\\ Home Page : Articolo : Stampa
Spamming telefonico: chi acquista liste di contatti risponde dei dati come titolare del trattamento
Di Admin (del 27/06/2012 @ 19:13:08, in consulenza legale e formazione privacy, linkato 1584 volte)

Diritto e Internet (Copyright immagine khz) « È pervenuta all'Autorità una segnalazione da parte del sig. XY che ha lamentato la ricezione di chiamate indesiderate a carattere promozionale da parte di EE S.p.A. sulla propria utenza di telefonia fissa, nonostante l'intestatario ne avesse curato l'iscrizione nel Registro pubblico delle opposizioni di cui all'art. 130, comma 5 del Codice.

In replica alla richiesta di informazioni formulata dall'Ufficio, la società ha affermato che i relativi recapiti non sono stati estratti dagli elenchi telefonici, bensì "acquisiti da CD S.p.A., società che si occupa di generazione di anagrafiche con consenso per il marketing diretto . e da questa ceduti ad EE in virtù del contratto di fornitura di liste di nominativi stipulato . in data 3 dicembre 2010", versato in atti; che, inoltre, le informazioni personali in questione sono state comunicate dal sig. XY, in quanto possessore di un telefono cellulare marca MM, all'atto della compilazione di un questionario web sul sito della società MM il 1° febbraio 2007 per l'iscrizione al club MM Village, attraverso cui beneficiare di "servizi aggiuntivi e di customer care".

A seguito di un supplemento di istruttoria, CD S.p.A., destinataria di ulteriore, specifica richiesta di informazioni, non ha provato l'avvenuta acquisizione di un valido consenso informato dell'interessato. Ha infatti dichiarato che "purtroppo . il web server utilizzato . era configurato in modo tale da non mantenere un'associazione diretta tra l'indirizzo IP dell'utente e i singoli dati da questi inseriti nel questionario né un collegamento fra l'indirizzo IP dell'utente e il rilascio del consenso". Ha ammesso, inoltre, che la manifestazione di volontà del sig. XY è stata in realtà condizionata da "un meccanismo bloccante per cui senza consenso le anagrafiche e le risposte inserite non venivano nemmeno memorizzate". In altri termini, "l'utente poteva passare alla pagina successiva solo se le precedenti pagine erano state correttamente compilate", di modo che "in caso di mancata selezione del check box di consenso ("no" al trattamento dei dati con fini di promozione commerciale) i dati non erano salvati e l'utente veniva reindirizzato verso una nuova pagina web che indicava la necessità del consenso pena la mancata iscrizione al club".

La formula utilizzata da CD S.p.A. per l'acquisizione del consenso è risultata caratterizzata, tra l'altro, da notevole indeterminatezza, dunque inidonea ad acquisire una reale consapevolezza da parte dell'interessato sui concreti destinatari della comunicazione dei suoi dati personali. Il segnalante, in effetti, è stato testualmente indotto ad acconsentire al generico utilizzo dei propri dati "per finalità promozionali e di ricerche di mercato e per la comunicazione dei dati (CAMPO BLOCCANTE)" (cfr. punto D28 della legenda versata in atti da CD). Anche la versione estesa del testo dell'informativa che CD ha dichiarato essere presente sul sito riporta, quanto ai possibili destinatari della comunicazione dei dati, l'altrettanto generica dicitura di "società che operano nei settori di largo consumo, grande distribuzione, editoriale, finanziario, automobilistico, servizi ed associazioni benefiche"; con l'avvertenza che il loro elenco "è presente presso la sede di CD" e dunque, di fatto, praticamente inaccessibile e non conoscibile dagli interessati.

Occorre poi valutare il ruolo ricoperto nella specifica vicenda da EE S.p.A..

Questa società - la quale, lo si ribadisce, ha acquistato da CD S.p.A. una lista di dati personali in relazione ai quali sarebbe stato preventivamente raccolto il consenso per l'utilizzo a fini commerciali - non è esente da responsabilità con riguardo al trattamento dei dati del segnalante.

Sebbene, infatti, il contratto per la "fornitura liste di nominativi nel segmento residenziale" stipulato tra CD S.p.A. ed EE S.p.A. stabilisca, a più riprese, che soltanto la prima società agisce nella qualità di titolare autonomo del trattamento dei dati personali dei soggetti destinatari delle iniziative commerciali di EE S.p.A.; che, appunto in tale veste, si obbliga a nominare "i teleseller di EE. responsabili del trattamento . non prevedendosi alcuna comunicazione o accesso di EE alle informazioni", di modo che EE S.p.A. si limiterebbe, invece, "a dettare . i criteri di individuazione dei nominativi da contattare senza alcuna ingerenza nel trattamento dei relativi dati" (in tal senso le premesse al contratto, nonché i suoi artt. 2.2 e 12), tuttavia anche EE S.p.A. deve essere considerata titolare del trattamento delle informazioni personali dei destinatari delle iniziative commerciali adottate in suo nome e per suo conto. A questa società competono, infatti, le decisioni di cui all'art. 4, comma 1, lett. f), del Codice.

Confortano questo convincimento diversi elementi, che devono essere peraltro valutati anche alla luce dell'orientamento già espresso dal Garante nel richiamato provvedimento n. 230 del 15 giugno 2011 in materia di "titolarità del trattamento di dati personali in capo ai soggetti che si avvalgono di agenti per attività promozionali". Vi sono stati evidenziati gli indici che, in termini concreti, consentono di riconoscere la qualifica di titolare, tra l'altro, al soggetto che venga percepito come tale dall'interessato (in tal senso, la segnalazione del sig. XY); al soggetto, inoltre, che benefici del contatto promozionale, inteso quale antecedente logico dell'instaurando vincolo contrattuale tra la stessa EE S.p.A. e l'utente; a quello che disciplini, regolamentandoli nel dettaglio, modalità, compiti, ruoli e procedure dell'attività di telemarketing. Nella fattispecie all'esame, fin dalle disposizioni del contratto si evince che ad EE S.p.A. compete la scelta in ordine ai criteri di individuazione dei nominativi da contattare, dunque alle modalità del trattamento; che, inoltre, i teleseller agiscono "in qualità di responsabili del trattamento come da nomina diretta da parte di CD e secondo le indicazioni che la stessa comunicherà direttamente, fatte salve le intese con il committente" (art. 2.1); che, poi, compete a EE S.p.A. stessa"mettere a disposizione di CD la piattaforma informatica che sarà necessaria per consentire a CD la comunicazione ai teleseller dei dati provenienti dall'archivio di cui in premessa" (art. 4.2). Sono pattiziamente fissati i principi per i quali i contraenti disciplinano congiuntamente le modalità di effettuazione delle chiamate e le fasce orarie prescelte (art. 4.3 e 4.4) e si obbligano alla preventiva condivisione delle regole ("script") da utilizzare per lo svolgimento delle attività (ancora art. 4.4, lett. c)).

E ancora: in base alla disposizione dell'art. 4.4. lett. d) si conviene che il teleseller, in caso di esercizio del diritto di opposizione da parte dei soggetti contattati, comunichi "settimanalmente a CD - a mezzo del committente (cioè EE) - le cancellazioni" da effettuare. È anche disciplinata dal contratto la "trasmissione delle richieste a EE" di coloro che aderiranno alle offerte prospettate, attività che compete ai "responsabili del trattamento" ancorché con l'ininfluente cautela derivante dal fatto che quei dati "verranno di seguito immediatamente cancellati".

Un ulteriore elemento per cui EE S.p.A. non è esente da responsabilità in quanto titolare è costituito dalla clausola di manleva, di cui all'art. 12.4, ai sensi della quale CD S.p.A. si obbliga a tenere indenne EE S.p.A., tra l'altro, a fronte di eventuali "sanzioni penali o condanne conseguenti ad azioni in qualsiasi modo proposte e a provvedimenti di Autorità e pronunce giudiziali . in qualsiasi modo connesse all'utilizzo delle anagrafiche e dei dati contenuti nel data base"; con ciò dimostrando la piena consapevolezza di EE S.p.A. della possibile attribuzione di responsabilità alla società committente per fatti connessi alla gestione di quei dati.

È poi la stessa EE S.p.A. ad ammettere che, a seguito della ricezione della segnalazione, ha provveduto "a cancellare, conformemente alla volontà manifestata dall'utente, tutti i riferimenti riconducibili all'interessato dalle proprie banche dati" (cfr. il riscontro alla richiesta di informazioni formulata da questa Autorità); una esplicita conferma allora che, diversamente da quanto previsto nel contratto, le informazioni personali del Sig. XY, presenti all'interno degli archivi della società, hanno senz'altro costituito oggetto di trattamento anche da parte di quest'ultima.

D'altro canto diversamente argomentando, anche avuto riguardo ad un punto di vista squisitamente contrattuale, ci si troverebbe di fronte ad una pattuizione - il richiamato accordo tra CD S.p.A. ed EE S.p.A. - nella quale il sinallagma proprio del negozio giuridico posto in essere (e cioè la fornitura, verso corrispettivo, delle liste di dati personali di interessati che hanno acconsentito alla ricezione di iniziative di carattere commerciale) risulterebbe di fatto alterato, dal momento che quei dati sarebbero destinati, nella formale volontà dei contraenti, a permanere nella sfera giuridica del soggetto fornitore. Questi, infatti, si limiterebbe a riversarli ai propri responsabili, senza possibilità alcuna per l'acquirente di poterne disporre, nonostante il pagamento del relativo prezzo; con l'innegabile vantaggio di tenere indenne EE S.p.A. da oneri, obblighi e responsabilità connessi all'esercizio della titolarità.

In tale situazione, tuttavia, l'oggetto stesso del contratto risulterebbe illecito poiché si realizzerebbe in tal modo un indiretto risultato elusivo delle norme imperative del Codice che disciplinano, appunto, obblighi, oneri e responsabilità del titolare del trattamento di quelle informazioni.

In realtà invece, e per tutti i motivi evidenziati, la disciplina pattizia non corrisponde al reale atteggiarsi dei rapporti, ivi compresi quelli rilevanti in materia di protezione dei dati personali: anche EE S.p.A. deve essere, in effetti - lo si ribadisce - correttamente qualificata titolare del trattamento dei dati personali del segnalante; con l'effetto che, in tale accertata qualità, a questa società sono da ritenersi applicabili le specifiche prescrizioni adottate dal Garante nel menzionato provvedimento generale del 29 maggio 2003, segnatamente quelle relative alla fattispecie dell'acquisto di banche dati ed, in particolare, il principio per il quale "chi acquisisce la banca dati deve accertare che ciascun interessato abbia validamente acconsentito alla comunicazione del proprio indirizzo di posta elettronica ed al suo successivo utilizzo ai fini di invio di materiale pubblicitario". Non v'è dubbio che il medesimo principio debba essere applicato anche con riguardo alle attività promozionali effettuate utilizzando mezzi diversi dalla posta elettronica (nella fattispecie in esame, le telefonate con operatore), che sono vincolate all'obbligo della preventiva acquisizione del consenso dell'interessato ».



Così Garante per la protezione dei dati personali,
provvedimento 5 aprile 2012



Per segnalazioni e aggiornamenti, seguici su Twitter o su Facebook

Follow iusreporter on Twitter




A cura dell'Avvocato Giuseppe Briganti, avvbriganti.iusreporter.it
Visita diritto*internet - Il non sempre facile rapporto tra Internet e la legge



Consulenza e formazione in materia di privacy



Studio Legale Avvocato Giuseppe Briganti

Pesaro - Urbino




Note legali. Quanto precede non costituisce né sostituisce una consulenza legale. Testi senza carattere di ufficialità