Source: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/1763037
Timestamp: 2020-04-06 21:05:51+00:00
Document Index: 34988902

Matched Legal Cases: ['art. 13', 'art. 13', 'art. 23', 'art. 130', 'art. 11', 'art. 13', 'art. 13']

Attività di profilazione dei clienti, invio di comunicazioni promozionali e... - Garante Privacy
Attività di profilazione dei clienti, invio di comunicazioni promozionali e cessione di dati a terzi per finalità commerciali: è necessario il con...
[doc. web n. 1763037]
Attività di profilazione dei clienti, invio di comunicazioni promozionali e cessione di dati a terzi per finalità commerciali: è necessario il consenso degli interessati - 7 ottobre 2010
CONSIDERATO che a questa Autorità sono pervenute varie segnalazioni della società Inoxveneta spa riguardanti la ricezione di comunicazioni promozionali indesiderate tramite e-mail da parte di alcune società, le quali, secondo gli esiti dell´istruttoria condotta dall´Ufficio, hanno acquisito l´indirizzo di posta elettronica della segnalante dal sito www.expopage.net;
CONSIDERATO, peraltro, che questa Autorità, con il provvedimento del 26 marzo 2010 adottato nei confronti della società One srl per l´invio di e-mail indesiderata, si è riservata la verifica, con autonomo procedimento, dei presupposti per l´eventuale adozione di un provvedimento inibitorio e prescrittivo, in relazione all´inidonea informativa del sito e per l´eventuale contestazione delle conseguenti violazioni amministrative, nei confronti di Fiera Milano S.p.a., al quale gruppo societario afferisce la società Expopage S.p.A;
CONSIDERATO che dalle note di riscontro di Expopage S.p.A - gestrice del sito de quo e titolare del trattamento dei dati personali di cui sopra - e dai successivi accertamenti condotti dall´Ufficio, risulta che la medesima società, nel form di registrazione al sito, non richiede il consenso espresso e distinto per le finalità di invio di comunicazioni promozionali, di profilazione degli utenti e di cessione di dati a terzi, poste in essere dalla medesima come emerge dall´informativa del detto sito;
RILEVATO, peraltro, che l´unico consenso - richiesto dalla suddetta società - all´utente che si voglia registrare non è riferito a ciascun tipo di trattamento svolto, ma è indistintamente riferito all´insieme dei trattamenti indicati nel testo dell´informativa ex art. 13 del Codice ("Esprimo il mio consenso all´ informativa di cui all´art. 13 del Codice Privacy…");
RILEVATO, inoltre, che tale consenso - nel testo dell´informativa in questione - è ritenuto necessario per accedere al servizio offerto dalla medesima agli utenti registrati (servizio consistente, peraltro, nella possibilità di consultare online tutti i cataloghi delle manifestazioni sul portale di Expopage S.p.A., organizzare la propria visita alla fiera di Milano, entrare in contatto diretto con gli espositori, promuovere le attività delle varie aziende);
VISTI l´art. 23 del Codice, il quale prevede invece che il trattamento di dati personali da parte dei privati è ammesso solo previa acquisizione di un consenso dell´interessato libero, informato e specifico, con riferimento a un trattamento chiaramente individuato e documentato per iscritto; e l´art. 130, comma 2, del Codice che, analogamente, prevede per l´invio di e-mail promozionali il preventivo consenso informato e specifico dell´interessato;
CONSIDERATO, inoltre, che, come già rilevato da questa Autorità (provv. 22 febbraio 2007, doc. web n. 1388590; provv. 12 ottobre 2005, doc. web n. 1179604; provv. 3 novembre 2005, doc. web n. 1195215; provv. 10 maggio 2006, doc. web n. 1298709 in www.garanteprivacy.it), non può definirsi "libero" il consenso ad un ulteriore trattamento dei dati personali che l´interessato "debba" prestare quale condizione per conseguire una prestazione richiesta; e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso - allorché richiesto per legge - per ciascuna distinta finalità perseguita dal titolare (cfr. provv. 24 febbraio 2005, punto 7, in www.garanteprivacy.it, doc. web n. 1103045);
RILEVATA la necessità di evitare che i dati personali raccolti dal titolare del trattamento per l´esecuzione del rapporto contrattuale vengano di fatto piegati ad un utilizzo diverso dallo scopo che ne ha giustificato la raccolta, in violazione del principio di finalità (art. 11, comma 1, lett. b), del Codice);
RILEVATO, inoltre, che, nel testo dell´informativa ex art. 13 del Codice, pubblicato sul sito www.expopage.net, non vengono specificati in modo chiaro e preciso i soggetti o le categorie di soggetti cui tali dati eventualmente vengono ceduti da Expopage S.p.A. ;
CONSIDERATO, al riguardo, che, in caso di comunicazione e/o cessione di dati personali a terzi, non solo deve essere richiesto specifico e libero consenso all´interessato, ma è anche necessario che questi, mediante idonea informativa, sia reso edotto almeno della categoria di soggetti cui sono trasmessi i suoi dati personali, e che, in mancanza di tale indicazione, l´informativa resa deve considerarsi inidonea, come già affermato da questa Autorità in diverse occasioni (provv. 26 giugno 2008, doc. web n. 1544326; provv. 25 giugno 2009, doc. web n. 1629107);
CONSIDERATO che le attività di trattamento dei dati, come sopra individuate, effettuate dalla società senza il prescritto consenso costituiscono quindi un trattamento illecito di dati;
RILEVATO che, dall´accertamento condotto dall´Ufficio, il form di registrazione e il testo dell´informativa in questione risultano tuttora configurati come sopra descritti;
RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice correlato alle attività di profilazione dei clienti, di invio di comunicazioni promozionali, e di cessione di dati personali a terzi senza l´acquisizione del necessario consenso preventivo e specifico degli utenti del sito che si siano registrati e tuttora si registrino al medesimo;
a) dichiara illecito il trattamento di dati personali posto in essere dalla società Expopage S.p.A., con sede legale in Milano, Piazzale Carlo Magno, n.1, tramite il sito Internet www.expopage.net per le finalità di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico, libero e documentato per iscritto per ciascuna delle predette finalità;
b) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, vieta alla società Expopage S.p.A. il trattamento di dati personali per le finalità di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, effettuato dalla medesima senza aver ottenuto un consenso specifico, libero e documentato per iscritto per ciascuna delle predette finalità;
c) ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive alla società Expopage S.p.A. di adottare tutte le misure necessarie e opportune al fine di rendere il trattamento dei dati personali conforme alle disposizioni vigenti e, in particolare:
1) modificare l´informativa del sito www.expopage.net indicando specificamente i soggetti, o, perlomeno, le categorie di soggetti cui siano eventualmente comunicati i dati personali degli interessati;
2) qualora la società suindicata intenda continuare a perseguire le finalità di profilazione dei clienti, di invio di comunicazioni promozionali e di cessione di dati a terzi, modificare il form di raccolta dei dati personali sul sito www.expopage.net inserendo la richiesta agli interessati di un preventivo consenso distinto e facoltativo per ciascuna delle predette finalità;
3) trasmettere, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, al Garante entro trenta giorni dalla notificazione del presente provvedimento un esemplare della modulistica, utilizzata rispettivamente per l´informativa ex art. 13 del Codice e per il consenso ex artt. 23 e 130 del Codice, riformulata in conformità alle prescrizioni di cui ai nn. 1) e 2).