Garante per la protezione
    dei dati personali


Trattamento illecito di dati da partedi una società che opera nel settore del telemarketing

PROVVEDIMENTO DEL 11 OTTOBRE 2012

Registro dei provvedimenti
n. 286 dell'11 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003,n. 196, di seguito "Codice");

VISTEin particolare le  disposizioni di cui agli artt. 13, 23 e 130, commi 1,2, 3bis, del Codice;

VISTOil provvedimento generale del 19 gennaio 2011, n. 16/2011, recante"Prescrizioni per il trattamento di dati personali per finalità dimarketing, mediante l'impiego del telefono con operatore, a seguitodell'istituzione del Registro pubblico delle opposizioni" pubblicato inG.U. n. 24 del 31 gennaio 2011;

VISTOil provvedimento generale del 15 giugno 2011, n.230/2011, sulla "Titolaritàdel trattamento di dati personali in capo ai soggetti che si avvalgono diagenti per attività promozionali" pubblicato in G.U. n. 153 del 4 luglio2011;

VISTOil provvedimento inibitorio e prescrittivo adottato in data 3 dicembre 2009 dalGarante nei confronti di Azienda Cassine di Pietra s.r.l. , relativamente alla sua attività di telemarketingmediante telefonate promozionali in assenza dei  requisiti indicati dalCodice;

TENUTOconto che negli anni 2011 e 2012 l'Autorità ha ricevuto numerose segnalazionirelativamente alla ricezione di telefonate promozionali indesiderate aventi adoggetto prodotti diCassine di Pietra;

RILEVATOche l'Autorità, a seguito dell'istruttoria preliminare svolta al riguardo, haaccertato che l'attività di telemarketing oggetto delle segnalazioni è stataeffettuata da S.S.T.C. s.r.l. -con sede legale in piazza Pradaval n.18, inVerona- società che, a partire dal settembre del 2009, ha prima preso inaffitto e poi acquistato l'azienda e il marchio di Azienda Cassine di Pietras.r.l., dichiarata fallita il 2 dicembre 2010;

RILEVATOche S.S.T.C. s.r.l., in relazione ad alcune delle segnalazioni pervenute alGarante, ha confermato, con nota del 24 maggio 2011, di essere intestatariadell'utenza telefonica (0117620116) tramite la quale sarebbe stato effettuatouno dei contatti indesiderati; rilevato altresì che, con successiva nota del 10ottobre 2011, la società ha ammesso di aver effettuato, seppure per errore, letelefonate promozionali segnalate tramite la suddetta linea chiamante e di nonaver acquisito il consenso degli interessati al trattamento dei relativi datiper finalità promozionali;

RILEVATOperaltro che, in base agli accertamenti svolti dall'Autorità, sono risultateintestate a S.S.T.C. s.r.l. anche altre due utenze telefoniche (0116910907; 0117620105),dalle quali provenivano le chiamate promozionali indesiderate oggetto dellesegnalazioni pervenute;

RILEVATOpertanto che, rispetto ad alcune delle telefonate promozionali indesideratesegnalate, è stata contestata alla medesima società la prevista sanzioneamministrativa di cui all'art. 162, comma 2-bis del Codice, notificata allastessa in data 2 marzo 2012;

RITENUTOinoltre necessario lo svolgimento di un'attività di carattere ispettivo pressola sede operativa di San Pietro Mussolino (VC) della S.S.T.C. s.r.l. al fine diverificare la conformità dei trattamenti svolti dalla medesima alla vigentenormativa in materia di protezione dei dati personali;

VISTIi verbali dell'accertamento ispettivo condotto dall'Autorità il 9 e il 10maggio 2012 e la nota integrativa della medesima società del 25 maggio 2012;

RILEVATOche, in occasione del predetto accertamento, la società ha dichiarato, che –acquistandoAzienda Cassine di Pietra s.r.l., nell'ottobre del 2011, nell'ambito dellasuddetta procedura fallimentare- ne ha acquisito "tutti i beninecessari all'espletamento dell'attività inclusa tutta la clientela dellapredetta società e di conseguenza anche del database dei clientiŠ";rilevato inoltre che, riguardo ai dati degli interessati inclusi nel suddettodatabase, la società ha "ritenuto di considerare assolti gli obblighiprevisti dagli artt. 13 e 23 del Codice poiché già a suo tempo assolti dallacitata Cassine di Pietra srl." in particolare  in ragione dellacircostanza che la banca dati acquistata conteneva le specifiche relative alconsenso al trattamento dei dati e al suo diniego e pertanto "non haritenuto fosse necessario aggiornare l'informativa a suo tempo resa da Cassinedi Pietra S.r.l.";

RILEVATOaltresì che S.S.T.C. s.r.l. è soggetto giuridico diverso da Azienda Cassine diPietra s.r.l. e riveste, rispetto ai dati acquisiti tramite tale Azienda, laqualifica di titolare del trattamento e che pertanto, non rilasciando alcunainformativa ai detti clienti, ha violato l'art.13, comma 4, del Codice, ilquale prevede espressamente che, se i dati personali non sono raccoltidirettamente presso l'interessato, l'informativa per il relativo trattamentodeve essere resa allo stesso all'atto della registrazione dei dati;

RILEVATOinoltre che la società acquisisce anche direttamente i dati personali deisoggetti cui rivolge le comunicazioni promozionali, facendo ricorso a diversemodalità (inserti pubblicitari su riviste; moduli c.d. "presentaamico" con cui i clienti della società presentano propri amici;marketing postale; telemarketing; form di registrazione al sitowww.cassine.com: v. verbale del 10 maggio 2012); rilevato peraltro che S.S.T.C.s.r.l. si avvale per l'attività di marketing svolta nei confronti dei propriclienti anche della posta elettronica (v. verbale 9 maggio sopracitato);

RILEVATOaltresì che, con particolare riguardo all'attività di telemarketing, S.S.T.C.s.r.l. ha dichiarato di avvalersi di cinque call center, di cui uno utilizzaproprie liste-clienti e quattro utilizzano elenchi forniti dalla stessa società(v. citato verbale del 9 maggio 2012) precisando di effettuare le comunicazionipromozionali in assenza del prescritto riscontro presso il Registro pubblicodelle opposizioni, in quanto dette chiamate sono rivolte ai propri clienti o asoggetti che hanno già manifestato interesse per la sua attività (v. citatoriscontro del 10 ottobre 2011);

RILEVATOche la medesima società, come dichiarato nel verbale del 9 maggio 2012, hanominato responsabili del trattamento dei dati ai sensi dell'art. 29 del Codicetutti i menzionati call center che effettuano telemarketing in suo nome e persuo conto ed ha imposto contrattualmente ai medesimi di rispettare gliadempimenti previsti dal Codice, prevedendo l'effettuazione di visite e riunionipresso le rispettive sedi operative con riguardo al concreto svolgimento daparte dei relativi operatori dell'attività promozionale;

RILEVATOperaltro che -secondo quanto dichiarato dalla società nella medesima occasione-tutti i call center di cui si avvale sono contrattualmente obbligati atrasmetterle "quotidianamente report dettagliati da cui risultano ilquantitativo dei contatti effettuati, il numero degli ordini ricevuti e leeventuali richieste di cancellazione", ed a comunicarle "perciascun nominativo di cliente fornito, l'esito (positivo o negativo) delcontatto promozionale effettuato che viene registrato nel sistema della società";

RILEVATOpertanto che, da quanto emerso, S.S.T.C. s.r.l. riveste effettivamente il ruolodi titolare del trattamento dei dati in questione, inclusi quelli acquisitimediante i suoi call center, ciò anche alla luce di quanto il Garante ha avutomodo di precisare con il menzionato provvedimento del 15 giugno 2011 sullatitolarità del trattamento di dati personali;

ESAMINATAinoltre l'informativa resa dalla società ai sensi dell'art. 13 del Codice siatramite gli inserti pubblicitari contenenti il modulo dell'ordine di acquisto,sia tramite i moduli c.d. "presenta amico", sia per svolgereattività di marketing postale e di telemarketing; rilevato che tale informativa-come accertato dall'Autorità il 17 settembre u.s.- risulta presente anche sulsito www.cassine.com nella pagina destinata alla richiesta da parte dell'utentedell'invio al proprio domicilio del catalogo contenente i prodotti aziendali;

RILEVATOperaltro che l'informativa rilasciata con i mezzi sopramenzionati risultacarente dell'indicazione di alcuni elementi come: la modalità del trattamentodei dati, e in particolare le modalità utilizzate per l'attività promozionale(quali ad esempio: telefono, posta cartacea o posta elettronica), la naturaobbligatoria o facoltativa del relativo conferimento, le conseguenze di uneventuale rifiuto di rispondere, nonché i soggetti o le categorie di soggettiche possono venirne a conoscenza in qualità di responsabili o incaricati, ed èquindi da ritenersi inidonea ai sensi del citato art. 13, comma 1, del Codiceche invece richiede tassativamente la presenza di tali elementi;

RILEVATOinoltre che la suddetta informativa prevede che i dati personali raccoltivengano trattati per diverse finalità, fra le quali l'invio di un prodotto o diun catalogo, l'invio di comunicazioni promozionali della società e lacomunicazione dei dati a soggetti terzi, scelti dalla medesima società, per lavendita mediante corrispondenza e la presentazione di proprie offertecommerciali;

RILEVATOche con riguardo alle diverse finalità perseguite attraverso il tratta-mentodei dati personali degli interessati la società richiede agli stessi un unico egenerico consenso, limitandosi a prevedere la possibilità di scegliere di nonricevere comunicazioni promozionali proprie o di terzi solo barrando larelativa casella, secondo un meccanismo di sostanziale "opt-out";

CONSIDERATOpertanto che, nel trattamento finalizzato all'acquisizione dei nuovi clienti,richiedendo agli interessati un unico consenso in relazione a differentiattività, quali quella di invio di proposte commerciali via posta cartacea edelettronica e quella di comunicazione dei loro dati a soggetti terzi, laS.S.T.C. s.r.l. viola il disposto degli artt. 23, comma 3 e 130, commi 1 e 2,del Codice, secondo cui il trattamento di dati personali da parte dei privati èammesso solo previa acquisizione di un consenso dell'interessato libero,informato e specifico, con riferimento a trattamenti chiaramente individuati edocumentato per iscritto;

CONSIDERATO,altresì, che l'attività di telemarketing svolta dalla S.S.T.C. s.r.l. ri-sultaeffettuata tramite l'acquisizione di dati tratti non da elenchi telefonici o daaltri elenchi pubblici, ma dagli inserti pubblicitari su riviste, dai moduli c.d."presenta amico" e dal form di registrazione al sitowww.cassine.com;

RILEVATOpertanto che il trattamento per finalità promozionale di dati aventi originediversa dagli elenchi telefonici non è soggetto alla disciplina del registrodelle opposizioni di cui all'art. 130, comma 3bis, in base alla quale lechiamate telefoniche a carattere promozionale sono consentite nei confrontidegli interessati, presenti nei detti elenchi, che non si sono opposti mediantel'iscrizione della loro utenza telefonica nel suddetto apposito registro;

RILEVATOche il detto trattamento effettuato mediante chiamate telefoniche per finalitàpromozionale è invece soggetto agli obblighi generali del rilascio di un'idoneainformativa ex art. 13, comma 1 del Codice e della previa acquisizione delconsenso specifico e documentato degli interessati, ex art. 23 del Codice (cfr.il suindicato provvedimento generale del 19 gennaio 2011) e che S.S.T.C.s.r.l. non risulta aver adempiuto correttamente ai detti obblighi;

CONSIDERATOche, alla luce delle motivazioni sopra esposte, l'attività di tratta-mento deidati personali contenuti nel database di Azienda Cassine di Pietra s.r.l. eutilizzati da S.S.T.C. s.r.l., nonché dei dati personali degli interessatiacquisiti direttamente da S.S.T.C. s.r.l. con le modalità sopra descritte,costituisce un trattamento illecito;

RILEVATOche l'art. 11, comma 2, del Codice prevede che i dati personali trattati inviolazione della disciplina rilevante in materia di dati personali non possonoes-sere utilizzati;

RILEVATOaltresì che il trattamento posto in essere dalla società  in ragione delledescritte modalità di raccolta dati e del rilevante numero di soggetti (circaun milione) presenti nel suo attuale database  presenta caratteresistematico;

CONSIDERATOche il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1,lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamentoillecito o non corretto dei dati o di disporne il blocco e di adottare, altresì,gli altri provvedimenti previsti dalla disciplina applicabile al trattamentodei dati personali;

RILEVATAla necessità di adottare nei confronti di S.S.T.C. s.r.l., ai sensi degli artt.143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice, un provvedimento didivieto del trattamento illecito effettuato dalla medesima -mediante l'invio diproprie comunicazioni promozionali nonché la comunicazione dei dati a terzi-dei dati personali contenuti nel database di clienti acquisito tramite AziendaCassine di Pietra S.r.l., senza che S.S.T.C. s.r.l. abbia rilasciatol'informativa ai sensi dell'art. 13, comma 4 del Codice;

RILEVATOche tale provvedimento deve essere emanato ai sensi delle menzionate normeanche con riguardo al trattamento illecito che viene svolto -mediante lemedesime attività sopra individuate- rispetto ai dati personali direttamenteacquisi-ti da S.S.T.C. s.r.l. senza aver rilasciato un'idonea informativa aisensi dell'art. 13, comma 1 del Codice e senza aver acquisito il necessarioconsenso libero, specifico e documentato per iscritto degli interessati ex art.23, comma 3 e 130, commi 1 e 2, del Codice; rilevato, peraltro, che il suddettoprovvedimento di divieto ha per oggetto anche il trattamento illecito,effettuato mediante il ricorso al telemarketing, dei dati personali degliinteressati acquisiti direttamente da S.S.T.C. s.r.l. tramite gli insertipubblicitari su riviste, i moduli c.d. "presenta amico" e ilform di registrazione al sito www.cassine.com, senza aver rilasciato un'idoneainformativa ai sensi dell'art. 13, comma 1 del Codice e senza aver acquisito ilconsenso previsto dal menzionato art. 23 del Codice;

RILEVATA,altresì, la necessità di adottare nei confronti di S.S.T.C. s.r.l.  aisensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice un provvedi-mento prescrittivo volto a rendere il trattamento dei datieffettuato dalla società conforme alla normativa richiamata in materia diprotezione dei dati personali;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque, essendovi tenu-to, nonosserva il presente provvedimento di divieto è punito con la reclusione da tremesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in casodi inosservanza del medesimo provvedimento, è  altresì applicata in sedeamministrativa,  in ogni caso, la sanzione del pagamento di una somma datrentamila a centot-tantamila euro;

RILEVATAla sussistenza dei presupposti per contestare a S.S.T.C. s.r.l. le violazioniamministrative di competenza di questa Autorità e quindi la necessità diavviare un autonomo procedimento sanzionatorio nei confronti della medesima;

RILEVATOche resta impregiudicata la facoltà per gli interessati di far valere i propridiritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15del Codice), con specifico riguardo agli eventuali profili di danno;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

TUTTO CIO' PREMESSO IL GARANTE:

a)dichiara illecito il trattamento effettuato da S.S.T.C. s.r.l. -mediantel'invio di proposte commerciali via posta cartacea ed elettronica nonché lacomunicazione a terzi- dei dati personali contenuti nel database acquisitotramite Azienda Cassine di Pietra s.r.l., senza che S.S.T.C. s.r.l. abbiarilasciato agli interessati l'informativa ai sensi dell'art. 13, comma 4 delCodice nonché dei dati personali acquisiti direttamente da S.S.T.C. s.r.l.senza aver rilasciato un'idonea informativa ai sensi dell'art. 13, comma 1 delCodice e senza aver acquisito il necessario consenso libero, specifico edocumentato per iscritto degli interessati ex artt. 23, comma 3 e 130, commi 1e 2, del Codice;

b)dichiara altresì illecito il trattamento effettuato da S.S.T.C. s.r.l.-mediante telemarketing- dei dati personali degli interessati acquisitidirettamente dalla medesima società tramite gli inserti pubblicitari suriviste, i moduli c.d. "pre-senta amico" e il form di registrazioneal sito www.cassine.com, senza aver rilasciato un'idonea informativa ai sensidell'art. 13, comma 1 del Codice e senza aver acquisito il consenso deisoggetti interessati ai sensi dell'art. 23 del Codice;

c) vietaa S.S.T.C. s.r.l., ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1,lett. d), del Codice, l'ulteriore trattamento dei dati personali di cui alleprecedenti lettere a) e b) per le attività diverse da quelle strumentaliall'esecuzione degli obblighi contrattuali, effettuato dalla medesima societàsenza aver adempiuto agli obblighi in tali lettere indicati;

d)prescrive a S.S.T.C. s.r.l., ai sensi degli artt. 143, comma 1, lett. b) e 154,comma 1, lett. c), del Codice, di adottare le  misure necessarie eopportune al fine di rendere il trattamento dei dati personali conforme alledisposizioni del Codice, dandone -entro e non oltre il termine di sessantagiorni dalla data di ricezione del presente provvedimento- riscontrodocumentato a questa Autorità comprovante l'avvenuto adeguamento, accompagnatoda una dichiarazione del legale rappresentante della società, rilasciata aisensi e per gli effetti dell'art. 168 del Codice ed in particolare:

1)integrare l'informativa rilasciata agli interessati con gli ulteriori elementirichiesti dall'art. 13 del Codice, indicando le modalità del trattamento deidati -e in particolare le modalità utilizzate per l'attività promozionale(quali ad esempio: chiamate telefoniche, posta cartacea, posta elettronica)- lanatura obbligatoria o facoltativa del conferimento dei dati, le conseguenze diun eventuale rifiuto di rispondere, nonché i soggetti o le categorie disoggetti che possono venirne a conoscenza in qualità di responsabili oincaricati;

2)rilasciare l'informativa così integrata agli interessati i cui dati sono statiacquisiti tramite Azienda Cassine di Pietra s.r.l. e a quelli acquisiti eacquisendi di-rettamente da S.S.T.C. s.r.l. tramite gli inserti pubblicitari suriviste, i moduli c.d. "presenta amico" e il form di registrazione alsito www.cassine.com;

3)richiedere agli interessati, ai sensi degli artt. 23 e 130 del Codice, unpreventivo consenso al trattamento dei dati personali libero, informato,documentato per iscritto e specifico per ogni diversa finalità del trattamentoed in particolare per l'invio di proposte commerciali e per la comunicazionedei dati personali a soggetti terzi;

4)effettuare, l'attività di telemarketing utilizzando i dati personali degliinteressati acquisiti tramite gli inserti pubblicitari su riviste, i moduli c.d."presenta amico" e il form di registrazione al sitowww.cassine.com-  solo nei confronti degli interessati che avrannorilasciato il consenso libero, informato, documentato per iscritto e specifico,come indicato al punto 3) o, qualora intendesse acquisire i dati da elenchi diabbonati, previo il prescritto riscontro presso il Registro pubblico delleopposizioni;

e)dispone l'avvio di un autonomo procedimento sanzionatorio nei confronti diS.S.T.C. s.r.l.

Ai sensidegli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 11 ottobre 2012

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia