Source: http://www.privacy.it/archivio/garantesanz200511302.html
Timestamp: 2018-02-24 21:56:51+00:00
Document Index: 35062821

Matched Legal Cases: ['art. 154', 'art. 13', 'art. 154', 'art. 41', 'art. 11', 'art. 11', 'art. 18', 'art. 41', 'art. 10', 'art. 13', 'art. 10', 'art.13', 'art. 13', 'art. 154', 'art. 154', 'art. 13', 'art. 13']

VISTA la previgente normativa nazionalein materia di protezione dei dati personali (l. 31 dicembre 1996, n. 675; d.lg.28 dicembre 2001, n. 467);
VISTE la normativa comunitaria enazionale vigente in materia di protezione dei dati personali (direttiva n.95/46/CE del 24 ottobre 1995; d.lg. n. 30 giugno 1996, n. 196 recante il Codicein materia di protezione dei dati personali);
VISTA la decisione adottata dal Garantesul ricorso proposto da ZX, in qualit� di rappresentante legale della propriafiglia minore, nei confronti di Model Management e di Gruppo Piramide s.r.l.;
VISTI gli elementi acquisiti a seguitodegli accertamenti avviati e le deduzioni pervenute al Garante al riguardo daparte di Gruppo Piramide s.r.l.;
RITENUTA la necessit� di prescriveremisure ed accorgimenti a garanzia degli interessati al fine di rendere conformeil trattamento dei dati di cui alla documentazione in atti alle disposizioni inmateria di protezione dei dati personali e di vietarne trattamenti illeciti(art. 154, comma 1, lett. c) e d), del Codice);
1. Il 22 ottobre 2001, ZX ha propostoricorso al Garante in nome e per conto della figlia, all'epoca minore di et�,nei confronti di Mo&Ma Model Management di Gabrielli Giorgio (di seguito,"Mo & Ma", impresa operante nel settore della formazione peraspiranti modelle ed indossatrici, cessata nel 2001) e di Gruppo Piramides.r.l. (societ� che svolge operazioni di raccolta e di comunicazione a terzi didati personali per il compimento di attivit� anche di marketing, di seguito "Gruppo Piramide"), assumendodi non aver ricevuto un completo riscontro alle richieste rivolte ai soggettimenzionati ai sensi dell'art. 13 della legge n. 675/1996. Tali istanze,relative all'invio da parte di Mo & Ma alla minore di un messaggio diinvito a partecipare ad una selezione di aspiranti modelle, avevano ad oggetto,in particolare, la cancellazione dei dati trattati e la comunicazione dellaloro origine.
Nell'ambito di tale procedimento Mo-Mas.r.l. (di seguito, "Model Management", societ� che svolgeattualmente attivit� di organizzazione di corsi per indossatrici e modelle,costituita successivamente alla cessazione di Mo & Ma) ha dichiarato alGarante, con riferimento all'origine dei dati relativi alla minore, di averliacquisiti –tramite la societ� collegata P.d.m.-Professioni didattichemoderne s.r.l (di seguito "P.d.m.")– da Gruppo Piramide. Alriguardo Gruppo Piramide, nel medesimo procedimento, ha per� dichiarato di nonaver "mai intrattenuto alcun rapporto" con Model Management e di non detenere nei propri archivi ilnominativo della minore; ha altres� precisato che il solo dato presente neipropri archivi era relativo all'utenza telefonica intestata al nucleo familiaredella minore (peraltro, mai comunicato a terzi).
Con provvedimento del 21 novembre 2001,con il quale l'Autorit� si � pronunciata in ordine al ricorso di cui sopra, ilGarante ha altres� disposto l'avvio di un autonomo procedimento al fine diaccertare l'origine dei dati trattati e i rapporti intrattenuti fra ModelManagement e Gruppo Piramide in ordine all'acquisizione di particolari banchedati, nonch� per verificare la liceit� e correttezza del connesso trattamento.
2. Dalle dichiarazioni rese da ModelManagement nel corso del conseguente accertamento ispettivo svolto dall'Autorit�,� emerso che la medesima societ� ha utilizzato dati acquisiti da GruppoPiramide per svolgere attivit� di marketing, conformemente a quanto gi� sostenuto in sede diricorso (cfr. verbale dell'8 aprile 2003).
A conferma di tale affermazione P.d.m., interessatadagli accertamenti svolti da questa Autorit� a seguito delle dichiarazioni reseda Model Management, ha esibito la documentazione contabile comprovante letransazioni intercorse con Gruppo Piramide in ordine all'acquisto di dati disoggetti residenti nella Regione Lombardia (in particolare, di quelli relativialle persone nate fra il 1982 e il 1984 e residenti nella provincia di Milano,tra cui la figlia del ricorrente), nonch� i supporti informatici contenentitali dati e provenienti, in base a quanto dichiarato dalla medesima, da GruppoPiramide (cfr. verbale del 12 giugno 2003).
Model Management ha altres� dichiarato diaver ricevuto assicurazioni verbali da parte dei rappresentanti di GruppoPiramide circa la lecita provenienza dei dati stessi (cfr. verbale dell'8aprile 2003, p. 3).
Nel corso del medesimo accertamentoispettivo Gruppo Piramide ha dichiarato, al contrario, di non aver maicomunicato i dati sopraindicati a P.d.m., esibendo in tal senso ladocumentazione (tra cui fatture e moduli d'ordine) relativa alle cessioni didati intervenute con P.d.m.; Gruppo Piramide ha altres� precisato di trattaredati abitualmente ricavati da pubblici elenchi (ed in particolare elenchitelefonici e liste elettorali), nonch� di non effettuare pi� la raccolta, n� lacessione a terzi, di dati relativi a minori dal maggio del 1997 e che pertantonella propria banca-dati erano presenti solo quelli raccolti in epocaantecedente all'entrata in vigore della legge n. 675/1996 (cfr. verbale del 3aprile 2003).
Pi� in generale, in base a quantodichiarato dalla medesima societ�, � emerso che Gruppo Piramide di regola nonfornisce una propria autonoma e specifica informativa agli interessati, "consideratianche l'elevato numero, la natura e l'origine dei dati personali presenti nellabanca-dati", e che di norma,per le medesime ragioni, non richiede il consenso degli interessati (cfr.verbale del 3 aprile 2003, p. 4).
3. Tenuto conto degli elementicontrastanti emersi, il Garante ha disposto che si effettuasse un ulterioreaccertamento ispettivo in locoavente ad oggetto le banche dati rispetto alle quali Gruppo Piramide � titolaredel trattamento. In occasione dell'accesso a tali banche dati effettuatoin data 1� ottobre 2003 (cfr. verbali resi in pari data), questa Autorit� hariscontrato in particolare:
0. l'esistenza di un programma digestione degli ordini nel quale erano memorizzati, tra l'altro, quellieffettuati da P.d.m. e da Model Management nel corso del 1998 e del 1999,nonch� la presenza di alcune fatture emesse nei confronti di dette societ�corrispondenti a quelle esibite spontaneamente da P.d.m. nel corso diprecedenti accertamenti (cfr. verbale del 12 giugno 2003) e di moduli d'ordineconcernenti i nominativi di persone nate in Lombardia tra il 1982 e il 1984 etra il 1979 e 1981;
0. l'assenza, a quel momento (1�ottobre 2003), di informazioni relative alla minore e alla sua famiglia;
0. la presenza in una copia di back-up della predetta banca-dati risalente all'anno 1998del nominativo della minore e in una copia di back-up della banca-dati aggiornata all'anno 1999 deinominativi di altri minori relativi alla provincia di Milano;
0. l'avvenuto invio da parte diGruppo Piramide a P.d.m. nel corso del 1998 dei supporti magnetici acquisitinell'ambito dell'accertamento svolto presso la societ� P.d.m. e contenenti, tral'altro, i dati personali relativi alla minore. Tale circostanza � stataconfermata dalla persona incaricata della gestione informatica delle banchedati del Gruppo Piramide.
4. Ai sensi dell'art. 154, comma 1, lett.c) e d) del Codice, con il presente provvedimento il Garante prescrive a GruppoPiramide, a P.d.m. e a Model Management l'adozione delle misure e degliaccorgimenti a garanzia degli interessati, al fine di conformare i trattamentidescritti alla disciplina in materia di protezione dei dati personali neitermini di seguito specificati, e vieta ai menzionati titolari il trattamentoillecito dei dati raccolti.
Emergono profili di illiceit� relativiall'adempimento degli obblighi connessi alla raccolta del consenso eall'informativa agli interessati nell'ambito del compimento di attivit� diraccolta e di cessione di dati a terzi, nonch� di successivo utilizzo deimedesimi per svolgere attivit� di marketing; ci�, con riguardo sia alla vicenda descritta inpremessa relativa alla minore sia, pi� in generale, alle operazioni ditrattamento svolte dalle suddette societ� in ordine ai dati personali raccoltiprima dell'entrata in vigore della legge n. 675/1996 concernentianche altri minori.
5. Con riferimento al profilo delconsenso degli interessati, bench� Gruppo Piramide abbia in merito dichiaratodi trattare dati abitualmente ricavati da pubblici elenchi (in particolare,elenchi telefonici e liste elettorali) –per i quali ai sensi degli artt.12, comma 1, lett. c) e 20, comma 1, lett. b) della legge n. 675/1996 non eranecessario acquisire il consenso degli interessati– occorre rilevare che,alla luce della documentazione acquisita, i dati personali oggetto dicomunicazione da parte di Gruppo Piramide a Model Management riguardanoindividui (all'epoca) minori (tra i quali la figlia del ricorrente) che,proprio per tale specifica caratteristica, non compaiono in elenchi telefonicio liste elettorali.
Non � inoltre invocabile, n� soccorre nelcaso di specie, quale presupposto di liceit� delle operazioni di trattamentoeffettuate dai soggetti menzionati sui dati raccolti antecedentementeall'entrata in vigore della legge n. 675/1996, il precetto gi� contenutonell'art. 41 della medesima legge secondo cui "le disposizioni cheprescrivono il consenso dell'interessato non si applicano in riferimento aidati personali raccolti precedentemente alla data di entrata in vigore dellalegge stessa, o il cui trattamento sia iniziato prima di tale data". La norma appena richiamata, infatti,riconosceva espressamente, facendola salva, l'applicabilit� ai predetti datidella disciplina di cui alla legge n. 675/1996 nell'ipotesi di comunicazione.
Pertanto, sebbene la raccolta dei dati inesame sia avvenuta anteriormente all'entrata in vigore della stessa legge,dalla disposizione sopra richiamata deriva che l'accertata comunicazione nel1998 a Model Management, tramite la societ� P.d.m., di dati relativi a minori(riferiti anche alla minore), poteva essere effettuata lecitamente da GruppoPiramide solamente dopo aver acquisito il preventivo consenso degli interessatisecondo le modalit� di cui all'art. 11 della legge n. 675/1996; consenso chedoveva essere espresso, nel caso di specie, dai soggetti titolari della potest�genitoriale (art. 11 della l. n. 675/1996; artt. 316 e ss. cod. civ.; alriguardo cfr. punto 2.6. del European Code of Practice for the use ofpersonal data in direct marketing -Codice della Fedma, federazione europea del marketing diretto, allegato a Gruppo di lavoro per la tutela dei datipersonali Art. 29, Parere n. 3/2003 sul Codice di condotta europeo della Fedmaper l'utilizzazione dei dati personali nel marketing diretto, 13 giugno 2003).In termini analoghi anche P.d.m. e, quindi, Model Management avrebbero potutoprocedere, rispettivamente alla comunicazione e al successivo trattamento ditali dati, soltanto in presenza del medesimo presupposto.
Oltre al menzionato profilo dell'illecitacomunicazione dei dati merita altres� rilevare che, alla luce delle verifichesvolte in ordine ai dati della minore (e di altri minori residenti nellaprovincia di Milano) oggetto di comunicazione a P.d.m. e, successivamente, aModel Management (all'epoca ancora custoditi, in una copia di back-up, presso le banche dati di Gruppo Piramide), in basea quanto indicato nell'art. 18 del d.lg. n. 467/2001, la norma transitoria dicui all'art. 41 della legge sopra citata non � pi� applicabile a far data dal30 giugno 2003: anche da ci� deriva l'inutilizzabilit� da parte dei titolaricoinvolti nel procedimento in esame dei dati raccolti da Gruppo Piramide inepoca antecedente all'entrata in vigore della legge n. 675/1996 in mancanza diuno specifico ed espresso consenso degli interessati.
6. Ulteriori profili di difformit�rispetto alla disciplina in materia di protezione dei dati personali emergono(come rappresentato nel ricorso indicato in premessa con riferimento allacomunicazione inviata da Model Management ed in base a quanto successivamenteaccertato da questa Autorit�) in relazione al mancato adempimento dell'obbligodi rendere l'informativa agli interessati sul trattamento di dati che liriguardano da parte dei soggetti coinvolti nel procedimento in esame.
Fermo restando il rispetto dell'obbligogenerale di rendere l'informativa agli interessati al momento della raccolta(art. 10, comma 1, l. n. 675/1996, ora art. 13, comma 1, del Codice), occorreevidenziare che, anche quando i dati non vengano raccolti presso l'interessatol'informativa, comprensiva delle categorie di dati trattati, deve comunqueessere resa "all'atto della registrazione dei dati o, quando siaprevista la loro comunicazione, non oltre la prima comunicazione" (v. art. 10, comma 3, l. n. 675/1996, ora art.13, comma 4, del Codice), fatte salve le ipotesi di esoneri di cui all'art. 13,comma 5, del medesimo Codice che nel caso di specie non si sono verificate.
Tenuto conto di quanto avvenutonell'ambito delle operazioni di trattamento poste in essere dai soggettiindicati, e di quanto successivamente accertato da questa Autorit�, va pertantoconstatato che i titolari menzionati avrebbero dovuto rendere l'informativaagli interessati nei termini di cui sopra.
a) accertata l'illiceit� del trattamentoeffettuato, vieta ai titolari dei trattamenti di cui in atti, ai sensidell'art. 154, comma 1, lett. d), del Codice, di proseguire le operazioni ditrattamento di dati personali raccolti in epoca antecedente all'entrata invigore della legge n. 675/1996 effettuate in violazione delle disposizioni inmateria di protezione di dati personali all'epoca vigenti, dati che dovrannoessere comunque cancellati;
b) prescrive ai medesimi titolari deltrattamento, ai sensi dell'art. 154, comma 1, lett. c), del Codice, al fine direndere il trattamento conforme alle disposizioni vigenti, di adottare neitermini di cui in motivazione le misure necessarie per rispettare l'obbligo diacquisire il consenso degli interessati al trattamento dei dati, salvi i casiin cui operano presupposti equipollenti del trattamento (artt. 23 e 24 delCodice), nonch� di rendere l'informativa agli stessi al momento della relativaraccolta (art. 13 del Codice), avendo cura, in particolare:
0. che il consenso sia manifestatoda chi esercita la potest� genitoriale nel caso di trattamento dei datiriguardante minori;
0. che sia resa l'informativa anchequando la raccolta dei dati non sia effettuata presso gli interessati (art. 13,commi 4 e 5, del Codice);
0. di comunicare al Garante entro enon oltre il 15 febbraio 2006, in ottemperanza alla presente statuizioneadottata anche ai sensi e per gli effetti di cui agli artt. 157, 164 e 168 delCodice, che i trattamenti di dati effettuati sono conformi alle prescrizionidel presente provvedimento, conformit� che dovr� essere comprovata anche da ogniinformazione e documento utili da allegare alla comunicazione all'Autorit�.