GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
PROVVEDIMENTO 12 marzo 2009
Prescrizioni ai titiolari di banche dati costituite sulla base di
elenchi telefonici formati prima del 1° agosto 2005 a seguito della
deroga introdotta dall'articolo 44 del decreto-legge 30 dicembre
2008, n. 207.
IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI
Nella riunione odierna, in presenza del prof. Francesco Pizzetti,
presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del
dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del
cons. Filippo Patroni Griffi, segretario generale;
Visto il Codice in materia di protezione dei dati personali (d.lg.
30 giugno 2003, n. 196, di seguito "Codice");
Visto l'art. 129, comma 2, del Codice che, in attuazione della
disciplina comunitaria e, in particolare, della direttiva 2002/58/Ce,
ha individuato nella "mera ricerca dell'abbonato per comunicazioni
interpersonali" la finalita' primaria degli elenchi telefonici
realizzati in qualunque forma;
Considerato che tale disposizione ribadisce che il trattamento dei
dati inseriti negli elenchi, se realizzato per fini ulteriori tra cui
rientrano quelli pubblicitari, promozionali o commerciali, e' lecito
solo se e' effettuato con il consenso espresso liberamente e
specificamente dagli interessati, documentato per iscritto e previa
informativa;
Visto il provvedimento del 15 luglio 2004 (in
http://www.garanteprivacy.it/, doc. web n. 1032381) con il quale
l'Autorita' ha individuato le modalita' di inserimento e di
successivo utilizzo dei dati personali relativi agli abbonati e agli
acquirenti del traffico prepagato negli elenchi telefonici
"alfabetici" del servizio universale, realizzati in qualsiasi forma,
in rapporto alle diverse finalita' sopraindicate, anche in rapporto
all'informativa;
Visto il provvedimento del 14 luglio 2005 (in
http://www.garanteprivacy.it/, doc. web n. 1151640) con il quale
l'Autorita' ha individuato procedure semplificate per la redazione e
l'utilizzo degli elenchi organizzati per categorie
merceologiche/professionali (c.d. elenchi "categorici");
Rilevato che la disciplina in materia di protezione dei dati
personali prevede la possibilita' di utilizzare, per attivita' di
carattere promozionale, pubblicitario o commerciale, alcune categorie
di dati e, in particolare: a) quelli presenti negli elenchi c.d.
"alfabetici" per i quali l'interessato ha manifestato il
proprio consenso (Provv. 15 luglio 2004 cit.); b) quelli presenti
negli elenchi c.d. "categorici" (Provv. 14 luglio 2005
cit.); c) quelli presenti nelle banche dati costituite utilizzando
anche dati estratti da elenchi telefonici formati precedentemente al
1° agosto 2005, sempre che il titolare del trattamento sia in grado
di dimostrare di aver fornito effettivamente, prima di tale data,
l'informativa agli interessati ai sensi dell'art.13 del Codice;
Rilevato che resta impregiudicato quanto previsto dall'art.130 del
Codice riguardo alle attivita' promozionali effettuate attraverso
sistemi automatizzati di chiamata senza l'intervento di un operatore,
per le quali e' sempre necessario il consenso espresso
dell'interessato;
Visto l'art. 44, comma 1-bis del decreto-legge 30 dicembre 2008, n.
207, convertito, con modificazioni, nella legge 27 febbraio 2009, n.
14 (in G.U. n. 28L del 28 febbraio 2009), che ha stabilito che i dati
personali presenti nelle banche dati costituite sulla base di elenchi
telefonici pubblici formati prima del 1° agosto 2005 sono lecitamente
utilizzabili per fini promozionali sino al 31 dicembre 2009, anche in
deroga agli articoli 13 e 23 del Codice, dai soli titolari del
trattamento che hanno provveduto a costituire dette banche dati prima
del 1° agosto 2005;
Considerato che la predetta previsione ha introdotto una deroga
temporanea ai principi generali della vigente disciplina sopra
richiamata che, in quanto tale, cessa alla scadenza del 31 dicembre
2009 e non istituisce, invece, un regime speciale applicabile anche
successivamente a tale data;
Considerato che la deroga in questione e' subordinata al
contemporaneo verificarsi di due condizioni, ossia che le banche dati
siano state costituite prima del 1° agosto 2005 e che i dati in esse
presenti vengano utilizzati per finalita' promozionali esclusivamente
dagli stessi titolari che le hanno a suo tempo costituite;
Considerato che la stessa deroga ha posto quindi un vincolo di
finalita' e un vincolo di carattere temporale nell'utilizzo delle
predette banche dati, rappresentato dallo svolgimento di attivita' di
carattere promozionale sino al 31 dicembre 2009 e che, quindi, i dati
personali presenti nelle predette banche dati non possono essere
utilizzati, in vigenza del regime derogatorio, per finalita'
ulteriori e al di fuori dell'ambito temporale di operativita' della
deroga;
Ritenuto, pertanto, che rendere una informativa e acquisire un
consenso, nel predetto periodo, finalizzati alla costituzione di una
banca dati da utilizzare per attivita' promozionali anche in data
successiva al 31 dicembre 2009, costituisce una attivita' ulteriore
rispetto ai vincoli di finalita' e di ordine temporale indicati nella
norma derogatoria e transitoria;
Considerato, inoltre, che l'informativa, ove resa agli interessati
nel corso del predetto periodo, non renderebbe lecita la costituzione
di una banca dati utilizzabile per attivita' di carattere
promozionale, come avveniva anteriormente al 1° agosto 2005;
Considerato, poi, in ragione del predetto vincolo di finalita'
introdotto per il periodo transitorio, che il consenso, anche laddove
fosse acquisito in vigenza della deroga, non rileverebbe in alcun
modo per lo svolgimento di attivita' promozionali o per lo
svolgimento di altre attivita' per le quali e' necessario acquisirlo,
anche in data successiva al 31 dicembre 2009;
Considerato, dunque, che una banca dati potrebbe essere utilizzata
per attivita' promozionali, successivamente al 31 dicembre 2009, solo
se formata nel rispetto della disciplina ordinaria, atteso che la
disciplina derogatoria e transitoria cessa alla predetta data e, come
gia' rilevato, costituisce una deroga di carattere temporaneo alla
disciplina generale e non istituisce un regime speciale applicabile
anche successivamente alla scadenza indicata;
Considerato inoltre che, in ragione di quanto detto, i dati
personali presenti nelle banche dati considerate dalla norma
derogatoria e transitoria, non possono essere ceduti, a qualunque
titolo, a terzi;
Considerato che, in relazione all'attuale utilizzo delle predette
banche dati per finalita' promozionali, resta comunque impregiudicata
la disciplina generale prevista dal Codice e, in particolare, quella
relativa ai diritti degli interessati; e che, pertanto, le predette
banche dati non possono contenere i dati degli interessati che, nel
corso del tempo, abbiano esercitato il diritto di opposizione ai
sensi dell'art. 7 del Codice;
Ritenuta la necessita' di prescrivere ai titolari del trattamento,
ai sensi dell'art. 143, comma 1, lett. b) e art.154, comma 1, lett.
c) del Codice, le misure necessarie per rendere il trattamento
conforme alle disposizioni vigenti, anche in considerazione delle
recenti modifiche normative;
Tenuto conto che, ai sensi dell'art. 162, comma 2-ter del Codice,
in caso di inosservanza del presente provvedimento prescrittivo, e'
applicata in sede amministrativa, in ogni caso, la sanzione del
pagamento di una somma da trentamila euro a centottantamila euro;
Tenuto conto, inoltre, che, ai sensi dell'art. 164-bis, comma 2,
del Codice, in caso di piu' violazioni di un'unica o di piu'
disposizioni relative a violazioni amministrative, commesse anche in
tempi diversi in relazione a banche di dati di particolare rilevanza
o dimensioni, si applica la sanzione amministrativa del pagamento di
una somma da cinquantamila euro a trecentomila euro;
Tenuto conto, infine, che ai sensi dell'art. 168 del Codice,
chiunque, in comunicazioni, atti, documenti o dichiarazioni resi o
esibiti in un procedimento dinanzi al Garante o nel corso di
accertamenti, dichiara o attesta falsamente notizie o circostanze o
produce atti o documenti falsi, e' punito, salvo che il fatto
costituisca piu' grave reato, con la reclusione da sei mesi a tre
anni;
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio, formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000
del 28 giugno 2000;
Relatore il prof. Francesco Pizzetti;
Tutto cio premesso il garante
ai sensi degli artt. 143, comma 1, lett. b) e154, comma 1, lett. c)
del Codice, prescrive a tutti i titolari del trattamento che siano in
possesso di banche dati costituite sulla base di elenchi telefonici
pubblici formati prima del 1° agosto 2005 e che intendano utilizzarle
per fini promozionali avvalendosi della deroga introdotta dalla legge
27 febbraio 2009, n. 14, le seguenti misure necessarie per rendere il
trattamento conforme alle disposizioni vigenti:
documentare in modo adeguato l'avvenuta costituzione della banca
dati prima del 1° agosto 2005 e conservare la relativa documentazione
presso la sede legale del titolare;
trattare direttamente i dati personali presenti nelle banche dati
oggetto del presente provvedimento, senza possibilita' di cederli, a
qualunque titolo, a terzi;
specificare, in occasione di ogni contatto con gli interessati, chi
rivesta la qualifica di titolare del trattamento dei dati, anche nel
caso in cui questi operi per conto di terzi e fare presente agli
interessati stessi che hanno il diritto di opporsi ai sensi dell'art.
7 del Codice;
registrare in via immediata l'eventuale opposizione
dell'interessato al trattamento dei suoi dati personali effettuato
dal titolare (art. 7, comma 4, del Codice), con effetto anche nei
confronti dei terzi per conto dei quali questo operi, anche qualora
cio' avvenga telefonicamente, e fornire altresi' all'interessato
l'identificativo dell'operatore o dell'operazione compiuta;
utilizzare i dati personali presenti nelle banche dati di cui alla
lett. a) esclusivamente per finalita' promozionali e sino al 31
dicembre 2009, non potendo i titolari rendere un'informativa agli
interessati e richiedere agli stessi un consenso per l'uso dei loro
dati per attivita' di carattere promozionale da effettuare in data
successiva al 31 dicembre 2009;
comunicare al Garante, entro quindici giorni dalla pubblicazione in
Gazzetta Ufficiale del presente provvedimento, di essere in possesso
di banche dati costituite anteriormente al 1° agosto 2005 che si
intendono utilizzare per attivita' promozionali fino al 31 dicembre
2009, chiarendo se il trattamento dei dati personali venga effettuato
anche per conto di terzi.
Si dispone la trasmissione di copia del presente provvedimento al
Ministero della giustizia-Ufficio pubblicazione leggi e decreti, per
la sua pubblicazione sulla Gazzetta Ufficiale della Repubblica
italiana.
Roma, 12 marzo 2009
Il presidente e relatore: Pizzetti
Il segretario generale: Patroni Griffi
