Serie Generale n. 268 del 16-11-2012
DECRETI E DELIBERE DI ALTRE AUTORITA'
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
PROVVEDIMENTO 20 settembre 2012
Applicabilita' alle persone giuridiche del Codice in materia di protezione dei dati personali a seguito delle modifiche apportate dal decreto-legge n. 201 del 6 dicembre 2011, convertito, con modificazioni, dalla legge 22 dicembre 2011, n. 214. (Provvedimento n. 262). (12A12107) (GU Serie Generale n.268 del 16-11-2012)

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro,
presidente, della dott.ssa Augusta Iannini, vice presidente, della
dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano,
componenti e del dott. Giuseppe Busia, segretario generale;
Visto il Codice in materia di protezione dei dati personali (d.lgs.
30 giugno 2003, n. 196, di seguito Codice) ed, in particolare, gli
artt. 4, 5, 9 e 43 nonchè l'intero titolo X, capo 1;
Visto il decreto legislativo 1° agosto 2003, n. 259, recante il
Codice delle comunicazioni elettroniche;
Vista la direttiva 95/46/CE del 24 ottobre 1995, del Parlamento
europeo e del Consiglio, relativa alla tutela delle persone fisiche
con riguardo al trattamento dei dati personali, nonchè alla libera
circolazione di tali dati;
Visto l'art. 40, secondo comma, del d.l. n. 201 del 6 dicembre
2011, convertito con legge n. 214 del 22 dicembre 2011;
Vista la direttiva 2002/58/CE del 12 luglio 2002, del Parlamento
europeo e del Consiglio, relativa al trattamento dei dati personali e
alla tutela della vita privata nel settore delle comunicazioni
elettroniche;
Vista la direttiva 2009/136/CE del 25 novembre 2009, del Parlamento
europeo e del Consiglio, recante modifica della direttiva 2002/22/CE
relativa al servizio universale e ai diritti degli utenti in materia
di reti e di servizi di comunicazione elettronica, della direttiva
2002/58/CE relativa al trattamento dei dati personali e alla tutela
della vita privata nel settore delle comunicazioni elettroniche e del
regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorità
nazionali responsabili dell'esecuzione della normativa a tutela dei
consumatori;
Visto il decreto legislativo 28 maggio 2012, n. 69 «Modifiche al
decreto legislativo 30 giugno 2003, n. 196, recante codice in materia
di protezione dei dati personali in attuazione delle direttive
2009/136/CE, in materia di trattamento dei dati personali e tutela
della vita privata nel settore delle comunicazioni elettroniche, e
2009/140/CE in materia di reti e servizi di comunicazione elettronica
e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le
autorità nazionali responsabili dell'esecuzione della normativa a
tutela dei consumatori» (pubblicato nella Gazzetta Ufficiale del 31
maggio 2012, n. 126);
Visto il decreto legislativo 28 maggio 2012 n. 70 «Modifiche al
decreto legislativo 1° agosto 2003, n. 259, recante codice delle
comunicazioni elettroniche in attuazione delle direttive 2009/140/CE,
in materia di reti e servizi di comunicazione elettronica, e
2009/136/CE in materia di trattamento dei dati personali e tutela
della vita privata» (pubblicato nella Gazzetta Ufficiale del 31
maggio 2012, n. 126);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio, formulate dal segretario
generale ai sensi dell'art. 15 del Regolamento del Garante n. 1/2000
del 28 giugno 2000;
Relatore la dott.ssa Augusta Iannini;
Premesso
Il presente provvedimento intende fornire indicazioni in relazione
alla disciplina di legge applicabile al trattamento dei dati relativi
a persone giuridiche, enti e associazioni a seguito della parziale
abrogazione, di cui all'art. 40, secondo comma, del d.l. n. 201 del 6
dicembre 2011, convertito con legge n. 214 del 22 dicembre 2011, di
alcune delle disposizioni contenute nella parte prima del Codice,
recante le "Disposizioni generali". Nel redigerlo sono state, in
particolare, tenute in considerazione le numerose istanze
(segnalazioni e richieste di pareri) pervenute sull'argomento e volte
a sollecitare gli opportuni chiarimenti, anche in via interpretativa,
a fronte delle difficoltà operative evidenziate dai titolari di
trattamenti di tali dati nonchè di talune lamentate disarmonie
riscontrabili nel testo di legge come emendato.
Gli articoli del Codice interessati dalle modifiche in esame
disciplinano, rispettivamente, le definizioni (art. 4), l'oggetto e
l'ambito di applicazione (art. 5), le modalità di esercizio dei
diritti dell'interessato (art. 9) ed i trasferimenti dei dati verso
paesi terzi (art. 43) e fanno ora - com'è noto - esclusivo
riferimento alle persone fisiche e non già, come prima della
modifica, anche a quelle giuridiche, a enti e ad associazioni.
Di qui l'opinione diffusa che il trattamento dei dati relativo alle
persone giuridiche, enti ed associazioni sia stato radicalmente
escluso dall'ambito di applicazione del Codice. In effetti la
direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24
ottobre 1995 relativa alla "tutela delle persone fisiche con riguardo
al trattamento dei dati personali, nonchè alla libera circolazione
di tali dati" aveva lasciato un ampio margine di manovra agli Stati
membri in modo che fosse loro rimessa, in sede di recepimento
nazionale, la facoltà di prevedere l'estensione della portata
applicativa delle norme in materia di privacy anche alle persone
giuridiche ovvero di limitarla esclusivamente ai trattamenti di dati
delle sole persone fisiche. Il legislatore italiano del 1996, con
scelta confermata anche nel 2003 anche se controcorrente rispetto a
quelle effettuate dalla maggior parte degli altri Stati membri, aveva
optato - com'è noto - per la prima soluzione ed incrementato, così,
sia gli adempimenti che gravano sui titolari del trattamento sia le
garanzie e le tutele in favore delle persone giuridiche nella
specifica qualifica di interessati.
Oggi, a seguito delle richiamate abrogazioni, per dato personale
deve invece intendersi "qualunque informazione relativa a persona
fisica, identificata o identificabile, anche indirettamente, mediante
riferimento a qualsiasi altra informazione, ivi compreso un numero di
identificazione personale" e per interessato esclusivamente "la
persona fisica cui si riferiscono i dati personali" (cfr.,
rispettivamente, l'art. 4, comma 1, lett. b) e i) del Codice, nella
sua novella formulazione).
In definitiva, la portata applicativa di tutte le disposizioni del
Codice che riguardano gli interessati ovvero il trattamento di dati
personali è stata limitata in via esclusiva alle persone fisiche ed
ai trattamenti di informazioni personali che vi si riferiscono.
Occorre tuttavia soffermare l'attenzione sulle norme contenute
nella parte speciale del Codice, segnatamente nel suo titolo X
("Comunicazioni elettroniche"), di diretta derivazione comunitaria
poichè emanato in attuazione della richiamata direttiva 2002/58/CE
relativa al trattamento dei dati personali e alla tutela della vita
privata nel settore delle comunicazioni elettroniche e di recente
integrato e modificato dal d. lgs. 28 maggio 2012, n. 69; con
ulteriore, specifico riguardo al suo capo 1, che interessa i "Servizi
di comunicazione elettronica". Ciò al fine di valutare se, all'esito
delle richiamate modifiche alla disciplina di legge, le persone
giuridiche siano, al pari di quelle fisiche, tuttora ricomprese o
meno nel campo di applicazione di tali disposizioni.
È opportuno sottolineare che la norma di apertura del capo in
esame, e cioè l'art. 121, che individua l'ambito di applicazione
delle regole relative ai servizi di comunicazione elettronica e non
risulta interessato dalla riforma, fa esplicito riferimento al
trattamento di dati personali (testualmente: "Le disposizioni del
presente titolo si applicano al trattamento dei dati personali
connesso alla fornitura di servizi di comunicazione elettronica
accessibili al pubblico su reti pubbliche di comunicazioni"); quelli
cioè che possono ora riferirsi soltanto alle persone fisiche,
secondo la novella definizione di dato personale di cui all'art. 4,
comma 1, lett. b) del Codice, sopra riprodotta.
Questa considerazione, che ad un primo esame parrebbe dunque
orientare per l'esclusione delle persone giuridiche anche dall'ambito
applicativo dell'intero capo, deve essere tuttavia integrata
dall'esame di ulteriori elementi. Ci si riferisce al fatto che,
nonostante la definizione di interessato non ricomprenda più le
persone giuridiche e l'art. 121 - lo si è visto - menzioni
esplicitamente i "dati personali", la quasi totalità delle altre
disposizioni contenute nel richiamato capo 1 del titolo X del Codice
sono rivolte a destinatari individuati non in funzione della loro
qualifica soggettiva (se, cioè, persone fisiche ovvero giuridiche),
bensì di una qualifica ulteriore che ne prescinde: segnatamente,
quella di "contraente", termine che, proprio a seguito dell'entrata
in vigore del d.lgs. n. 69/2012, a far data dal 1° giugno 2012 ha
sostituito, nelle disposizioni del Codice, quello di "abbonato",
utilizzato in precedenza.
Il concetto di "abbonato", e dunque ora di "contraente", è
certamente applicabile, anche sulla base di principi comunitari,
tanto alle persone fisiche quanto a quelle giuridiche: in tal senso,
cfr. il considerando 12 della menzionata direttiva 2002/58/CE,
secondo il quale "gli abbonati ad un servizio di comunicazione
elettronica accessibile al pubblico possono essere persone fisiche o
persone giuridiche".
Tra l'altro la definizione di "abbonato" (ora "contraente"),
sebbene rilevante per il diritto alla protezione dei dati, è in
effetti mutuata da altri settori (innanzitutto quello delle
comunicazioni elettroniche), oltre che di evidente, prevalente
origine contrattuale.
Si menziona, al riguardo, l'art. 1, comma 1, lett. a) del d. lgs. 1
agosto 2003, n. 259 (c.d. Codice delle comunicazioni elettroniche),
che riconosce la relativa qualifica a "la persona fisica o giuridica
che sia parte di un contratto con il fornitore di servizi di
comunicazione elettronica accessibili al pubblico, per la fornitura
di tali servizi".
Il d.l. n. 201/2011 non ha allora in alcun modo interessato - nè
avrebbe potuto - tale nozione, rimasta appunto intatta nella
formulazione di cui all'art. 4, comma 2, lett. f) del Codice:
"qualunque persona fisica, persona giuridica, ente o associazione
parte di un contratto con un fornitore di servizi di comunicazione
elettronica accessibili al pubblico per la fornitura di tali servizi,
o comunque destinatario di tali servizi tramite schede prepagate".
Questa preliminare interpretazione letterale è confermata dalla
circostanza, desumibile a contrario, che qualora il legislatore
avesse inteso stralciare le persone giuridiche anche dal campo di
applicazione del capo 1 del titolo X del Codice, si sarebbe limitato
a sostituire la dizione di "abbonato" (ora "contraente") con quella
di "utente" la quale, anche in ragione della definizione che ne viene
resa, è ovviamente applicabile soltanto alle persone fisiche.
(Testualmente: "qualsiasi persona fisica che utilizza un servizio di
comunicazione elettronica accessibile al pubblico, per motivi privati
o commerciali, senza esservi necessariamente abbonata", art. 4, comma
1, lett. g) del Codice).
Conforta questo convincimento un ulteriore elemento, tratto
dall'analisi del Dossier di documentazione, dell'8 dicembre 2011,
predisposto dal Servizio Studi della Camera dei deputati a corredo
del menzionato d.l. 201/2011. Vi si chiarisce come, a fronte delle
abrogazioni già esaminate e relative agli interessati-persone
giuridiche, "non viene invece modificata la definizione di "abbonato"
[ora "contraente"], che continua ad essere riferita sia alle persone
fisiche che alle persone giuridiche, enti o associazioni (...)".
Questi ultimi soggetti "continueranno pertanto a fruire della tutela
prevista dal titolo X del codice della privacy per gli abbonati a
servizi di comunicazione elettronica".
In realtà anche il ricorso a criteri interpretativi di carattere
sistematico rende conto del fatto che il legislatore ha inteso
assicurare prevalenza all'applicazione di tutte quelle norme, di
carattere speciale, che assumono come presupposto il trattamento di
dati dell'"abbonato" (ora "contraente").
Tanto più se si considera il principio del c.d. obbligo di
interpretazione conforme, che impone la lettura del diritto interno
nazionale nel senso più aderente possibile a quello comunitario,
specie avuto riguardo alle considerazioni già svolte in merito alle
menzionate direttive in materia di comunicazioni elettroniche delle
quali - lo si ripete - il titolo X del Codice costituisce attuazione.
L'interpretazione che si prospetta riceve ulteriore supporto dalla
disamina dell'art. 130 del Codice, rubricato "Comunicazioni
indesiderate". Anche tale norma è stata infatti oggetto di recenti,
significative modifiche ad opera del d. lgs. n. 69/2012, le quali
appaiono rilevanti pure per gli aspetti che qui interessano.
In effetti nella sua formulazione precedente l'articolo in esame
poneva, ai commi 1 e 2, le regole per l'effettuazione delle
comunicazioni promozionali inoltrate con sistemi automatizzati di
chiamata oppure per il tramite di strumenti di posta elettronica,
telefax, sms o mms e le riferiva esplicitamente all'"interessato";
con l'effetto che tali previsioni risultavano applicabili soltanto ai
trattamenti di dati personali delle persone fisiche e non anche di
quelle giuridiche, rendendo queste ultime, di conseguenza,
liberamente contattabili per finalità promozionali con le descritte
modalità.
Il medesimo art. 130, ai commi 3-bis, 3-ter e 3-quater relativi
all'istituzione e al funzionamento del Registro pubblico delle
opposizioni, era invece, anche prima dell'entrata in vigore del d.
lgs. n. 69/2012, già pienamente applicabile alle persone giuridiche,
in virtù del richiamo in esso contenuto all'art. 129 che disciplina
l'inserimento e l'utilizzo negli elenchi telefonici dei dati degli
abbonati (ora "contraenti"). In altre parole, le chiamate
promozionali con intervento dell'operatore e - de iure condendo ed in
attesa che venga emanato il relativo regolamento di attuazione che
disciplinerà l'estensione anche al marketing postale delle regole
sul Registro delle opposizioni - le comunicazioni pubblicitarie
cartacee per la cui effettuazione ci si avvalga di dati, di persone
fisiche ovvero giuridiche, tratti dagli elenchi telefonici, già
erano - e continuano ad essere - assoggettate al regime dell'opt-out,
nelle forme e nei modi previsti per il funzionamento del Registro
delle opposizioni.
L'assetto normativo precedente la riforma, come illustrato, da un
lato dunque consentiva liberamente i contatti promozionali verso
persone giuridiche effettuati con mezzi particolarmente invasivi
(quelli di cui ai commi 1 e 2 dell'art. 130); dall'altro subordinava,
tuttavia, le telefonate commerciali con operatore (e, de iure
condendo, l'invio di comunicazioni pubblicitarie cartacee) al
preventivo, oneroso riscontro con il Registro delle opposizioni,
dunque al mancato esercizio dell'opt-out da parte dell'abbonato; e
ciò nonostante il telemarketing effettuato per il tramite di un
operatore rivesta indubbiamente carattere di minor afflittività per
l'interessato rispetto ai contatti che si avvalgono di modalità
automatizzate quali chiamate preregistrate, fax, sms, mms, messaggi
di posta elettronica etc.
A tale manifesta incongruenza il legislatore ha ovviato con un
intervento di armonizzazione: in effetti l'art. 1, comma 7, lett. a),
n. 3 del citato d. lgs. 69/2012 ha opportunamente eliminato,
dall'art. 130 del Codice, il termine "interessato", sostituendolo con
quello di "contraente o utente"; ciò che ha reso pertanto
applicabili quelle previsioni anche alle persone giuridiche. La
modifica voluta dal legislatore costituisce allora esplicita conferma
dell'interpretazione, già illustrata, per la quale le persone
giuridiche devono senz'altro essere annoverate, al pari di quelle
fisiche, tra i soggetti destinatari delle previsioni di cui al titolo
X, capo 1 del Codice, con la sola eccezione dell'art. 132-bis,
anch'esso introdotto dal d. lgs. n. 69/2012, che pone a carico dei
fornitori di servizi di comunicazione elettronica l'obbligo di
istituire apposite procedure "per corrispondere alle richieste
effettuate in conformità alle disposizioni che prevedono forme di
accesso a dati personali degli utenti" (e dunque delle sole persone
fisiche).
La prospettata ricostruzione, se da un lato contribuisce a
delineare più chiaramente, innanzitutto in via interpretativa, il
quadro di adempimenti e tutele previsti nel settore delle
comunicazioni elettroniche riconducendo all'interno del relativo
campo di applicazione anche i contraenti-persone giuridiche,
dall'altro lascia, tuttavia, inalterato un impianto normativo
complesso e di non agevole lettura. Il sistema è in effetti tuttora
connotato dal permanere di alcune delle menzionate difficoltà
operative che gravano sui titolari del trattamento e di talune
disarmonie indotte dal mancato coordinamento tra le disposizioni
preesistenti e le modifiche che si sono via via succedute, specie in
così rapida e recente successione.
Si segnala, ad esempio, tra gli effetti più immediati di tale
fenomeno, quello che riguarda la previsione di cui all'art. 141 del
Codice. Tale norma, disciplinando le forme di tutela dinanzi al
Garante, consente infatti testualmente ai soli "interessati", dunque
soltanto alle persone fisiche, di farvi ricorso.
In termini più concreti, e fermi restando i poteri di iniziativa e
di impulso ex officio del Garante, le persone giuridiche, gli enti e
le associazioni, a far data dal 6 dicembre 2011, non sono più
legittimati a proporre segnalazioni, reclami e ricorsi dinanzi
all'Autorità dovendo avvalersi, se del caso, degli ordinari
strumenti di tutela apprestati dall'ordinamento, ivi compreso -
qualora ne ricorrano i presupposti - il ricorso all'autorità
giudiziaria di cui all'art. 152 del Codice; con l'effetto che tale
significativa limitazione interessa anche i "contraenti", pur
nell'accezione, già illustrata, che ricomprende in tale nozione
tanto le persone fisiche quanto le giuridiche. Ed è certamente
singolare che l'ordinamento attribuisca, da un lato, ai soggetti
così identificati la dovuta tutela di cui alle disposizioni del
titolo X, capo 1, del Codice; dall'altro, neghi loro la possibilità
di far ricorso agli strumenti (segnalazioni, reclami e ricorsi)
mediante i quali far valere i propri diritti dinanzi all'Autorità.
Con un ulteriore riflesso: all'applicabilità alle persone giuridiche
delle norme relative ai "contraenti" consegue anche la pari
applicabilità, ai titolari del trattamento che abbiano agito in loro
violazione, delle sanzioni, di carattere sia amministrativo sia
penale, previste dal Codice. Basti pensare, ad esempio, alle
disposizioni di cui agli artt. 162, commi 2-bis e 2-quater, 162-bis e
167. Induce, allora, motivate perplessità il fatto che, a fronte di
questa circostanza, sia comunque precluso alla persona giuridica
oggetto di illeciti di rivolgersi all'Autorità invocandone la tutela
amministrativa ai sensi del richiamato art. 141.
E ancora: l'art. 15 del Codice sui danni cagionati per effetto del
trattamento nella sua attuale, immutata formulazione, risulta
applicabile esclusivamente ai danni cagionati "per effetto del
trattamento di dati personali", cioè delle informazioni relative
alle persone fisiche e non anche a quelle giuridiche (se pure nella
limitata, specifica accezione di "contraenti"). Vero è che queste
ultime potrebbero eventualmente trovare soddisfazione alle proprie
pretese risarcitorie azionando gli ordinari rimedi giurisdizionali
dinanzi all'Autorità giudiziaria (ad es. ex art. 2043 cod. civ.), ma
in tal caso verrebbero private del favor indotto dalla previsione
dell'inversione dell'onere della prova disciplinata proprio dall'art.
15 del Codice per il tramite del richiamo esplicito all'art. 2050
cod. civ.
Ma dove il sistema attuale mostra con maggior evidenza le
denunciate carenze di coordinamento è con riguardo all'eventualità
nella quale i dati delle persone giuridiche, enti o associazioni da
utilizzare per finalità commerciali, anzichè dagli elenchi
telefonici (come previsto dalla fattispecie di cui all'art. 130,
commi 3-bis ss. del Codice), siano invece reperiti altrove (ad
esempio tratti da siti internet o da albi, atti o documenti pubblici
etc.). Al ricorrere di tale ipotesi, anche la telefonata promozionale
con operatore e, in prospettiva, la comunicazione pubblicitaria
cartacea potrebbero risultare estranee al sistema di adempimenti e
garanzie previsti dal Codice e quindi, nei confronti di tali
specifici trattamenti, i soggetti cui i dati si riferiscono
resterebbero privi di ogni pur minima tutela.
Ciò in quanto il trattamento dei dati che costituisce presupposto
di quei contatti promozionali, se effettuato nei confronti di persone
giuridiche, enti o associazioni, non risulta più soggetto agli
obblighi di preventivo rilascio dell'informativa ed acquisizione del
consenso. Manca, in effetti, la possibilità di ricondurlo alla
disciplina generale di cui agli artt. 23 e 24 del Codice,
testualmente applicabili esclusivamente agli interessati (cioè, ora,
alle persone fisiche).
Si ritiene, in definitiva, che le problematiche evidenziate rendano
opportuna un'ulteriore valutazione da parte del Parlamento e del
Governo tesa alla verifica dei presupposti per l'adozione degli
eventuali provvedimenti di competenza.

Tutto ciò premesso

il garante ai sensi dell'art. 154, comma 1, lett. b) ed h) del
Codice, ritiene che, a seguito della modifiche apportate al Codice
dall'art. 40, secondo comma, del d.l. n. 201/2011, continui a trovare
applicazione anche alle persone giuridiche, enti ed associazioni il
capo 1 del titolo X del Codice, rectius le disposizioni ivi contenute
che riguardano i "contraenti", a prescindere dal loro essere persone
fisiche ovvero giuridiche, enti ed associazioni.
Si dispone la trasmissione di copia del presente provvedimento al
Ministero della giustizia-Ufficio pubblicazione leggi e decreti, per
la sua pubblicazione nella Gazzetta Ufficiale della Repubblica
italiana.
Roma, 20 settembre 2012

Il presidente: Soro


Il relatore: Iannini


Il segretario generale: Busia