Source: https://dataprotection.org/web/guest/home/docweb/-/docweb-display/docweb/9058954
Timestamp: 2020-07-10 22:07:06+00:00
Document Index: 155285233

Matched Legal Cases: ['art. 22', 'art. 22', 'art. 1', 'art. 22', 'art. 22', 'art. 3', 'art. 4', 'art. 4', 'art. 22', 'art. 26', 'art. 22', 'art. 4', 'art. 29', 'art. 26', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 3', 'art. 4', 'art. 26', 'art. 13', 'art. 7', 'art. 9', 'art. 29', 'art. 12', 'art. 7']

"Conoscibilità" dei donatori nell'ambito delle campagne di raccolta fondi... - Garante Privacy
"Conoscibilità" dei donatori nell'ambito delle campagne di raccolta fondi per finalità benefiche tramite sms "solidali" o chiamate in fonia da rete fissa
9058954
Newsletter del 15/11/18 - Enti no-profit, raccolta fondi agevolata - Bonus cultura per i 18enni: via libera del Garante - Gdpr, valutazione di impatto per i trattamenti transfrontalieri
VEDI ANCHE NEWSLETTER DEL 15 NOVEMBRE 2018
[doc. web n. 9058954]
comitatoitalianounicef@pec.it
Assotelecomunicazioni – Asstel
"Conoscibilità" dei donatori nell’ambito delle campagne di raccolta fondi per finalità benefiche tramite sms "solidali" o chiamate in fonia da rete fissa - (24 ottobre 2018)
1. Si fa riferimento all’istanza in oggetto, con la quale alcuni Enti del Terzo Settore (Associazione Italiana per la Ricerca sul Cancro, Fondazione Telethon, Fondo Ambiente Italiano, Medici Senza Frontiere Italia, Associazione Italiana Sclerosi Multipla, Comitato Italiano per l’Unicef e Save the Children Italia – di seguito “Enti”) hanno richiesto il parere di questa Autorità in ordine alla possibilità di conoscere i nominativi (e i dati di contatto) dei donatori nell’ambito delle campagne di raccolta fondi effettuate tramite sms c.d. solidali, nonché tramite chiamate in fonia da rete fissa, verso numerazioni con codice “455”.
La richiesta di parere fa riferimento alle modifiche apportate di recente dall’Autorità per le garanzie nelle comunicazioni (di seguito “AGCOM”) al Piano di numerazione nazionale, in adempimento delle quali “i fornitori dei servizi di comunicazione elettroniche e i fornitori di contenuti che impiegano le numerazioni [con codice 455]” sono tenuti ad indicare, all’interno del Codice di autoregolamentazione (dagli stessi adottato ai sensi della delibera AGCOM n. 17/17/CIR, cit., All. 1, art. 22, comma 8), “le modalità di conoscibilità dei donatori e di rendicontazione dei fondi raccolti ai fini della trasparenza, di acquisizione del consenso dei donatori all’utilizzo, per i fini consentiti, delle proprie anagrafiche e numeri di telefono da parte dell’Ente (..), tenuto conto delle norme vigenti sulla privacy”(v. delibera AGCOM n. 17/17/CIR, cit., All. 1, art. 22, comma 9. Cfr. anche delibera AGCOM n. 561/16/CONS del 24 novembre 2016). Alla luce di tale previsione, si chiede al Garante di valutare la compatibilità con la normativa di protezione dei dati personali della trasmissione dei dati personali dei donatori (nello specifico, dati anagrafici e numero di telefono) agli Enti destinatari delle singole donazioni effettuate tramite sms solidale o chiamata in fonia da rete fissa, individuandone le relative modalità. Ciò anche sulla base del fatto che la stessa AGCOM, a seguito delle osservazioni pervenute sul punto in occasione della consultazione pubblica avviata con riferimento alla citata delibera AGCOM n. 561/16/CONS, ha ritenuto che la questione “esul[asse] dal proprio ambito di competenza”, rilevando di contro in merito “profili di competenza del Garante per la privacy” (v. delibera AGCOM n. 17/17/CIR, cit., All. 2 – “Sintesi della consultazione di cui alla delibera n. 561/16/CONS e valutazioni dell’Autorità”, pag. 29).
Considerata la delicatezza delle questioni sollevate, questa Autorità ha ritenuto di organizzare diversi incontri con gli Enti nonché di coinvolgere al contempo gli Operatori telefonici (anche mediante la partecipazione dell’associazione di categoria ASSTEL) al fine di acquisire maggiori informazioni relativamente alle motivazioni connesse a tale richiesta nonché alla fattibilità “tecnica” della stessa.
In ordine al primo punto, gli Enti hanno esplicitato che l’acquisizione dei predetti dati personali sarebbe necessaria per finalità di “ricontatto” del donatore onde rendicontare lo stesso circa gli esiti della campagna di raccolta fondi cui abbia aderito e, al contempo, renderlo edotto di nuove eventuali inziative benefiche promosse dall’Ente.
In merito alla fattibilità tecnica dell’operazione, ASSTEL ha fatto pervenire al Garante, con nota del 3 agosto 2018 (che ad ogni buon fine si allega – All. 1), alcune proposte riassumibili come segue.
La trasmissione da parte degli Operatori telefonici dei dati personali dei donatori agli Enti potrebbe avvenire nell’ambito dei “servizi innovativi”, attivabili facoltativamente sulla base delle pattuizioni negoziali deliberate tra le parti (v. Codice di autoregolamentazione, cit, art. 1). Tale trasmissione sarebbe subordinata alla raccolta del consenso del cliente (donatore) relativamente alle finalità di “ricontatto” da parte degli Enti, acquisizione che potrebbe essere effettuata dagli Operatori telefonici, successivamente all’addebito del costo della donazione, con le seguenti modalità:
a) in caso di donazione tramite sms solidale, l’Operatore telefonico, dopo aver dato conferma al cliente via sms dell’avvenuta donazione, invierebbe allo stesso un ulteriore sms gratuito contenente una sintetica informativa (con rinvio a quella più estesa presente sul sito dell’Operatore e dell’Ente) e la richiesta di consenso alla comunicazione del numero di telefono all’Ente per un eventuale ricontatto nell’ambito della campagna di donazione; il cliente, per rilasciare il consenso al trattamento potrebbe rispondere SI tramite invio di un sms; l’Operatore invierebbe un ulteriore sms di conferma della scelta effettuata dal cliente;
b) in caso di donazione tramite chiamata da rete fissa, l’Operatore telefonico, sempre dopo aver comunicato vocalmente al cliente che la donazione è andata a buon fine, fornirebbe, in modalità vocale, una breve informativa (con rinvio a quella più estesa presente sul proprio sito e su quello dell’Ente) e richiederebbe, mediante la digitazione di un apposito tasto, il consenso del cliente alla comunicazione dei propri dati personali all’Ente; l’Operatore in modalità vocale, trasmetterebbe al cliente un messaggio di conferma dell’avvenuta acquisizione del consenso.
Tenuto conto delle proposte sopra pervenute, del quadro normativo di riferimento e della documentazione acquisita, questa Autorità ha provveduto a effettuare opportuni approfondimenti in merito ai trattamenti correlati alla suddetta richiesta di parere; ciò con particolare riferimento alla titolarità, alla base giuridica, nonché alle modalità delle relative attività di trattamento.
2. Sotto il profilo della titolarità, occorre in primis richiamare le disposizioni normative di riferimento nel caso di specie.
I servizi di raccolta fondi per fini di utilità sociale da parte di enti, organizzazioni e associazioni senza fini di lucro, svolti attraverso sms o chiamate in fonia da rete fissa, sono disciplinati dal Piano di numerazione nazionale (di seguito “PNN”) che ne individua le relative modalità di utilizzo, ivi compresa l’assegnazione di una specifica numerazione con codice 455 (v. PNN, art. 22, commi 3; 4; 7; 9).
Il predetto PNN demanda agli stessi Operatori telefonici il compito di adottare un Codice di autoregolamentazione che definisca prassi comuni e uniformi per “l’informazione sui prezzi dei servizi, le modalità di attivazione e disattivazione dei servizi stessi (..) le necessarie tutele a favore dell’utenza”, nonché “le modalità di conoscibilità dei donatori” (v. art. 22, comma 9).
Il succitato Codice di autoregolamentazione prevede inoltre che l’attribuzione della numerazione ad un Ente piuttosto che ad un altro dipenda da una valutazione, effettuata dagli stessi Operatori telefonici, sulla base sia della rispondenza dell’Ente a determinati requisiti formali, sia sulle caratteristiche del “progetto di raccolta fondi” redatto e presentato dall’Ente richiedente (v. Codice di autoregolamentazione, cit., art. 3, par. 1 e art. 4). Il suddetto progetto deve contenere una descrizione dettagliata delle azioni e delle modalità di realizzazione della campagna di raccolta fondi, completa di budget di spesa preventiva, tempistiche, ulteriori fonti di finanziamento e piano di comunicazione a sostegno della medesima raccolta fondi (v. Codice di autoregolamentazione, cit., art. 4, par. 1, punto i).
Giova, infine, rappresentare che il gestore telefonico non è obbligato ad aderire al servizio di raccolta fondi per fini di utilità sociale tramite sms solidale, ma che, qualora decida di aderirvi, è tenuto ad utilizzare le numerazioni 455 nel rispetto di quanto previsto dal predetto PNN e secondo le prassi individuate dal Codice di autoregolamentazione (v. PNN, art. 22, comma 9; v. anche Codice di autoregolamentazione, considerando 9).
Dal quadro normativo sopra sintetizzato, risulta con evidenza che le operazioni di trattamento dei dati personali dei donatori per finalità di raccolta fondi tramite sms solidali/chiamate da rete fissa, siano poste in essere da una pluralità di “attori”, che partecipano congiuntamente alla determinazione delle finalità e dei mezzi del trattamento medesimo in rapporto di contitolarità (art. 26 del Regolamento).
Gli Operatori telefonici, da una parte, nella misura in cui individuano, all’interno del Codice di autoregolamentazione, le regole per l’assegnazione delle numerazioni 455 e decidono autonomamente se aderire o meno alla specifica campagna di raccolta fondi richiesta dall’Ente (v. delibera AGCOM n. 17/17/CIR, cit., All. 1, art. 22, comma 5); gli Enti, dal canto loro, in considerazione del ruolo preponderante da questi assunto nell’elaborazione del summenzionato “progetto di raccolta fondi”, il quale contribuisce a definire nel dettaglio le modalità operative e i mezzi del trattamento di dati personali sopra individuato (v. Codice deontologico cit., art. 4, par. 1).
Si tratta dunque di attività di trattamento (raccolta fondi per gli Enti; addebito del servizio attraverso il credito telefonico e/o in fattura per l’Operatore telefonico) che, pur sembrando a prima vista distinte e autonome, devono invece essere considerate quale “insieme di operazioni che perseguono una finalità comune e si avvalgono di strumenti stabiliti congiuntamente” (v. Gruppo ex art. 29, WP 169 – Parere sui concetti di “titolare” e “responsabile” del trattamento, pag. 21).
Dalla configurazione del rapporto tra Enti e Operatori telefonici in termini di contitolarità, discende la necessità che siano da entrambi determinate, mediante un accordo interno, “le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal Regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli artt. 13 e 14” (art. 26, par. 1 del Regolamento UE n. 679/2016 – di seguito “GDPR”).
Ne consegue inoltre che, a differenza di quanto statuito dagli Operatori telefonici (v. nota di ASSTEL, cit., pagg. 2 e 3), l’Ente non sarà tenuto, successivamente all’acquisizione delle liste dei clienti da parte degli Operatori telefonici, a “contattare [nuovamente] il cliente per raccogliere e registrare il consenso”, apparendo pertanto necessario riformulare, in linea con quanto detto sopra, le previsioni di cui alla succitata nota di ASSTEL, pagg. 2 e 3 (in particolare in ordine ai paragrafi “estrazione delle anagrafiche” e “trasferimento e validità delle anagrafiche”).
3. In materia di legittimità del trattamento dei dati dei donatori da parte degli Enti, si rappresenta che questa deve essere valutata ai sensi dell’art. 6 del RGPD, ovvero nei limiti in cui sia possibile individuare una delle condizioni di cui al paragrafo 1 del medesimo articolo: nel caso di specie, il consenso dell’interessato (art. 6, par. 1, lett. a) del RGPD) ovvero il “legittimo interesse del titolare” (art. 6, par. 1, lett. f) del RGPD).
In questo contesto, appare opportuno precisare che l’esigenza di “ricontatto” del donatore espressa dagli Enti si esplica in due distinte finalità di trattamento dei predetti dati personali: la “rendicontazione” (informazione - in maniera individuale- relativa agli esiti della specifica campagna di raccolta fondi cui il donatore abbia contribuito con la propria donazione) e la “fidelizzazione” (ovvero la promozione di nuove iniziative benefiche).
Con riferimento alla finalità di “rendicontazione”, il presupposto di legittimità del relativo trattamento potrebbe essere individuato nel “legittimo interesse del titolare” (art. 6, par. 1, lett. f) del RGPD). La rendicontazione individuale al donatore, infatti, pur non oggetto di specifico obbligo di legge, appare comunque in linea con lo spirito della recente riforma del terzo settore volta a promuovere gli strumenti di rendicontazione economica e sociale degli Enti del terzo settore (di seguito “ETS”) in quanto utili sia a garantire la più ampia trasparenza e conoscibilità delle attività svolte dagli enti medesimi, sia a rendere possibile una valutazione “del [loro] impatto sociale” sulla comunità di riferimento (v. art. 6, comma 2 e comma 3 della legge 106/2016, cit.). Ne è riprova il fatto che la redazione del bilancio sociale sia divenuta un aspetto di fondamentale importanza per tutta l’area no profit quale elemento volto a comprovare un uso efficace ed efficiente, da parte dell’ETS, delle elargizioni ricevute sia in termini di ricaduta sociale (ovvero di rispetto delle finalità statutarie e dei presupposti etici posti a fondamento dell’organizzazione stessa), sia quale diretta espressione del principio di agevolazione della partecipazione degli associati alle attività dell’ente (v. art. 3, lett. c) e art. 4, lett. d della legge 106/2016).
Con riferimento alla finalità di “fidelizzazione”, invece, il presupposto di legittimità del trattamento appare individuabile esclusivamente nel consenso dell’interessato raccolto da parte degli Operatori telefonici nel corso dell’operazione di donazione via sms/chiamata da rete fissa (come sintetizzata in premessa); ciò sulla base delle considerazioni che seguono:
1) il rapporto di contitolarità individuabile tra Operatori telefonici ed Enti, ai sensi del quale la condivisione dei dati dei donatori può legittimamente avvenire secondo le modalità (individuazione specifica del ruolo svolto da ciascuno, nonchè delle rispettive responsabilità) definite nell’accordo di cui all’art. 26 del RGPD;
2) la stretta correlazione esistente tra l’utilizzo dello strumento telefonico (sms solidale o chiamata da rete fissa) e la finalità di raccolta fondi promossa dall’Ente: l’invio dell’sms solidale (al pari della digitazione del numero da rete fissa) è infatti effettuato dal cliente solo ed esclusivamente per porre in essere una donazione; circostanza che consente di assimilarne la valenza a qualsiasi altra forma di “spontaneo contatto” (ovvero di manifestazione dell’intenzione del donatore di entrare in relazione) con l’Ente beneficiario (es. mediante registrazione tramite il sito internet dell’associazione oppure richiesta di informazioni presso uno stand divulgativo ecc.). In questo contesto, il titolare (l’Ente), anche per il tramite di altro soggetto (l’Operatore telefonico), può legittimimamente rilasciare l’informativa di cui all’art. 13 del RGPD e acquisire l’eventuale consenso al trattamento dei dati personali dell’interessato/donatore per specifiche finalità di volta in volta ivi individuate (nel caso di specie per la finalità di “ricontatto” del donatore);
3) la peculiare natura della succitata finalità di “ricontatto” del donatore, che, partecipando dello specifico contesto del terzo settore, assume caratteristiche del tutto diverse dalle tradizionali attività di marketing esistenti in ambito commerciale: gli ETS intraprendono azioni di comunicazione e sensibilizzazione sociale funzionali prevalentemente al reperimento di sostenitori (c.d. fundraising), attività rispetto alle quali è possibile riconoscere un particolare atteggiamento di favore del legislatore. La recente riforma in materia di ETS (v. legge 106/2016 – “Delega al Governo per la riforma del Terzo settore, dell'impresa sociale e per la disciplina del servizio civile universale”; D. lgs. n. 117 del 3 luglio 2017 – “Codice del Terzo settore”), infatti, ha istituzionalizzato l’attività di “raccolta fondi”, legittimando le operazioni all’uopo necessarie (v. art. 7 del D. lgs. n. 117 del 3 luglio 2017 – “Codice del Terzo settore”), quale strumento di promozione dei “comportamenti donativi delle persone e degli enti” (v. art. 9, comma 1, lett. b) della L. n. 106 del 6 giugno 2016, cit.).
Quanto infine alle modalità di raccolta del consenso dell’interessato, è possibile rappresentare fin da ora che questa può legittimamente avvenire nelle forme (tramite sms; mediante digitazione di un tasto) proposte dagli Operatori telefonici (v. Gruppo ex art. 29, WP 259 –rev. 1, del 10 aprile 2018, pag. 18; per alcuni precedenti del Garante, v. provv. del 10 marzo 2016 [doc. web n. 4788463], punto 3.3).
4. Da ultimo appare opportuno fornire alcune ulteriori indicazioni in ordine alle modalità del trattamento, al fine di contribuire a rimodulare in senso più aderente al Regolamento UE n. 679/2016, la proposta presentata dagli Operatori telefonici.
Innanzi tutto con riferimento all’informativa la quale dovrà chiarire, già nella forma sintetica, il ruolo di contitolarità dei diversi attori e le differenti finalità di trattamento sopra individuate (nonchè le relative basi giuridiche); ciò al fine in particolare di esplicitare che il consenso è prestato per la precipua finalità di “fidelizzazione” del donatore nei termini ed entro i limiti supra inviduati (v. punto 3).
In secondo luogo, è opportuno ricordare che dovrà essere implementato da entrambi i titolari un sistema che agevoli l’esercizio dei diritti dell’interessato (art. 12, par. 2 del RGPD); ciò con particolare riferimento all’esercizio del diritto di revoca del consenso prestato, il quale deve poter essere esercitato “con la stessa facilità con cui è stato accordato” (art. 7, par. 3 del RGPD).
Infine, si rammenta che, nel definire i tempi di conservazione dei dati dei donatori per la succitata finalità di ricontatto, gli Enti dovranno individuare un lasso temporale adeguato alla “natura” della suddetta finalità (che potrebbe variare a seconda delle caratteristiche dell’iniziativa benefica promossa), nonché alla “risposta” che di volta in volta sia fornita dall’interessato (ovvero implementando un meccanismo di “definizione progressiva” dei tempi di conservazione dei dati che consenta al titolare, superato un primo lasso di tempo minimo valevole per tutti e parametrato al “tipo” di raccolta fondi promossa, di valutare se continuare a trattare ulteriormente il dato – per la precipua finalità di “fidelizzazione” del donatore- esclusivamente con riferimento a quei soggetti che abbiano fornito una risposta “positiva” alle prime occasioni di contatto).
Nel restare a disposizione per ogni opportuno chiarimento, si prega, in eventuali successive comunicazioni, di indicare l’oggetto e il riferimento sopra indicati.