Source: http://www.privacy.it/archivio/garanterisp200001131.html
Timestamp: 2018-03-24 09:50:27+00:00

Document:
Il Garante ravvisa l'esigenza che siano adottati schemi e modelli per l'informativa e il consenso semplici e di agevole comprensione, basati su formule anche sintetiche che rendano più chiara l'utilizzazione dei dati, in maniera efficace anche sul piano comunicativo.
Questa Autorità ha ricevuto numerose segnalazioni relative alla raccolta di dati personali da parte di società, imprese, enti, associazioni ed altri organismi, attraverso coupon ricavabili da giornali, depliant, lettere e annunci pubblicitari, o mediante questionari collegati a tessere di "fidelizzazione", a ricerche di mercato, a lotterie, estrazioni di premi od offerte di regali.
Si tratta in genere di contrassegni, tagliandi, cartoline, schede o moduli relativi ad iniziative commerciali o promozionali di prodotti o servizi, con i quali si chiede agli interessati di fornire alcuni dati anagrafici, recapiti telefonici e telematici, informazioni sull'attività svolta, sul nucleo familiare o su gusti e preferenze.
Diversi esemplari acquisiti da questa Autorità specie su segnalazione non rispondono, però, ai requisiti stabiliti dalla legge n. 675 in tema di liceità e correttezza della raccolta e del successivo trattamento delle informazioni personali.
Sebbene il Garante abbia fornito sin dall'inizio della propria attività numerose indicazioni sull'nformativa e sul consenso in riferimento a diverse tipologie di raccolte di dati a fini pubblici e privati, svariati modelli esaminati nell'odierno procedimento non recano alcuna informativa all'interessato (art. 10 l. n. 675), neanche nella pagina, nel documento o nell'annuncio pubblicitario in cui essi sono inseriti.
Ulteriori modelli denotano poi gravi manchevolezze in quanto, a seconda dei casi:
 presentano una parte soltanto delle informazioni previste dal predetto articolo 10;
 recano seri errori od inesattezze o richiedono un ampio adeguamento, essendo formulati in modo del tutto impreciso rispetto a quanto previsto dal medesimo art. 10;
 non prevedono il consenso degli interessati quando questo sia necessario nel caso concreto (v. oltre);
 richiedono il consenso con formule lacunose o senza una manifestazione di volontà espressa "in positivo", oppure sono basati su una dichiarazione di rinuncia o di "non opposizione" ad essere contattati o a ricevere comunicazioni pubblicitarie o di marketing da parte di soggetti spesso imprecisati.
Il fenomeno ha assunto dimensioni significative tali da richiedere una complessiva valutazione da parte del Garante che permetta di far rispettare poi, nei singoli casi, gli obblighi normativi di trasparenza, di lealtà e di correttezza.
Ciascun organismo o impresa che raccoglie dati con le modalità descritte, oltre a dover rispettare il complesso delle altre norme in tema di trattamento, deve anzitutto informare in modo adeguato gli interessati e acquisire il loro consenso quando ciò sia necessario in base alla legge n. 675 o ad altra disposizione in materia (artt. 10, 11, 12 e 20 della legge n. 675; v. anche l'art. 22 per i dati "sensibili"). Gli interessati possono così ricevere precise informazioni sulle finalità di utilizzazione dei dati, fornire quindi in modo consapevole i dati che li riguardano (specie quando questi ultimi siano destinati ad una ampia circolazione) e, ove necessario, esprimere una manifestazione informata di volontà.
Sulla base del presente provvedimento, vengono quindi instaurati alcuni procedimenti per l'applicazione della sanzione amministrativa per violazione degli obblighi in tema di informativa (art. 39, comma 2, legge n. 675) e verranno denunciate all'autorità giudiziaria le eventuali violazioni penali riscontrate a seguito della mancata acquisizione del consenso.
Analogamente, per le ipotesi di informative incomplete, inesatte od imprecise (nonché di formule di consenso lacunose), che pure non comportano l'applicazione delle predette sanzioni, verranno segnalate, ai sensi dell'art. 31, comma 1, lett. c), della legge n. 675, ai singoli organismi ed imprese titolari le modifiche necessarie per rendere il trattamento dei dati conforme alle disposizioni della legge.
Nel verificare il rispetto della legge n. 675, il Garante ritiene, peraltro, opportuno fornire nuovamente alcuni chiarimenti sull'esatto adempimento degli obblighi legati all'informativa e al consenso, e anche suggerire alcune soluzioni operative per favorire una maggiore uniformità. Il Garante avverte poi l'esigenza che siano adottati schemi e modelli per l'informativa e il consenso semplici e di agevole comprensione, basati su formule anche sintetiche che rendano più chiara l'utilizzazione prevista per i dati, in maniera efficace anche sul piano comunicativo.
L'analisi dei casi esaminati denota alcune principali tipologie nel riassumere le quali ci si riferirà, per comodità di esposizione, ai soli coupon, fermo restando che i princìpi richiamati valgono ovviamente anche per il restante materiale sopracitato.
2) Mancanza di informativa e consenso
Come si è accennato, alcune segnalazioni riguardano coupon che non recano alcuna informativa e dai quali l'interessato non può ricavare neppure in modo indiretto indicazioni in ordine alla legge n. 675 e neanche dal contesto del documento al quale essi sono collegati.
In particolare, tale situazione è emersa dall'esame di alcune cartoline con affrancatura a carico del destinatario, inserite in annunci pubblicitari apparsi su quotidiani e periodici, nonché di alcuni materiali inviati per corrispondenza o consegnati a domicilio, con cui è possibile ricevere, indicando alcuni dati, prodotti, offerte e servizi o informazioni dettagliate al riguardo.
La ricezione del coupon compilato dall'interessato concreta un trattamento di dati il quale presuppone che il "titolare" abbia già fornito all'interessato le informazioni previste dal più volte citato art. 10 (prima che i dati siano concretamente raccolti e registrati, e a prescindere dalla loro ulteriore utilizzazione per le finalità previste).
Nessuna importanza assume al riguardo la circostanza che il titolare del trattamento rinunci o non proceda immediatamente alla registrazione dei dati in un elenco, archivio o banca dati; né hanno rilievo le modalità con le quali il titolare intenda trattare successivamente i dati; l'informativa è poi dovuta in ogni caso, anche quando il consenso non sia per legge indispensabile.
Né si ritiene che sia possibile fornire lecitamente l'informativa anche quando il titolare riceva il coupon, contattando successivamente l'interessato (in base all'interpretazione secondo cui tale adempimento dovrebbe precedere solo la raccolta dei dati da parte del titolare del trattamento e non anche il precedente momento della loro indicazione da parte dell'interessato). Nei casi in cui è l'interessato ad indicare direttamente i dati che lo riguardano, l'art. 10, comma 1, ha, infatti, come ratio, quella di assicurare che quest'ultimo sia informato prima di fornire i dati richiesti (anche quando il loro conferimento non è facoltativo) e di manifestare l'eventuale consenso (atti che l'interessato compie, nei casi di specie, al momento della compilazione del coupon).
Gli eventuali ulteriori contatti tra il titolare e l'interessato sarebbero quantomeno contestuali alla raccolta, anziché preventivi come presupposto dall'art. 10, comma 1; diversi coupon non prevedono, poi, l'indicazione di recapiti telefonici o di posta elettronica, sicché il contatto per corrispondenza sarebbe, in questi casi, addirittura successivo alla raccolta, in contrasto con il dettato legislativo.
Non può non rilevarsi, infine, che un apposito contatto per corrispondenza o telefonico determina inutili costi che possono essere prevenuti ponendo semplicemente attenzione al contenuto del materiale nel quale è inserito il coupon.
A prescindere quindi dagli esiti delle verifiche effettuate caso per caso dall'Ufficio, anche ai fini dell'applicazione delle sanzioni e di eventuali provvedimenti di blocco o divieto del trattamento, è pertanto doveroso segnalare alla generalità degli operatori la necessità di rispettare appieno il principio di lealtà nel rapporto con gli interessati, e di inserire quindi nei coupon una chiara, benché sintetica, informativa all'interessato (nonché la formula di manifestazione del consenso, ove sia necessario in base alla legge n. 675).
Infine, quanto al generale problema del consenso, i parametri di riferimento per verificarne l'eventuale necessità vanno rinvenuti nelle norme generali contenute negli artt. 12 e 20 della legge n. 675 (o nel relativo art. 22, se i dati sono "sensibili").
Ciò comporta che non sia, ad esempio, necessario inserire nel coupon una formula di consenso quando la sua compilazione sia richiesta da soggetti pubblici, oppure al solo fine di inviare lo specifico materiale richiesto da parte della società o dell'organismo che lo riceve (art. 12, comma 1, lett. b), legge n. 675); mentre, al contrario, il consenso deve essere richiesto quando i dati hanno natura sensibile o sono ceduti a terzi o utilizzati per studi e ricerche di mercato (il consenso può essere inoltre imposto da disposizioni speciali quali quelle relative alla commercializzazione dei servizi di telecomunicazioni da parte dei relativi fornitori o all'uso del telefax per invio di materiale pubblicitario o per vendite dirette: artt. 6, comma 3, e 10 d.lg. n. 171/1998).
3) Informative incomplete
Sono stati identificati anche numerosi casi di coupon che presentano informative approssimative o incomplete, dalle quali non è possibile ricavare la maggior parte delle informazioni individuate dal comma 1 del menzionato art. 10.
La casistica è assai variegata e, per talune ipotesi, si configura una sostanziale violazione della legge n. 675.
In particolare sono stati sottoposti a questa Autorità coupon che recano, a seconda dei casi:
1) l'indicazione solo delle finalità del trattamento, peraltro generiche; a volte le finalità sono poi descritte solo nella formula di consenso unitamente ad un mero richiamo della legge n. 675;
2) un richiamo troppo sintetico o non comprensibile ai diritti di cui all'art. 13;
3) alcune soltanto delle informazioni relative al titolare del trattamento, ricavabili con una certa difficoltà da altre parti del materiale di cui fa parte il coupon. Il titolare risulta quindi non rintracciabile dall'interessato, per l'incompleta indicazione della denominazione o dell'indirizzo (a volte è indicata solo una casella postale).
Nella maggior parte delle informative esaminate, non viene comunque fornita alcuna informazione su uno o più dei seguenti elementi:
 modalità del trattamento;
 natura del conferimento dei dati e conseguenze del rifiuto di fornirli;
 ambito di comunicazione o diffusione dei dati;
 responsabile del trattamento e relativi dati identificativi.
Particolarmente ambigue risultano poi alcune formule che mirano ad ottenere il consenso non solo per la comunicazione a terzi, ma anche per l'ulteriore trattamento stabile da parte di un'ampia, e spesso indefinita serie di organismi, che operano in più settori o che sono semplicemente indicati come soggetti "di fiducia" di chi raccoglie i dati per primo.
Al riguardo, va quindi segnalata la necessità che il coupon (o, per ragioni di spazio, il documento nel quale esso è inserito, sempreché sia agevole per l'interessato prestare attenzione a tale riferimento prima di compilare il coupon) riporti un messaggio di sintesi basato su un opportuno stile colloquiale, che permetta all'interessato di comprendere anzitutto quali effetti concreti comporta la spedizione del coupon (es.: mero invio del solo materiale esplicativo richiesto, oppure di riviste e libri inviati in abbonamento anche a seguito dell'adesione a determinati circoli o club; contatti periodici telefonici o per corrispondenza; cessione dei dati a terzi, ecc.).
Omettendo, anche per ragioni di spazio, superflue assicurazioni circa il rispetto della normativa (che a volte rappresentano l'esclusivo contenuto del messaggio, senza però indicare nulla di quanto richiesto dall'art. 10: es., "I suoi dati saranno utilizzati nel rispetto della legge n. 675/1996", oppure "I suoi dati saranno trattati con la massima riservatezza"o "in forma autorizzata"), i coupon devono riportare un'indicazione, sia pure succinta, che permetta di comprendere l'insieme delle altre notizie previste dall'art. 10, comma 1 e, in particolare, di appurare:
a) la possibilità che i dati siano ceduti a terzi e di individuare, anche a grandi linee, le relative categorie (es.: "altre società che svolgono attività nel settore del"; mentre è, come già detto, generico il riferimento ad "aziende di fiducia");
b) se vi siano ulteriori finalità oltre quelle connesse allo specifico materiale richiesto (es.: studi e ricerche di mercato, attività di direct marketing, invio nel tempo di proposte o di altro materiale diverso da quello richiesto dall'interessato, inviato a totale discrezione del titolare del trattamento. In altri casi si può utilizzare una formula del tipo: "I dati saranno utilizzati solo per l'invio del catalogo").
c) la non obbligatorietà del loro conferimento (es.: "la compilazione del coupon è facoltativa, ma serve per ") e le conseguenze di una sua parziale compilazione, ad esempio per quanto riguarda il numero telefonico o la casella di posta elettronica o altre informazioni non strettamente necessarie in relazione all'iniziativa (l'inciso potrebbe essere formulato in modo da far comprendere i benefici di cui l'interessato potrebbe non fruire);
d) se vi sono particolari modalità di organizzazione, di raffronto e di elaborazione dei dati (per età, sesso, profilo professionale o di altro tipo, aree geografiche, ecc.);
e) la facoltà del compilatore di esercitare in qualunque momento i diritti di accesso ai dati che lo riguardano, ai sensi dell'art. 13 della legge n. 675 (non è indispensabile riprodurre per intero tale articolo, essendo sufficiente una descrizione succinta dei principali diritti attribuiti all'interessato, del tipo: "Può rivolgersi al ns. servizio per conoscere i Suoi dati e farli integrare, modificare o cancellare per violazione di legge, od opporsi al loro trattamento.");
f) i dati identificativi del responsabile del trattamento, se designato (che potrebbe essere indicato come il soggetto al quale rivolgere le richieste relative ai dati che lo riguardano).
È preferibile che i predetti elementi compaiano in un unico messaggio riportato all'interno o a margine del coupon. Tuttavia, ove vi siano esigenze di spazio, si possono utilizzare parti o notizie collocate nel documento che lo contiene (in particolare per quanto riguarda gli estremi identificativi del titolare del trattamento e del soggetto o servizio che svolge la funzione di responsabile del trattamento).
È comunque auspicabile, in armonia con il principio di correttezza affermato dalla legge n. 675, evitare un'eccessiva frammentazione dei vari elementi dell'informativa e renderne agevole la lettura in uno spazio visibile (accompagnato, ove possibile, da un'opportuna intestazione del riquadro del tipo: "Informativa - legge 675/1996" oppure "informativa sul trattamento dei dati").
4) Informative imprecise od inesatte
Le osservazioni sopra formulate vanno tenute presenti anche nei confronti dei coupon che recano informative imprecise od inesatte o che necessitano di una sostanziale revisione.
Anche per questi casi vanno ricordati i princìpi già affermati da questa Autorità nel corso dei primi due anni della sua attività, in ordine all'esigenza di:
 evidenziare i riferimenti sul/i titolare/i e sul/i responsabile/i del trattamento (questi ultimi vanno identificati in ogni caso, se designati, quantomeno menzionando un responsabile di riferimento per le richieste ex art. 13 o per permettere agli interessati di acquisire agevolmente l'elenco aggiornato di tutti i responsabili);
 evitare formulazioni generiche o tautologiche relativamente alle finalità;
 chiarire la natura obbligatoria o facoltativa del conferimento dei dati, indicando sinteticamente le conseguenze derivanti dal rifiuto di fornirli;
 delimitare precisamente l'ambito di comunicazione dei dati mediante l'indicazione delle categorie dei destinatari (evitando mere elencazioni semplificative);
 fornire spiegazioni sui principali criteri e metodologie di utilizzazione dei dati;
 collocare l'informativa in spazi o riquadri ben visibili e facilmente leggibili.
5) Mancanza o lacunosità del consenso
Si è già evidenziato che in alcune ipotesi in cui ciò è indispensabile, non viene chiesto agli interessati di acconsentire al trattamento dei dati raccolti con il coupon. In tali casi, la raccolta e l'utilizzazione dei dati sono illecite e possono integrare anche gli estremi di un reato (art. 35 l. n. 675).
Tale circostanza va doverosamente rappresentata alla generalità dei titolari di trattamento che curano iniziative del tipo in esame, fermi restando i necessari accertamenti che saranno completati, caso per caso, presso i singoli titolari.
Nella maggior parte dei coupon esaminati, la formula di consenso non appare poi conforme con i princìpi stabiliti dalla legge n. 675 (v. l'art. 11), in quanto, a seconda dei casi:
non è supportata da un'idonea informativa (a volte, poi, la formula di consenso dà atto che è stata fornita un'informativa di cui, però, non vi è traccia);
è espressa o documentata (come detto in premessa) in forma negativa, come mera possibilità di esprimere un dissenso o di barrare una casella per la rinuncia o l'opposizione ad ulteriori contatto o comunicazioni commerciali;
è richiesta in modo superfluo per una prestazione (es.: invio di un regalo) e, al tempo stesso, se ne richiede l'obbligatoria sottoscrizione per una serie assai ampia di finalità perseguite anche da terzi, pena il blocco della predetta prestazione che pure non richiede il consenso.
Riguardo al primo punto, va quindi ribadito nuovamente che il consenso può considerarsi prestato validamente solo se è fondato su un'informativa adeguata (art. 11, comma 3) e che i vizi sopra riscontrati in ordine alla mancanza, all'incompletezza o all'inesattezza delle informative si riflettono sulla validità delle manifestazioni di consenso.
Per quanto attiene invece al secondo, occorre ricordare ancora una volta che le formule di consenso, anche se precedute da una corretta informativa, devono permettere agli interessati di esprimere o di negare il consenso attraverso la previsione di opzioni di tipo "positivo", in quanto il citato art. 11, comma 3, richiede che il consenso, per essere valido, sia "espresso liberamente" e "in forma specifica".
6) Offerte di lavoro sui giornali
Le considerazioni sin qui sviluppate riguardano un'ampia casistica di coupon aventi, in prevalenza, finalità promozionali.
Il Garante ha peraltro riscontrato analoghi casi di assenza di idonee informative e di richieste di consenso rispetto ad una ulteriore tipologia di avvisi. Essi hanno finalità diverse da quelle tipiche della tematica dei coupon e riguardano in particolare le offerte di lavoro riportate su annunci in quotidiani e periodici.
Infatti, viene chiesto spesso ai candidati interessati a partecipare ad una selezione di personale di inviare un curriculum la cui ricezione comporta una successiva raccolta di dati, al pari di quanto avviene per i coupon.
È, pertanto, parimenti necessario che le offerte di lavoro rechino anch'esse, nei termini sopraesposti, le informazioni previste dal citato art. 10, che nel caso di specie possono essere peraltro fornite più agevolmente attraverso i bandi o i capitolati -richiamati negli annunci- contenenti i vari requisiti richiesti per l'assunzione.
In mancanza di tali informative, le dichiarazioni di consenso che sono spesso richieste per i curricula sono da ritenere invalide (consenso che non è peraltro indispensabile quando i dati non siano comunicati a terzi e non abbiano natura sensibile: art. 12, comma 1, lett. b) cit.).
Il Garante richiama l'attenzione di tutti gli operatori interessati affinché i princìpi qui evidenziati siano oggetto di un pieno rispetto, facendo presente che i dati raccolti in contrasto con tali princìpi non possono essere oggetto di lecito trattamento.
Dispone pertanto che copia del presente provvedimento sia trasmesso, oltre che agli organismi pubblici e privati direttamente interessati, alle istituzioni e alle organizzazioni dei settori coinvolti, affinché contribuiscano a sensibilizzare i titolari di trattamento che operano nei rispettivi ambiti.
Oltre alle segnalazioni e ai provvedimenti sanzionatori o interdittivi che verranno adottati in relazione ai singoli casi già esaminati, il Garante avvierà altri accertamenti su ulteriori casi analoghi alle tipologie in argomento per assicurare il rispetto dei princìpi sanciti dalla legge n. 675/1996. Saranno, in particolare, oggetto di specifici provvedimenti alcuni casi segnalati all'Autorità, che riguardano complessi questionari di indagine sui consumi o sul rilascio di tessere di "fidelizzazione".

References: articolo 10
 art. 10
 art. 10
 art. 22
 art. 10
 art. 13
 art. 11
 art. 10
 art. 12