Source: http://jusabili.org/parere10.php
Timestamp: 2018-07-23 11:53:14+00:00
Document Index: 5287921

Matched Legal Cases: ['art. 13', 'art. 168', 'art. 4', 'art. 26', 'art. 154', 'art. 26', 'art. 167', 'art.162', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 13']

Sportello UNAR
Difenditi! Ora puoi
Parere del Garante della privacy
In relazione alla richiesta del verbale di invalidità da parte di un supermercato per fornire servizi gratuiti a domicilio, il Garante della privacy si è pronunciato con un provvedimento specifico che ha evidenziato i limiti della pretesa e le prescrizioni che l'azienda deve rispettare
Provvedimento 13 maggio 2010
In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;
VISTA la segnalazione presentata il 4 settembre 2009 da E.M. nei confronti di xxxxx S.p.A.
VISTI gli elementi in atti;
1. Con nota del 4 settembre 2009, E.M., "volontaria Caritas collaborante con le assistenti sociali di zona", ha segnalato che, "accompagnando un'invalida a fare la spesa presso un punto vendita della catena commerciale xxxx S.p.A. sito in Milano, aveva avuto modo di constatare che, per il servizio a domicilio gratuito riservato agli invalidi al 100%, veniva richiesta copia del verbale di invalidità", tanto che un'addetta all'esercizio commerciale aveva rifiutato all'interessata di poter fruire del servizio sulla base della mera esibizione di una tessera attestante lo stato di invalidità, affermando che, al contrario, era indispensabile acquisire copia del predetto verbale.
2. Al fine di verificare la liceità del trattamento di dati personali della clientela effettuato nel caso di specie e di acquisire elementi idonei ad accertarne la conformità al Codice, sono state chieste a xxxx S.p.A. (di seguito, la società) informazioni volte a conoscere i presupposti -in specie normativi- che legittimerebbero il segnalato trattamento, con particolare riguardo alle finalità e alle modalità del trattamento dei dati idonei a rivelare le condizioni di salute ed all'osservanza delle disposizioni dettate dall'art. 13 del Codice in tema di informativa.
3. Nel fornire il riscontro, la società, assumendo ogni responsabilità -anche penale- ai sensi dell'art. 168 del Codice, ha dichiarato (allegando documentazione al riguardo) che:
a. la procedura aziendale che disciplina il servizio di consegna a domicilio, in ordine alla raccolta e al trattamento dei dati personali dei clienti interessati ad avvalersene, prevede "unicamente la raccolta dei dati strettamente necessari", e cioè "i dati anagrafici (nome e cognome), l'indirizzo del luogo ove si intende ricevere la consegna nonché un recapito telefonico": tale raccolta avviene mediante compilazione -- a cura del personale preposto e sulla base delle informazioni rese presso il c.d. "box informazioni" dal cliente che dichiari per la prima volta l'intenzione di fruire del servizio -- di un modulo "in via informatica" che, successivamente, viene stampato e consegnato anche all'interessato. Il servizio, di norma a pagamento presso tutti gli esercizi commerciali della catena xxxx ove sia stato attivato, è reso gratuitamente ed in via sperimentale solo in alcune città del territorio nazionale, tra cui Milano, ove "è attualmente attivo in 18 punti vendita". Per fruire del servizio in forma gratuita, il cliente -- che deve essere in possesso di specifici requisiti individuati dalla società, tra i quali è previsto anche lo stato di "diversamente abile"-- deve ogni volta esibire alla cassa "un apposito tesserino" rilasciato dalla società, che "null'altro attesta se non il diritto di ricevere la consegna gratuita, senza perciò specificare in nessun modo la ragione di tale beneficio" (v. nota del 18 novembre 2009; v. altresì, all. 1 recante procedura "servizio consegna domicilio" emessa dal XXX Italia servizio procedure);
b. al fine di "tutelare gli aventi diritto [...] e prestare un servizio gratuito che vada ad effettivo ed esclusivo beneficio di coloro che ne abbiano l'effettiva necessità", gli "addetti sono autorizzati ad effettuare, in occasione del rilascio del tesserino, una verifica dello stato di disabilità/invalidità dei clienti se tale stato non sia manifestamente visibile [...] mediante la semplice esibizione della [...] tessera di invalidità" (v. nota cit., p. 2);
c. nel caso di specie, la richiesta all'interessata di esibire la copia del verbale di invalidità era stata formulata in assenza dei presupposti e delle finalità definiti dal titolare del trattamento ed aveva costituito "un'autonoma iniziativa, abnorme quanto tuttavia isolata, del personale del punto vendita, oggetto di segnalazione, il quale ha agito in modo non conforme alle disposizioni aziendali" (v. nota cit., p. 2);
d. appreso il contenuto della segnalazione, la società avrebbe intrapreso delle azioni correttive e di controllo, diramando agli esercizi commerciali interessati una circolare volta a richiamare il personale al rispetto della procedura aziendale e appurando che, presso gli altri punti vendita ove era stato introdotto il servizio di consegna gratuita a domicilio, risultavano osservate le disposizioni specificamente impartite (v. nota cit., p. 3).
La società ha altresì allegato copia del "Modulo servizio di Consegna a Domicilio" sopra citato, recante in calce l'informativa sul trattamento dei dati degli interessati (v. punto 3, lett. a.).
4.1. Dalle risultanze istruttorie emerge che la procedura aziendale adottata per regolamentare il servizio di consegna a domicilio e alla quale, in base alle dichiarazioni rese dalla società, tutti gli esercizi e i punti vendita della catena commerciale -ad esclusione di quello oggetto di segnalazione- si sono conformati, prevede il trattamento dei soli dati personali dei clienti interessati (nominativo; indirizzo di consegna; numero telefonico) effettivamente indispensabili, pertinenti e non eccedenti rispetto alla finalità di erogazione del servizio (articoli 3 e 11, comma 1, lett. d) del Codice).
Ciò premesso, non deve ritenersi illecito che, per poter fruire del beneficio della gratuità della consegna della merce acquistata, i clienti debbano essere in possesso di specifici requisiti fissati dalla società (tra i quali, nel caso in esame, essere portatori di disabilità/invalidità), da comunicare, mediante l'esibizione di una "tessera di invalidità", solo nel momento in cui il servizio venga richiesto per la prima volta: il tutto, infatti, è volto all'inserimento dei dati del cliente nell'anagrafica utenti dell'applicativo informatico relativo alle consegne a domicilio e al rilascio di un apposito tesserino personale, non cedibile e con validità limitata nel tempo, da esibire direttamente al personale di cassa ogni volta che ci si voglia avvalere del servizio in questione.
4.2. Le affermazioni rese dalla società, tuttavia, hanno confermato che presso il punto vendita segnalato, contrariamente a quanto stabilito nella procedura aziendale, è stato chiesto alla clientela portatrice di disabilità/invalidità intenzionata a beneficiare del servizio di dimostrare il proprio status mediante la consegna di una copia del verbale redatto dalla Commissione per l'invalidità, ponendo in essere un trattamento di dati sensibili non conforme ai principi di necessità, liceità e finalità (artt. 3 e 11, comma 1, lett. a) e b) del Codice).
Pur prendendo atto delle iniziative autonomamente assunte dalla società per censurare tale iniziativa e per controllare la corretta applicazione della procedura aziendale presso gli altri punti vendita coinvolti, deve rilevarsi che, per legge, i dati sensibili possono essere trattati da soggetti privati solo con il consenso scritto e informato degli interessati e sempre che il medesimo trattamento sia autorizzato preventivamente dal Garante, anche tramite autorizzazioni generali (artt. 26, 40 e 41 del Codice). Con riferimento al caso in questione, quindi, il trattamento dei dati idonei a rivelare lo stato di salute dei clienti portatori di handicap o disabilità può essere considerato lecito laddove risulti che la società abbia osservato quanto disposto da questa Autorità con l'autorizzazione generale n. 2/2009 (in particolare al Capo I, Punto 1.2., lett. e); vedi http//www.garanteprivacy.it, doc. web n. 1682956) e sempre che gli interessati abbiano fornito il consenso scritto sulla base di un'adeguata informativa.
Tuttavia, si deve rilevare che, mentre detto trattamento risulta conforme ai principi di indispensabilità, pertinenza e non eccedenza, ove effettuato secondo le modalità individuate nella procedura aziendale (cioè esibizione, all'atto della richiesta del tesserino, di una "tessera di invalidità") e per consentire alla società di verificare il possesso, da parte di ciascun interessato, di un requisito fondamentale per la fruizione in forma gratuita del servizio, altrimenti erogato a pagamento, invece va considerata sproporzionata la richiesta di esibire e (a maggior ragione) di consegnare copia del verbale rilasciato a coloro che abbiano chiesto l'accertamento dell'invalidità (artt. 10 e ss. della legge 27 maggio 1970, n. 382; artt. 6 e ss. della legge 30 marzo 1971, n. 118), dell'handicap o della disabilità (art. 4 legge 5 febbraio 1992, n. 104), tenuto conto della pluralità di informazioni in esso contenute e, in particolare, del giudizio diagnostico espresso dalla Commissione medica.
Inoltre, non risulta che gli interessati abbiano reso il consenso al trattamento in forma scritta, con la conseguenza che esso risulta effettuato in violazione dell'art. 26 del Codice.
4.3. Alla luce di ciò, si deve disporre nei confronti della società, ove non avesse già assunto determinazioni al riguardo, il divieto di trattare ulteriormente, presso il punto vendita oggetto di segnalazione, i dati relativi allo stato di invalidità/disabilità dei clienti che possono fruire in forma gratuita del servizio di consegna a domicilio mediante l'indebita richiesta di copia dei verbali che accertano lo status invalidante, l'handicap o la disabilità (art. 154, comma 1, lett. d) del Codice); a tal fine, quale misura necessaria, si deve prescrivere la distruzione della documentazione acquisita in violazione della procedura aziendale e del Codice dal predetto punto vendita, ove la stessa sia ancora detenuta.
Atteso che la violazione dell'art. 26 del Codice rientra tra le fattispecie previste dall'art. 167, comma 2 del Codice, impregiudicate le eventuali violazioni penalmente rilevanti in capo all'autore della condotta oggetto di segnalazione, l'Autorità si riserva di verificare, con autonomo procedimento, i presupposti per l'eventuale contestazione della violazione amministrativa di cui all'art.162, comma 2-bis del Codice.
Inoltre, tenuto conto del fatto che la procedura aziendale prevede genericamente che il servizio a domicilio venga erogato dietro esibizione di una non meglio specificata "tessera di invalidità", si deve prescrivere che la verifica della sussistenza del predetto status (come pure di altre condizioni di handicap o di disabilità), ove già non manifesto, avvenga mediante esibizione al personale (debitamente designato per iscritto incaricato o responsabile del trattamento ai sensi degli artt. 29 e 20 del Codice e al quale devono essere state impartite le relative istruzioni) di qualsiasi documento idoneo ad attestarne il possesso per consentire di avvalersi di vantaggi, agevolazioni, provvidenze ed altre utilità di tipo economico riconosciute dalla normativa vigente (a titolo meramente esemplificativo: la tessera che dà diritto all'esenzione dal pagamento del ticket sanitario; la tessera attestante l'invalidità civile; la tessera rilasciata per avvalersi del trasporto pubblico gratuito o a condizioni tariffarie di miglior favore). Tale esibizione potrà essere richiesta soltanto al momento del rilascio, da parte della società, del tesserino emesso in favore degli aventi diritto al servizio di consegna gratuita a domicilio, il quale, in ogni caso, non dovrà recare indicazioni sulle ragioni della sua concessione.
4.4. Infine, si deve rilevare che anche l'informativa resa dalla società ai clienti (rinvenibile in calce al modulo per richiedere il servizio di consegna a domicilio e contenente, peraltro, erronei riferimenti all'abrogata l. n. 675/1996) presenta alcune carenze. In particolare, essa risulta inidonea in quanto:
- non contiene indicazioni circa la natura obbligatoria o facoltativa del conferimento dei dati (art. 13, comma 1, lett. b) del Codice);
- non indica le conseguenze di un eventuale rifiuto a rispondere (art. 13, comma 1, lett. c) del Codice);
- non specifica i soggetti o le categorie di soggetti che possono venire a conoscenza dei dati in qualità di responsabili o incaricati, né l'ambito di eventuale comunicazione delle medesime informazioni (art. 13, comma 1, lett. d) del Codice).
Di conseguenza, si ritiene di dover prescrivere alla società di riformulare l'informativa in aderenza a quanto previsto dall'art. 13 del Codice, riservando ad un autonomo procedimento la contestazione della violazione amministrativa concernente l'inidonea informativa (artt. 13 e 161 del Codice).
5. In caso di inosservanza del presente provvedimento, si renderanno applicabili le sanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162, comma 2-ter del Codice.
1) ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. d) del Codice, vieta a XX S.p.A., ove non avesse già assunto determinazioni al riguardo, di trattare ulteriormente, presso il punto vendita oggetto di segnalazione, i dati relativi alla condizione di invalidità/disabilità dei clienti che intendano fruire in forma gratuita del servizio di consegna a domicilio della merce acquistata, mediante la richiesta di copia dei verbali che accertano lo stato di invalidità, l'handicap o la disabilità;
2) ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, prescrive a xxxx S.p.A., quali misure necessarie, di:
a) distruggere la documentazione acquisita in violazione della procedura aziendale e del Codice dal predetto punto vendita, ove la stessa sia ancora detenuta (punto 4.3.);
b) verificare, ove necessario, il possesso dello stato di invalidità, di handicap o di disabilità mediante la sola esibizione di un documento che già ne attesti l'esistenza per consentire di accedere a vantaggi, agevolazioni, provvidenze ed altre utilità di tipo economico riconosciute dalla normativa vigente. Tale esibizione potrà essere richiesta esclusivamente al momento del rilascio, da parte della società, del tesserino emesso in favore degli aventi diritto al servizio di consegna gratuita a domicilio, il quale non dovrà recare indicazioni sulle ragioni della sua concessione (punto 4.3.);
c) riformulare, in riferimento ai trattamenti leciti, l'informativa resa (punto 4.4.), con espresso riferimento alla:
- indicazione della natura obbligatoria o facoltativa del conferimento dei dati (art. 13, comma 1, lett. b del Codice);
- indicazione delle conseguenze di un eventuale rifiuto a rispondere (art. 13, comma 1, lett. c) del Codice);
- specificazione dei soggetti o delle categorie di soggetti che possono venire a conoscenza dei dati in qualità di responsabili o incaricati e dell'ambito di eventuale comunicazione delle medesime informazioni (art. 13, comma 1, lett. d) del Codice).
Roma, 13 maggio 2010