Titolarità e responsabilità in materia di privacy: il provvedimento del Garante sull'acquisto di liste di contatti per finalità di marketing

News 18/09/2012

Avv. Valentina Frediani . Coordinatore ABIRT – Studio Legale Frediani
pubblicato su Information Security, Anno 3 - Numero 12 - Lug - Ago 2012

Sempre più spesso, al fine di reperire nuovi nominativi cui poter indirizzare una campagna di marketing, si sottoscrivono contratti di fornitura di liste di contatti da utilizzare per detto scopo.
Con il provvedimento del 5 Aprile 2012, il Garante per la protezione dei dati personali è intervenuto su tale materia, soffermandosi, in particolare, sui profili legati alla titolarità e conseguente responsabilità in capo all'acquirente di dette liste di contatti.
Dall'esame di tale decisione non emergono particolari profili di rilievo in ordine alla posizione e alla responsabilità della società operante nel settore della generazione di anagrafiche, avendo quest'ultima acquisito liste di contatti attraverso questionari on line senza rilasciare agli utenti idonea informativa e senza documentare per iscritto di aver acquisito il consenso degli interessati, operando in tal modo in evidente violazione del codice privacy.
L'aspetto su cui è necessario soffermarsi riguarda invece il contratto di fornitura di liste nominative con cui la società in questione cedeva all'altra parte contraente i dati personali dei contatti raccolti e le argomentazioni per cui il Garante ha ritenuto corretto considerare anche la società acquirente "titolare" del trattamento, disponendo pertanto, a fronte dell'illiceità dell'attività di trattamento dei dati personali svolta dalle società protagoniste della vicenda - ognuna per la parte di propria competenza - e delle conseguenti violazioni subordinate alla normativa relativa alla protezione dei dati personali, la trasmissione degli atti al Dipartimento competente per l'avvio dei conseguenti procedimenti sanzionatori.
In merito alla questione della titolarità, l'Autorità Garante non si limita alla pattuizione contrattuale, ove viene indicata unicamente la società cedente delle liste quale titolare del trattamento dei dati, ma studia anche la corrispondenza di tale ricostruzione al reale atteggiarsi delle due società rispetto al trattamento dei dati personali effettuato.
E che debba procedersi in tal senso è stato già indicato dalla medesima Autorità con il provvedimento del 15 giugno 2011, n. 230 - espressamente richiamato nella decisione in esame - in  cui si evidenzia che, al fine di riconoscere la qualifica di "titolare" del trattamento dei dati, occorre verificare se il soggetto sia percepito come tale dall'interessato, se benefici del contatto promozionale e, infine, se eserciti il potere decisionale su modalità, compiti, ruoli e procedure dell'attività.
Nel caso esaminato, il Garante riscontra numerosi elementi in base ai quali deve considerarsi anche la società acquirente della lista dei contatti "titolare" del trattamento, a prescindere dalla qualificazione effettuata dalle stessi parti, quali il fatto che le parti abbiano pattiziamente fissato i principi per i quali i contraenti hanno disciplinato congiuntamente le modalità di effettuazione delle chiamate e le fasce orarie prescelte, obbligandosi alla preventiva condivisione delle regole da utilizzare per lo svolgimento delle attività, e sottolineando che spettano alla società acquirente il potere di scelta in ordine ai criteri di individuazione dei soggetti da contattare, il potere di nominare direttamente i teleseller responsabili del trattamento e quello di comunicare loro le indicazioni cui devono attenersi nell'esercizio delle proprie mansioni.
Ad ulteriore conferma di tale argomentazione, il Garante richiama inoltre la clausola di manleva presente all'interno del contratto di fornitura sottoscritto dalle parti, in base al quale la società cedente assume l'obbligo di tenere indenne la controparte, tra l'altro, a fronte di eventuali sanzioni penali o condanne conseguenti ad azioni proposte e a provvedimenti di Autorità e pronunce giudiziali, in qualsiasi modo connesse all'utilizzo delle anagrafiche e dei dati contenuti nel data base, "con ciò dimostrando – a dire dell'Autorità Garante – la piena consapevolezza della società acquirente della possibile attribuzione di responsabilità alla società committente per fatti connessi alla gestione di quei dati".
Secondo quanto detto, risulta evidente che in capo alla società acquirente dei dati personali relativi ai destinatari di iniziative promozionali contenuti nella lista di contatti acquistata devono ritenersi sussistenti tutti gli obblighi previsti dal d.lgs. 196/2003, oltre all'obbligo di accertamento e di verifica dei singoli consensi prestati dagli interessati, principio previsto nel Provvedimento generale del 29 maggio 2003 - "Spamming. Regole per un corretto invio delle e-mail pubblicitarie"- ed espressamente richiamato nella decisione de qua dall'Autorità Garante, che afferma di poter estenderlo, per analogia, anche alle attività promozionali effettuate utilizzando mezzi diversi dalla posta elettronica.

 

Tag: garante privacy,codice privacy, trattamento dati, contratto fornitura liste nominative,