Gazzetta n. 99 del 29 aprile 2010 (vai al sommario) GARANTE PER LA PROTEZIONE DEI DATI PERSONALI PROVVEDIMENTO 1 aprile 2010 Trattamento dei dati personali degli abbonati in caso di number portability. IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale reggente; Vista la direttiva 2002/58/Ce del Parlamento europeo e del Consiglio del 12 luglio 2002, relativa alla vita privata e alle comunicazioni elettroniche; Visto il Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196, di seguito «Codice»); Visto il Codice delle comunicazioni elettroniche (decreto legislativo 1° agosto 2003, n. 259); Visto il provvedimento del Garante del 15 luglio 2004 (in http://www.garanteprivacy.it/, doc. web n. 1032381) in materia di elenchi telefonici «alfabetici» del servizio universale; Viste le delibere dell'Autorita' per le Garanzie nelle comunicazioni n.78/08/CIR del 26 novembre 2008, n. 274/07/CONS del 6 giugno 2007 e sue successive modifiche e integrazioni, n.41/09/CIR del 24 luglio 2009, n. 36/02/CONS del 6 febbraio 2002, n.180/02/CONS del 13 giugno 2002 e n. 664/06/CONS del 23 novembre 2006; Sentita l'Autorita' per le garanzie nelle comunicazioni; Vista la documentazione in atti; Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000; Relatore il dott. Giuseppe Chiaravalloti; Premesso: Di seguito al provvedimento del Garante del 15 luglio 2004 (in www.garanteprivacy.it, doc. web n. 1032381, di seguito, «Provvedimento»), nonche' sulla base di quanto stabilito dalla delibera dell'Autorita' per le garanzie nelle comunicazioni del 6 febbraio 2002, n. 36/02/CONS (in Gazzetta Ufficiale del 26 marzo 2002, n. 72), il regime attualmente in vigore degli elenchi telefonici prevede che «e' consentita la sola formazione, distribuzione e diffusione degli elenchi, in qualunque forma realizzati, basati sulla consultazione e accesso alla base di dati unica, e che e' consentita la sola utilizzazione di elenchi aggiornati» (cosi' Allegato III, punto 1, del Provvedimento). 1. La base di dati unica (c.d. «DBU»). Come noto, la base di dati unica alla quale fa riferimento il Provvedimento (di seguito, indicata per brevita' «DBU»), e' quella prevista dalla delibera AGCom sopra richiamata e consiste «nell'insieme dei dati contenuti nelle base dati di tutti gli operatori titolari di licenze per servizi di telecomunicazioni ai quali risultino assegnate risorse di numerazione effettivamente utilizzate» (art. 2, paragrafo 1). Sono quindi i singoli operatori telefonici, in qualita' di titolari del trattamento, che curano l'inserimento dei dati dei propri clienti, nonche' l'aggiornamento periodico degli stessi nel DBU. La medesima delibera AGCom stabilisce che gli operatori sono «responsabili dell'esattezza, della veridicita', integrita', conformita' alle manifestazioni di volonta' degli interessati ed aggiornamento dei dati trasmessi», come del resto confermato dal Provvedimento (All. II, punto 2), nonche' dal «Protocollo d'intesa tra operatori licenziatari di rete fissa e mobile relativo alla costituzione e operativita' della Base Dati Unica di cui alla delibera AGCOM 36/02/CONS» del 29 aprile 2005. L'inserimento nel DBU dei dati personali di abbonati e utenti telefonici viene effettuato sulla base dei consensi espressi dagli stessi in risposta al questionario contenuto nel modulo di informativa e raccolta del consenso che ciascun operatore ha sottoposto ai propri clienti per consentire loro di decidere se e con quali informazioni essere presenti negli elenchi telefonici (v. All. IV del Provvedimento). Viceversa, in relazione ai «vecchi» abbonati alla telefonia fissa, i cui nominativi erano gia' presenti negli elenchi precedentemente pubblicati, il Provvedimento ha previsto una disciplina transitoria per la quale, in assenza di risposta da parte degli stessi nel termine di sessanta giorni dalla ricezione del predetto modulo, sarebbero rimaste valide le manifestazioni di volonta' eventualmente espresse in passato (cfr. All. I, punto 7.1 e All. IV). Come stabilito dal richiamato Protocollo d'intesa, il predetto DBU puo' essere inoltre ceduto ad aziende terze da parte degli operatori, i quali hanno affidato tale servizio a Telecom Italia S.p.A., Eutelia S.p.A. e BT Italia S.p.A. In tali casi, naturalmente, i cessionari sono tenuti a rispettare tutte le opzioni manifestate dagli interessati ai propri operatori e registrate nel DBU dagli stessi, anche sulla base degli aggiornamenti periodici che ricevono dagli operatori cedenti. 2. Le richieste pervenute al Garante in merito ad alcune anomalie riscontrate nel funzionamento del DBU. In relazione al corretto funzionamento del DBU, sono pervenute al Garante le richieste di tre societa' cessionarie dello stesso, che operano nel settore dell'editoria di elenchi telefonici, nonche' in quello della fornitura di informazioni sugli elenchi medesimi (Seat Pagine Gialle S.p.A., Telextra S.r.l. e Addressvitt S.r.l.). Tali societa' hanno evidenziato come, all'esito di alcune verifiche dalle stesse effettuate (sollecitate anche da lamentele ricevute dai propri consultatori/clienti) per la sistemazione formale dei dati personali ricevuti in aggiornamento del DBU, sono state riscontrate numerose anomalie in ordine alla numerosita' e alla completezza dei dati acquisiti. Piu' precisamente, le societa' segnalanti hanno rappresentato che, in un arco di tempo relativamente breve, si e' registrato un significativo decremento nelle utenze presenti nel DBU, che prescinderebbe dalle manifestazioni di consenso espresse dagli interessati. Ad esempio, nel periodo tra marzo e ottobre 2008, il DBU si e' ridotto di circa 500.000 unita', mentre nell'ultimo periodo considerato (ottobre 2008 - gennaio 2009), altre 250.000 utenze circa sono risultate mancanti. Inoltre, sotto il profilo della congruita' dei dati presenti nel DBU, le segnalanti hanno comunicato di aver riscontrato la mancanza degli indirizzi postali di utenti che avrebbero dato il consenso al trattamento dei dati per invio di materiale pubblicitario al loro domicilio postale; l'attribuzione ad alcune citta' di CAP, prefissi e indicazione della provincia incongruenti; la presenza di numerosi errori di digitazione. 2.1. L'inserimento dei dati nel DBU in caso di cambio del gestore. Il fenomeno, sul quale maggiormente si e' appuntata l'attenzione delle societa' segnalanti, e' stato quello della riduzione del numero degli abbonati inseriti nel DBU. Esso e' stato ricondotto dalle segnalanti stesse alla mancata compilazione del modulo di cui all'Allegato IV del Provvedimento da parte degli abbonati, nell'ipotesi in cui questi cambino operatore telefonico. Cio', anche in relazione a quanto previsto dalla delibera dell'AGCom del 23 novembre 2006, n. 664/06/CONS (in Gazzetta Ufficiale del 27 dicembre 2006, n. 299), che ha semplificato i flussi di migrazione tra operatori, rendendo loro possibile l'acquisizione di nuovi clienti anche attraverso il mero contatto telefonico, seguito poi da una conferma scritta del contratto tramite compilazione, da parte del nuovo cliente, di un apposito modulo, che deve essere inviato al cliente «prima o al piu' tardi al momento dell'inizio dell'esecuzione del contratto (...) concluso a distanza» (cfr. art. 2, comma 6, Allegato A, della delibera sopra citata). In modo analogo, deve essere inviato ai nuovi clienti anche il modulo di cui all'All. IV del Provvedimento, per l'acquisizione del consenso all'inserimento dei dati del cliente nel DBU e negli elenchi telefonici. Nel corso dell'istruttoria e' emerso che il ritorno di tali moduli e' di norma molto esiguo, anche in ragione del fatto che mentre alcuni operatori lo inviano ai nuovi clienti contestualmente al contratto, altri si limitano a renderlo disponibile sul proprio sito web o ne demandano la consegna agli interessati al rivenditore di telefonia (c.d. dealer). Cio' contribuirebbe a determinare le anomalie nel funzionamento del DBU sopra delineate. 2.2. Il trattamento dei dati personali in caso di number portability (NP). Le segnalanti (Seat in particolare) hanno rappresentato all'Autorita' che le difficolta' sopra descritte nella raccolta dei moduli per l'acquisizione dei consensi al trattamento dei dati personali e, in particolare, alla pubblicazione dei dati stessi nel DBU potrebbero essere superate quantomeno nell'ambito dei casi di cambio del gestore telefonico da parte del cliente con contestuale richiesta di mantenere in uso il precedente numero telefonico (number portability - NP). Esse hanno pertanto proposto una «interpretazione aggiornata delle norme sulla privacy», basata sulla considerazione che di norma il cambio di gestore telefonico e' motivato da ragioni diverse dalla volonta' di modificare le opzioni espresse in passato in merito all'inserimento dei dati nel DBU e negli elenchi, ma che vanno ricondotte ad offerte economiche, qualita' del servizio prestato, ecc. Secondo tale interpretazione, dovrebbe essere consentito «il mantenimento del consenso gia' espresso e registrato in DBU anche in caso di NP», pur ribadendo contemporaneamente «la garanzia del pieno diritto dell'abbonato di modificare in qualunque momento e gratuitamente il consenso precedentemente espresso». A supporto della stessa, le segnalanti - Seat in particolare ‑ hanno messo in evidenza il fatto che, contrariamente a quanto ritenuto dagli operatori telefonici, nei provvedimenti del Garante non vi sarebbe l'esplicita previsione di un obbligo per il nuovo gestore telefonico, che acquisisce un cliente con NP da un gestore precedente, di richiedere una nuova esplicita manifestazione di consenso dello stesso all'inserimento dei suoi dati nel DBU. 3. I clienti che cambiano con number portability assimilabili ai «vecchi» clienti del Provvedimento. In merito a quanto sopra evidenziato, si rappresenta che, nel caso in cui un soggetto attivi una nuova utenza telefonica, fissa o mobile, con un operatore diverso dal precedente ‑indipendentemente dal fatto che il «vecchio» contratto di fornitura sia mantenuto in vita o meno‑ il nuovo operatore, in qualita' di titolare del trattamento, e' tenuto a sottoporre al cliente il modulo di informativa e raccolta del consenso, di cui all'Allegato IV del Provvedimento. In tale ipotesi, infatti, si instaura un nuovo rapporto di fornitura di servizi telefonici e il cliente deve essere messo in condizione di scegliere liberamente e consapevolmente in quali termini disciplinare il trattamento dei propri dati personali nei confronti del nuovo titolare, con particolare riferimento all'inserimento degli stessi nel DBU e alla conseguente pubblicazione negli elenchi telefonici. Come noto, pero', l'interessato/cliente, al momento dell'attivazione di una nuova utenza con un operatore diverso da quello precedente, puo' anche decidere di conservare il numero telefonico che gli era stato in precedenza assegnato, chiedendo la number portability (NP), ossia l'attribuzione del vecchio numero alla nuova utenza. Anche in questo caso si verifica un'importante modifica nel rapporto di fornitura del servizio, poiche' cambia il titolare del trattamento. Pertanto, anche in tale evenienza gli operatori sono tenuti a sottoporre all'attenzione dei propri clienti il modello di informativa e richiesta di consenso di cui all'Allegato IV del Provvedimento, come del resto stabilito anche dall'art. 1, comma 4, della delibera 36/02/CONS dell'AGCom, nonche' dall'art. 2, comma 2 e art. 4, comma 2, della delibera n. 180/02/CONS, citate. Tuttavia, in ragione del fatto che nella predetta ipotesi il numero telefonico non cambia e che, quindi, restano invariati tutti gli elementi oggetto di pubblicazione negli elenchi, si ritiene che i clienti che cambiano operatore con number portability, possano essere assimilati ai «vecchi» clienti presi in considerazione dal Provvedimento, ossia quei soggetti i cui nominativi erano gia' presenti negli elenchi pubblicati prima dell'entrata in vigore del nuovo regime degli elenchi telefonici. Infatti, anche i predetti soggetti hanno gia' espresso in passato al proprio operatore le manifestazioni di volonta' in merito all'inserimento nel DBU e, conseguentemente, negli elenchi, dei dati personali che li riguardano. Si ritiene, pertanto, che per tali soggetti il nuovo operatore telefonico possa mantenere invariate le opzioni scelte in passato, in assenza di risposta al suindicato questionario nel termine di sessanta giorni dalla ricezione dello stesso. Resta ferma, naturalmente, la possibilita' per i medesimi soggetti di manifestare in qualunque momento una diversa volonta', rivolgendosi anche successivamente al nuovo operatore. Quanto alla concreta operativita' del sistema sopra delineato, si ricorda che, in caso di passaggio di un cliente ad un nuovo operatore con number portability (c.d. operatore «recipient») ‑essendo quest'ultimo a ricevere la relativa richiesta contestualmente alla richiesta di attivazione del nuovo servizio telefonico (abbonamento o scheda prepagata che sia), in qualita' di «esclusivo titolare del trattamento dei dati personali conferiti dagli abbonati "portati" sulla propria rete» (cfr. art. 1, comma 2, delibera n. 180/02/CONS)‑ lo stesso e' tenuto a comunicare l'avvenuta richiesta all'operatore originario (c.d. donor o donating). Solo dopo aver ricevuto tale comunicazione, il donor provvede alla cancellazione dell'utente «portato» dalla propria base di dati relativa agli elenchi di abbonati (cfr. art. 10, comma 2, delibera AGCom n. 78/08/CIR, delibera AGCom n. 274/07/CONS e s.m.i. e art. 7, delibera AGCom n. 41/09/CIR). Tutto cio' premesso il garante A. ai sensi degli articoli 143, comma 1. lettera b) e 154, comma 1, lettera c) del Codice dispone che gli abbonati che cambiano operatore telefonico richiedendo la conservazione del loro numero (c.d. number portability), i quali non rispondano al questionario di cui all'Allegato IV del provvedimento del Garante del 15 luglio 2004 entro sessanta giorni dalla ricezione dello stesso, conservino le opzioni relative all'inserimento dei loro dati nella base di dati unica di cui alla delibera AGCom n. 36/02/CONS e negli elenchi manifestate al precedente operatore; B. dispone la trasmissione di copia del presente provvedimento al Ministero della giustizia-Ufficio pubblicazione leggi e decreti, per la sua pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana. Roma, 1° aprile 2010 Il presidente: Pizzetti Il relatore: Chiaravalloti Il segretario generale reggente: De Paoli