Il Garante Privacy con il documento n. 605 del 18 novembre 2015 ha sanzionato una società dichiarando illegittimo il trattamento di dati personali di utenti raccolti su diversi siti internet per le finalità di invio di comunicazioni promozionali (per conto proprio e per conto terzi), profilazione, nonché comunicazione dei dati a soggetti terzi per loro finalità promozionali, senza la previa acquisizione di un consenso dell’interessato espresso, libero, informato e specifico, con riferimento a trattamenti chiaramente individuati e documentato per iscritto, ex artt. 13, 23 e 130 del Codice.
Dalle indagini del Garante è emerso che la società in questione, sul form di registrazione ai predetti siti, raccoglieva i dati personali degli utenti chiedendo loro un consenso per il trattamento preselezionato e unico per varie finalità, fra cui quelle di marketing e comunicazione a soggetti terzi per analoghe finalità. Ad avviso del Garante si tratta di una procedura contraria alla normativa, anche se l’utente poteva deselezionare il consenso e procedere alla registrazione al sito. Infatti la società non indica i soggetti terzi né specifica la/e categoria/e economica/e o merceologica/e di appartenenza di tali terzi, ai quali sono comunicati o potrebbero essere comunicati i dati dalla società per lo svolgimento di finalità promozionali, come invece previsto dalle Linee Guida del 4 luglio 2013 e dal legislatore stesso, all’art. 13, comma 1, lett. d) del Codice, all’evidente fine di consapevolizzare il più possibile gli interessati che rilascino il consenso per la comunicazione a terzi sull’effettivo ambito di circolazione dei loro dati.
Il garante ha così sanzionato la società in questione, prescrivendole di adottare le misure necessarie e opportune al fine di rendere i trattamenti dei dati personali conformi alle disposizioni del Codice, e in particolare:
1. di integrare l’informativa resa ex art. 13 del Codice nel form di registrazione o mediante qualunque altro strumento di raccolta di dati personali che la società eventualmente deciderà di utilizzare, indicando i singoli soggetti terzi, oppure la/e categoria/e economica/e o merceologica/e di appartenenza di tali terzi, ai quali intenda comunicare i dati personali raccolti per le loro finalità promozionali;
2. di avvisare l’altra società e gli altri soggetti terzi, ai quali i dati personali raccolti, senza un consenso specifico per la comunicazione a terzi, siano stati eventualmente comunicati e/o ceduti per le loro proprie finalità promozionali, che non possono utilizzare i dati in questione per tali finalità se non dopo aver acquisito uno specifico consenso degli interessati;
3. di prevedere e attuare, nell’ambito della sua autonomia organizzativa, tenendo conto delle legittime finalità perseguite nonché della natura e tipologia dei dati trattati, uno o più tempi di conservazione dei dati raccolti, alla scadenza dei quali la società dovrà provvedere all’immediata cancellazione dei dati degli utenti o alla loro anonimizzazione permanente.
