Marketing: necessario il consenso per l'invio di comunicazioni promozionali via e-mail

PROVVEDIMENTO DEL 8 APRILE 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale reggente;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA la segnalazione del sig. XY in data 4 settembre 2009, con la quale lo stesso ha lamentato l'invio - dopo la registrazione al relativo sito www.edreams.it - di varie e-mail indesiderate da parte della società eDreams srl (di seguito indicata come "la società"), contenenti la promozione di offerte relative a voli aerei, anche dopo la reiterata opposizione del segnalante a tale trattamento di dati;

VISTA la documentazione allegata dal segnalante, comprovante l'invio di dette e-mail da parte della società e la proposizione delle istanze di opposizione al trattamento formulate dal segnalante alla medesima;

VISTA l'iniziale richiesta di informazioni formulata dall'Ufficio alla società il 5 ottobre 2009, rispetto alla quale non sono pervenuti gli elementi richiesti, e la successiva richiesta formulata ai sensi dell'art. 157 del Codice in data 17 novembre 2009, rimasta anch'essa inevasa, e pertanto reiterata e notificata dalla Guardia di Finanza - Nucleo Speciale Privacy in data 18 febbraio 2010, unitamente al verbale di contestazione della violazione amministrativa di cui all'art. 164 del Codice per omessa informazione al Garante;

VISTI il verbale di operazioni compiute redatto dalla G.d.F. in data 18 febbraio 2010 e i riscontri forniti dalla società con nota del 3 marzo 2010, ad integrazione delle dichiarazioni contenute nel detto verbale, dai quali risulta che la società è titolare del trattamento e non ha negato l'invio di e-mail promozionali al segnalante anche successivamente all'opposizione da parte del medesimo;

CONSIDERATO che in base all'art. 7, comma 4 del Codice il consenso è sempre revocabile da parte dell'interessato;

RILEVATO che tuttavia risulta cessata l'attività di invio al segnalante di tali comunicazioni indesiderate e che, pertanto, non vi è necessità di adottare nei confronti della società un provvedimento inibitorio; ferma restando, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento la violazione amministrativa di cui al combinato disposto degli artt. 130, comma 2 e 162, comma 2-bis del Codice, in riferimento al trattamento posto in essere successivamente alla reiterata opposizione del segnalante;

RILEVATO, altresì, che, dall'accertamento condotto dall'Ufficio, sono emersi ulteriori aspetti meritevoli di approfondimenti istruttori, e in particolare che nel form di registrazione al suo sito la società non richiede un espresso consenso - distinto rispetto a quello necessario per i trattamenti con finalità di marketing - all'impiego dei dati per la finalità di profilazione, posta in essere dalla medesima come emerge dall'informativa del detto sito ("I dati verranno trattati per finalità istituzionali, connesse o strumentali all'attività del nostro Gruppo, e quindi: "1. per dare esecuzione ad un Servizio o ad una o più operazioni contrattualmente convenute …; 4. raccogliere informazioni sui gusti e preferenze del cliente in tema di viaggi ed informazioni socio demografiche….");

RILEVATO altresì che nella detta informativa la società non rende edotti gli interessanti riguardo alla possibilità di opporsi in qualunque momento allo specifico trattamento di profilazione;

RILEVATO che l'art. 23 del Codice prevede che i dati personali sono utilizzabili da parte dei privati solo con il consenso dell'interessato preventivo, specifico, con riferimento a un trattamento chiaramente individuato, e da documentare per iscritto;

CONSIDERATO che l'attività di profilazione effettuata dalla società senza il prescritto consenso costituisce quindi un trattamento illecito di dati;

RILEVATO che, dall'accertamento successivamente condotto dall'Autorità, è emerso che il form di registrazione e l'informativa di cui sopra risultano ancora configurati come sopra descritto;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d'ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato all'attività di profilazione senza l'acquisizione del necessario consenso preventivo e specifico del segnalante e degli altri utenti del sito che si siano registrati e tuttora si registrino al medesimo;

RILEVATA, altresì, la necessità di adottare nei confronti della società un provvedimento prescrittivo ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni, e che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, è  altresì  applicata in sede amministrativa,  in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l'art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

RISERVATA, con autonomo procedimento, la verifica dei presupposti per contestare al predetto titolare del trattamento la violazione amministrativa concernente l'omessa acquisizione del consenso (artt. 23 e 162, comma 2-bis del Codice);

CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore il dott. Mauro Paissan;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecita l'attività di profilazione effettuata dalla società eDreams srl, con sede legale in Milano, Via Boscovich n. 14, senza il consenso preventivo, specifico e da documentare per iscritto;

b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla società eDreams srl qualunque trattamento a fini  di profilazione effettuato dalla medesima senza aver ottenuto il predetto  consenso;

c)  ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla società eDreams srl di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:

1) modificare il form di registrazione al sito www.edreams.it, inserendo la richiesta agli interessati di un preventivo consenso - distinto rispetto a quello necessario per i trattamenti con finalità di marketing - in relazione ai trattamenti per la finalità di profilazione;

2) modificare l'informativa del sito www.edreams.it indicando la possibilità per gli interessati di opporsi in qualunque momento allo specifico trattamento di profilazione;

d) prescrive altresì alla predetta società, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, di trasmettere al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare del form di registrazione al sito www.edreams.it e un esemplare dell'informativa conformi alle prescrizioni di cui sopra.

Roma, 8 aprile 2010

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale reggente
De Paoli