Il Garante della privacy e la vendita di indirizzari
Sul Bollettino del Garante della privacy del 24 maggio 2013 sono state pubblicate tre interessanti ordinanze ingiunzione relative alla vendita di indirizzari, che si muovono nel senso di un’ importante lotta al telemarketing selvaggio ed alle offerte promozionali indesiderate.
In due casi si trattava di aziende specializzate nella creazione di banche dati, che avevano realizzato archivi elettronici contenenti dati di decine di milioni di persone, utilizzando, tra l’ altro, le informazioni contenute negli elenchi telefonici distribuiti prima del 2005 e le liste elettorali.
Tali dati erano stati raccolti illecitamente, perché non era stata data alcuna informativa agli interessati e questi non avevano potuto fornire lo specifico consenso alle attività di marketing o alla cessione delle loro informazioni personali ad altre società.
La terza ordinanza ingiunzione riguardava l’ operatore telefonico che, pur sapendo che i dati erano stati raccolti illecitamente per le ragioni di cui sopra, li aveva acquistati ed utilizzati per contattare gli utenti e promuovere i propri prodotti e servizi, tramite i call center.
Le anagrafiche confluivano nel database dell’ operatore telefonico, che incrociava i dati con altri già in suo possesso, con un comportamento completamente incompatibile con lo svolgimento di un corretto rapporto tra titolare dei dati (azienda che li aveva raccolti) e responsabile dei dati (operatore telefonico). Il titolare, infatti, ha l’obbligo di effettuare verifiche periodiche sull’operato del responsabile del trattamento.
Il Garante ha rilevato che l’illecita cessione di dati personali è stata realizzata sulla base di un fittizio rapporto titolare-responsabile e che l’ illegittima comunicazione di dati ha causato telefonate indesiderate nei confronti di diversi milioni di utenti.
Con riferimento ai dati tratti da elenchi telefonici distribuiti prima del 2005, essi non potevano essere trattati (né ceduti) senza l’ aver acquisito preventivamente lo specifico consenso da parte degli interessati.
In relazione, invece, ai dati acquisiti dal database unico degli operatori di comunicazioni elettroniche (cd. DBU), relativi ai soggetti che avevano prestato uno specifico consenso alla ricezione di comunicazioni promozionali tramite telefonate e posta cartacea, il Garante ha ritenuto che il consenso al trattamento per finalità di marketing prestato dagli interessati alle specifiche attività di mailing cartaceo e contatto telefonico non fosse idoneo a consentire la comunicazione di tali dati a terzi.
L’ azienda, in sostanza, avrebbe potuto utilizzare i dati del DBU, in relazione ai soggetti che avevano prestato il proprio consenso, e svolgere attività di mailing cartaceo o telemarketing in proprio o per conto di terzi, ma non poteva cedere i predetti dati ad altri titolari.
Secondo il Garante, infatti, la cessione di dati personali nell’ambito dell’attività c.d. di "list-broker" si deve ritenere connessa ad una finalità di trattamento differente dallo svolgimento delle operazioni di mailing cartaceo e telemarketing e necessita, pertanto, di uno specifico e diverso consenso.
Ciascun titolare del trattamento deve assumersi l’onere di rendere agli interessati una preventiva e completa informativa, anche nel caso in cui abbia acquistato legittimamente da terzi i dati, ciò anche nell’ ipotesi in cui tale terzo, titolare dei dati, abbia rilasciato agli interessati un’ idonea informativa sulla comunicazione dei dati stessi ed abbia acquisito il consenso specifico, in base a quanto stabilito dall’art. 13, comma 4, del Codice della privacy.
Tale onere consente agli interessati di mantenere un effettivo controllo sui propri dati personali e di poter esercitare i diritti previsti dal Codice presso ciascun titolare e che ciò avvenga senza intermediazioni, perché queste non sono previste dalla legge.
Il Garante ha comminato complessivamente 800.000 euro di sanzioni alle tre società.
Fiammetta Malagoli
malagoli@studiolegalemalagoli.it
