Garante per la protezione
    dei dati personali


E-mail promozionali: illecite senza consenso

PROVVEDIMENTO DEL 19 MAGGIO 2011

Registro dei provvedimenti
 n. 200 del 19 maggio 2011

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA la segnalazione della signora Maria Rocca del 15 novembre 2010, che lamentava la ricezione, con cadenza quotidiana, di e-mail dal contenuto promozionale in calce alle quali era indicato che "ricevi questa e-mail perché sei iscritto ad una newsletter del network NanoPress";

VISTO che la segnalante ha rappresentato di continuare a ricevere le suddette e-mail pur avendo piu' volte richiesto, sia utilizzando l'apposito link in calce alle stesse sia telefonicamente, la cancellazione dei propri dati;

VISTA la nota dell'11 gennaio 2011, inviata in risposta a una richiesta di informazioni di questa Autorita', nella quale la societa' Tuttogratis Italia S.p.A. (di seguito "la societa'"), proprietaria del sito http://www.nanopress.it, ha rappresentato che l'indirizzo e-mail della segnalante era stato acquisito a seguito dell'iscrizione della stessa ad una delle newsletter del sito di NanoPress e che non era stato possibile per la ricevente esercitare il diritto di opt-out a causa di un mero problema tecnico;

VISTO che nella suddetta nota la societa' - nel chiarire le modalita' con cui vengono acquisiti i dati degli utenti che richiedono l'iscrizione ad una delle newsletter del circuito - ha dichiarato che l'informativa in materia di trattamento dei dati personali viene fornita mediante un'apposita finestra di pop-up che si apre non appena si richiede l'iscrizione al servizio, senza tuttavia indicare se fosse prevista l'acquisizione di un consenso specifico alla ricezione anche di messaggi promozionali;

VISTO che - per verificare le modalita' con cui veniva effettivamente resa l'informativa ed acquisito il consenso all'atto dell'iscrizione al servizio - e' stato effettuato in data 27 gennaio 2011 un accertamento d'ufficio attraverso l'accesso diretto al sito www.nanopress.it, simulando la registrazione a due newsletter ("tantasalute" e "haisentito") del circuito, a seguito del quale sono emersi i seguenti elementi:

- all'atto della registrazione l'utente viene preventivamente informato del fatto che "la tua email non sara' mai visualizzata né usata per scopi commerciali";

- nel testo dell'informativa e' indicato che i dati potranno essere utilizzati, oltre che per l'invio della newsletter richiesta, anche per finalita' promozionali proprie o di soggetti terzi e che, in questo caso, "il conferimento dei predetti dati Šnon ha carattere obbligatorio. Qualora tali dati vengano forniti, il loro trattamento richiede il consenso da parte dell'interessato";

- nella medesima informativa, al punto 4.3, viene riportato che "i dati personali potranno essere comunicati a societa' terze specializzate nell'informazione e promozione commerciale, nel marketing, nelle ricerche di mercato. I soggetti di cui al puntoŠe 4.3 utilizzeranno i dati loro comunicati in qualita' di Titolari" non essendo tuttavia previsto un successivo consenso specifico per questo tipo di trattamento;

- nella sezione "informativa sulla privacy" sono previste solo le opzioni "accetto" e "non accetto": se tuttavia l'utente decide di proseguire con la registrazione senza accettare integralmente quanto riportato nella suddetta informativa, il sistema non consente di proseguire ed appare il messaggio "e' obbligatorio accettare la normativa sulla privacy";

VISTO l'art. 23, comma 3, del Codice, il quale prevede che il trattamento di dati personali da parte dei privati e' ammesso solo previa acquisizione di un consenso dell'interessato libero, informato e specifico, con riferimento a trattamenti chiaramente individuati, e da documentare per iscritto;

CONSIDERATO, inoltre, che, come gia' rilevato da questa Autorita' (provv. 22 febbraio 2007; provv.  12 ottobre 2005; provv.  3 novembre 2005; provv. 10 maggio 2006; provv. 15 luglio 2010), non puo' definirsi "libero", e risulta indebitamente necessitato, il consenso a ulteriori trattamenti di dati personali che l'interessato "debba" prestare quale condizione per conseguire una prestazione richiesta, e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso per ciascuna distinta finalita' perseguita dal titolare (cfr. provv.  24 febbraio 2005, punto 7);

RILEVATO quindi che la societa' non consente agli interessati di esprimere specifici consensi per la ricezione di messaggi promozionali e per la comunicazione dei dati a terzi, essendo, come detto, obbligatoria l'integrale accettazione dell'informativa per effettuare la registrazione;

CONSIDERATO che le attivita' di trattamento dei dati, come sopra individuate, effettuate dalla societa' senza il relativo consenso specifico costituiscono quindi un trattamento illecito di dati;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresi', gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessita' di adottare nei confronti della societa' un provvedimento di divieto del trattamento illecito di dati personali, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato alle attivita' di invio di messaggi promozionali tramite posta elettronica e di comunicazione dei dati a terzi per finalita' commerciali senza l'acquisizione del necessario consenso libero, specifico e documentato degli utenti gia' registrati su uno dei siti afferenti a NanoPress;

RILEVATA, altresi', la necessita' di adottare nei confronti della societa' un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto e' punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, e'  altresi' applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento le eventuali violazioni amministrative di competenza di questa Autorita';

CONSIDERATO che resta impregiudicata la facolta' per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE il dott.  Giuseppe Fortunato;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento dei dati personali effettuato da Tuttogratis Italia S.p.A., con sede legale in Milano, via Ripamonti n. 101, tramite l'invio, agli utenti registrati al servizio di ricezione delle newsletter di NanoPress, di messaggi promozionali via posta elettronica e la comunicazione dei dati personali acquisiti tramite la suddetta registrazione a soggetti terzi per finalita' di ricerche di mercato e di comunicazione commerciale, in assenza di un consenso libero, specifico e documentato degli interessati ex artt. 23 e 130 del Codice;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta a Tuttogratis Italia S.p.A. l'ulteriore trattamento dei dati personali gia' acquisiti per le finalita' di invio agli utenti registrati al servizio di ricezione delle newsletter di NanoPress di messaggi promozionali via posta elettronica e la comunicazione dei dati personali acquisiti tramite la suddetta registrazione a soggetti terzi per finalita' di ricerche di mercato e di comunicazione commerciale, effettuato dalla medesima societa' senza aver ottenuto i suddetti consensi;

c) ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive a Tuttogratis Italia S.p.A. - qualora quest'ultima intenda continuare ad utilizzare lo strumento della posta elettronica per l'invio di comunicazioni promozionali e/o a comunicare i dati personali degli utenti registrati al servizio di newsletter a soggetti terzi che li utilizzano per finalita' di ricerche di mercato e di comunicazione commerciale - di adottare le misure necessarie e opportune, atte a garantire la completa ottemperanza a quanto stabilito dagli artt. 23 e 130 del Codice inserendo, in fase di registrazione, la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle finalita' indicate nell'informativa ex art. 13 rilasciata dalla societa' e fornendone adeguata documentazione al Garante entro trenta giorni dalla comunicazione del presente provvedimento.

Avverso il presente provvedimento, ai sensi dell'art. 152 del Codice, puo' essere proposta opposizione davanti al tribunale ordinario del luogo dove ha sede il titolare del trattamento, entro il termine di trenta giorni dalla notificazione del  provvedimento stesso.

Roma, 19 maggio 2011

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale reggente
De Paoli