Source: http://www.privacy.it/archivio/garanterisp200012051.html
Timestamp: 2018-03-24 09:45:31+00:00

Document:
Risposta del 5 dicembre 2000
Il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale per finalità di fornitura all'interessato di beni, prestazioni e servizi è stato autorizzato con precise condizioni, anche per quanto riguarda la limitazione del trattamento ai soli dati ed operazioni indispensabili per adempiere agli obblighi di fornitura, le modalità del trattamento, la conservazione, la comunicazione e il divieto di diffusione dei dati (autorizzazione n. 2/2000 in Gazzetta Ufficiale della Repubblica italiana del 30 settembre 2000 e avente efficacia fino al 31 dicembre 2001).
Vista l'istanza pervenuta l'8 novembre 2000 dalla Mondadori.com S.p.a., con la quale si chiede l'autorizzazione a trattare i dati sensibili idonei a rivelare, in particolare, lo stato di salute, la vita sessuale, le convinzioni religiose, politiche o di altro genere, per le finalità di:
1) gestione degli ordini dei clienti;
2) analisi di marketing statistica sui dati di vendita per ciascun prodotto e cliente;
3) creazione di profili dei clienti soprattutto in base ai prodotti acquistati;
4) proposte commerciali e di vendita in base alle tipologie di acquisto effettuate da ciascun cliente;
5) comunicazione dei dati ad altre società del gruppo A. Mondadori Editore S.p.a. o ad altre società con cui Mondadori.com S.p.a. ha concluso accordi commerciali;
Visto, in particolare, l'art. 22, comma 1, della legge n. 675/1996, il quale individua come "sensibili" i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale, i quali possono essere trattati solo con il consenso scritto dell'interessato e l'autorizzazione del Garante;
Visti altresì gli artt. 9, comma 1, lettere d) ed e) e 41, comma 7, della medesima legge n. 675/1996;
Vista l'autorizzazione generale del Garante adottata il 20 settembre 2000, provvedimento n. 2/2000, relativa al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (pubblicata nella Gazzetta Ufficiale della Repubblica italiana del 30 settembre 2000 e avente efficacia fino al 31 dicembre 2001);
Considerato che con tale provvedimento il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale per finalità di fornitura all'interessato di beni, prestazioni e servizi è stato autorizzato con precise condizioni, anche per quanto riguarda la limitazione del trattamento ai soli dati ed operazioni indispensabili per adempiere agli obblighi di fornitura, le modalità del trattamento, la conservazione, la comunicazione e il divieto di diffusione dei dati (v., in particolare, il par. 1.2, lettera e));
Vista l'autorizzazione del Garante adottata il 20 settembre 2000, provvedimento n. 3/2000, relativa al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni (pubblicata nella Gazzetta Ufficiale della Repubblica italiana del 30 settembre 2000 e avente efficacia fino al 31 dicembre 2001);
Considerato che anche tale ulteriore autorizzazione (punto 1) circoscrive in un ambito ristretto e sulla base di precise garanzie il possibile trattamento dei dati sensibili diversi da quelli idonei a rivelare lo stato di salute e la vita sessuale, che può essere effettuato da persone giuridiche ed organismi con scopo di lucro solo per finalità di ausilio di organismi associativi e di fondazioni, ovvero per scopi amministrativi e contabili legati alla fornitura di beni, prestazioni e servizi (v., in particolare, i punti 1, 3 e 5 dell'autorizzazione);
Vista l'autorizzazione del Garante adottata il 20 settembre 2000, provvedimento n. 5/2000, relativa al trattamento dei dati sensibili da parte di diverse categorie di titolari (pubblicata nella Gazzetta Ufficiale della Repubblica italiana il 30 settembre 2000 e avente efficacia fino al 31 dicembre 2001);
Constatato che in base a tale autorizzazione il trattamento effettuato per ricerche di mercato o per altre ricerche campionarie non può riguardare dati personali sensibili nelle operazioni successive alla raccolta dei dati;
Rilevato che la direttiva europea n. 95/46/CE del 24 ottobre 1995 (art. 8) obbliga gli Stati membri a vietare, di regola, il trattamento dei dati personali di natura sensibile e prevede che la legislazione nazionale possa individuare casi in cui il solo consenso dell'interessato non è sufficiente a derogare a tale divieto;
Rilevato che per ridurre al minimo i rischi di danno o di pericolo per i diritti, le libertà fondamentali e la dignità delle persone, anche in relazione a quanto previsto dalla Raccomandazione N. R (97) 5 del Consiglio d'Europa, il Garante ha disposto nelle citate autorizzazioni generali che non prenderà in considerazione richieste di autorizzazione al trattamento di dati sensibili da effettuarsi in difformità alle prescrizioni delle medesime autorizzazioni generali, salvo che il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nelle autorizzazioni stesse;
Considerato che, qualora in base alla particolare natura degli ordini o alle modalità del trattamento i dati personali relativi ai clienti di Mondadori.com S.p.a. abbiano effettivamente natura sensibile, il trattamento dei dati idonei a rivelare lo stato di salute necessario per gestire gli ordini è già autorizzato dal citato provvedimento n. 2/2000, alle condizioni ivi indicate; rilevato che la comunicazione di quelli idonei a rivelare la vita sessuale ad altre società, anche all'interno del Gruppo Mondadori, non è però consentita in base a tale provvedimento, e che la comunicazione dei dati idonei a rivelare lo stato di salute ad altre società, anche all'interno del Gruppo Mondadori, è consentita solo se ricorrono i presupposti previsti nel punto 5 del provvedimento medesimo;
Ritenuto di dover autorizzare l'eventuale trattamento da parte di Mondadori.com S.p.a. degli altri dati sensibili diversi da quelli idonei a rivelare lo stato di salute e la vita sessuale, ai soli fini della gestione degli ordini dei clienti e alle medesime condizioni previste dal citato provvedimento n. 2/2000, che si intendono richiamate nel presente provvedimento e che, analogamente a quelle previste in ogni altra autorizzazione generale o particolare del Garante, devono essere rispettate a pena di sanzione penale (art. 37 legge n. 675/1996);
Precisato che la richiesta di Mondadori.com S.p.a., relativamente alle finalità diverse da quella di gestione degli ordini, non evidenzia le circostanze del tutto particolari o le situazioni eccezionali che le citate autorizzazioni generali presuppongono ai fini dell'eventuale rilascio di un'autorizzazione in deroga, anche perché la richiesta non è stata predisposta secondo il modello approvato dal Garante ai sensi dell'art. 14 del d.P.R. n. 501/1998 e non prospetta adeguate garanzie;
Rilevato altresì che per le medesime finalità diverse da quella della gestione degli ordini:
il trattamento di dati sensibili non risponderebbe ai principi di proporzionalità, pertinenza e non eccedenza rispetto alla complessiva finalità di prestazione di un servizio e determinerebbe uno squilibrio a danno degli interessati che non può ritenersi colmato dal consenso;
le statistiche possono essere effettuate con dati anonimi;
Ritenuto pertanto di non accogliere la richiesta di autorizzazione per quanto riguarda le ulteriori finalità di:
a) analisi di marketing statistica sui dati di vendita per ciascun prodotto e cliente;
b) creazione di profili del cliente, soprattutto in base ai prodotti acquistati;
c) proposte commerciali ed offerte di vendita in base alle tipologie di acquisto effettuate da ciascun cliente;
Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 adottato con deliberazione n. 15 del 28 giugno 2000 e pubblicato nella Gazzetta Ufficiale della Repubblica Italiana n. 162 del 13 luglio 2000;
accoglie la richiesta di autorizzazione di Mondadori.com S.p.a. limitatamente al trattamento dei dati sensibili diversi da quelli idonei a rivelare lo stato di salute e la vita sessuale (rispetto ai quali già opera il citato provvedimento n. 2/2000) e per le sole finalità di gestione degli ordini dei clienti, alle medesime condizioni previste dall'autorizzazione generale del Garante n. 2/2000 che si intendono richiamate nel presente provvedimento;
rigetta la richiesta per quanto riguarda le rimanenti istanze.
Roma, lì 5 dicembre 2000
(Manganelli) IL SEGRETARIO GENERALE

References: provvedimento n. 
 provvedimento n. 
 provvedimento n. 
 provvedimento n. 
 provvedimento n. 
 provvedimento n.