Gazzetta n. 66 del 20 marzo 2009 (vai al sommario) GARANTE PER LA PROTEZIONE DEI DATI PERSONALI PROVVEDIMENTO 12 marzo 2009 Prescrizioni ai titiolari di banche dati costituite sulla base di elenchi telefonici formati prima del 1° agosto 2005 a seguito della deroga introdotta dall'articolo 44 del decreto-legge 30 dicembre 2008, n. 207. IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del cons. Filippo Patroni Griffi, segretario generale; Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito «Codice»); Visto l'art. 129, comma 2, del Codice che, in attuazione della disciplina comunitaria e, in particolare, della direttiva 2002/58/Ce, ha individuato nella «mera ricerca dell'abbonato per comunicazioni interpersonali» la finalita' primaria degli elenchi telefonici realizzati in qualunque forma; Considerato che tale disposizione ribadisce che il trattamento dei dati inseriti negli elenchi, se realizzato per fini ulteriori tra cui rientrano quelli pubblicitari, promozionali o commerciali, e' lecito solo se e' effettuato con il consenso espresso liberamente e specificamente dagli interessati, documentato per iscritto e previa informativa; Visto il provvedimento del 15 luglio 2004 (in http://www.garanteprivacy.it/, doc. web n. 1032381) con il quale l'Autorita' ha individuato le modalita' di inserimento e di successivo utilizzo dei dati personali relativi agli abbonati e agli acquirenti del traffico prepagato negli elenchi telefonici «alfabetici» del servizio universale, realizzati in qualsiasi forma, in rapporto alle diverse finalita' sopraindicate, anche in rapporto all'informativa; Visto il provvedimento del 14 luglio 2005 (in http://www.garanteprivacy.it/, doc. web n. 1151640) con il quale l'Autorita' ha individuato procedure semplificate per la redazione e l'utilizzo degli elenchi organizzati per categorie merceologiche/professionali (c.d. elenchi «categorici»); Rilevato che la disciplina in materia di protezione dei dati personali prevede la possibilita' di utilizzare, per attivita' di carattere promozionale, pubblicitario o commerciale, alcune categorie di dati e, in particolare: a) quelli presenti negli elenchi c.d. “alfabetici” per i quali l'interessato ha manifestato il proprio consenso (Provv. 15 luglio 2004 cit.); b) quelli presenti negli elenchi c.d. “categorici” (Provv. 14 luglio 2005 cit.); c) quelli presenti nelle banche dati costituite utilizzando anche dati estratti da elenchi telefonici formati precedentemente al 1° agosto 2005, sempre che il titolare del trattamento sia in grado di dimostrare di aver fornito effettivamente, prima di tale data, l'informativa agli interessati ai sensi dell'art.13 del Codice; Rilevato che resta impregiudicato quanto previsto dall'art.130 del Codice riguardo alle attivita' promozionali effettuate attraverso sistemi automatizzati di chiamata senza l'intervento di un operatore, per le quali e' sempre necessario il consenso espresso dell'interessato; Visto l'art. 44, comma 1-bis del decreto-legge 30 dicembre 2008, n. 207, convertito, con modificazioni, nella legge 27 febbraio 2009, n. 14 (in G.U. n. 28L del 28 febbraio 2009), che ha stabilito che i dati personali presenti nelle banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 sono lecitamente utilizzabili per fini promozionali sino al 31 dicembre 2009, anche in deroga agli articoli 13 e 23 del Codice, dai soli titolari del trattamento che hanno provveduto a costituire dette banche dati prima del 1° agosto 2005; Considerato che la predetta previsione ha introdotto una deroga temporanea ai principi generali della vigente disciplina sopra richiamata che, in quanto tale, cessa alla scadenza del 31 dicembre 2009 e non istituisce, invece, un regime speciale applicabile anche successivamente a tale data; Considerato che la deroga in questione e' subordinata al contemporaneo verificarsi di due condizioni, ossia che le banche dati siano state costituite prima del 1° agosto 2005 e che i dati in esse presenti vengano utilizzati per finalita' promozionali esclusivamente dagli stessi titolari che le hanno a suo tempo costituite; Considerato che la stessa deroga ha posto quindi un vincolo di finalita' e un vincolo di carattere temporale nell'utilizzo delle predette banche dati, rappresentato dallo svolgimento di attivita' di carattere promozionale sino al 31 dicembre 2009 e che, quindi, i dati personali presenti nelle predette banche dati non possono essere utilizzati, in vigenza del regime derogatorio, per finalita' ulteriori e al di fuori dell'ambito temporale di operativita' della deroga; Ritenuto, pertanto, che rendere una informativa e acquisire un consenso, nel predetto periodo, finalizzati alla costituzione di una banca dati da utilizzare per attivita' promozionali anche in data successiva al 31 dicembre 2009, costituisce una attivita' ulteriore rispetto ai vincoli di finalita' e di ordine temporale indicati nella norma derogatoria e transitoria; Considerato, inoltre, che l'informativa, ove resa agli interessati nel corso del predetto periodo, non renderebbe lecita la costituzione di una banca dati utilizzabile per attivita' di carattere promozionale, come avveniva anteriormente al 1° agosto 2005; Considerato, poi, in ragione del predetto vincolo di finalita' introdotto per il periodo transitorio, che il consenso, anche laddove fosse acquisito in vigenza della deroga, non rileverebbe in alcun modo per lo svolgimento di attivita' promozionali o per lo svolgimento di altre attivita' per le quali e' necessario acquisirlo, anche in data successiva al 31 dicembre 2009; Considerato, dunque, che una banca dati potrebbe essere utilizzata per attivita' promozionali, successivamente al 31 dicembre 2009, solo se formata nel rispetto della disciplina ordinaria, atteso che la disciplina derogatoria e transitoria cessa alla predetta data e, come gia' rilevato, costituisce una deroga di carattere temporaneo alla disciplina generale e non istituisce un regime speciale applicabile anche successivamente alla scadenza indicata; Considerato inoltre che, in ragione di quanto detto, i dati personali presenti nelle banche dati considerate dalla norma derogatoria e transitoria, non possono essere ceduti, a qualunque titolo, a terzi; Considerato che, in relazione all'attuale utilizzo delle predette banche dati per finalita' promozionali, resta comunque impregiudicata la disciplina generale prevista dal Codice e, in particolare, quella relativa ai diritti degli interessati; e che, pertanto, le predette banche dati non possono contenere i dati degli interessati che, nel corso del tempo, abbiano esercitato il diritto di opposizione ai sensi dell'art. 7 del Codice; Ritenuta la necessita' di prescrivere ai titolari del trattamento, ai sensi dell'art. 143, comma 1, lett. b) e art.154, comma 1, lett. c) del Codice, le misure necessarie per rendere il trattamento conforme alle disposizioni vigenti, anche in considerazione delle recenti modifiche normative; Tenuto conto che, ai sensi dell'art. 162, comma 2-ter del Codice, in caso di inosservanza del presente provvedimento prescrittivo, e' applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila euro a centottantamila euro; Tenuto conto, inoltre, che, ai sensi dell'art. 164-bis, comma 2, del Codice, in caso di piu' violazioni di un'unica o di piu' disposizioni relative a violazioni amministrative, commesse anche in tempi diversi in relazione a banche di dati di particolare rilevanza o dimensioni, si applica la sanzione amministrativa del pagamento di una somma da cinquantamila euro a trecentomila euro; Tenuto conto, infine, che ai sensi dell'art. 168 del Codice, chiunque, in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, e' punito, salvo che il fatto costituisca piu' grave reato, con la reclusione da sei mesi a tre anni; Vista la documentazione in atti; Viste le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000; Relatore il prof. Francesco Pizzetti; Tutto cio premesso il garante ai sensi degli artt. 143, comma 1, lett. b) e154, comma 1, lett. c) del Codice, prescrive a tutti i titolari del trattamento che siano in possesso di banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 e che intendano utilizzarle per fini promozionali avvalendosi della deroga introdotta dalla legge 27 febbraio 2009, n. 14, le seguenti misure necessarie per rendere il trattamento conforme alle disposizioni vigenti: documentare in modo adeguato l'avvenuta costituzione della banca dati prima del 1° agosto 2005 e conservare la relativa documentazione presso la sede legale del titolare; trattare direttamente i dati personali presenti nelle banche dati oggetto del presente provvedimento, senza possibilita' di cederli, a qualunque titolo, a terzi; specificare, in occasione di ogni contatto con gli interessati, chi rivesta la qualifica di titolare del trattamento dei dati, anche nel caso in cui questi operi per conto di terzi e fare presente agli interessati stessi che hanno il diritto di opporsi ai sensi dell'art. 7 del Codice; registrare in via immediata l'eventuale opposizione dell'interessato al trattamento dei suoi dati personali effettuato dal titolare (art. 7, comma 4, del Codice), con effetto anche nei confronti dei terzi per conto dei quali questo operi, anche qualora cio' avvenga telefonicamente, e fornire altresi' all'interessato l'identificativo dell'operatore o dell'operazione compiuta; utilizzare i dati personali presenti nelle banche dati di cui alla lett. a) esclusivamente per finalita' promozionali e sino al 31 dicembre 2009, non potendo i titolari rendere un'informativa agli interessati e richiedere agli stessi un consenso per l'uso dei loro dati per attivita' di carattere promozionale da effettuare in data successiva al 31 dicembre 2009; comunicare al Garante, entro quindici giorni dalla pubblicazione in Gazzetta Ufficiale del presente provvedimento, di essere in possesso di banche dati costituite anteriormente al 1° agosto 2005 che si intendono utilizzare per attivita' promozionali fino al 31 dicembre 2009, chiarendo se il trattamento dei dati personali venga effettuato anche per conto di terzi. Si dispone la trasmissione di copia del presente provvedimento al Ministero della giustizia-Ufficio pubblicazione leggi e decreti, per la sua pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana. Roma, 12 marzo 2009 Il presidente e relatore: Pizzetti Il segretario generale: Patroni Griffi