Source: http://www.privacy.it/archivio/garantesanz20070222.html
Timestamp: 2018-02-18 17:45:23+00:00
Document Index: 183292890

Matched Legal Cases: ['art. 13', 'art. 13', 'art. 154', 'art. 154', 'art. 24', 'art. 11', 'art. 24', 'art. 23', 'art. 130', 'art. 13', 'art. 130', 'art. 11', 'art. 154', 'art. 11', 'art. 154', 'art. 130']

Servizi on-line e uso dei dati a fini di marketing
ISTA la documentazione in atti;
1. A seguito di una richiesta di informazioni formulata dall'Autorit�, Enel S.p.A ha fatto pervenire, con nota del 20 novembre 2006 integrata in data 25 gennaio 2007, proprie deduzioni in ordine ai trattamenti di dati personali effettuati nell'ambito della fornitura di una pluralit� di servizi resi tramite il sito Internet www.enel.it (fra i quali quelli denominati: "Forum"; "In poesia"; "Astroluce"; "Magazine"; "Pronto Enel"; "Sfondi e Screensaver"; "Sala stampa"; "Enel Club"; "Servizi Online di Enel Sole"; "EnelGas" ).
La societ� ha rappresentato che l'informativa di cui all'art. 13 del Codice � elaborata dinamicamente dal sistema, modificandosi nella parte "relativa alla societ� che riceve i dati e che rappresenta il titolare del trattamento" a fronte dello specifico servizio chiesto dall'utente; ha indicato poi, quali titolari del trattamento in relazione ai diversi servizi, se medesima (Enel S.p.A.), altre societ� del gruppo (Enel Distribuzione S.p.A., Enel Energia S.p.A., Enel Sole S.p.A., Enel.si S.r.l., di seguito "gruppo Enel"), nonch� ulteriori societ� in relazione a servizi gestiti da soggetti esterni al gruppo societario (cfr. il citato all. n. 3 alla nota del 25 gennaio 2007).
La societ� ha inoltre dichiarato che, "come precisato nell'informativa adottata sul sito, quale unica controprestazione per i servizi forniti, si riserva la facolt� di inviare informazioni commerciali relative alle societ� del Gruppo". Da quanto risulta in atti, tali comunicazioni vengono inviate in forma di newsletter ad un indirizzo di posta elettronica che (fino allo scorso mese di luglio) era messo a disposizione degli interessati in modo automatico dalla societ� e che, ora, � indicato dall'utente, qualora questi non sottoscriva il servizio denominato Pronto Enel che "consente di svolgere le operazioni contrattuali e di pagamento di pertinenza della societ� Enel Distribuzione". In tale ultimo caso l'utente pu� scegliere di farsi attribuire da Enel S.p.A. una casella di posta elettronica "attraverso la quale sar�, da una parte, erogato il servizio prescelto, dall'altra, inviata ogni comunicazione di tipo commerciale inerente l'attivit� del Gruppo".
2. Il presente provvedimento ha ad oggetto la verifica del rispetto della disciplina in materia di protezione dei dati personali nell'ambito della fornitura dei servizi e prodotti offerti da Enel S.p.A., dal Gruppo Enel e da ulteriori societ� tramite il sito Internet www.enel.it. Ci�, con specifico riferimento alle modalit� con le quali viene fornita l'informativa ai sensi dell'art. 13 del Codice ed � acquisito, quando � necessario, un consenso idoneo in relazione alle diverse finalit� del trattamento (artt. 23, 24 e 130 del Codice).
3. Dalle dichiarazioni rese in atti da Enel S.p.A., con riguardo ai trattamenti di dati personali effettuati per gestire servizi e prodotti offerti on line, � emerso che i titolari del trattamento indicati al precedente punto 1 raccolgono, in un unico contesto, l'"autorizzazione" all'impiego dei dati per una ulteriore finalit� di marketing menzionata nell'informativa trasmessa a questa Autorit� (cfr. il citato all. n. 3) e nelle condizioni generali di contratto riportate sul predetto sito web.
Nell'informativa � cos� affermato: "i dati raccolti potranno essere utilizzati da Enel S.p.A. e dalle Societ� soggette a direzione e coordinamento di Enel S.p.A. anche al fine di inviarti periodicamente messaggi contenenti pubblicit�, materiale promozionale, annunci interni, iniziative promozionali, comunicazioni commerciali".
Nel paragrafo "avvisi e messaggi promozionali", presente nell'ambito delle condizioni generali di contratto (cfr. pagina web http://register.enel.it/ClausoleGenerali_v2.aspx?MiNetUserLanguage=it-IT), � dichiarato che "con la sottoscrizione ed accettazione del presente accordo, l'utente manifesta il proprio libero e incondizionato consenso a ricevere periodicamente messaggi di posta elettronica contenenti pubblicit�, materiale promozionale, annunci interni, iniziative promozionali, comunicazioni commerciali da parte di Enel". Dal secondo capoverso di tale paragrafo si desume che le comunicazioni pubblicitarie riguardano anche prodotti e servizi di "soggetti terzi" ("l'Utente prende atto ed accetta che Enel non assume alcuna responsabilit� e non rilascia alcun tipo di garanzia sul contenuto della corrispondenza promozionale eventualmente intercorrente tra l'Utente e i soggetti terzi che pubblicizzano i propri prodotti tramite il servizio web mail"). Nelle dichiarazioni rese in atti, Enel S.p.A. precisa peraltro che le comunicazioni commerciali contenute nelle newsletter sono relative alle societ� del Gruppo Enel e rappresentano "una sintesi delle notizie pubblicate sul portale Enel".
4. Alla luce della documentazione acquisita e considerate le osservazioni formulate da Enel S.p.A., questa Autorit� ravvisa alcuni profili di violazione della disciplina vigente in relazione al trattamento dei dati personali effettuato nell'ambito dei servizi e prodotti offerti tramite il sito Internet www.enel.it; pertanto, ai sensi dell'art. 154, comma 1, lett. d), del Codice, il Garante vieta con il presente provvedimento la prosecuzione del trattamento illecito di seguito specificato e, ai sensi dell'art. 154, comma 1, lett. c), del Codice, prescrive altres� le misure necessarie al fine di rendere il trattamento conforme a legge.
4.1. Ciascuno tra i titolari del trattamento oggetto del presente provvedimento pu� anzitutto prescindere dal richiedere il consenso rispetto ai trattamenti effettuati per eseguire obbligazioni derivanti da contratti di cui � parte l'interessato (consenso che � invece sollecitato nella modulistica presente on line), trattamenti per i quali il consenso non � richiesto (art. 24, comma 1, lett. b) del Codice).
4.2. Emergono, poi, profili di illiceit� in ordine al rispetto delle condizioni previste dagli artt. 23 (in forza del quale "il consenso � validamente prestato solo se � espresso liberamente" ) e 130 del Codice (considerato lo strumento, la posta elettronica, volto a veicolare le comunicazioni).
Esaminando i modelli per la raccolta del consenso utilizzati nelle condizioni generali di contratto e nell'informativa, l'"autorizzazione" al trattamento per finalit� di marketing nell'interesse di Enel S.p.A. e delle "societ� soggette a sua direzione e coordinamento" (cfr. il citato all. n. 3) non � distinta da quella richiesta (non correttamente, come si � rilevato) per conferire i dati indispensabili per dare esecuzione al rapporto contrattuale.
In casi come quello in esame, come gi� rilevato da questa Autorit� (Provv. 12 ottobre 2005; Provv. 3 novembre 2005; Provv. 10 maggio 2006, non pu� definirsi "libero", e risulta indebitamente necessitato, il consenso ad un ulteriore trattamento dei dati personali che l'interessato "debba" prestare (aderendo a un testo predisposto unilateralmente dalla controparte, e inserito nel caso di specie in condizioni generali di contratto) quale condizione per conseguire una prestazione richiesta.
Gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso -allorch� richiesto per legge- per ciascuna distinta finalit� perseguita dal titolare (cfr. Provv. 24 febbraio 2005 , punto 7). Tale capacit� di autodeterminazione non � assicurata quando si assoggetta in blocco l'accesso a beni e servizi alla preventiva autorizzazione a trattare i dati conferiti per i medesimi beni e servizi per una finalit� diversa, qual � quella promozionale e pubblicitaria.
Peraltro, inserendo tra le condizioni generali di contratto l'ulteriore finalit� di marketing, i dati personali raccolti lecitamente dal titolare (e conferiti dall'interessato) per l'esecuzione del rapporto contrattuale vengono di fatto piegati ad un utilizzo diverso dallo scopo che ne ha giustificato la raccolta, in violazione del principio di finalit� (art. 11, comma 1, lett. b), del Codice).
Non � quindi conforme ai criteri di liceit� e correttezza nel trattamento dei dati personali la scelta di Enel S.p.A. e degli altri titolari del trattamento menzionati al precedente punto 1 di raccogliere un consenso per eseguire ordinarie obbligazioni contrattuali (art. 24, comma 1, lett. b), del Codice) e collegarlo, altres�, a finalit� di marketing all'interno delle condizioni generali di contratto (art. 23, comma 3, del Codice).
4.3. Considerato il mezzo di comunicazione (posta elettronica) che Enel S.p.A. e gli altri dichiarati titolari del trattamento (Gruppo Enel ed ulteriori societ�) utilizzano per la commercializzazione diretta tramite il sito Internet www.enel.it, � peraltro necessario valutare se, pur mancando, per le ragioni illustrate, un valido consenso degli interessati per le finalit� di marketing le societ� stesse non avessero potuto effettuare lecitamente il trattamento oggetto di verifica in base ad altra disposizione.
In base al Codice, il titolare del trattamento, se utilizza ai fini di vendita diretta di propri prodotti o servizi le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, pu� prescindere dal consenso dell'interessato qualora si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni (art. 130, comma 4). Tuttavia, al momento della raccolta, e in occasione dell'invio di ogni comunicazione effettuata per la medesima finalit� di vendita diretta di propri prodotti o servizi, l'interessato deve essere tuttavia informato della possibilit� di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente (in questo senso, v. Provv. 7 ottobre 2004; v. anche art. 13, par. 2 e considerando n. 41 direttiva n. 2002/58/Ce; Gruppo di lavoro Art. 29 per la tutela dei dati personali, parere n. 5/2004-Wp 90 del 27 febbraio 2004 relativo alle comunicazioni indesiderate a fini di commercializzazione diretta ai sensi dell'articolo 13 della predetta direttiva).
Nel caso di specie, il trattamento connesso all'invio di newsletter poteva essere quindi effettuato solo dalla societ� che ha raccolto le coordinate di posta elettronica per la promozione di suoi prodotti e servizi che, nella prospettiva del ricevente, possano essere ritenuti analoghi a quelli oggetto di precedenti commercializzazioni. Ci�, ferma restando la possibilit� per l'interessato di opporsi sin dall'origine a tale trattamento.
Nel medesimo caso, non � stata invece accordata agli interessati alcuna possibilit� di opporsi, sin dalla fase di raccolta dei dati ("inizialmente", secondo la prescrizione dell'art. 130, comma 4, del Codice), all'utilizzo delle coordinate di posta elettronica per finalit� di vendita diretta. Lo stesso "assorbimento" del consenso all'utilizzo dei dati per finalit� di vendita diretta nell'ambito delle condizioni generali di contratto (destinate a regolare la fornitura dei servizi propriamente intesi) depone, di per s� solo, in senso contrario al rispetto della disposizione normativa richiamata, la quale intende salvaguardare la facolt� di autodeterminazione dell'interessato, anche nella forma della libera opposizione all'utilizzo delle coordinate di posta elettronica al fine di vendita diretta.
Deve altres� rilevarsi che, sempre nel caso di specie, le comunicazioni risultano essere state trasmesse non solo per promuovere iniziative proprie della societ� che ha raccolto i dati "nel contesto di una vendita di un prodotto o di un servizio" ma, pi� genericamente, per "inviare informazioni commerciali relative alle societ� del Gruppo" (cfr. nota del 25 gennaio 2007).
5. Va in conclusione disposto il divieto di prosecuzione del trattamento risultato illecito. Deve essere altres� prescritto alle societ� titolari del trattamento di conformare il medesimo trattamento nei termini indicati nel seguente dispositivo, anche in riferimento alle attivit� pubblicitarie e promozionali, nel caso in cui le medesime societ� intendano effettuare in modo lecito ulteriori trattamenti del medesimo genere. Ci�, ferma restando l'inutilizzabilit� a fini di comunicazione pubblicitaria o promozionale dei dati personali trattati in violazione di legge (art. 11, comma 2, del Codice).
a) vieta ad Enel S.p.A., Enel Distribuzione S.p.A., Enel Energia S.p.A., Enel Sole S.p.A., Enel.si s.r.l. e alle altre societ� che offrono servizi tramite il sito Internet www.enel.it, ai sensi dell'art. 154, comma 1, lett. d), del Codice, di proseguire il trattamento risultato illecito in atti, nonch� di utilizzare le dichiarazioni di consenso al trattamento dei dati gi� formulate dagli interessati per finalit� di comunicazione pubblicitaria o promozionale (art. 11, comma 2, del Codice). Resta ferma l'utilizzabilit� dei dati per finalit� di fornitura dei beni e servizi richiesti. Ci�, con effetto dalla data di notificazione del presente provvedimento presso la sede, residenza o domicilio risultanti dagli atti o comunque accertati dall'organo notificante;
b) prescrive alle predette societ�, ai sensi dell'art. 154, comma 1, lett. c), del Codice, di adottare entro il 15 aprile 2007 le misure necessarie ed opportune indicate nel presente provvedimento al fine di rendere il trattamento di dati personali conforme alle disposizioni vigenti per ci� che riguarda la richiesta e la libert� del consenso ed, in particolare:
di prescindere dal richiedere il consenso rispetto ai trattamenti effettuati per eseguire obbligazioni derivanti da contratti di cui � parte l'interessato (punto 4.1);
di consentire agli interessati di esprimere liberamente un valido consenso informato per i trattamenti per finalit� di marketing nell'interesse di Enel S.p.A. e delle "societ� soggette a sua direzione e coordinamento", con modalit� e in un ambito del tutto distinto da quello relativo al conferimento dei dati indispensabili per dare esecuzione al rapporto contrattuale, rispettando rigorosamente anche la disciplina di cui all'art. 130, comma 4, del Codice, sull'invio di comunicazioni promozionali e pubblicitarie (punti 4.2 e 4.3);
c) prescrive altres� alle predette societ�, ai sensi degli artt. 154, comma 1, lett. c) e 157 del Codice, di trasmettere al Garante entro il 20 aprile 2007 un esemplare della modulistica utilizzata per l'informativa e il consenso riformulata in conformit� alle prescrizioni di cui ai punti 4.1., 4.2. e 4.3.