Garante per la protezione
    dei dati personali


Raccolta e utilizzo didati personali mediante moduli contrattuali senza consenso specifico per ciascunafinalità di trattamento

PROVVEDIMENTO DEL 12GENNAIO 2012

Registro dei provvedimenti
n. 10 del 12gennaio 2012

IL GARANTE PER LA PROTEZIONEDEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele DePaoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30giugno 2003, n. 196, di seguito "Codice");

VISTE le osservazioni formulate dal segretario generale ai sensidell'art. 15 del Regolamento del Garante n. 1/2000;

TENUTO conto che negli anni 2009-2011 l'Autorità ha ricevutosegnalazioni con riferimento ad alcuni trattamenti di dati personaliriconducibili all'attività di BT Italia S.p.A. (di seguito indicata come"BT" o "società"), che svolge attività di fornitura di variservizi di comunicazione elettronica (es.: trasmissione dati, fonia, housing,ecc.), relativamente all'effettuazione di telefonate promozionali indesideratee alla lamentata attivazione indesiderata di un'utenza telefonica e delservizio di carrier preselection (che consente all'utente di scegliere unoperatore telefonico, diverso da quello con il quale ha già un contratto inessere, trasferendo il proprio traffico telefonico sulla rete dell'operatoreprescelto e alle condizioni contrattuali con quest'ultimo pattuite);

RITENUTO pertanto necessario svolgere un'attività di carattereispettivo al fine di verificare la conformità dei trattamenti dati svolti da BTalla normativa vigente in materia di protezione dei dati personali;

VISTI il verbale di accertamento ispettivo condotto dall'Autoritàpresso la sede legale di BT il 15 e 16 settembre 2011 e le note della medesimasocietà del 30 settembre e del 24 ottobre 2011, a integrazione di quantodichiarato a verbale;

RILEVATO, in occasione del predetto accertamento, che la procedura diattivazione del servizio di carrier preselection da parte di BT avvienemediante moduli contrattuali utilizzati dalla società fin dal giugno 2007 e giàsottoscritti da migliaia di clienti (v. nota BT del 30 settembre 2011suindicata);

CONSIDERATO che le modifiche apportate al Codice dal decreto-legge n.201/2011 lasciano impregiudicata la tutela dei dati personali dei clienti - inqualità di "interessati" ex art. 4 del Codice – ove non sianopersone giuridiche, enti o associazioni ma soggetti di natura giuridicadiversa, come, ad esempio, persone fisiche, imprese individuali o impresefamiliari;

RILEVATO che BT è titolare del trattamento dei dati in questione (v.informativa, ex art. 13 del Codice, per il trattamento dei dati personali presentesul sito www.bt.comal quale rinviano i citati moduli contrattuali),anche perché –  come emerge dal verbale del 15 settembre 2011 - la medesima società predispone i moduli utilizzati dalle agenzie le qualiacquisiscono, per suo conto, nuovi clienti, provvede alla formazione delpersonale delle medesime agenzie e a effettuare sulle stesse verificheperiodiche e, inoltre, impone contrattualmente alle sue agenzie di adempierealle norme del Codice (v. al riguardo provv. gen. 15 giugno 2011 "Titolaritàdel trattamento di dati personali in capo ai soggetti che si avvalgono diagenti per attività promozionali");

RILEVATO che l'informativa di cui sopra prevede che i dati personalisono raccolti e trattati per varie eterogenee finalità, fra le quali inparticolare: studi statistici, indagini sul livello di soddisfazione deiclienti, invio di materiale pubblicitario ai fini della commercializzazione"anche tramite canale telefonico" di servizi di telecomunicazioniulteriori rispetto a quelli oggetto del contratto, eventuale partecipazione aprogrammi a premio di BT, inserimento degli stessi dati negli elenchi diclienti utilizzati dalla società per la partecipazione a pubbliche gare elicitazioni private, nonché per la predisposizione di presentazioni commercialia terze parti;

RILEVATO che il medesimo testo informativo prevede che i datipersonali raccolti vengano comunicati da BT a numerose categorie di soggetti eche inoltre i detti dati possano essere "esportati e trattati all'esteroda soggetti situati sul territorio dell'Unione Europea e in paesiextra-UE";

RILEVATO, inoltre, che, nella suindicata informativa, non vengonoindicate modalità ulteriori, rispetto a quella telefonica, utilizzate dallasocietà per contattare i destinatari delle comunicazioni promozionali relativeal servizio di carrier preselection e agli altri servizi di comunicazioneelettronica;

RILEVATO, altresì, che la società, su richiesta dell'Autorità, con lapredetta nota del 24 ottobre 2011, ha ammesso di avvalersi per l'invio dimessaggi promozionali ai suoi clienti anche di corrispondenza cartacea nonchédi utilizzare modalità automatizzate, come telefax e sms, che - in baseall'art. 130, comma 2, del Codice - sono consentite solo con il consensodell'interessato;
RILEVATO altresì che la società non richiede alcunconsenso espresso e specifico degli interessati per il trattamento dei daticorrelato alle eterogenee finalità  perseguite, nonché per l'attività dicomunicazione dei dati personali a terzi, alle quali si fa riferimentonell'informativa sopra indicata;

VISTI l'art. 23, comma 3, del Codice (il quale prevede che iltrattamento di dati personali da parte dei privati è ammesso solo previaacquisizione di un consenso dell'interessato libero, informato e specifico, conriferimento a trattamenti chiaramente individuati, e documentato per iscritto)e l'art. 130, comma 2, del Codice, il quale stabilisce che le comunicazionielettroniche effettuate per l'invio di materiale pubblicitario mediante postaelettronica, telefax, mms o sms sono consentite con il consensodell'interessato, eccetto il caso indicato al comma 4 del medesimo articolo;

CONSIDERATO, peraltro, che la capacità di autodeterminazionedell'interessato non è assicurata quando si assoggetta l'accesso a un servizio –nel caso specifico, la carrier preselection fornita da BT - alla preventivaautorizzazione a trattare i dati conferiti anche per una finalità diversa, comequella promozionale o quella di comunicazione dei dati a soggetti terzi; con laconseguenza che i dati personali raccolti dal titolare per l'esecuzione delrapporto contrattuale vengono di fatto piegati ad un utilizzo diverso dalloscopo che ne ha giustificato la raccolta, in violazione del principio difinalità (art. 11, comma 1, lett. b), del Codice; cfr., a titoloesemplificativo: provv.  24 febbraio 2005, punto 7 e provv. 15 luglio 2010;provv. 6 dicembre 2011, in via di pubblicazione sul medesimo sito);

CONSIDERATO inoltre che, come già rilevato da questa Autorità, gliinteressati devono essere messi in grado di esprimere consapevolmente eliberamente le proprie scelte in ordine al trattamento dei dati che liriguardano, manifestando il proprio consenso - allorché richiesto per legge -per ciascuna distinta finalità perseguita dal titolare (cfr. i già citatiprovv. 24 febbraio 2005, punto 7 e provv. 15 luglio 2010);

CONSIDERATO che l'attività di trattamento dei dati personali, comesopra descritta, effettuata da BT senza un'idonea informativa e il relativoconsenso distinto e specifico degli interessati costituisce quindi untrattamento illecito di dati;

RILEVATO che l'art. 11, comma 2, del Codice prevede che i datipersonali trattati in violazione della disciplina rilevante in materia di datipersonali non possono essere utilizzati;

RILEVATO altresì che il trattamento in questione posto in essere da BTmediante i moduli come sopra descritti presenta  in ragione delconsiderevole periodo di tempo (giugno 2007) dal quale i moduli sono in uso,nonché dei numerosi servizi di comunicazione elettronica forniti dalla societàe dei numerosi clienti interessati  carattere sistematico;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett.c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anched'ufficio il trattamento illecito o non corretto dei dati o di disporne ilblocco e di adottare, altresì, gli altri provvedimenti previsti dalladisciplina applicabile al trattamento dei dati personali;

RILEVATA la necessità di adottare nei confronti della società  aisensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice un provvedimento di divieto del trattamento illecito di dati personalicorrelato alle attività di studi statistici, indagini sul livello disoddisfazione dei clienti, invio di materiale pubblicitario, eventualepartecipazione a programmi a premio di BT, inserimento dei dati personali inelenchi clienti della medesima società sia per la formulazione di presentazionicommerciali a terze parti sia per l'eventuale partecipazione a pubbliche gare elicitazioni private, comunicazione dei dati personali a soggetti terzi etrasferimento dei medesimi in paesi UE ed extra UE, senza l'acquisizione delnecessario consenso libero, specifico e documentato per iscritto degliinteressati;

RILEVATA, altresì, la necessità di adottare nei confronti della società ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice un provvedimento prescrittivo volto a rendere il trattamento dei datieffettuato da BT conforme alla normativa richiamata in materia di protezionedei dati personali;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque,essendovi tenuto, non osserva il presente provvedimento di divieto è punito conla reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma2-ter del Codice, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa,  in ogni caso, la sanzione delpagamento di una somma da trentamila a centottantamila euro;

RISERVATA, con autonomo procedimento, la verifica dei presupposti percontestare al predetto titolare del trattamento le eventuali violazioniamministrative di competenza di questa Autorità;

CONSIDERATO che resta impregiudicata la facoltà per gli interessati difar valere i propri diritti in sede civile in relazione alla condotta accertata(cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profilidi danno;

VISTA la documentazione in atti;
VISTE le osservazionidell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

TUTTO CIŅ PREMESSO ILGARANTE:

a) dichiara illecito il trattamento effettuato da BT ItaliaS.p.A. - con sede legale in Milano, via Tucidide n. 56 - dei dati personaliraccolti mediante i moduli contrattuali utilizzati per l'attivazione delservizio di carrier preselection ed eventualmente utilizzati per ciascun altroservizio fornito dalla medesima società, in relazione alle attività diverse daquelle strumentali all'esecuzione degli obblighi contrattuali, in assenza di unconsenso libero, specifico e documentato per iscritto degli interessati exartt. 23 e 130 del Codice;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1,lett. d), del Codice, vieta a  BT Italia S.p.A. l'ulteriore trattamentodei dati personali già acquisiti mediante la modulistica contrattualeutilizzata da BT per le attività diverse da quelle strumentali all'esecuzionedegli obblighi contrattuali, effettuato dalla medesima società senza averottenuto il consenso libero, specifico e documentato per iscritto degliinteressati ex artt. 23 e 130 del Codice;

c) ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1,lett. c), del Codice, prescrive a BT Italia S.p.A. di adottare le misurenecessarie e opportune al fine di rendere il trattamento dei dati personaliconforme alle disposizioni del Codice e, in particolare, di apportare aimoduli contrattuali utilizzati per il servizio di carrier preselection edeventualmente utilizzati per ciascun altro servizio fornito dalla medesimasocietà le modifiche di seguito indicate, dandone riscontro a questa Autoritàentro e non oltre il termine di sessanta giorni dalla data di ricezione delpresente provvedimento:

1) indicare nell'informativa presente nella modulisticautilizzata dalla società e nel sito www.bt.com l'impiego di modalitàautomatizzate di trattamento dei dati  personali per l'invio dicomunicazioni promozionali;

2) inserire la richiesta agli interessati di un preventivoconsenso al trattamento dei dati personali specifico, distinto e facoltativoper ciascuna delle attività svolte dalla società, diverse da quelle strumentaliall'esecuzione degli obblighi contrattuali, ai sensi degli artt. 23 e 130 delCodice

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011,avverso il presente provvedimento può essere proposta opposizione all'autoritàgiudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogoove ha la residenza il titolare del trattamento dei dati, entro il termine ditrenta giorni dalla data di comunicazione del provvedimento stesso, ovvero disessanta giorni se il ricorrente risiede all'estero.

Roma, 12 gennaio 2012

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale reggente
De Paoli