[doc. web n. 2745497]
Prescrizioni per il trattamento di dati di traffico telefonico e telematico, in particolare riguardo a informativa e consenso – 3 ottobre 2013
Registro dei provvedimenti
n. 430 del 3 ottobre 2013
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);
VISTI, in particolare, gli artt. 13, 23 e 130, commi 1 e 2 del Codice,
VISTO il provvedimento adottato dal Garante il 15 maggio 2013 relativo al “Consenso al trattamento dei dati personali per finalità di “marketing diretto” attraverso strumenti tradizionali e automatizzati di contatto (pubblicato in G.U. del 26 luglio 2013, n. 174; reperibile nel sito istituzionale www.garanteprivacy.it, doc. web n. 2543820);
CONSIDERATO che Lycamobile s.r.l. (di seguito “Lycamobile”) è stata oggetto di accertamento ispettivo in data 26 settembre 2012, nell’ambito di un ciclo svolto dal Nucleo Speciale Privacy della Guardia di Finanza, al fine di valutare il rispetto della normativa in materia di protezione dei dati personali, con particolare riferimento alla conservazione dei dati di traffico telefonico e telematico per accertamento e repressione dei reati (art. 132 del Codice e provvedimento generale del Garante del 24 luglio 2008, pubblicato in G.U. del 13 agosto 2008, n. 189; doc. web n. 1538237);
VISTO che Lycamobile è una società che fornisce servizi di telefonia mobile mediante la vendita di sim card in qualità di operatore virtuale appoggiandosi, al tempo dell’ispezione, alla rete di H3G S.p.A. e, attualmente, a Vodafone Omnitel NV;
CONSIDERATO che Lycamobile è destinataria, oltre al presente, di un altro provvedimento prescrittivo e inibitorio concernente aspetti ulteriori e diversi, relativi alla conservazione dei dati di traffico conservati per finalità di accertamento e repressione dei reati, adottato in data odierna dal Collegio;
VISTE le comunicazioni inviate nell’ambito dell’istruttoria avviata a seguito dell’accertamento ispettivo, nelle quali Lycamobile ha dichiarato, tra l’altro, che “il consenso informativo per il cliente si trova nella sezione “termini e condizioni” del contratto che viene letto e firmato dal cliente e può eventualmente proporre e offrire servizi o promozioni a valore aggiunto relative alle società collegate a Lycamobile” (cfr. email inviata in data 25 giugno 2013);
CONSIDERATO che, a seguito di tali dichiarazioni, il Garante ha ritenuto di avviare un’istruttoria ulteriore rispetto a quella relativa alla conservazione dei dati di traffico per finalità di giustizia, al fine di accertare il rispetto della normativa in materia di protezione dei dati personali anche nell’ambito dei trattamenti realizzati per profilazione e marketing;
VISTO che, nel sito della società, www.lycamobile.it si fa riferimento al Codice, nella pagina relativa a “Termini e condizioni generali”, in quanto al punto 2.10 si legge che “Lycamobile si riserva il diritto di trattare i dati relativi al traffico generato dalla fornitura di servizi ai sensi degli articoli 123-132 del Codice” e al punto 8.1. che “Lycamobile tratterà i dati personali del cliente in conformità con le disposizioni del Codice in materia di protezione dei dati personali, come specificato nella Carta del Servizi”;
VISTO che all’interno dello stesso sito vi sono anche altre sezioni in cui si fa riferimento alla protezione dei dati personali, denominate, rispettivamente, “Proposta di contratto” e “Protezione dei dati” (che contiene l’informativa);
VISTO che nella sezione “Proposta di contratto”, nella parte relativa al “consenso al trattamento dei dati personali” si fa riferimento alla finalità contenuta nel punto 1.1. dell’informativa senza che sia possibile visionarne in alcun modo il contenuto;
VISTO che nella medesima sezione sembra altresì obbligatorio il rilascio del consenso per finalità ulteriori rispetto a quelle relative all’utilizzo della sim card, quali “(a) ricerche di mercato, analisi economiche e statistiche; (b) commercializzazione dei servizi di Lycamobile, di invio di materiale pubblicitario/informativo/promozionale e di partecipazione ad iniziative ed offerte volte a premiare i Clienti; (c) comunicazioni commerciali interattive; (d) rilevazioni del grado di soddisfazione della clientela sulla qualità dei servizi forniti; (e) analisi dei dati di traffico telefonico, telematico e dell’utilizzo dei servizi di comunicazione elettronica e multimediali fruiti, per identificare abitudini e propensioni al consumo, per migliorare i servizi forniti e per soddisfare specifiche esigenze dei Clienti”, in quanto non vi è la possibilità, per l’interessato, di scegliere diversi consensi;
CONSIDERATO altresì che, nel medesimo paragrafo viene specificato che “tali attività potranno riguardare prodotti e servizi di Lycamobile, nonché di società del Gruppo Lycamobile o di loro Partner commerciali e potranno essere eseguite anche attraverso un sistema automatizzato di chiamata, senza l’intervento di un operatore, posta anche elettronica, telefax e massaggi di tipo MMS (Multimedia Message Service) e SMS (Short Message Service)”;
VISTO che nella sezione “Protezione dei dati” è presente una informativa che, al punto 1. “Finalità del trattamento” non distingue tra le finalità per le quali il consenso non è necessario (cioè quelle per le quali l’interessato rilascia i dati al fine di acquisire la sim card) e quelle ulteriori (quelle indicate sopra, relative a marketing, profilazione, ecc.);
VISTO che nella citata informativa, al punto 2. “Categorie di soggetti ai quali i dati possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati” è indicata una serie di soggetti, senza alcuna distinzione tra le finalità per cui i dati possono essere loro comunicati, in maniera tale che esse finiscono per essere tutte equiparate, a prescindere dal trattamento che effettuano;
VISTO che nella medesima informativa, al punto 3. “Ulteriori informazioni” si legge che “per quanto riguarda i dati relativi al traffico, la informiamo che (…) b) il trattamento per finalità di commercializzazione di servizi di comunicazione elettronica o per la fornitura di servizi a valore aggiunto sarà effettuato per un periodo non superiore a 24 mesi”;
CONSIDERATO che l’informativa, ai sensi dell’art. 13 del Codice, deve contenere chiaramente l’indicazione: delle finalità e le modalità del trattamento cui sono destinati i dati; della natura obbligatoria o facoltativa del conferimento dei dati; dei soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati; dei diritti di cui all’articolo 7;
CONSIDERATO che l’elencazione delle finalità del trattamento dei dati personali degli interessati e dei soggetti a cui i dati stessi possono essere comunicati non risulta chiara;
CONSIDERATO che non è presente alcun riferimento alla possibilità, per l’interessato, di esercitare i diritti di cui all’art. 7 del Codice;
RILEVATO che la comunicazione dei dati personali a soggetti terzi può avvenire solo se l’interessato ha manifestato uno specifico consenso alla comunicazione dei propri dati, ai sensi dell’art. 23 del Codice;
RILEVATO che il trattamento per finalità promozionali può essere effettuato dal titolare solo nell’ipotesi in cui l’interessato abbia manifestato un consenso specifico ai sensi dell’art. 23 del Codice o dell’art. 130 del Codice (qualora si vogliano utilizzare anche strumenti automatizzati per inviare le comunicazioni promozionali) e, in ogni caso, non possono essere utilizzati, per tale finalità, i dati di traffico telefonico e telematico, conservati per finalità di accertamento e repressione dei reati;
CONSIDERATO che il trattamento effettuato da Lycamobile, come emerso dagli atti dell’istruttoria, risulta illecito nella parte in cui utilizza dati personali degli interessati senza aver fornito agli interessati un’idonea informativa ai sensi dell’art. 13 del Codice;
RILEVATO che, ai sensi dell’art. 11, comma 2 del Codice, i dati trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;
RILEVATA, pertanto, alla luce di quanto sopra, la necessità di adottare nei confronti di Lycamobile, ai sensi e dell’art. 154, comma 1, lett. c) e d) del Codice, un provvedimento prescrittivo e inibitorio, volto a rendere il trattamento dei dati conforme alla normativa richiamata in materia di protezione dei dati personali;
TENUTO CONTO che, ai sensi dell’art. 170 del Codice, chiunque essendovi tenuto non osserva il divieto contenuto nel presente provvedimento è punito con la reclusione da tre mesi a due anni e che ai sensi dell’art. 162, comma 2-ter, del Codice, in caso di inosservanza delle misure prescrittive e inibitorie contenute nello stesso, è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;
RILEVATA la sussistenza dei presupposti per contestare a Lycamobile la violazione di cui all’art. 13 del Codice ai sensi dell’art. 161 del Codice e, quindi, la necessità di avviare un autonomo procedimento sanzionatorio nei confronti della medesima;
VISTA la documentazione in atti;
VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;
RELATORE la dott.ssa Giovanna Bianchi Clerici;
TUTTO CIÒ PREMESSO IL GARANTE
a) prescrive a Lycamobile S.p.A., con sede legale in Roma, via Tirone 11/13, ai sensi dell’art. 154, comma 1, lett. c) del Codice:
1. di modificare il testo dell’informativa rilasciata agli interessati, rendendolo conforme a quanto indicato nell’art. 13 del Codice;
2. di modificare le modalità attraverso le quali acquisire il consenso degli interessati predisponendo un modello che consenta la possibilità di rilasciare un consenso specifico e differenziato, così come prescrivono gli artt. 23 e 130 del Codice;
3. di adottare le misure di cui ai punti 1. e 2. entro il termine di sessanta giorni dal ricevimento del presente provvedimento
b) richiede a Lycamobile S.p.A., ai sensi dell’art. 157 del Codice, di comunicare, entro il medesimo termine, a questa Autorità le misure poste in essere ai fini di quanto indicato alla lettera a) del presente provvedimento;
c) vieta a Lycamobile, ai sensi dell’art. 154, comma 1, lett. d) del Codice, il trattamento di dati personali, già acquisiti, per finalità di profilazione e marketing, in quanto svolto in assenza del rilascio di un’idonea informativa e dell’acquisizione del necessario consenso.
Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.
Roma, 3 ottobre 2013
