Serie Generale n. 99 del 29-4-2010
DECRETI E DELIBERE DI ALTRE AUTORITA'
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
PROVVEDIMENTO 1 aprile 2010
Trattamento dei dati personali degli abbonati in caso di number portability. (10A04921) (GU Serie Generale n.99 del 29-04-2010)

IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti,
presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del
dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del
dott. Daniele De Paoli, segretario generale reggente;
Vista la direttiva 2002/58/Ce del Parlamento europeo e del
Consiglio del 12 luglio 2002, relativa alla vita privata e alle
comunicazioni elettroniche;
Visto il Codice in materia di protezione dei dati personali
(decreto legislativo 30 giugno 2003, n. 196, di seguito «Codice»);
Visto il Codice delle comunicazioni elettroniche (decreto
legislativo 1° agosto 2003, n. 259);
Visto il provvedimento del Garante del 15 luglio 2004 (in
http://www.garanteprivacy.it/, doc. web n. 1032381) in materia di
elenchi telefonici «alfabetici» del servizio universale;
Viste le delibere dell'Autorità per le Garanzie nelle
comunicazioni n.78/08/CIR del 26 novembre 2008, n. 274/07/CONS del 6
giugno 2007 e sue successive modifiche e integrazioni, n.41/09/CIR
del 24 luglio 2009, n. 36/02/CONS del 6 febbraio 2002, n.180/02/CONS
del 13 giugno 2002 e n. 664/06/CONS del 23 novembre 2006;
Sentita l'Autorità per le garanzie nelle comunicazioni;
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000
del 28 giugno 2000;
Relatore il dott. Giuseppe Chiaravalloti;

Premesso:

Di seguito al provvedimento del Garante del 15 luglio 2004 (in
www.garanteprivacy.it, doc. web n. 1032381, di seguito,
«Provvedimento»), nonchè sulla base di quanto stabilito dalla
delibera dell'Autorità per le garanzie nelle comunicazioni del 6
febbraio 2002, n. 36/02/CONS (in Gazzetta Ufficiale del 26 marzo
2002, n. 72), il regime attualmente in vigore degli elenchi
telefonici prevede che «è consentita la sola formazione,
distribuzione e diffusione degli elenchi, in qualunque forma
realizzati, basati sulla consultazione e accesso alla base di dati
unica, e che è consentita la sola utilizzazione di elenchi
aggiornati» (così Allegato III, punto 1, del Provvedimento).
1. La base di dati unica (c.d. «DBU»).
Come noto, la base di dati unica alla quale fa riferimento il
Provvedimento (di seguito, indicata per brevità «DBU»), è quella
prevista dalla delibera AGCom sopra richiamata e consiste
«nell'insieme dei dati contenuti nelle base dati di tutti gli
operatori titolari di licenze per servizi di telecomunicazioni ai
quali risultino assegnate risorse di numerazione effettivamente
utilizzate» (art. 2, paragrafo 1).
Sono quindi i singoli operatori telefonici, in qualità di titolari
del trattamento, che curano l'inserimento dei dati dei propri
clienti, nonchè l'aggiornamento periodico degli stessi nel DBU. La
medesima delibera AGCom stabilisce che gli operatori sono
«responsabili dell'esattezza, della veridicità, integrità,
conformità alle manifestazioni di volontà degli interessati ed
aggiornamento dei dati trasmessi», come del resto confermato dal
Provvedimento (All. II, punto 2), nonchè dal «Protocollo d'intesa
tra operatori licenziatari di rete fissa e mobile relativo alla
costituzione e operatività della Base Dati Unica di cui alla
delibera AGCOM 36/02/CONS» del 29 aprile 2005.
L'inserimento nel DBU dei dati personali di abbonati e utenti
telefonici viene effettuato sulla base dei consensi espressi dagli
stessi in risposta al questionario contenuto nel modulo di
informativa e raccolta del consenso che ciascun operatore ha
sottoposto ai propri clienti per consentire loro di decidere se e con
quali informazioni essere presenti negli elenchi telefonici (v. All.
IV del Provvedimento).
Viceversa, in relazione ai «vecchi» abbonati alla telefonia fissa,
i cui nominativi erano già presenti negli elenchi precedentemente
pubblicati, il Provvedimento ha previsto una disciplina transitoria
per la quale, in assenza di risposta da parte degli stessi nel
termine di sessanta giorni dalla ricezione del predetto modulo,
sarebbero rimaste valide le manifestazioni di volontà eventualmente
espresse in passato (cfr. All. I, punto 7.1 e All. IV).
Come stabilito dal richiamato Protocollo d'intesa, il predetto DBU
può essere inoltre ceduto ad aziende terze da parte degli operatori,
i quali hanno affidato tale servizio a Telecom Italia S.p.A., Eutelia
S.p.A. e BT Italia S.p.A. In tali casi, naturalmente, i cessionari
sono tenuti a rispettare tutte le opzioni manifestate dagli
interessati ai propri operatori e registrate nel DBU dagli stessi,
anche sulla base degli aggiornamenti periodici che ricevono dagli
operatori cedenti.
2. Le richieste pervenute al Garante in merito ad alcune anomalie
riscontrate nel funzionamento del DBU.
In relazione al corretto funzionamento del DBU, sono pervenute al
Garante le richieste di tre società cessionarie dello stesso, che
operano nel settore dell'editoria di elenchi telefonici, nonchè in
quello della fornitura di informazioni sugli elenchi medesimi (Seat
Pagine Gialle S.p.A., Telextra S.r.l. e Addressvitt S.r.l.).
Tali società hanno evidenziato come, all'esito di alcune verifiche
dalle stesse effettuate (sollecitate anche da lamentele ricevute dai
propri consultatori/clienti) per la sistemazione formale dei dati
personali ricevuti in aggiornamento del DBU, sono state riscontrate
numerose anomalie in ordine alla numerosità e alla completezza dei
dati acquisiti.
Più precisamente, le società segnalanti hanno rappresentato che,
in un arco di tempo relativamente breve, si è registrato un
significativo decremento nelle utenze presenti nel DBU, che
prescinderebbe dalle manifestazioni di consenso espresse dagli
interessati. Ad esempio, nel periodo tra marzo e ottobre 2008, il DBU
si è ridotto di circa 500.000 unità, mentre nell'ultimo periodo
considerato (ottobre 2008 - gennaio 2009), altre 250.000 utenze circa
sono risultate mancanti.
Inoltre, sotto il profilo della congruità dei dati presenti nel
DBU, le segnalanti hanno comunicato di aver riscontrato la mancanza
degli indirizzi postali di utenti che avrebbero dato il consenso al
trattamento dei dati per invio di materiale pubblicitario al loro
domicilio postale; l'attribuzione ad alcune città di CAP, prefissi e
indicazione della provincia incongruenti; la presenza di numerosi
errori di digitazione.
2.1. L'inserimento dei dati nel DBU in caso di cambio del gestore.
Il fenomeno, sul quale maggiormente si è appuntata l'attenzione
delle società segnalanti, è stato quello della riduzione del numero
degli abbonati inseriti nel DBU. Esso è stato ricondotto dalle
segnalanti stesse alla mancata compilazione del modulo di cui
all'Allegato IV del Provvedimento da parte degli abbonati,
nell'ipotesi in cui questi cambino operatore telefonico.
Ciò, anche in relazione a quanto previsto dalla delibera
dell'AGCom del 23 novembre 2006, n. 664/06/CONS (in Gazzetta
Ufficiale del 27 dicembre 2006, n. 299), che ha semplificato i flussi
di migrazione tra operatori, rendendo loro possibile l'acquisizione
di nuovi clienti anche attraverso il mero contatto telefonico,
seguito poi da una conferma scritta del contratto tramite
compilazione, da parte del nuovo cliente, di un apposito modulo, che
deve essere inviato al cliente «prima o al più tardi al momento
dell'inizio dell'esecuzione del contratto (...) concluso a distanza»
(cfr. art. 2, comma 6, Allegato A, della delibera sopra citata). In
modo analogo, deve essere inviato ai nuovi clienti anche il modulo di
cui all'All. IV del Provvedimento, per l'acquisizione del consenso
all'inserimento dei dati del cliente nel DBU e negli elenchi
telefonici.
Nel corso dell'istruttoria è emerso che il ritorno di tali moduli
è di norma molto esiguo, anche in ragione del fatto che mentre
alcuni operatori lo inviano ai nuovi clienti contestualmente al
contratto, altri si limitano a renderlo disponibile sul proprio sito
web o ne demandano la consegna agli interessati al rivenditore di
telefonia (c.d. dealer). Ciò contribuirebbe a determinare le
anomalie nel funzionamento del DBU sopra delineate.
2.2. Il trattamento dei dati personali in caso di number
portability (NP).
Le segnalanti (Seat in particolare) hanno rappresentato
all'Autorità che le difficoltà sopra descritte nella raccolta dei
moduli per l'acquisizione dei consensi al trattamento dei dati
personali e, in particolare, alla pubblicazione dei dati stessi nel
DBU potrebbero essere superate quantomeno nell'ambito dei casi di
cambio del gestore telefonico da parte del cliente con contestuale
richiesta di mantenere in uso il precedente numero telefonico (number
portability - NP).
Esse hanno pertanto proposto una «interpretazione aggiornata delle
norme sulla privacy», basata sulla considerazione che di norma il
cambio di gestore telefonico è motivato da ragioni diverse dalla
volontà di modificare le opzioni espresse in passato in merito
all'inserimento dei dati nel DBU e negli elenchi, ma che vanno
ricondotte ad offerte economiche, qualità del servizio prestato,
ecc.
Secondo tale interpretazione, dovrebbe essere consentito «il
mantenimento del consenso già espresso e registrato in DBU anche in
caso di NP», pur ribadendo contemporaneamente «la garanzia del pieno
diritto dell'abbonato di modificare in qualunque momento e
gratuitamente il consenso precedentemente espresso». A supporto della
stessa, le segnalanti - Seat in particolare ‑ hanno messo in evidenza
il fatto che, contrariamente a quanto ritenuto dagli operatori
telefonici, nei provvedimenti del Garante non vi sarebbe l'esplicita
previsione di un obbligo per il nuovo gestore telefonico, che
acquisisce un cliente con NP da un gestore precedente, di richiedere
una nuova esplicita manifestazione di consenso dello stesso
all'inserimento dei suoi dati nel DBU.
3. I clienti che cambiano con number portability assimilabili ai
«vecchi» clienti del Provvedimento.
In merito a quanto sopra evidenziato, si rappresenta che, nel caso
in cui un soggetto attivi una nuova utenza telefonica, fissa o
mobile, con un operatore diverso dal precedente ‑indipendentemente
dal fatto che il «vecchio» contratto di fornitura sia mantenuto in
vita o meno‑ il nuovo operatore, in qualità di titolare del
trattamento, è tenuto a sottoporre al cliente il modulo di
informativa e raccolta del consenso, di cui all'Allegato IV del
Provvedimento.
In tale ipotesi, infatti, si instaura un nuovo rapporto di
fornitura di servizi telefonici e il cliente deve essere messo in
condizione di scegliere liberamente e consapevolmente in quali
termini disciplinare il trattamento dei propri dati personali nei
confronti del nuovo titolare, con particolare riferimento
all'inserimento degli stessi nel DBU e alla conseguente pubblicazione
negli elenchi telefonici.
Come noto, però, l'interessato/cliente, al momento
dell'attivazione di una nuova utenza con un operatore diverso da
quello precedente, può anche decidere di conservare il numero
telefonico che gli era stato in precedenza assegnato, chiedendo la
number portability (NP), ossia l'attribuzione del vecchio numero alla
nuova utenza.
Anche in questo caso si verifica un'importante modifica nel
rapporto di fornitura del servizio, poichè cambia il titolare del
trattamento. Pertanto, anche in tale evenienza gli operatori sono
tenuti a sottoporre all'attenzione dei propri clienti il modello di
informativa e richiesta di consenso di cui all'Allegato IV del
Provvedimento, come del resto stabilito anche dall'art. 1, comma 4,
della delibera 36/02/CONS dell'AGCom, nonchè dall'art. 2, comma 2 e
art. 4, comma 2, della delibera n. 180/02/CONS, citate.
Tuttavia, in ragione del fatto che nella predetta ipotesi il numero
telefonico non cambia e che, quindi, restano invariati tutti gli
elementi oggetto di pubblicazione negli elenchi, si ritiene che i
clienti che cambiano operatore con number portability, possano essere
assimilati ai «vecchi» clienti presi in considerazione dal
Provvedimento, ossia quei soggetti i cui nominativi erano già
presenti negli elenchi pubblicati prima dell'entrata in vigore del
nuovo regime degli elenchi telefonici.
Infatti, anche i predetti soggetti hanno già espresso in passato
al proprio operatore le manifestazioni di volontà in merito
all'inserimento nel DBU e, conseguentemente, negli elenchi, dei dati
personali che li riguardano. Si ritiene, pertanto, che per tali
soggetti il nuovo operatore telefonico possa mantenere invariate le
opzioni scelte in passato, in assenza di risposta al suindicato
questionario nel termine di sessanta giorni dalla ricezione dello
stesso. Resta ferma, naturalmente, la possibilità per i medesimi
soggetti di manifestare in qualunque momento una diversa volontà,
rivolgendosi anche successivamente al nuovo operatore.
Quanto alla concreta operatività del sistema sopra delineato, si
ricorda che, in caso di passaggio di un cliente ad un nuovo operatore
con number portability (c.d. operatore «recipient») ‑essendo
quest'ultimo a ricevere la relativa richiesta contestualmente alla
richiesta di attivazione del nuovo servizio telefonico (abbonamento o
scheda prepagata che sia), in qualità di «esclusivo titolare del
trattamento dei dati personali conferiti dagli abbonati "portati"
sulla propria rete» (cfr. art. 1, comma 2, delibera n. 180/02/CONS)‑
lo stesso è tenuto a comunicare l'avvenuta richiesta all'operatore
originario (c.d. donor o donating). Solo dopo aver ricevuto tale
comunicazione, il donor provvede alla cancellazione dell'utente
«portato» dalla propria base di dati relativa agli elenchi di
abbonati (cfr. art. 10, comma 2, delibera AGCom n. 78/08/CIR,
delibera AGCom n. 274/07/CONS e s.m.i. e art. 7, delibera AGCom n.
41/09/CIR).

Tutto ciò premesso il garante

A. ai sensi degli articoli 143, comma 1. lettera b) e 154, comma 1,
lettera c) del Codice dispone che gli abbonati che cambiano operatore
telefonico richiedendo la conservazione del loro numero (c.d. number
portability), i quali non rispondano al questionario di cui
all'Allegato IV del provvedimento del Garante del 15 luglio 2004
entro sessanta giorni dalla ricezione dello stesso, conservino le
opzioni relative all'inserimento dei loro dati nella base di dati
unica di cui alla delibera AGCom n. 36/02/CONS e negli elenchi
manifestate al precedente operatore;
B. dispone la trasmissione di copia del presente provvedimento al
Ministero della giustizia-Ufficio pubblicazione leggi e decreti, per
la sua pubblicazione sulla Gazzetta Ufficiale della Repubblica
italiana.
Roma, 1° aprile 2010

Il presidente: Pizzetti


Il relatore: Chiaravalloti


Il segretario generale reggente: De Paoli