Garante per la protezione
    dei dati personali


Invio di messaggi promozionali viaposta elettronica, in assenza di un consenso libero, specifico e documentato

PROVVEDIMENTO DEL 7 MARZO 2013

Registro dei provvedimenti
n. 105 del 7 marzo 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

Nellariunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196, di seguito "Codice");

VISTOl'art. 154, comma 1, lett. a), c) e d) del Codice;

VISTAla direttiva 95/46/CE del 24 ottobre 1995, del Parlamento europeo e delConsiglio, relativa alla tutela delle persone fisiche con riguardo altrattamento dei dati personali, nonché alla libera circolazione di tali dati;

VISTAla direttiva 2002/58/CE del 12 luglio 2002, del Parlamento europeo e delConsiglio, relativa al trattamento dei dati personali e alla tutela della vitaprivata nel settore delle comunicazioni elettroniche come da ultimo modificatadalla direttiva 2009/136/CE del 25 novembre 2009;

VISTAla nota della PCA S.r.l. del 7 maggio 2012, con la quale si lamentava laricezione, su tre diversi account di posta, di e-mail promozionali inviate daAruba S.p.A.;

VISTOche la PCA S.r.l. ha rappresentato di continuare a ricevere le suddette e-mailpur avendo più volte richiesto, anche utilizzando l'apposito link in calce allestesse, la cancellazione;

VISTAla nota del 1 agosto 2012, inviata in risposta a una richiesta di informazionidi questa Autorità, nella quale la società Aruba S.p.A. (di seguito "lasocietà"), ha rappresentato che gli indirizzi e-mail della PCA S.r.l.erano stati acquisiti a seguito della registrazione della stessa sul sitowww.aruba.it con lo scopo di attivare il servizio "Aruba FreeInternet" e che non era stato possibile per la destinataria dell'e-mailesercitare il diritto di opporsi a causa di un mero problema tecnico;

VISTOche nella suddetta nota la società - nel chiarire le modalità con cui vengonoacquisiti i dati degli utenti che richiedono l'iscrizione al servizio "ArubaFree Internet" - ha dichiarato che l'informativa in materia di trattamentodei dati personali viene fornita al momento della compilazione dell'anagraficasul sito http://free.aruba.it e che " Š a seguito dell'accettazione delleCondizioni Generali di Contratto "Aruba Free Internet" e del rilasciodell'apposito consenso al ricevimento di messaggi promozionali, l'anagraficadel cliente viene inserita nel database contenente i recapiti e-mailutilizzabili per l'invio della newsletter";

VISTOche - per verificare le modalità con cui veniva effettivamente resal'informativa ed acquisito il consenso dei contraenti all'atto dell'iscrizioneal servizio - è stato effettuato in data 10 dicembre 2012 un accertamentod'ufficio sul sito http://free.aruba.it simulando la registrazione al servizio"Aruba Free Internet", a seguito del quale sono emersi i seguentielementi:

- al momento dell'inserimento dei dati in anagrafica, viene mostrata aicontraenti l'informativa relativa al trattamento dei dati personali seguita dalleopzioni "accetta" e "rifiuta": scegliendo quest'ultima,compare il messaggio "Per continuare è necessario accettare ilcontratto";

- in calce all'informativa è presente una formula per l'acquisizione delconsenso. Testualmente: "In mancanza di diversa indicazione da partedell'Interessato, da comunicarsi al Titolare con le modalità sopra indicate, lostesso dichiara fin da adesso di accettare che i propri dati personali possanoessere trattati da Aruba anche al fine di trasmettere, con qualsiasi mezzo,comunicazioni commerciali e/o richieste di informazioni statistiche";

- nonrisulta siano previste altre modalità di espressione del consenso se non, comedetto, le opzioni "accetta" e "rifiuta" in calceall'informativa: ne consegue che, per poter attivare il servizio, è necessarioaccettare la ricezione di messaggi promozionali che la società potrà inviare"con qualsiasi mezzo";

VISTOl'art. 23, comma 3, del Codice, il quale prevede che il trattamento di datipersonali da parte dei privati è ammesso solo previa acquisizione di unconsenso dell'interessato libero, informato e specifico, con riferimento atrattamenti chiaramente individuati, e da documentare per iscritto;

VISTOl'art. 24, comma 1, lett. b) del Codice che prevede, tra le altre, un'ipotesidi deroga rispetto all'obbligo dell'acquisizione del consenso qualora iltrattamento sia necessario per eseguire obblighi derivanti da un contratto delquale è parte l'interessato;

CONSIDERATOche i trattamenti di dati per finalità commerciali esulano da quelli necessariper adempiere al contratto di fornitura del servizio e che pertanto per ilconseguimento di tali finalità, proprio perché ulteriori rispetto a quelle dicarattere contrattuale, il titolare è tenuto alla preventiva acquisizione diuno specifico consenso;

CONSIDERATOinoltre che, come già rilevato da questa Autorità (v., inwww.garanteprivacy.it, provv. 22 febbraio 2007; provv.  12 ottobre 2005; provv. 3 novembre 2005;  provv. 15 luglio 2010, provv. 19 maggio 2011), non può definirsi "libero", e risultaindebitamente necessitato, il consenso a ulteriori trattamenti di datipersonali che l'interessato "debba" prestare quale condizione perconseguire una prestazione richiesta, e che gli interessati devono essere messiin grado di esprimere consapevolmente e liberamente le proprie scelte in ordineal trattamento dei dati che li riguardano, manifestando il proprio consenso perciascuna distinta finalità perseguita dal titolare (cfr. provv.  24febbraio 2005, punto 7;

RILEVATOquindi che la società non consente agli interessati di esprimere uno specificoconsenso per la ricezione di messaggi promozionali essendo, come detto,obbligatoria l'integrale accettazione dell'informativa per effettuare laregistrazione;

CONSIDERATOche l'art. 130, comma 4, del Codice prevede la possibilità che il titolareutilizzi per finalità promozionali, anche senza il consenso dell'interessato,le coordinate di posta elettronica fornite dallo stesso nel contesto dellavendita di un prodotto o di un servizio, purché i servizi oggetto dellapromozione siano analoghi a quelli oggetto della vendita e sempre chel'interessato adeguatamente informato non rifiuti tale uso inizialmente o inoccasione di successive comunicazioni;

RILEVATOtuttavia che i messaggi promozionali contenuti nelle e-mail inviate dalla PCAS.r.l. in allegato alla segnalazione, erano inerenti servizi di Aruba didiversa natura (promozioni per la stampa delle foto, inviti allo stand Arubadel Forum PA, servizi di posizionamento del sito web) che non possono essereconsiderati analoghi al servizio acquistato da PCA S.r.l. e che, in ogni caso,non è prevista la possibilità per l'interessato di rifiutare l'invio dicomunicazioni  promozionali all'atto della registrazione al servizio;

CONSIDERATOche le attività di trattamento dei dati, come sopra individuate, effettuatedalla società senza il relativo consenso specifico costituiscono quindi untrattamento illecito di dati;

CONSIDERATOche il Garante, ai sensi dell'art. 154, comma 1, lett. d), del Codice, ha ilcompito di vietare anche d'ufficio il trattamento illecito o non corretto deidati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previstidalla disciplina applicabile al trattamento dei dati personali;

RILEVATAla necessità di adottare nei confronti della società un provvedimento didivieto del trattamento illecito di dati personali, ai sensi dell' art. 154,comma 1, lett. d), del Codice correlato alle attività di invio di messaggipromozionali tramite posta elettronica senza l'acquisizione del necessarioconsenso libero, specifico e documentato degli utenti già registrati sul sitohttp://free.aruba.it;

RILEVATA,altresì, la necessità di adottare nei confronti della società un provvedimentoprescrittivo ai sensi dell'art. 154, comma 1, lett. c), del Codice;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, nonosserva il presente provvedimento di divieto è punito con la reclusione da tremesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter, del Codice, incaso di inosservanza del medesimo provvedimento, è  altresì applicata insede amministrativa, in ogni caso, la sanzione del pagamento di una somma datrentamila a centottantamila euro;

RILEVATO,inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personalitrattati in violazione della disciplina rilevante in materia di dati personalinon possono essere utilizzati;

RISERVATA,con autonomo procedimento, la verifica dei presupposti per contestare alpredetto titolare del trattamento le eventuali violazioni amministrative dicompetenza di questa Autorità;

CONSIDERATOche resta impregiudicata la facoltà per gli interessati di far valere i propri dirittiin sede civile in relazione alla condotta accertata (cfr. anche art. 15 delCodice), con specifico riguardo agli eventuali profili di danno;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE la dottoressa Giovanna Bianchi Clerici;

TUTTO CIO' PREMESSO IL GARANTE:

a)dichiara illecito il trattamento dei dati personali effettuato da Aruba S.p.A.,con sede legale in Bibbiena (Arezzo), località palazzetto 4, tramite l'invio,agli utenti registrati al servizio "Aruba Free Internet", di messaggipromozionali via posta elettronica, in assenza di un consenso libero, specificoe documentato degli interessati ex artt. 23 e 130 del Codice;

b) aisensi dell'art. 154, comma 1, lett. d), del Codice, vieta ad Aruba S.p.A.l'ulteriore trattamento dei dati personali già acquisiti per le finalità diinvio, agli utenti registrati al servizio "Aruba Free Internet", dimessaggi promozionali via posta elettronica effettuato dalla medesima societàsenza aver ottenuto i suddetti consensi;

c) aisensi dell'art. 154, comma 1, lett. c) del Codice, prescrive ad Aruba S.p.A. -qualora quest'ultima intenda continuare ad utilizzare lo strumento della postaelettronica per l'invio di comunicazioni promozionali - di adottare le misurenecessarie e opportune, atte a garantire la completa ottemperanza a quantostabilito dagli artt. 23 e 130 del Codice prevedendo, in fase di registrazione,la possibilità per gli interessati di esprimere un consenso distinto efacoltativo per ciascuna delle finalità – con particolare riferimentoalle finalità di marketing - indicate nell'informativa ex art. 13 del Codice efornendone adeguata documentazione al Garante entro trenta giorni dallacomunicazione del presente provvedimento.

Avversoil presente provvedimento puì essere proposta opposizione ai sensi degli artt.152 del Codice e 10 del d.lg. n. 150/2011 con ricorso dinanzi all'autoritàgiudiziaria ordinaria, in particolare al tribunale del luogo ove risiede iltitolare del trattamento, da presentarsi entro il termine di trenta giornidalla data della sua comunicazione ovvero di sessanta giorni se il ricorrenterisiede all'estero.

Roma, 7 marzo 2013

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia