Source: http://www.privacy.it/archivio/garantesanz200612071.html
Timestamp: 2018-02-20 04:00:24+00:00
Document Index: 119698477

Matched Legal Cases: ['art. 154', 'art. 13', 'art. 32', 'art. 10', 'art. 32', 'art. 2222', 'art. 2222', 'art. 7', 'art. 154', 'art. 169', 'art. 4', 'art. 30', 'art. 10', 'art. 32', 'art. 154', 'art. 13', 'art. 23', 'art. 23', 'art. 11', 'art. 24', 'art. 12', 'art. 11', 'art. 154', 'art. 23', 'art. 11', 'art. 7', 'art. 7', 'art. 154', 'art. 154', 'art. 154', 'art. 29', 'art. 13', 'art. 23', 'art. 169']

Prescrizioni e divieto del Garante - Raccolta di dati personali in strutture neonatali a fini di marketing
Prescrizionie divieto del Garante [art. 154, 1 c) e d) del Codice
Raccolta di dati personali in strutture neonatali afini di marketing
NELLAriunione odierna, in presenza del prof. Francesco Pizzetti, presidente, deldott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e deldott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli,segretario generale;
VISTAla normativa comunitaria e nazionale in materia di protezione dei datipersonali (Codice in materia di protezione dei dati personali approvato cond.lg. n. 30 giugno 1996, n. 196; direttiva comunitaria 95/46/Ce del 24 ottobre1995), anche previgente (l. 31 dicembre 1996, n. 675; d.lg. 28 dicembre 2001,n. 467);
VISTEle segnalazioni dei coniugi YX relative all'utilizzo dei dati personali diuno di essi e dei figli neonati, al fine dell'invio di materiale editoriale daparte di Sfera Editore S.p.a.;
VISTIgli elementi acquisiti a seguito degli accertamenti avviati presso SferaEditore S.p.a. e delle successive deduzioni formulate dalla stessa, nonch�degli ulteriori accertamenti effettuati nei confronti dei c.d."promotori" che collaborano con tale societ�;
1. Raccolta di dati personali per finalit� di marketing presso strutture sanitarieneonatali
1.1.Con nota inviata a Prenatal S.p.a. e Sfera Editore S.p.a. (di seguito,"Prenatal" e "Sfera"), e per conoscenza al Garante, YXha contestato l'invio della pubblicazione "Nuova generazione" editada Sfera (che invita a visitare il sito web dell'altra societ�), affermando chenon era stato prestato alcun consenso alla societ� in ordine al trattamento deidati dei componenti della propria famiglia. Contestualmente, il segnalante haesercitato nei confronti delle menzionate societ� i diritti di cui all'art. 13della legge n. 675/1996 chiedendo, in particolare, di conoscere la natura, latipologia e l'origine dei dati raccolti, nonch� la loro cancellazione.
Inriscontro a tali richieste del 30 giugno 2000, le societ� hanno comunicato alsegnalante (Sfera, con comunicazione del 27 luglio 2000; Prenatal, con nota del9 agosto 2000), e per conoscenza al Garante, di aver detenuto nei propridata-base, e poi cancellato, i dati relativi alla sig.a YW, moglie delsegnalante, e quelli del figlio YZ.
Inpresenza di ulteriori istanze del segnalante e della richiesta di informazionidell'Autorit� dell'11 aprile 2001 (ai sensi dell'art. 32, comma 1,l. n. 675/1996), con proprie comunicazioni dell'11 maggio 2001 e del18 maggio 2001, Sfera dichiarava al Garante di aver:
a) cancellato i dati relativi allasig.a YW e al figlio YZ, nato il YK, concernenti l'abbonamento gratuitoalla rivista "Io e il mio bambino" edita da Sfera;
b) acquisito tali dati attraversouna cartolina postale ricevuta e registrata il 1� agosto 1999 (comunicata incopia all'Autorit�), contenente un modello di informativa ai sensi dell'art. 10della legge n. 675/1996 e una richiesta di consenso dell'interessato delseguente tenore: "se non desideri ricevere successivi invii di campionigratuiti e di informazioni scientifiche o commerciali, contrassegna con X lacasella";
c) comunicato i dati a Prenatal,quale inserzionista della rivista, nonch� ad altre societ� designate qualiresponsabili del trattamento.
1.2.Il 18 gennaio 2002, in occasione della nascita del secondo figlio, iconiugi YX hanno segnalato al Garante di aver ricevuto ulteriore materialeeditoriale proveniente da Sfera, rinnovando le proprie richieste volte aconoscere la natura, la tipologia e l'origine dei dati e chiedendone nuovamentela cancellazione.
Nellarisposta del 29 gennaio 2002 inviata ai segnalanti e per conoscenza al Garante,Sfera dichiara di aver utilizzato per l'invio del materiale promozionale di cuisopra i dati precedentemente raccolti in quanto, "pur essendo staticancellati, [i medesimi] sono presenti nel [�] data base storico conl'annotazione della [�] volont� [dei segnalanti] di non esserecontattati".
Nellamedesima comunicazione Sfera, con l'intento di giustificare il propriocomportamento, sosteneva che "la nascita di un figlio � un fattoinevitabilmente pubblico" e che a tale pubblicit� contribuiscono glistessi genitori che "annunciano l'evento ponendo un fiocco sulla porta dicasa" o diffondono il nome del nato attraverso la stampa locale, asserendocos� che, "salvo casi particolari, la nascita non � pertanto un datopersonale sul quale possa presumersi una situazione di segretezza o diriservatezza tale da inibirne in modo assoluto la comunicazione e, addirittura,la diffusione". La societ� affermava di voler svolgere indagini pi�approfondite sull'invio del materiale non richiesto, ma l'esito di taliasseriti accertamenti non � stato comunicato al Garante.
1.3.Considerata l'inidoneit� degli elementi forniti da Sfera in ordine alla liceit�del trattamento, il Garante ha disposto, con deliberazione 24 giugno 2003, n.13, ulteriori accertamenti ai sensi dell'art. 32, comma 2, della leggen. 675/1996 in ordine al trattamento effettuato da Sfera dei dati relativia donne in stato di gravidanza e a puerpere, raccolti tramite coupondistribuiti all'interno di strutture sanitarie neonatali, la cui compilazioneconsente agli interessati di ricevere gratuitamente una rivista in abbonamento.
Taliaccertamenti, effettuati presso gli uffici di Sfera in Milano e, successivamente,presso altri soggetti (Anna Guglielmi – Bari; GianfrancoBrescia – Foggia; Se.E.Con. s.c.a.r.l. – Alcamo(TP); Antonio Saglimbene – Siracusa; Giuseppe Carollo –Palermo; Paolo Milocco – Brindisi), individuati dalla societ�come "promotori" operanti su tutto il territorio nazionale peracquisire i dati personali di donne che frequentano strutture sanitarieneonatali o consultori, hanno riguardato:
a) le modalit� di acquisizione deidati da parte della societ�;
b) le procedure attuate perverificare il rispetto delle norme sull'informativa e la genuinit� delconsenso;
c) il sistema di registrazione deidati su supporti elettronici;
d) le procedure previste percancellare i dati e per rispettare l'opposizione al trattamento da parte degliinteressati;
e) la verifica della veridicit�delle dichiarazioni rese da Sfera al Garante nell'ambito del procedimentoinstaurato a seguito delle segnalazioni dei coniugi YX.
2.L'attivit� di Sfera
2.1.Nel corso delle verifiche � emerso che Sfera, societ� editoriale del gruppo"Rcs Media Group", svolge la propria attivit� mediante l'invio diriviste, pubblicazioni e prodotti destinati a neo-genitori.
Taleattivit� viene realizzata anche mediante le societ� controllate risultanti inatti e si articola sostanzialmente in tre fasi:
I) raccolta dei datipersonali degli interessati;
II) gestione del data-base nelquale i dati sono registrati;
III) promozione delproprio materiale editoriale e di altri prodotti.
2.2.Con riguardo alla prima di tali fasi � emerso che la fonte primaria di raccoltadei dati da parte di Sfera consiste nella compilazione, per lo pi� ad opera didonne in stato di gravidanza o puerpere, di coupon resi disponibili pressostrutture neonatali, consultori, studi ginecologici e pediatrici, farmacie enegozi per la prima infanzia.
Mediantei coupon viene chiesto agli interessati di conferire alcuni dati (inparticolare, quelli anagrafici propri e dei figli, o relativi a recapiti, anchetelefonici e di posta elettronica, o concernenti la professione) al fine diinvio di materiale editoriale e/o di altri prodotti. Sfera cura ladistribuzione dei coupon e la raccolta di quelli compilati, in larga misuratramite una rete di circa trenta "promotori" operanti per areegeografiche (con modalit� descritte nei punti 3 e 4).
2.3.I dati raccolti da Sfera confluiscono in tre data-base denominati:
a) "prima infanzia",contenente i dati acquisiti mediante le procedure appena descritte;
b) "rivista Cipria",relativo a dati acquisiti attraverso coupon pubblicati sulla omonima rivista;
c) "vendite dirette",concernente i dati acquisiti sulla base di vendite dirette.
Neldata-base "prima infanzia" –rispetto al quale sono statieffettuati gli accertamenti sopra menzionati, anche al fine di verificare lapresenza di dati riferiti ai segnalanti– sono registrate le informazioniraccolte mediante la distribuzione dei coupon ad opera dei promotori; essoconsta di circa 2.700.000 anagrafiche di soggetti i cui dati sono statiregistrati a partire dall'anno 1992.
3.Le attivit� svolte dai "promotori"
3.1.I "promotori" sono collaboratori professionali di Sfera legati allasociet� da un contratto che prevede una remunerazione in parte fissa e in partelegata al numero dei coupon compilati e delle strutture sanitarie contattate.Con riferimento ai compiti attribuiti da Sfera alla figura del"promotore", dai predetti accertamenti � emerso che le attivit� daquesti poste in essere consistono:
* nell'individuazione, tra ilpersonale operante presso le strutture sanitarie, di persone denominate"referenti";
* nella consegna ai"referenti" di coupon con i quali gli interessati (come detto, per lopi� donne in stato di gravidanza e puerpere) possono richiedere l'abbonamentogratuito alla rivista "Io e il mio bambino";
* nell'illustrazione ai"referenti" della condotta da tenere nei confronti dei soggettichiamati a compilare i coupon;
* nel "vigilare per evitare,per quanto possibile, la compilazione delle cartoline per la sottoscrizione diabbonamenti trimestrali gratuiti da parte di persone che vogliano approfittaredelle offerte gratuite della societ� o vogliano effettuare scherzi a danni diinconsapevoli soggetti di loro conoscenza" (v. memoria integrativacontenente dichiarazioni spontanee di Sfera, dell'11 febbraio 2004, p. 3);
* nella verifica in ordine allacorretta distribuzione, presso le strutture sanitarie di propria"competenza", del materiale sopra menzionato e dell'ulterioremateriale promozionale (ad esempio "cofanetti" e guide) distribuitodirettamente da Sfera;
* nel ritiro delle cartolinecompilate (di regola, il mese successivo alla loro distribuzione);
* nella verifica della congruit�del numero delle cartoline compilate rispetto alla media mensile delle nascitenelle strutture neonatali;
* nella compilazione (ed invio,unitamente alle cartoline raccolte) di una scheda dedicata ad ogni strutturaospedaliera coinvolta (denominata "scheda di passaggio" nelledichiarazioni rese dai "promotori"), suddivisa in due sezioni: l'una,pre-compilata da Sfera, contenente i dati relativi alla struttura sanitaria, al"promotore" e ai "referenti" della struttura medesima(comprendenti tipologicamente il primario e altro personale sanitario), un"campo note" con indicazioni per i promotori, un riquadro denominato"regali", con l'indicazione dei premi eventualmente richiesti dai"referenti" in relazione ai punti maturati dai medesimi (in ordine alfunzionamento di tale sistema premiale, v. il punto 4.2.); tale sezionecontiene altres� l'indicazione, per mese, del numero di cartoline raccolte, ilnumero di riviste e di "cofanetti" distribuiti, e l'indirizzo dellastruttura sanitaria presso la quale questi ultimi vengono spediti; la secondasezione viene compilata direttamente dai "promotori" e riporta il numerodelle cartoline, l'eventuale motivo del loro mancato ritiro, il nome del"referente" a cui queste ultime sono state consegnate, il numerodelle riviste rilasciate e il totale delle nascite (per intervalli temporali),un campo libero per annotazioni, la data di passaggio e la sottoscrizione del"promotore";
* nella consegna delle cartolinea Sfera, unitamente alla corrispondente scheda di passaggio.
Dall'analisidei compiti svolti (v., in tal senso, anche le dichiarazioni rese da PaoloMilocco nel verbale in atti del 6 ottobre 2004, p. 2) emerge che il"promotore" non effettua alcuna attivit� di raccolta diretta deidati, non avendo tra l'altro accesso ai reparti ospedalieri (e non potendoquindi interloquire con le persone ricoverate).
3.2.L'attivit� descritta al punto precedente � svolta dal "promotore" invirt� di un contratto di collaborazione professionale ai sensi dell'art. 2222del codice civile stipulato con la societ�, il quale prevede che:
a) l'incarico � svolto inautonomia;
b) il promotore non � assoggettatoa vincoli di subordinazione nei confronti di Sfera, n� � tenuto a rispettaredirettive (fatta salva l'osservanza, con riguardo ai profili di protezione deidati personali, delle "Linee guida che regolano la raccolta dei datipersonali da parte della societ� Sfera Editore s.p.a.", allegate alcontratto); il controllo da parte di Sfera riguarda il risultato finale;
c) in caso di necessit�, ilpromotore pu� farsi sostituire da persone da lui designate, comunicandone ilnominativo alla societ�;
d) con la sottoscrizione delcontratto, il promotore "dichiara di essere informato delle modalit� ditrattamento dati delle potenziali lettrici delle pubblicazioni di Sfera cheegli raccoglier� durante lo svolgimento della sua attivit�" e dichiaracontestualmente "di accettare la nomina di incaricato deltrattamento" (clausola 10 del modello di contratto di collaborazioneprofessionale ex art. 2222 c.c. di Sfera, in atti).
4.Il ruolo del personale ospedaliero
4.1.Come gi� accennato, gli accertamenti svolti hanno messo in evidenza che i"promotori", non avendo accesso ai reparti ospedalieri, n�, pi� ingenerale, contatti diretti con gli interessati, non sono in grado diraccogliere da soli i dati per Sfera, la quale si avvale a tal fine di unanello di collegamento rappresentato dal personale ospedaliero.
Dalledichiarazioni rese e dalla documentazione acquisita presso i"promotori" risulta che la messa a disposizione delle cartolineavviene da parte dei summenzionati "referenti", "reclutati"tra il personale medico e paramedico impiegato presso le strutture sanitarie diriferimento; questi ultimi provvedono alla raccolta e alla custodia dei couponfino alla loro riconsegna al "promotore". Tale procedura –cheevidenzia un ruolo attivo del personale sanitario nelle descritte operazioni ditrattamento dei dati– risulta essere stata seguita abitualmente in luogodi altre possibili modalit� curate direttamente da Sfera (invio dei coupon agliinteressati mediante comunicazione postale della societ� –cfr. memoriaintegrativa di Sfera, cit., p. 3–; coinvolgimento diretto da parte diSfera del personale sanitario).
Peraltro,il ruolo dei "referenti" ospedalieri non � limitato alla trasmissionedei coupon: agli stessi viene chiesto infatti di richiamare l'attenzione degliinteressati sull'informativa resa da Sfera e di facilitarne la compilazione(cfr. memoria integrativa di Sfera, cit., p. 4; dichiarazioni reseda Paolo Milocco nel verbale del 6 ottobre 2004, p. 2).
4.2.L'attivit� dei "referenti" viene gratificata da Sfera con regali ealtre utilit� da destinarsi ai "referenti" medesimi o alle strutturepresso cui essi operano (cfr. dichiarazioni contenute nei verbali in atti reseda Gianfranco Brescia il 6 ottobre 2004, p. 3; da PaoloMilocco il 6 ottobre 2004, p. 3; da Giuseppe Carollo l'8 ottobre2004, p. 2; da Antonio Saglimbene l'8 ottobre 2004, p. 3; da VincenzoCottone, per Se.E.Con. s.c.a.r.l. di Trapani, l'8 ottobre 2004, p. 3;da Anna Guglielmi il 6 ottobre 2004, p. 3).
Regalie utilit� vengono assegnati sulla base di un sistema a punti in virt� del qualea ciascun "referente" � attribuito un punto per ogni cartolinacompilata. In base ai punti accumulati il "referente" pu� scegliere,utilizzando una modulistica predisposta da Sfera, premi compresi in un catalogocostantemente aggiornato dalla societ�.
Latipologia dei premi offerti � variegata, comprendendo oggetti di marca ad usopersonale (collier d'oro, orologi, depilatori, macchine fotografiche digitali,telefoni cellulari, piastre arricciacapelli a vapore, beauty case ), domestico(copripiumone matrimoniale, friggitrici da cucina, bistecchiere grill condoppia piastra, folletto aspirabriciole, tostapane, tovaglie) o destinati altempo libero (abbonamenti a riviste, apparecchiature di riproduzione musicale,televisori, borse da viaggio), peraltro di dubbia attinenza con i ruolisanitari ricoperti.
�stato accertato, mediante annotazioni contenute nelle "schede dipassaggio", che vengono talora richiesti beni non compresi nel catalogo(cfr. scheda di un ospedale acquisita negli accertamenti effettuati presso ilsig. Saglimbene, nella quale si legge: "La professoressa XY contattatatelefonicamente dice che per questo lavoro vuole almeno un'incubatrice,paragona questa attivit� di propaganda ad uno spot televisivo e ritiene giustoapplicare le stesse tariffe"); altri, subordinano la propriacollaborazione alla concessione di "spazi" su riviste (cfr. scheda diun ospedale acquisita negli accertamenti effettuati presso il sig. Carollo,nella quale si legge: "Il primario pediatria dottoressa VZ vieta qualsiasitipo di promozione, salvo disponibilit� da parte di Eurotrend a dedicarle unospazio sulla rivista" e nella quale si legge, quale annotazione ulteriore,"Attenzione! L'incaricata collabora di nascosto" ).
5.I coupon c.d. " non spontanei"
5.1.Nel corso delle verifiche Sfera ha dichiarato che "pu� accadere che ilcoupon non venga compilato direttamente dall'interessata, ma tramite lamediazione di persone operanti all'interno della struttura ospedaliera, lequali a titolo di cortesia e avendone informato l'interessata, provvedono acompletare la cartolina" (memoria integrativa di Sfera, cit., p. 3).
Talicartoline, prive di sottoscrizione (ed eventualmente del numero di telefonodegli interessati), vengono contrassegnate dai promotori con la dizione"da verificare", oppure "non spontanee" (cfr. dichiarazionidi Anna Guglielmi, verbale 6 ottobre 2004, p. 3). Al riguardo, la societ� haaffermato che la classificazione delle cartoline come "non spontanee"(termine con il quale si qualificano "dati che sono il risultato di unamediazione, non pianificata, nella fase di compilazione della cartolinastessa") � attribuita non solo ai coupon "che presentano un'analogagrafia, ma anche alle cartoline incomplete, con dati mancanti ocontraddittori" (memoria integrativa di Sfera, cit., p. 6).
Intale contesto, sembrerebbe doversi ricomprendere anche la cartolina (riprodottain copia da Sfera) da cui sono stati ricavati i dati relativi a YW, privaanch'essa di sottoscrizione e del numero di telefono, che i segnalantisostengono di non aver mai compilato (cfr. note del sig. YX del 28 agosto2000 e del 16 gennaio 2002 inviate a Sfera e trasmesse per conoscenza a questaAutorit�).
5.2.Presso i "promotori", per trovare un'ulteriore conferma della prassisopra descritta e della circostanza che la stessa fosse nota a Sfera, sonostati successivamente acquisiti i seguenti documenti:
a) una missiva del 30 gennaio 2003(prodotta nel corso dell'ispezione presso Gianfranco Brescia) a firma delresponsabile dell'Area logistica di Sfera, sig. Maurizio Santandrea, chein un passo evidenzia che "alcuni ospedali [�] consegnano cartoline nonspontanee. Nell'ottimizzare la vostra raccolta e il vostro rendimentoeconomico, abbiamo inserito nel pacco di questo mese la "dichiarazioneinformativa sulla privacy" che se compilata dall'incaricata permette allacartolina non spontanea di acquisire gli stessi vantaggi di quella spontanea,ottimizzando cos� tempi e costi";
b) una nota a firmadi Maurizio Santandrea e del coordinatore dell'area "Field"Antonio Saracino, in cui si ribadisce al"promotore" Brascia la possibilit� di ricorrereall'informativa sottoscritta dai "referenti" ospedalieri peracquisire (in termini di incentivi e premi) gli stessi vantaggi delle cartolinespontanee anche da quelle non spontanee e si invia un prospetto degli enti che,"confrontati con l'aprile 2002, sono notevolmente calati nella raccoltadelle cartoline". La missiva prosegue invitando il Brescia a riferirei motivi del decremento e a prospettare rimedi;
c) una terza missiva indirizzataal Brescia dall'Area logistica di Sfera, nella quale si evidenzia che lecartoline provenienti da taluni enti "ci risultano essere nonspontanee" ed esorta il "promotore" a incentivare ladistribuzione delle informative ai referenti "anche regalando dei puntipiuttosto che dei regali";
d) in altra missiva, indirizzataanch'essa al Brescia da parte dell'Area logistica di Sfera, si affrontanuovamente la questione della "trasformazione" delle cartoline nonspontanee tramite la sottoscrizione dell'informativa da parte dei"referenti" ospedalieri, osservando che "per questi enti c'�sempre il catalogo premi, l'articolo sulla rivista, qualche donazione,convegno, pertanto dia il massimo affinch� possa convertirli".
Ilfatto che la societ� sia a conoscenza che molti coupon non sono compilati dalleinteressate risulta anche dall'analisi delle annotazioni (dal seguente tenore:"cartoline compilate dall'incaricata"; "cartoline compilatedall'ostetrica") riportate nel "campo note" di talune delleschede riassuntive in atti che, come detto, il "promotore" � tenutoad inviare a Sfera.
5.3.Nel corso degli accertamenti, anche in relazione al rinvenimento negli archivicartacei di Sfera di diverse cartoline provenienti dagli ospedalidi Taranto e San Giuseppe di Nard� (in atti), apparentementecompilate da un unico soggetto (cfr. dichiarazione di AnnaGuglielmi nel verbale del 6 ottobre 2004, p. 3), � stato chiesto alresponsabile dell'Area logistica se la societ� avesse contestato ai"promotori" comportamenti irregolari in ordine al fenomeno dellecartoline c.d. non spontanee. Dalle dichiarazioni rese per conto della societ�� emerso che: "in ogni circostanza in cui la societ� abbia nutrito dubbicirca la spontaneit� dell'acquisizione delle informazioni, ha proceduto aclassificare le stesse con la sigla "NS" (�) e che non sono statefatte specifiche contestazioni ma che, comunque, a partire dal 2003, ilcontratto dei promotori � stato integrato con le linee-guida per iltrattamento" (cfr. verbale del 22 dicembre 2003, p. 5).
Lasociet� ha precisato che "i dati definiti come non spontanei vengonotrattati con cautele aggiuntive che portano a chiedere all'interessata diconfermare il suo interesse a ricevere il materiale editoriale e, in caso dirisposta negativa o anche semplicemente di mancata risposta la societ�, nelpieno rispetto del principio del consenso espresso dall'interessato su cui sifonda questa attivit� in base alla normativa, sospende precauzionalmentequalsiasi trattamento dei dati stessi" (memoria integrativa di Sfera,cit., p. 6; cfr. anche la nota di riscontro di Sfera del 18 maggio 2001, cit.).
6.Archiviazione e attivit� di tele-marketing per i dati contenuti nei coupon c.d."non spontanei"
6.1.Sulla base di quanto dichiarato da Sfera in sede ispettiva, � emerso che icoupon, una volta riconsegnati dai "promotori", vengono affidati aKalitype s.n.c. e D.S.Z. s.a.s. di Milano per le operazioni di data-entry neldata-base principale di Sfera.
Aseguito di un esame sommario dei coupon cos� raccolti, volto a verificare lacompletezza dei dati, vengono registrati nel data-base soltanto i datiriportati nelle cartoline contenenti il numero telefonico e la sottoscrizionedell'interessato.
Lecartoline classificate come "non spontanee" sono invece trasmesse aTelecontatto S.p.a., che provvede a reperire i numeri telefonici degliinteressati per rendere possibile la successiva attivit� di tele-marketing daparte di Sfera. A questo proposito Sfera ha dichiarato che al momento delcontatto telefonico l'operatore incaricato "provvede ad acquisire ilconsenso al trattamento dei dati personali [�] con lettura integrale,all'interessato, dell'informativa".
7.Le istanze ex art. 7 del Codice e le verifiche in ordine a YW
Negliaccertamenti presso Sfera si � anche verificato il trattamento dei datipersonali relativi ai componenti della famiglia YX, in relazione alla proceduraseguita per dare corso alle richieste di cancellazione dei dati relativi acoloro che revocano il consenso o che si oppongono al trattamento.
Ipredetti dati risultano presenti nel data-base sotto il nominativo della sig.a"YW" (sebbene il nominativo risulti errato, come evidenziato nelcoupon a suo tempo esibito dalla societ�). In relazione a tale nominativo �presente un c.d. "vincolo di utilizzo" denominato "bloccopermanente su richiesta persona". I dati della sig.a YW risultanoessere stati acquisiti in due circostanze, "rispettivamente in data 2agosto 1999, attraverso il coupon della rivista "Io & il miobambino" [�] e in data 1� giugno 2001, attraverso un coupon"Ospedali"" (cfr. verbale del 22 dicembre 2003, p. 5).
Conriguardo poi alle richieste di cancellazione dei dati o alle opposizioni altrattamento, la societ� ha dichiarato di aver modificato la relativa procedura(che in una prima fase prevedeva la estromissione del relativo record daldata-base) creando un'apposita black list formata dai nominativi e dai codicidi avviamento postale di residenza degli interessati che non desideranoricevere comunicazioni da Sfera.
8.Trattamenti effettuati da Sfera e protezione dei dati: in particolare, lamancata designazione di responsabili e incaricati
8.1.La complessa vicenda descritta � di seguito esaminata per ci� che concerne laliceit� e la correttezza del trattamento dei dati, profili questi di competenzadel Garante.
Vannopreliminarmente qualificate dal punto di vista della protezione dei dati leattivit� svolte da "promotori" e "referenti" nell'interessedi Sfera, titolare del trattamento sopra descritto.
Dallaricostruzione delle attivit� svolte e degli impegni contrattualmente assunti dasoggetti esterni quali i "promotori", la figura di questi ultimi (cheperaltro non sono sempre persone fisiche) non risulta qualificabile alla merastregua di semplici "incaricati del trattamento".
Ilgrado di autonomia del "promotore" in ordine alle modalit� daosservare nel trattamento dei dati, cos� come prefigurata dalle clausolecontrattuali che regolano il rapporto di collaborazione coordinata econtinuativa con la societ�, risulta infatti alquanto ampio ancorch�all'interno delle direttive impartite da Sfera ("Sintesi delle linee guidache regolano la raccolta dei dati personali da parte della societ� Sfera Editores.p.a.", allegata al contratto di collaborazione).
Vapertanto prescritto a Sfera, ai sensi dell'art. 154, comma 1, lett. c ), delCodice, di provvedere alla necessaria designazione dei promotori di cui intendacontinuare ad avvalersi quali "responsabili", anzich�"incaricati" del trattamento, in conformit� a quanto previsto dagliartt. 4 e 29 del Codice.
8.2.Dagli atti non risulta che Sfera, pur sussistendone i presupposti e lanecessit�, abbia designato quale "responsabile del trattamento",salva la societ� Kalitype –la quale comunque non risulta aver provvedutoa designare quali incaricati del relativo trattamento i propri dipendenti(cfr. verbale del 22 dicembre 2003, p. 4)– le societ� Telecontatto eD.S.Z., n� tale designazione � stata a tutt'oggi comunicata al Garante.
Iltrattamento dei dati presso tali societ� non risulta quindi dagli attieffettuato in conformit� ai necessari requisiti di liceit� (artt. 4, 30,33 e All. B del Codice).
Laprescrizione di cui al punto 8.1. va quindi impartita dal Garante anche inrelazione all'attivit� di tali societ�, oltre alla trasmissione degli atti e dicopia del presente provvedimento all'autorit� giudiziaria per le valutazioni dicompetenza in ordine alla non risultante adozione delle misure minime di sicurezzapreviste dal predetto All. B al Codice (art. 169 del Codice).
8.3.Sono emersi profili critici anche in relazione alla qualificazione, dal puntodi vista della disciplina di protezione dei dati personali, dei comportamentimateriali posti in essere dai "referenti" che, a titolo diverso,hanno consentito (o tollerato) o, ancora, effettuato direttamente un'attivit�di distribuzione dei coupon e di loro raccolta e conservazione una voltacompilati, con eventuale partecipazione diretta anche alla loro redazione,prestando assistenza agli interessati, o finanche sostituendosi (a loroinsaputa) ai medesimi.
Questeattivit�, basate su una distribuzione alquanto capillare dei"referenti" nell'ambito delle strutture sanitarie interessate agliaccertamenti, sono operazioni di trattamento di dati personali (art. 4, comma1, lett. a ) del Codice).
L'attivit�dei "referenti", per le modalit� attraverso le quali trova regolareattuazione, lungi dal caratterizzarsi per la saltuariet� e l'occasionalit�dell'apporto fornito per il trattamento dei dati, denota infatti una continuit�nell'impegno assunto dai "referenti" con i "promotori" (ela societ�), rappresentando un elemento indefettibile ed imprescindibile per labuona riuscita delle operazioni di raccolta dei dati finalizzate al marketingda parte di Sfera.
N�,tenendo conto dell'attribuzione dei benefici sopra descritti al punto 4.2.,tale attivit� si caratterizza per disinteresse e spontaneit�, come ledichiarazioni della societ� vorrebbero far intendere (cfr. memoria integrativadi Sfera, cit., p. 4, secondo cui le cartoline possono anche "essereraccolte con l'assistenza spontanea del personale ospedaliero [�], che sipremura di distribuire le cartoline. A tale riguardo va precisato [�] che non �infrequente che lo stesso personale ospedaliero agevoli la diffusione delmateriale distribuito e questo per un comprensibile elemento di caratterepsicologico (risulta infatti moralmente gratificante consentire alla neo-mammadi ricevere gratuitamente materiale di pregio e di immediata utilit�)".
Talielementi, valutati nelle concrete modalit� di svolgimento delle operazioni diraccolta, inducono a rinvenire nei "referenti" l'ultimo, ma vitale,anello della catena di cui Sfera si avvale per la raccolta (e, talora, la"generazione", nel caso delle c.d. cartoline non spontanee) delleinformazioni personali.
I"referenti" non risultano aver assunto questo compito in terminileciti in rapporto alle funzioni che i medesimi possono svolgere nellestrutture pubbliche e private di appartenenza in corrispondenza dell'esecuzionedella prestazione lavorativa (non constando, dagli atti acquisiti, chel'attivit� svolta per Sfera fosse prevista da convenzioni legittimamentesottoscritte dalle strutture sanitarie o consentita da atti autorizzativiinterni).
Oltreagli altri aspetti di illiceit� e non correttezza del trattamento legati atalune modalit� di concreta informativa e compilazione dei coupon, non risultaaltres� che i "referenti" abbiano trattato legittimamente i datinella qualit� di "incaricati del trattamento" designati da Sfera odai "promotori" (incarico di cui � peraltro difficile configurare laliceit� alla luce della disciplina vigente e dell'anomalo sistema dicollaborazione sinora instaurato, atteso che i "referenti" sonogeneralmente dipendenti o collaboratori delle strutture sanitarie presso lequali operano –e, quindi, gi� "incaricati" dellemedesime– e che l'"incaricato del trattamento" pu� esseredesignato come tale solo se opera "sotto la diretta autorit� del titolareo del responsabile": art. 30 del Codice).
Vapertanto vietato a Sfera, ai sensi degli artt. 143, comma 1, lett. c), 154,comma 1, lett. d), e 170 del Codice, di effettuare ulteriori operazioni ditrattamento dei dati avvalendosi di "referenti" sprovvisti deinecessari presupposti di legittimazione al trattamento.
Lacomunicazione all'autorit� giudiziaria di cui al punto 8.2. viene disposta dalGarante anche in relazione alla non risultante adozione delle predette misureminime di sicurezza concernenti la descritta attivit� dei"referenti".
9.L'informativa e il consenso degli interessati
9.1.I coupon distribuiti dai promotori (di cui sono state acquisite alcune copienel corso degli accertamenti) sono di tenore parzialmente diverso in relazioneall'informativa e alla dichiarazione di consenso al trattamento da parte degliinteressati riprodotte nei medesimi; contengono una sintetica informativa aisensi dell'art. 10 della legge n. 675/1996 e un apposito spazio perraccogliere la manifestazione del consenso.
Intaluni casi � previsto uno spazio per la sottoscrizione; in altri modelli, peresplicitare il consenso, � inserita solo una casella da barrare. A taleriguardo la societ� ha asserito che le differenze "nelle formule diinformativa e consenso sono effetto di un processo in continuo divenire diadeguamento alle indicazioni provenienti dal Garante e di suggerimenti deiconsulenti dell'azienda" (v. verbale del 22 dicembre 2003, p. 2).
9.2.Ci� premesso, i diversi modelli di informativa esaminati non contengono unaspecifica e distinta indicazione in ordine alle finalit� perseguite(consistenti nell'utilizzo delle informazioni per l'invio dell'abbonamentogratuito alla rivista e nell'invio di altro materiale promozionale da partedella societ� o di terzi, anche appartenenti allo stesso gruppo societario) ealle relative modalit� di trattamento dei dati. N� viene indicata la finalit�di profilazione degli interessati, che � stata oggetto di notificazione alGarante da parte di Sfera.
Imodelli, cos� come sono strutturati, non consentono agli interessati dicomprendere quali siano le informazioni che gli stessi dovrebbero conferire aifini dell'invio della rivista (tra i quali potrebbero ricomprendersi i datiidentificativi e i recapiti) e quelle, facoltative, utilizzate dalla societ�per compiere altre attivit� (dati anagrafici propri e dei figli, sesso,professione, numeri telefonici e indirizzi di posta elettronica).
Inalcuni casi non � prevista un'indicazione chiara delle categorie di soggetticui i dati possono essere comunicati. In particolare, in uno dei modelli diinformativa predisposto dalla societ� e acquisito agli atti, Sfera si limita adoperare un mero riferimento, per di pi� a titolo esemplificativo, a "gliinserzionisti di "Io & il mio bambino" ed altre aziende diprimaria importanza". Nelle altre cartoline esaminate, invece (con cuisembrerebbero essere state sostituite a partire dal 2000 quelle appenadescritte: v. la nota di riscontro di Sfera del 18 maggio 2001 alla richiestadi informazioni del Garante ex art. 32, comma 1, l. n. 675/1996), ai finidell'individuazione delle categorie di soggetti cui i dati possono esserecomunicati, si rinvia, pi� genericamente, ad un elenco aggiornato contenentetali indicazioni, che l'interessato pu� richiedere al responsabile deltrattamento.
Oltreal divieto di cui al dispositivo per quanto riguarda i dati gi� trattati inmodo illecito e non corretto, va pertanto prescritto a Sfera, ai sensidell'art. 154, comma 1, lett. c), del Codice, di riformulare l'informativainserita nei coupon, in conformit� alla previsione ora contenuta nell'art. 13del Codice e ai principi richiamati dal Garante in precedenti occasioni(Provv.24 febbraio 2005, punto 6, in www.garanteprivacy.it, doc. web n.1109624; Provv.13 gennaio 2000, ivi, doc. web n. 42276), integrandola inmaniera tale da rendere chiari e comprensibili tutti gli aspetti qualificantidel trattamento sopra rappresentati.
9.3.Con riguardo al profilo del consenso, le formule predisposte da Sfera risultanodifferenziate. Ricorrono, infatti, le seguenti locuzioni:
a) "Se non desideri ricevere successiviinvii di campioni gratuiti e di informazioni scientifiche o commerciali,contrassegna con X la casella". A questo proposito deve rilevarsi che taleformula, strutturata mediante l'inserimento di una casella da barrare, nonconsente all'interessato di esplicare pienamente il proprio dirittoall'autodeterminazione informativa, prevedendo solo un'opzione di tipo"negativo" (c.d. opt out) e non � quindi conforme ai requisiti gi�previsti dalla legge n. 675 e, ora, dal Codice (art. 23). Come gi� rilevato(cfr. Provv. 13 gennaio 2000, cit., p. 42), la manifestazione delconsenso (o la sua documentazione) in forma negativa, ossia come mera possibilit�di esprimere un dissenso o di barrare una casella per la rinuncia ol'opposizione ad ulteriori contatti o comunicazioni commerciali, anche sepreceduta da una corretta informativa, si pone infatti in contrasto con quantostabilito dal citato art. 23, comma 3, del Codice (gi� art. 11, comma 3, l. n.675/1996), il quale presuppone che il medesimo, per essere valido, sia"espresso liberamente" e "in forma specifica";
b) "In mancanza del suo consenso l'Editorenon potr� inviarle la rivista ed informarla sulle iniziative commerciali".Ponendo riguardo a tale formula, deve rilevarsi che il trattamento di datipreordinato all'invio della rivista � necessario, in base a quanto previstonell'art. 24, comma 1, lett. b), del Codice (gi� art. 12, comma 1, lett. b), l.n. 675/1996), per eseguire obblighi derivanti da un contratto del quale � partel'interessato (ossia l'esecuzione del contratto gratuito di abbonamento). Non �quindi corretto da parte di Sfera sollecitare, come risulta avvenire nel casodi specie, il consenso a tale trattamento di dati (cfr. Provv. 24 febbraio2005, cit., punto 7; Provv. 3 novembre 2005, in www.garanteprivacy.it,doc. web n. 1195215).
Laraccolta dei dati degli interessati di cui al punto a) effettuata da parte diSfera per compiere successive attivit� di marketing configura pertanto unaviolazione dei principi di liceit� e correttezza ai sensi degli artt. 11, comma1, lett. a ), e 23 del Codice. Ai sensi dell'art. 11, comma 2, del Codice idati cos� raccolti sono inutilizzabili.
Oltreal divieto di cui al dispositivo per quanto riguarda i dati gi� trattati inmodo illecito e non corretto, va prescritto a Sfera, ai sensi dell'art. 154,comma 1, lett. c), del Codice, di:
* definire, nei couponutilizzati, un modello uniforme di raccolta del consenso utilizzando soloformule che permettano agli interessati di manifestare validamente la propriavolont� in termini "positivi";
* richiedere tale consenso soloin ordine ad ogni altra finalit� di trattamento differente da quella relativaall'invio della rivista (ossia, la finalit� di profilazione e ricerche dimercato da un lato; e quella di marketing dall'altro);
* acquisire, in base a quantoprescritto nell'art. 23 del Codice, solo manifestazioni di consenso specifiche,informate e distinte per ciascuna delle finalit� perseguite dalla societ�attraverso il trattamento dei dati raccolti con i predetti coupon (cfr.Provv. 24 febbraio 2005, cit., punto 7).
9.4.Con riferimento al trattamento dei dati effettuato mediante le c.d. cartoline"non spontanee" (descritto al punto 5) redatte in assenza dellasottoscrizione degli interessati, e comunque della prova (resa anche in altraforma) che il consenso � stato previamente prestato dagli stessi per lacessione e la successiva utilizzazione di dati personali per finalit� dimarketing, ricorre anche in questo caso un'ipotesi di violazione dei principidi liceit� e correttezza ai sensi degli artt. 11, comma 1, lett. a ), e 23 delCodice.
Le"cautele aggiuntive" cui fa riferimento Sfera e le "procedure dicontrollo" dalla medesima adottate (v. precedente punto 5.3.), consistentinel contattare telefonicamente gli interessati (al fine di "chiedere diconfermare il suo interesse a ricevere il materiale editoriale" e pi� ingenerale quelle descritte al punto 6), comportano la realizzazione dioperazioni di trattamento che non possono ritenersi allo stato lecite,considerato che la raccolta dei dati da cui hanno avuto origine tali operazioni� avvenuta in contrasto con le previsioni normative sopra citate.
Anchesotto questo profilo, oltre a quanto gi� affermato nel punto 8.3. ed estendendoal punto in esame sia la prescrizione di cui al punto 9.3., sia il divieto ditrattamento dei dati gi� trattati in modo illecito e non corretto, va rilevato,ai sensi dell'art. 11, comma 2, del Codice, che i dati trattati sonoinutilizzabili.
10.Procedure di cancellazione ed opposizione al trattamento
Inordine alle procedure adottate da Sfera per garantire un esatto adempimentoalle istanze presentate dagli interessati ai sensi degli artt. 7 e 8 del Codice(cfr. punto 7), la societ�, in caso di opposizione al trattamento ai sensidell'art. 7, comma 4, lett. b), del Codice, non � tenuta a cancellare i dati,essendo a tal fine sufficiente adottare un sistema (ad esempio medianteapposite black list ) che consenta di impedire l'ulteriore trattamento di talidati per le finalit� oggetto dell'opposizione (invio di materialepubblicitario, vendita diretta, compimento di ricerche di mercato,comunicazione commerciale).
Alcontrario, diversamente da quanto risulta effettuato da Sfera, la richiesta dicancellazione di dati dell'interessato comporta (quando sussistono ipresupposti previsti nell'art. 7, comma 3, lett. b), del Codice, ossia laviolazione di legge o l'esaurimento degli scopi per i quali sono statiraccolti) la necessaria eliminazione definitiva dei medesimi dal data-base ovesono custoditi, in maniera tale da escludere qualsiasi loro ulterioretrattamento, anche in forma di conservazione.
Anchetale profilo deve pertanto formare oggetto di prescrizione a Sfera perulteriori trattamenti di dati, ai sensi del predetto art. 154, comma 1, lett. c), del Codice, nonch� di divieto del trattamento per ci� che concerne i datigi� trattati in modo illecito e non corretto.
1)vieta a Sfera Editore S.p.a., ai sensi dell'art. 154, comma 1, lett. d ), delCodice, di proseguire il trattamento dei dati personali che sono stati gi�trattati in modo illecito e non corretto in violazione delle disposizioni e deiprincipi di cui ai punti 8, 9 e 10, a decorrere dalla data di ricezione delpresente provvedimento;
2)prescrive a Sfera Editore S.p.a., ai sensi dell'art. 154, comma 1, lett. c ),del Codice, al fine di rendere il trattamento conforme alle disposizionivigenti, di adottare per eventuali altri trattamenti leciti di dati, neitermini di cui in motivazione ed entro il 15 febbraio 2007, le misurenecessarie per rispettare l'obbligo di:
a. designare quali responsabilidel trattamento ai sensi dell'art. 29 del Codice i soggetti di cui la societ�si avvale per effettuare attivit� di gestione del data-base o per le attivit�di raccolta dei dati personali finalizzati allo svolgimento di attivit� dimarketing svolta dalla medesima (punti 8.1. e 8.2.);
b. fornire un'idonea informativaagli interessati, completa di tutti gli elementi di cui all'art. 13 del Codice(punto 9.2.);
c. acquisire e trattare i datidegli interessati in base ad un consenso validamente prestato ai sensidell'art. 23 del Codice (punto 9.3. e 9.4.);
d. adottare procedure idonee agarantire un esatto adempimento alle istanze rivolte dagli interessati in baseagli artt. 7 e 8 del Codice (punto 10);
e. dare conferma al Garante, entroe non oltre la medesima data del 15 febbraio 2007, in ottemperanza allapresente statuizione adottata anche ai sensi e per gli effetti di cui agliartt. 157, 164 e 168 del Codice, che i trattamenti di dati da essa effettuatisono conformi alle prescrizioni del presente provvedimento, conformit� chedovr� essere comprovata anche da ogni informazione e documento utili daallegare alla comunicazione all'Autorit�;
3)dispone la trasmissione degli atti e di copia del presente provvedimentoall'autorit� giudiziaria per le valutazioni di competenza in ordine alla non risultanteadozione delle misure minime di sicurezza previste dall'Allegato B al Codice(art. 169 del Codice) (punti 8.2. e 8.3.).
Roma,7 dicembre 2006