "per un mero refuso elettronico" la detta informativa e ha prodotto all'Ufficio un nuovo testo messo a disposizione degli interessati per il tramite della societł Best Union incaricata della vendita dei biglietti mediante la rete Internet;

RILEVATO che il nuovo testo dell'informativa prevede che i dati forniti saranno utilizzati "per fini statistici e promozionali", e che nel modulo di registrazione allegato alla suindicata nota di risposta Ć previsto un consenso unico comprendente sia l'iscrizione alla convention organizzata dalla societł sia l'autorizzazione al trattamento dei dati personali per le suddette finalitł statistiche e promozionali;

VISTO che, in occasione dell'istruttoria avviata sulla detta segnalazione, l'Ufficio ha condotto un accertamento anche su un ulteriore sito utilizzato dalla medesima societł (www.modenafiere.it), rilevando che questa, nel form relativo all'area "contatti", non richiede il consenso espresso e distinto per le diverse finalitł di diffusione e pubblicazione di dati tramite il sito medesimo, periodici e riviste specializzate, per quella di trasferimento dei dati personali all'estero, nonchÄ per la finalitł – emergente dal detto form  - di inserimento dei dati raccolti in "liste per l'invio di materiale informativo, pubblicitario e promozionale";

VISTO l'art. 23, comma 3, del Codice, il quale prevede invece che il trattamento di dati personali da parte dei privati Ć ammesso solo previa acquisizione di un consenso dell'interessato libero, informato e specifico, con riferimento a trattamenti chiaramente individuati, e da documentare per iscritto;

CONSIDERATO, inoltre, che, come gił rilevato da questa Autoritł (provv. 22 febbraio 2007; provv12 ottobre 2005; provv3 novembre 2005; provv 10 maggio 2006; provv 15 luglio 2010), non puś definirsi "libero", e risulta indebitamente necessitato, il consenso a ulteriori trattamenti di dati personali che l'interessato "debba" prestare quale condizione per conseguire una prestazione richiesta, e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso -allorchÄ richiesto per legge- per ciascuna distinta finalitł perseguita dal titolare (cfr. provv24 febbraio 2005, punto 7);

RILEVATA l'inidoneitł dell'informativa ex art. 13 del Codice, pubblicata sul sito www.modenafiere.it, che non indica la finalitł di invio di comunicazioni promozionali presente invece nel suindicato form di registrazione, nÄ specifica in modo chiaro e preciso i soggetti o le categorie di soggetti situati all'estero cui i dati personali raccolti vengono comunicati;

CONSIDERATO che le attivitł di trattamento dei dati, come sopra individuate, effettuate dalla societł senza il relativo consenso specifico e un'idonea informativa costituiscono quindi un trattamento illecito di dati;

CONSIDERATO, inoltre, che dal sito www.ambientelavoro.it utilizzato dalla societł emerge che questa ha in programma altri eventi analoghi alla manifestazione "Ambiente Lavoro Convention" dell'ottobre 2010;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresô, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessitł di adottare nei confronti della societł un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato alle attivitł di tipo statistico, di invio di comunicazioni promozionali, di diffusione di dati personali sul sito www.modenafiere.it, su periodici e riviste specializzate, nonchÄ di trasferimento dei dati personali all'estero, in assenza di un'inidonea informativa e senza l'acquisizione del necessario consenso libero, specifico e documentato degli utenti dei suindicati siti, i quali si siano registrati e tuttora si registrino ai medesimi;

RILEVATA, altresô, la necessitł di adottare nei confronti della societł un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto Ć punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, Ć  altresô applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento le eventuali violazioni amministrative di competenza di questa Autoritł;

CONSIDERATO che resta impregiudicata la facoltł per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE il dott. Giuseppe Fortunato;

TUTTO CI˝ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento dei dati personali effettuato da ModenaFiere s.r.l., con sede legale in Modena, Viale Virgilio, n. 58/B, tramite l'invio di comunicazioni promozionali, l'attivitł statistica, la diffusione di dati personali sul sito www.modenafiere.it, su periodici e riviste specializzate, nonchÄ tramite il trasferimento dei dati personali all'estero, in assenza di un'idonea informativa ex art. 13 del Codice e di un consenso libero, specifico e documentato degli interessati ex art. 23 del Codice;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta a Modenafiere s.r.l. l'ulteriore trattamento dei dati personali gił acquisiti per le finalitł suindicate, effettuato dalla medesima senza aver rilasciato un'idonea informativa e aver ottenuto il suddetto consenso;

c) ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive a Modenafiere s.r.l. - qualora quest'ultima intenda continuare a inviare comunicazioni promozionali - di adottare le misure necessarie e opportune, tramite il rilascio di un'idonea informativa e l'acquisizione di un consenso libero, specifico e documentato, al fine di rendere il detto trattamento dei dati personali conforme alle dette disposizioni del  Codice;

d) ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, prescrive a Modenafiere s.r.l.  - qualora quest'ultima intenda continuare a raccogliere on line dati personali degli utenti  – di modificare:

1) il form di raccolta dei dati personali utilizzato per il sito www.ambientelavoro.it o altro eventuale sito web, previsto per l'iscrizione a eventi organizzati dalla medesima societł, inserendo la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle finalitł indicate nell'informativa ex art. 13 rilasciata dalla societł (promozionale e statistica);

2) il form di raccolta dei dati personali sul sito www.modenafiere.it, all'area "contatti", indicando, nell'informativa ex art. 13 del Codice, le finalitł del trattamento dei dati personali con riferimento a tutte le diverse tipologie di attivitł svolte dalla societł stessa, e - in modo chiaro e preciso - i soggetti o le categorie di soggetti situati all'estero cui i dati personali raccolti vengono trasferiti, e inserendo la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle finalitł perseguite in relazione al trattamento dei dati degli interessati.

Avverso il presente provvedimento, ai sensi dell'art. 152 del Codice,  Ć possibile proporre opposizione con ricorso all'autoritł giudiziaria ordinaria, e precisamente al tribunale del luogo ove risiede il titolare del trattamento entro il termine di trenta giorni dalla data di comunicazione del medesimo provvedimento. Si ricorda che l'opposizione non sospende l'esecuzione del provvedimento (v. art. 152, comma 5, Codice).

Roma, 23 marzo 2011

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale reggente
De Paoli