Garante per la protezione
    dei dati personali


Prescrizioni per il trattamento di dati di traffico telefonico e telematico, in particolare riguardo a informativa e consenso

PROVVEDIMENTO DEL 3 OTTOBRE 2013

Registro dei provvedimenti
n. 430 del 3 ottobre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003,n. 196, di seguito "Codice");

VISTI,in particolare, gli artt. 13, 23 e 130, commi 1 e 2 del Codice,

VISTOil provvedimento adottato dal Garante il 15 maggio 2013 relativo al"Consenso al trattamento dei dati personali per finalità di"marketing diretto" attraverso strumenti tradizionali e automatizzatidi contatto (pubblicato in G.U. del 26 luglio 2013, n. 174);

CONSIDERATOche Lycamobile s.r.l. (di seguito "Lycamobile") è stata oggetto diaccertamento ispettivo in data 26 settembre 2012, nell'ambito di un ciclosvolto dal Nucleo Speciale Privacy della Guardia di Finanza, al fine divalutare il rispetto della normativa in materia di protezione dei datipersonali, con particolare riferimento alla conservazione dei dati di trafficotelefonico e telematico per accertamento e repressione dei reati (art. 132 delCodice e provvedimento generale del Garante del 24 luglio 2008);

VISTOche Lycamobile è una società che fornisce servizi di telefonia mobile mediantela vendita di sim card in qualità di operatore virtuale appoggiandosi, al tempodell'ispezione, alla rete di H3G S.p.A. e, attualmente, a Vodafone Omnitel NV;

CONSIDERATOche Lycamobile è destinataria, oltre al presente, di un altro provvedimento prescrittivo e inibitorio concernente aspettiulteriori e diversi, relativi alla conservazione dei dati di trafficoconservati per finalità di accertamento e repressione dei reati, adottato indata odierna dal Collegio;

VISTEle comunicazioni inviate nell'ambito dell'istruttoria avviata a seguitodell'accertamento ispettivo, nelle quali Lycamobile ha dichiarato, tra l'altro,che "il consenso informativo per il cliente si trova nella sezione"termini e condizioni" del contratto che viene letto e firmato dalcliente e può eventualmente proporre e offrire servizi o promozioni a valoreaggiunto relative alle società collegate a Lycamobile" (cfr. email inviatain data 25 giugno 2013);

CONSIDERATOche, a seguito di tali dichiarazioni, il Garante ha ritenuto di avviareun'istruttoria ulteriore rispetto a quella relativa alla conservazione dei datidi traffico per finalità di giustizia, al fine di accertare il rispetto dellanormativa in materia di protezione dei dati personali anche nell'ambito deitrattamenti realizzati per profilazione e marketing;

VISTOche, nel sito della società, www.lycamobile.it si fa riferimento al Codice,nella pagina relativa a "Termini e condizioni generali", in quanto alpunto 2.10 si legge che "Lycamobile si riserva il diritto di trattare idati relativi al traffico generato dalla fornitura di servizi ai sensi degliarticoli 123-132 del Codice" e al punto 8.1. che "Lycamobile tratterài dati personali del cliente in conformità con le disposizioni del Codice inmateria di protezione dei dati personali, come specificato nella Carta delServizi";

VISTOche all'interno dello stesso sito vi sono anche altre sezioni in cui si fariferimento alla protezione dei dati personali, denominate, rispettivamente,"Proposta di contratto" e "Protezione dei dati" (checontiene l'informativa);

VISTOche nella sezione "Proposta di contratto", nella parte relativa al"consenso al trattamento dei dati personali" si fa riferimento allafinalità contenuta nel punto 1.1. dell'informativa senza che sia possibilevisionarne in alcun modo il contenuto;

VISTOche nella medesima sezione sembra altresì obbligatorio il rilascio del consensoper finalità ulteriori rispetto a quelle relative all'utilizzo della sim card,quali "(a) ricerche di mercato, analisi economiche e statistiche; (b)commercializzazione dei servizi di Lycamobile, di invio di materialepubblicitario/informativo/promozionale e di partecipazione ad iniziative edofferte volte a premiare i Clienti; (c) comunicazioni commerciali interattive;(d) rilevazioni del grado di soddisfazione della clientela sulla qualità deiservizi forniti; (e) analisi dei dati di traffico telefonico, telematico edell'utilizzo dei servizi di comunicazione elettronica e multimediali fruiti,per identificare abitudini e propensioni al consumo, per migliorare i serviziforniti e per soddisfare specifiche esigenze dei Clienti", in quanto nonvi è la possibilità, per l'interessato, di scegliere diversi consensi;

CONSIDERATOaltresì che, nel medesimo paragrafo viene specificato che "tali attivitàpotranno riguardare prodotti e servizi di Lycamobile, nonché di società delGruppo Lycamobile o di loro Partner commerciali e potranno essere eseguiteanche attraverso un sistema automatizzato di chiamata, senza l'intervento di unoperatore, posta anche elettronica, telefax e massaggi di tipo MMS (MultimediaMessage Service) e SMS (Short Message Service)";

VISTOche nella sezione "Protezione dei dati" è presente una informativache, al punto 1. "Finalità del trattamento" non distingue tra lefinalità per le quali il consenso non è necessario (cioè quelle per le qualil'interessato rilascia i dati al fine di acquisire la sim card) e quelleulteriori (quelle indicate sopra, relative a marketing, profilazione, ecc.);

VISTOche nella citata informativa, al punto 2. "Categorie di soggetti ai qualii dati possono essere comunicati o che possono venirne a conoscenza in qualitàdi responsabili o incaricati" è indicata una serie di soggetti, senzaalcuna distinzione tra le finalità per cui i dati possono essere lorocomunicati, in maniera tale che esse finiscono per essere tutte equiparate, aprescindere dal trattamento che effettuano;

VISTOche nella medesima informativa, al punto 3. "Ulteriori informazioni"si legge che "per quanto riguarda i dati relativi al traffico, lainformiamo che () b) il trattamento per finalità di commercializzazione diservizi di comunicazione elettronica o per la fornitura di servizi a valoreaggiunto sarà effettuato per un periodo non superiore a 24 mesi";

CONSIDERATOche l'informativa, ai sensi dell'art. 13 del Codice, deve contenere chiaramentel'indicazione: delle finalità e le modalità del trattamento cui sono destinatii dati; della natura obbligatoria o facoltativa del conferimento dei dati; deisoggetti o le categorie di soggetti ai quali i dati personali possono esserecomunicati o che possono venirne a conoscenza in qualità di responsabili oincaricati; dei diritti di cui all'articolo 7;

CONSIDERATOche l'elencazione delle finalità del trattamento dei dati personali degliinteressati e dei soggetti a cui i dati stessi possono essere comunicati nonrisulta chiara;

CONSIDERATOche non è presente alcun riferimento alla possibilità, per l'interessato, diesercitare i diritti di cui all'art. 7 del Codice;

RILEVATOche la comunicazione dei dati personali a soggetti terzi può avvenire solo sel'interessato ha manifestato uno specifico consenso alla comunicazione deipropri dati, ai sensi dell'art. 23 del Codice;

RILEVATOche il trattamento per finalità promozionali può essere effettuato dal titolaresolo nell'ipotesi in cui l'interessato abbia manifestato un consenso specificoai sensi dell'art. 23 del Codice o dell'art. 130 del Codice (qualora sivogliano utilizzare anche strumenti automatizzati per inviare le comunicazionipromozionali) e, in ogni caso, non possono essere utilizzati, per tale finalità,i dati di traffico telefonico e telematico, conservati per finalità diaccertamento e repressione dei reati;

CONSIDERATOche il trattamento effettuato da Lycamobile, come emerso dagli attidell'istruttoria, risulta illecito nella parte in cui utilizza dati personalidegli interessati senza aver fornito agli interessati un'idonea informativa aisensi dell'art. 13 del Codice;

RILEVATOche, ai sensi dell'art. 11, comma 2 del Codice, i dati trattati in violazionedella disciplina rilevante in materia di dati personali non possono essereutilizzati;

RILEVATA,pertanto, alla luce di quanto sopra, la necessità di adottare nei confronti diLycamobile, ai sensi e dell'art. 154, comma 1, lett. c) e d) del Codice, unprovvedimento prescrittivo e inibitorio, volto a rendere il trattamento deidati conforme alla normativa richiamata in materia di protezione dei datipersonali;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto nonosserva il divieto contenuto nel presente provvedimento è punito con lareclusione da tre mesi a due anni e che ai sensi dell'art. 162, comma 2-ter,del Codice, in caso di inosservanza delle misure prescrittive e inibitoriecontenute nello stesso, è altresì applicata in sede amministrativa, in ognicaso, la sanzione del pagamento di una somma da trentamila a centottantamilaeuro;

RILEVATAla sussistenza dei presupposti per contestare a Lycamobile la violazione di cuiall'art. 13 del Codice ai sensi dell'art. 161 del Codice e, quindi, la necessitàdi avviare un autonomo procedimento sanzionatorio nei confronti della medesima;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

TUTTO CIO' PREMESSO IL GARANTE

a)prescrive a Lycamobile S.p.A., con sede legale in Roma, via Tirone 11/13, aisensi dell'art. 154, comma 1, lett. c) del Codice:

1. dimodificare il testo dell'informativa rilasciata agli interessati, rendendoloconforme a quanto indicato nell'art. 13 del Codice;

2. dimodificare le modalità attraverso le quali acquisire il consenso degliinteressati predisponendo un modello che consenta la possibilità di rilasciareun consenso specifico e differenziato, così come prescrivono gli artt. 23 e 130del Codice;

3. diadottare le misure di cui ai punti 1. e 2. entro il termine di sessanta giornidal ricevimento del presente provvedimento

b)richiede a Lycamobile S.p.A., ai sensi dell'art. 157 del Codice, di comunicare,entro il medesimo termine, a questa Autorità le misure poste in essere ai finidi quanto indicato alla lettera a) del presente provvedimento;

c) vietaa Lycamobile, ai sensi dell'art. 154, comma 1, lett. d) del Codice, iltrattamento di dati personali, già acquisiti, per finalità di profilazione emarketing, in quanto svolto in assenza del rilascio di un'idonea informativa edell'acquisizione del necessario consenso.

Aisensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 3 ottobre 2013

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia