Diritti interna

Doveri interna

ricerca avanzata

Acquisizione del consenso per servizi on-line - 21 novembre 2013 [2830611]

[doc. web n.  2830611]

Acquisizione del consenso per servizi on-line - 21 novembre 2013

Registro dei provvedimenti
n. 519 del 21 novembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA la direttiva 95/46/CE del 24 ottobre 1995, del Parlamento europeo e del Consiglio, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati;

VISTA la direttiva 2002/58/CE del 12 luglio 2002, del Parlamento europeo e del Consiglio, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche come da ultimo modificata dalla direttiva 2009/136/CE del 25 novembre 2009;

VISTA la segnalazione dell´avvocato Alessandro Frillici del 31 maggio 2013 con la quale si lamentava l´impossibilità di scaricare l´add-on gratuito del software per la firma digitale dal sito della Adobe Systems Italia (di seguito Adobe) senza aver previamente fornito il consenso al trattamento dei dati personali per finalità di marketing;

VISTO che - per verificare le modalità con cui veniva effettivamente resa l´informativa ed acquisito il consenso dei contraenti all´atto dell´iscrizione al servizio - è stato effettuato un accertamento d´ufficio sul sito http://www.adobe.com/it/security/software/form.html simulando la registrazione al servizio Download Add-on; da tale accesso sono emersi i seguenti elementi:

- i dati richiesti, da inserire obbligatoriamente, sono: ragione sociale, nome, cognome, indirizzo e-mail;

- in calce al form di inserimento dati è presente un link all´informativa sul trattamento dei dati personali dalla quale, mediante rimandi ad altre pagine di approfondimento, si evince che per l´interessato è possibile solo modificare le proprie preferenze sul marketing variando le scelte impostate sul proprio account utente sul sito di Adobe oppure, in mancanza, inviando una richiesta di cancellazione all´indirizzo privacy@adobe.com mentre, per rifiutare la ricezione di ulteriori messaggi promozionali via e-mail si può cliccare sul link di annullamento posto in fondo alle e-mail stesse;

-  in calce al form di raccolta dati è presente una casella di spunta (c.d. checkbox) con la quale il contraente dichiara di aver preso atto della suddetta informativa ed esprime il consenso "al trattamento ed alla comunicazione, anche per finalità promozionali" dei dati personali da parte di Adobe; se si invia la richiesta di download senza validare la casella del consenso, non è possibile scaricare il software ed appare il messaggio "Il campo "Consenso" è obbligatorio. Per favore, compilate i campi sopra indicati e confermate nuovamente il modulo";

VISTA la nota del 28 ottobre 2013 con la quale la società ha rappresentato di aver utilizzato, dal 2006 al 2011, i dati personali, raccolti con le modalità suddette, per inviare e-mail contenenti esclusivamente comunicazioni endocontrattuali specificando che "sebbene la formula di consenso contenesse l´espressione "finalità promozionali"… l´uso che in effetti è stato fatto dei dati era finalizzato ad inviare comunicazioni di servizio per segnalare il rilascio di nuove versioni dell´add-on";

VISTO che nella suddetta nota la società ha rappresentato che "a decorrere dal luglio 2013 Adobe Italia ha abolito il processo di registrazione per il download dell´add-on ed eliminato conseguentemente la richiesta di consenso al ricevimento di comunicazioni da parte di Adobe Italia";

VISTO l´art. 23, comma 3, del Codice, il quale prevede che il trattamento di dati personali da parte dei privati è ammesso solo previa acquisizione di un consenso dell´interessato libero, informato e specifico, con riferimento a trattamenti chiaramente individuati, e da documentare per iscritto;

VISTO l´art. 24, comma 1, lett. b) del Codice che prevede, tra le altre, un´ipotesi di deroga rispetto all´obbligo dell´acquisizione del consenso qualora il trattamento sia necessario per eseguire obblighi derivanti da un contratto del quale è parte l´interessato;

CONSIDERATO che i trattamenti di dati per finalità commerciali esulano da quelli necessari per adempiere al contratto di fornitura del servizio e che pertanto per il conseguimento di tali finalità, proprio perché ulteriori rispetto a quelle di carattere contrattuale, il titolare è tenuto alla preventiva acquisizione di uno specifico consenso;

CONSIDERATO inoltre che, come già rilevato da questa Autorità (v., in www.garanteprivacy.it, provv. 22 febbraio 2007, doc. web n. 1388590; provv.  12 ottobre 2005, doc. web n.  1179604; provv.  3 novembre 2005, doc. web n.  1195215;  provv. 15 luglio 2010, doc. web n. 1741998, provv. 19 maggio 2011, doc. web n. 1823148), non può definirsi "libero", e risulta indebitamente necessitato, il consenso a ulteriori trattamenti di dati personali che l´interessato debba prestare quale condizione per conseguire una prestazione richiesta, e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso per ciascuna distinta finalità perseguita dal titolare (cfr. provv.  24 febbraio 2005, punto 7, doc. web n.  1103045);

RILEVATO quindi che la società non ha consentito agli interessati di esprimere uno specifico consenso per la ricezione di messaggi promozionali essendo stato, come detto, obbligatorio prestare il consenso alla ricezione di messaggi promozionali per effettuare il download del software, salvo la possibilità di servirsi dell´opt-out;

CONSIDERATO che l´art. 130, comma 4, del Codice prevede la possibilità che il titolare utilizzi per finalità promozionali, anche senza il consenso dell´interessato, le coordinate di posta elettronica fornite dallo stesso nel contesto della vendita di un prodotto o di un servizio, purché i servizi oggetto della promozione siano analoghi a quelli oggetto della vendita e sempre che l´interessato, adeguatamente informato, non rifiuti tale uso inizialmente o in occasione di successive comunicazioni;

RILEVATO tuttavia che - all´atto della richiesta del servizio - non era prevista la possibilità per il contraente di rifiutare inizialmente l´invio di comunicazioni  promozionali e che il consenso così raccolto non può dirsi liberamente prestato;

CONSIDERATO che la raccolta del consenso per finalità promozionali effettuata dalla società con le modalità sopra descritte costituisce un trattamento illecito di dati;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d´ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATA la necessità di adottare nei confronti della società un provvedimento di divieto del trattamento di dati personali, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice correlato alle attività di invio di messaggi promozionali senza l´acquisizione del necessario consenso libero, specifico e documentato degli utenti già registrati al servizio Download add-on;

RISERVATA, con autonomo procedimento, la verifica della sussistenza dei presupposti per la contestazione della violazione della disposizione di cui all´art. 23, del Codice e la conseguente applicazione della sanzione di cui all´art. 162, comma 2-bis, del Codice;

TENUTO CONTO che, ai sensi dell´art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni, e che, ai sensi dell´art. 162, comma 2-ter, del Codice, in caso di inosservanza del medesimo provvedimento, è  altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

RILEVATO, inoltre, che l´art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta accertata (cfr. anche art. 15 del Codice), con specifico riguardo agli eventuali profili di danno;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara illecito il trattamento dei dati personali posto in essere da Adobe Systems Italia S.r.l. con sede legale in Agrate Brianza, Viale Colleoni 5, per finalità promozionali, effettuato dalla medesima senza aver ottenuto un consenso libero;

b)  vieta ad Adobe Systems Italia S.r.l., ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, il trattamento dei dati personali, già raccolti, degli utenti registrati al servizio Download add-on per le finalità di invio di messaggi promozionali, in assenza di un consenso libero, specifico e documentato degli interessati ex artt. 23 e 130 del Codice, ferma restando l´utilizzabilità degli stessi per la fornitura dei servizi.

Avverso il presente provvedimento può essere proposta opposizione ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011 con ricorso dinanzi all´autorità giudiziaria ordinaria, in particolare al tribunale del luogo ove risiede il titolare del trattamento, da presentarsi entro il termine di trenta giorni dalla data della sua comunicazione ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 21 novembre 2013

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia