Con un provvedimento pubblicato sulla Gazzetta Ufficiale del 20 marzo scorso, il
Garante privacy ha precisato le regole che dovranno seguire le
società che svolgono attività di marketing nell’usare i dati degli
abbonati.
E’ noto che il decreto "Milleproroghe" ha stabilito
che i numeri di telefono e gli indirizzi presenti nelle banche dati
costituite sulla base dei vecchi elenchi telefonici siano utilizzabili
per fini promozionali fino al 31 dicembre 2009 da coloro che hanno
creato tali banche dati precedentemente al 1 agosto 2005.
Il Garante chiarisce che le aziende e i call center che, avvalendosi della deroga prevista fino al 31 dicembre 2009 dal cosiddetto decreto "Milleproroghe", contatteranno gli utenti per fare promozione e offerte commerciali, dovranno utilizzare solo banche dati costituite sulla base degli elenchi telefonici precedenti al 1° agosto 2005.
Non potranno dunque servirsi del periodo di deroga per chiedere il consenso degli interessati per futuri contatti né potranno cedere i dati che utilizzano a terzi.
Inoltre:
"Le società dovranno innanzitutto documentare in modo adeguato che la banca dati, costituita con i numeri telefonici e gli indirizzi degli abbonati, sia stata effettivamente creata prima del 1 agosto 2005. Le società dovranno usare questi dati direttamente e non potranno cederli a nessun titolo ad altre aziende;
gli operatori che telefoneranno agli abbonati dovranno ad ogni contatto specificare per quale società chiamano e ricordare agli interessati i loro diritti. Ma soprattutto dovranno registrare immediatamente l’eventuale contrarietà dell’abbonato ad essere nuovamente contattato. L’utente che non intende essere più disturbato avrà il diritto di conoscere l’identificativo dell’operatore al quale ha comunicato la sua volontà;
i dati presenti nelle banche dati dovranno essere utilizzati solo a fini promozionali e non potranno in alcun modo essere usati per acquisire nuove informazioni o il consenso degli abbonati ad effettuare chiamate dopo la data del 31 dicembre 2009. Questo significherebbe di fatto costituire nuove banche dati, andando al di là delle finalità stabilite dalla legge e prorogando oltre il termine previsto gli effetti della deroga temporanea;
le società che svolgono attività di marketing dovranno comunicare al Garante, entro 15 giorni dalla pubblicazione in G.U., di essere in possesso di banche dati costituite anteriormente al 1 agosto 2005 e di volerle utilizzare per attività promozionali. Dovranno chiarire se il trattamento di dati venga effettuato anche per conto terzi".
Di seguito, il testo del provvedimento.
. . . . .
Garante per la protezione dei dati personali
Provvedimento del 12 marzo 2009
Prescrizioni ai titolari di banche dati costituite sulla base di elenchi telefonici formati prima del 1° agosto 2005 a seguito della deroga introdotta dall’art. 44 d.l. n. 207/2008
(G.U. n. 66 del 20 marzo 2009)
Il Garante per la protezione dei dati personali;
NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del cons. Filippo Patroni Griffi, segretario generale;
VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");
VISTO l’art. 129, comma 2, del Codice che, in attuazione della disciplina comunitaria e, in particolare, della direttiva 2002/58/Ce, ha individuato nella "mera ricerca dell’abbonato per comunicazioni interpersonali" la finalità primaria degli elenchi telefonici realizzati in qualunque forma;
CONSIDERATO che tale disposizione ribadisce che il trattamento dei dati inseriti negli elenchi, se realizzato per fini ulteriori tra cui rientrano quelli pubblicitari, promozionali o commerciali, è lecito solo se è effettuato con il consenso espresso liberamente e specificamente dagli interessati, documentato per iscritto e previa informativa;
VISTO il provvedimento del 15 luglio 2004 (in www.garanteprivacy.it, doc. web n. 1032381) con il quale l’Autorità ha individuato le modalità di inserimento e di successivo utilizzo dei dati personali relativi agli abbonati e agli acquirenti del traffico prepagato negli elenchi telefonici "alfabetici" del servizio universale, realizzati in qualsiasi forma, in rapporto alle diverse finalità sopraindicate, anche in rapporto all’informativa;
VISTO il provvedimento del 14 luglio 2005 (in www.garanteprivacy.it, doc. web n. 1151640) con il quale l’Autorità ha individuato procedure semplificate per la redazione e l’utilizzo degli elenchi organizzati per categorie merceologiche/professionali (c.d. elenchi "categorici");
RILEVATO che la disciplina in materia di protezione dei dati personali prevede la possibilità di utilizzare, per attività di carattere promozionale, pubblicitario o commerciale, alcune categorie di dati e, in particolare: a) quelli presenti negli elenchi c.d. "alfabetici" per i quali l’interessato ha manifestato il proprio consenso (Provv. 15 luglio 2004 cit.); b) quelli presenti negli elenchi c.d. "categorici" (Provv. 14 luglio 2005 cit.); c) quelli presenti nelle banche dati costituite utilizzando anche dati estratti da elenchi telefonici formati precedentemente al 1° agosto 2005, sempre che il titolare del trattamento sia in grado di dimostrare di aver fornito effettivamente, prima di tale data, l’informativa agli interessati ai sensi dell’art. 13 del Codice;
RILEVATO che resta impregiudicato quanto previsto dall’art. 130 del Codice riguardo alle attività promozionali effettuate attraverso sistemi automatizzati di chiamata senza l’intervento di un operatore, per le quali è sempre necessario il consenso espresso dell’interessato;
VISTO l’art. 44, comma 1-bis del decreto legge 30 dicembre 2008, n. 207, convertito, con modificazioni, nella legge 27 febbraio 2009, n. 14 (in G.U. n. 28L del 28 febbraio 2009), che ha stabilito che i dati personali presenti nelle banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 sono lecitamente utilizzabili per fini promozionali sino al 31 dicembre 2009, anche in deroga agli articoli 13 e 23 del Codice, dai soli titolari del trattamento che hanno provveduto a costituire dette banche dati prima del 1° agosto 2005;
CONSIDERATO che la predetta previsione ha introdotto una deroga temporanea ai principi generali della vigente disciplina sopra richiamata che, in quanto tale, cessa alla scadenza del 31 dicembre 2009 e non istituisce, invece, un regime speciale applicabile anche successivamente a tale data;
CONSIDERATO che la deroga in questione è subordinata al contemporaneo verificarsi di due condizioni, ossia che le banche dati siano state costituite prima del 1° agosto 2005 e che i dati in esse presenti vengano utilizzati per finalità promozionali esclusivamente dagli stessi titolari che le hanno a suo tempo costituite;
CONSIDERATO che la stessa deroga ha posto quindi un vincolo di finalità e un vincolo di carattere temporale nell’utilizzo delle predette banche dati, rappresentato dallo svolgimento di attività di carattere promozionale sino al 31 dicembre 2009 e che, quindi, i dati personali presenti nelle predette banche dati non possono essere utilizzati, in vigenza del regime derogatorio, per finalità ulteriori e al di fuori dell’ambito temporale di operatività della deroga;
RITENUTO, pertanto, che rendere una informativa e acquisire un consenso, nel predetto periodo, finalizzati alla costituzione di una banca dati da utilizzare per attività promozionali anche in data successiva al 31 dicembre 2009, costituisce una attività ulteriore rispetto ai vincoli di finalità e di ordine temporale indicati nella norma derogatoria e transitoria;
CONSIDERATO, inoltre, che l’informativa, ove resa agli interessati nel corso del predetto periodo, non renderebbe lecita la costituzione di una banca dati utilizzabile per attività di carattere promozionale, come avveniva anteriormente al 1° agosto 2005;
CONSIDERATO, poi, in ragione del predetto vincolo di finalità introdotto per il periodo transitorio, che il consenso, anche laddove fosse acquisito in vigenza della deroga, non rileverebbe in alcun modo per lo svolgimento di attività promozionali o per lo svolgimento di altre attività per le quali è necessario acquisirlo, anche in data successiva al 31 dicembre 2009;
CONSIDERATO, dunque, che una banca dati potrebbe essere utilizzata per attività promozionali, successivamente al 31 dicembre 2009, solo se formata nel rispetto della disciplina ordinaria, atteso che la disciplina derogatoria e transitoria cessa alla predetta data e, come già rilevato, costituisce una deroga di carattere temporaneo alla disciplina generale e non istituisce un regime speciale applicabile anche successivamente alla scadenza indicata;
CONSIDERATO inoltre che, in ragione di quanto detto, i dati personali presenti nelle banche dati considerate dalla norma derogatoria e transitoria, non possono essere ceduti, a qualunque titolo, a terzi;
CONSIDERATO che, in relazione all’attuale utilizzo delle predette banche dati per finalità promozionali, resta comunque impregiudicata la disciplina generale prevista dal Codice e, in particolare, quella relativa ai diritti degli interessati; e che, pertanto, le predette banche dati non possono contenere i dati degli interessati che, nel corso del tempo, abbiano esercitato il diritto di opposizione ai sensi dell’art. 7 del Codice;
RITENUTA la necessità di prescrivere ai titolari del trattamento, ai sensi dell’art. 143, comma 1, lett. b) e art. 154, comma 1, lett. c) del Codice, le misure necessarie per rendere il trattamento conforme alle disposizioni vigenti, anche in considerazione delle recenti modifiche normative;
TENUTO CONTO che, ai sensi dell’art. 162, comma 2-ter del Codice, in caso di inosservanza del presente provvedimento prescrittivo, è applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila euro a centottantamila euro;
TENUTO CONTO, inoltre, che, ai sensi dell’art. 164-bis, comma 2, del Codice, in caso di più violazioni di un’unica o di più disposizioni relative a violazioni amministrative, commesse anche in tempi diversi in relazione a banche di dati di particolare rilevanza o dimensioni, si applica la sanzione amministrativa del pagamento di una somma da cinquantamila euro a trecentomila euro;
TENUTO CONTO, infine, che ai sensi dell’art. 168 del Codice, chiunque, in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni;
VISTA la documentazione in atti;
VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;
RELATORE il prof. Francesco Pizzetti;
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, prescrive a tutti i titolari del trattamento che siano in possesso di banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 e che intendano utilizzarle per fini promozionali avvalendosi della deroga introdotta dalla legge 27 febbraio 2009, n. 14, le seguenti misure necessarie per rendere il trattamento conforme alle disposizioni vigenti:
a) documentare in modo adeguato l’avvenuta costituzione della banca dati prima del 1° agosto 2005 e conservare la relativa documentazione presso la sede legale del titolare;
b) trattare direttamente i dati personali presenti nelle banche dati oggetto del presente provvedimento, senza possibilità di cederli, a qualunque titolo, a terzi;
c) specificare, in occasione di ogni contatto con gli interessati, chi rivesta la qualifica di titolare del trattamento dei dati, anche nel caso in cui questi operi per conto di terzi e fare presente agli interessati stessi che hanno il diritto di opporsi ai sensi dell’art. 7 del Codice;
d) registrare in via immediata l’eventuale opposizione dell’interessato al trattamento dei suoi dati personali effettuato dal titolare (art. 7, comma 4, del Codice), con effetto anche nei confronti dei terzi per conto dei quali questo operi, anche qualora ciò avvenga telefonicamente, e fornire altresì all’interessato l’identificativo dell’operatore o dell’operazione compiuta;
e) utilizzare i dati personali presenti nelle banche dati di cui alla lett. a) esclusivamente per finalità promozionali e sino al 31 dicembre 2009, non potendo i titolari rendere un’informativa agli interessati e richiedere agli stessi un consenso per l’uso dei loro dati per attività di carattere promozionale da effettuare in data successiva al 31 dicembre 2009;
f) comunicare al Garante, entro quindici giorni dalla pubblicazione in Gazzetta Ufficiale del presente provvedimento, di essere in possesso di banche dati costituite anteriormente al 1° agosto 2005 che si intendono utilizzare per attività promozionali fino al 31 dicembre 2009, chiarendo se il trattamento dei dati personali venga effettuato anche per conto di terzi.
Si dispone la trasmissione di copia del presente provvedimento al Ministero della giustizia-Ufficio pubblicazione leggi e decreti, per la sua pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana.
Roma, 12 marzo 2009
IL PRESIDENTE
Pizzetti
IL RELATORE
Pizzetti
IL SEGRETARIO GENERALE
Patroni Griffi
