g-docweb-display Portlet

Raccolta di dati personali in strutture neonatali a fini di marketing - 7 dicembre 2006 [1379101]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1379101]

Raccolta di dati personali in strutture neonatali a fini di marketing - 7 dicembre 2006

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

VISTA la normativa comunitaria e nazionale in materia di protezione dei dati personali (Codice in materia di protezione dei dati personali approvato con d.lg. n. 30 giugno 1996, n. 196; direttiva comunitaria 95/46/Ce del 24 ottobre 1995), anche previgente (l. 31 dicembre 1996, n. 675; d.lg. 28 dicembre 2001, n. 467);

VISTE le segnalazioni dei coniugi YX relative all´utilizzo dei dati personali di uno di essi e dei figli neonati, al fine dell´invio di materiale editoriale da parte di Sfera Editore S.p.a.;

VISTI gli elementi acquisiti a seguito degli accertamenti avviati presso Sfera Editore S.p.a. e delle successive deduzioni formulate dalla stessa, nonché degli ulteriori accertamenti effettuati nei confronti dei c.d. "promotori" che collaborano con tale società;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

PREMESSO

1.  Raccolta di dati personali per finalità di marketing presso strutture sanitarie neonatali

1.1. Con nota inviata a Prenatal S.p.a. e Sfera Editore S.p.a. (di seguito, "Prenatal" e "Sfera"), e per conoscenza al Garante, YX ha contestato l´invio della pubblicazione "Nuova generazione" edita da Sfera (che invita a visitare il sito web dell´altra società), affermando che non era stato prestato alcun consenso alla società in ordine al trattamento dei dati dei componenti della propria famiglia. Contestualmente, il segnalante ha esercitato nei confronti delle menzionate società i diritti di cui all´art. 13 della legge n. 675/1996 chiedendo, in particolare, di conoscere la natura, la tipologia e l´origine dei dati raccolti, nonché la loro cancellazione.

In riscontro a tali richieste del 30 giugno 2000, le società hanno comunicato al segnalante (Sfera, con comunicazione del 27 luglio 2000; Prenatal, con nota del 9 agosto 2000), e per conoscenza al Garante, di aver detenuto nei propri data-base, e poi cancellato, i dati relativi alla sig.a YW, moglie del segnalante, e quelli del figlio YZ.

In presenza di ulteriori istanze del segnalante e della richiesta di informazioni dell´Autorità dell´11 aprile 2001 (ai sensi dell´art. 32, comma 1, l. n. 675/1996), con proprie comunicazioni dell´11 maggio 2001 e del 18 maggio 2001, Sfera dichiarava al Garante di aver:

a) cancellato i dati relativi alla sig.a YW e al figlio YZ, nato il YK, concernenti l´abbonamento gratuito alla rivista "Io e il mio bambino" edita da Sfera;
b) acquisito tali dati attraverso una cartolina postale ricevuta e registrata il 1° agosto 1999 (comunicata in copia all´Autorità), contenente un modello di informativa ai sensi dell´art. 10 della legge n. 675/1996 e una richiesta di consenso dell´interessato del seguente tenore: "se non desideri ricevere successivi invii di campioni gratuiti e di informazioni scientifiche o commerciali, contrassegna con X la casella";
c) comunicato i dati a Prenatal, quale inserzionista della rivista, nonché ad altre società designate quali responsabili del trattamento.

1.2. Il 18 gennaio 2002, in occasione della nascita del secondo figlio, i coniugi YX hanno segnalato al Garante di aver ricevuto ulteriore materiale editoriale proveniente da Sfera, rinnovando le proprie richieste volte a conoscere la natura, la tipologia e l´origine dei dati e chiedendone nuovamente la cancellazione.

Nella risposta del 29 gennaio 2002 inviata ai segnalanti e per conoscenza al Garante, Sfera dichiara di aver utilizzato per l´invio del materiale promozionale di cui sopra i dati precedentemente raccolti in quanto, "pur essendo stati cancellati, [i medesimi] sono presenti nel […] data base storico con l´annotazione della […] volontà [dei segnalanti] di non essere contattati".

Nella medesima comunicazione Sfera, con l´intento di giustificare il proprio comportamento, sosteneva che "la nascita di un figlio è un fatto inevitabilmente pubblico" e che a tale pubblicità contribuiscono gli stessi genitori che "annunciano l´evento ponendo un fiocco sulla porta di casa" o diffondono il nome del nato attraverso la stampa locale, asserendo così che, "salvo casi particolari, la nascita non è pertanto un dato personale sul quale possa presumersi una situazione di segretezza o di riservatezza tale da inibirne in modo assoluto la comunicazione e, addirittura, la diffusione". La società affermava di voler svolgere indagini più approfondite sull´invio del materiale non richiesto, ma l´esito di tali asseriti accertamenti non è stato comunicato al Garante.

1.3. Considerata l´inidoneità degli elementi forniti da Sfera in ordine alla liceità del trattamento, il Garante ha disposto, con deliberazione 24 giugno 2003, n. 13, ulteriori accertamenti ai sensi dell´art. 32, comma 2, della legge n. 675/1996 in ordine al trattamento effettuato da Sfera dei dati relativi a donne in stato di gravidanza e a puerpere, raccolti tramite coupon distribuiti all´interno di strutture sanitarie neonatali, la cui compilazione consente agli interessati di ricevere gratuitamente una rivista in abbonamento.

Tali accertamenti, effettuati presso gli uffici di Sfera in Milano e, successivamente, presso altri soggetti (Anna Guglielmi – Bari; Gianfranco Brescia – Foggia; Se.E.Con. s.c.a.r.l. – Alcamo (TP); Antonio Saglimbene – Siracusa; Giuseppe Carollo – Palermo; Paolo Milocco – Brindisi), individuati dalla società come "promotori" operanti su tutto il territorio nazionale per acquisire i dati personali di donne che frequentano strutture sanitarie neonatali o consultori, hanno riguardato:

a) le modalità di acquisizione dei dati da parte della società;
b) le procedure attuate per verificare il rispetto delle norme sull´informativa e la genuinità del consenso;
c) il sistema di registrazione dei dati su supporti elettronici;
d) le procedure previste per cancellare i dati e per rispettare l´opposizione al trattamento da parte degli interessati;
e) la verifica della veridicità delle dichiarazioni rese da Sfera al Garante nell´ambito del procedimento instaurato a seguito delle segnalazioni dei coniugi YX.

 

2. L´attività di Sfera

2.1. Nel corso delle verifiche è emerso che Sfera, società editoriale del gruppo "Rcs Media Group", svolge la propria attività mediante l´invio di riviste, pubblicazioni e prodotti destinati a neo-genitori.

Tale attività viene realizzata anche mediante le società controllate risultanti in atti e si articola sostanzialmente in tre fasi:

I) raccolta dei dati personali degli interessati;
II) gestione del data-base nel quale i dati sono registrati;
III) promozione del proprio materiale editoriale e di altri prodotti.

2.2. Con riguardo alla prima di tali fasi è emerso che la fonte primaria di raccolta dei dati da parte di Sfera consiste nella compilazione, per lo più ad opera di donne in stato di gravidanza o puerpere, di coupon resi disponibili presso strutture neonatali, consultori, studi ginecologici e pediatrici, farmacie e negozi per la prima infanzia.

Mediante i coupon viene chiesto agli interessati di conferire alcuni dati (in particolare, quelli anagrafici propri e dei figli, o relativi a recapiti, anche telefonici e di posta elettronica, o concernenti la professione) al fine di invio di materiale editoriale e/o di altri prodotti. Sfera cura la distribuzione dei coupon e la raccolta di quelli compilati, in larga misura tramite una rete di circa trenta "promotori" operanti per aree geografiche (con modalità descritte nei punti 3 e 4).

2.3. I dati raccolti da Sfera confluiscono in tre data-base denominati:

a) "prima infanzia", contenente i dati acquisiti mediante le procedure appena descritte;
b) "rivista Cipria", relativo a dati acquisiti attraverso coupon pubblicati sulla omonima rivista;
c) "vendite dirette", concernente i dati acquisiti sulla base di vendite dirette.

Nel data-base "prima infanzia" –rispetto al quale sono stati effettuati gli accertamenti sopra menzionati, anche al fine di verificare la presenza di dati riferiti ai segnalanti– sono registrate le informazioni raccolte mediante la distribuzione dei coupon ad opera dei promotori; esso consta di circa 2.700.000 anagrafiche di soggetti i cui dati sono stati registrati a partire dall´anno 1992.

 

3. Le attività svolte dai "promotori"

3.1. I "promotori" sono collaboratori professionali di Sfera legati alla società da un contratto che prevede una remunerazione in parte fissa e in parte legata al numero dei coupon compilati e delle strutture sanitarie contattate. Con riferimento ai compiti attribuiti da Sfera alla figura del "promotore", dai predetti accertamenti è emerso che le attività da questi poste in essere consistono:

  • nell´individuazione, tra il personale operante presso le strutture sanitarie, di persone denominate "referenti";
  • nella consegna ai "referenti" di coupon con i quali gli interessati (come detto, per lo più donne in stato di gravidanza e puerpere) possono richiedere l´abbonamento gratuito alla rivista "Io e il mio bambino";
  • nell´illustrazione ai "referenti" della condotta da tenere nei confronti dei soggetti chiamati a compilare i coupon;
  • nel "vigilare per evitare, per quanto possibile, la compilazione delle cartoline per la sottoscrizione di abbonamenti trimestrali gratuiti da parte di persone che vogliano approfittare delle offerte gratuite della società o vogliano effettuare scherzi a danni di inconsapevoli soggetti di loro conoscenza" (v. memoria integrativa contenente dichiarazioni spontanee di Sfera, dell´11 febbraio 2004, p. 3);
  • nella verifica in ordine alla corretta distribuzione, presso le strutture sanitarie di propria "competenza", del materiale sopra menzionato e dell´ulteriore materiale promozionale (ad esempio "cofanetti" e guide) distribuito direttamente da Sfera;
  • nel ritiro delle cartoline compilate (di regola, il mese successivo alla loro distribuzione);
  • nella verifica della congruità del numero delle cartoline compilate rispetto alla media mensile delle nascite nelle strutture neonatali;
  • nella compilazione (ed invio, unitamente alle cartoline raccolte) di una scheda dedicata ad ogni struttura ospedaliera coinvolta (denominata "scheda di passaggio" nelle dichiarazioni rese dai "promotori"), suddivisa in due sezioni: l´una, pre-compilata da Sfera, contenente i dati relativi alla struttura sanitaria, al "promotore" e ai "referenti" della struttura medesima (comprendenti tipologicamente il primario e altro personale sanitario), un "campo note" con indicazioni per i promotori, un riquadro denominato "regali", con l´indicazione dei premi eventualmente richiesti dai "referenti" in relazione ai punti maturati dai medesimi (in ordine al funzionamento di tale sistema premiale, v. il punto 4.2.); tale sezione contiene altresì l´indicazione, per mese, del numero di cartoline raccolte, il numero di riviste e di "cofanetti" distribuiti, e l´indirizzo della struttura sanitaria presso la quale questi ultimi vengono spediti; la seconda sezione viene compilata direttamente dai "promotori" e riporta il numero delle cartoline, l´eventuale motivo del loro mancato ritiro, il nome del "referente" a cui queste ultime sono state consegnate, il numero delle riviste rilasciate e il totale delle nascite (per intervalli temporali), un campo libero per annotazioni, la data di passaggio e la sottoscrizione del "promotore";
  • nella consegna delle cartoline a Sfera, unitamente alla corrispondente scheda di passaggio.

Dall´analisi dei compiti svolti (v., in tal senso, anche le dichiarazioni rese da Paolo Milocco nel verbale in atti del 6 ottobre 2004, p. 2) emerge che il "promotore" non effettua alcuna attività di raccolta diretta dei dati, non avendo tra l´altro accesso ai reparti ospedalieri (e non potendo quindi interloquire con le persone ricoverate).

3.2. L´attività descritta al punto precedente è svolta dal "promotore" in virtù di un contratto di collaborazione professionale ai sensi dell´art. 2222 del codice civile stipulato con la società, il quale prevede che:

a) l´incarico è svolto in autonomia;
b) il promotore non è assoggettato a vincoli di subordinazione nei confronti di Sfera, né è tenuto a rispettare direttive (fatta salva l´osservanza, con riguardo ai profili di protezione dei dati personali, delle "Linee guida che regolano la raccolta dei dati personali da parte della società Sfera Editore s.p.a.", allegate al contratto); il controllo da parte di Sfera riguarda il risultato finale;
c) in caso di necessità, il promotore può farsi sostituire da persone da lui designate, comunicandone il nominativo alla società;
d) con la sottoscrizione del contratto, il promotore "dichiara di essere informato delle modalità di trattamento dati delle potenziali lettrici delle pubblicazioni di Sfera che egli raccoglierà durante lo svolgimento della sua attività" e dichiara contestualmente "di accettare la nomina di incaricato del trattamento" (clausola 10 del modello di contratto di collaborazione professionale ex art. 2222 c.c. di Sfera, in atti).

 

4. Il ruolo del personale ospedaliero

4.1. Come già accennato, gli accertamenti svolti hanno messo in evidenza che i "promotori", non avendo accesso ai reparti ospedalieri, né, più in generale, contatti diretti con gli interessati, non sono in grado di raccogliere da soli i dati per Sfera, la quale si avvale a tal fine di un anello di collegamento rappresentato dal personale ospedaliero.

Dalle dichiarazioni rese e dalla documentazione acquisita presso i "promotori" risulta che la messa a disposizione delle cartoline avviene da parte dei summenzionati "referenti", "reclutati" tra il personale medico e paramedico impiegato presso le strutture sanitarie di riferimento; questi ultimi provvedono alla raccolta e alla custodia dei coupon fino alla loro riconsegna al "promotore". Tale procedura –che evidenzia un ruolo attivo del personale sanitario nelle descritte operazioni di trattamento dei dati– risulta essere stata seguita abitualmente in luogo di altre possibili modalità curate direttamente da Sfera (invio dei coupon agli interessati mediante comunicazione postale della società –cfr. memoria integrativa di Sfera, cit., p. 3–; coinvolgimento diretto da parte di Sfera del personale sanitario).

Peraltro, il ruolo dei "referenti" ospedalieri non è limitato alla trasmissione dei coupon: agli stessi viene chiesto infatti di richiamare l´attenzione degli interessati sull´informativa resa da Sfera e di facilitarne la compilazione (cfr. memoria integrativa di Sfera, cit., p. 4; dichiarazioni rese da Paolo Milocco nel verbale del 6 ottobre 2004, p. 2).

4.2. L´attività dei "referenti" viene gratificata da Sfera con regali e altre utilità da destinarsi ai "referenti" medesimi o alle strutture presso cui essi operano (cfr. dichiarazioni contenute nei verbali in atti rese da Gianfranco Brescia il 6 ottobre 2004, p. 3; da Paolo Milocco il 6 ottobre 2004, p. 3; da Giuseppe Carollo l´8 ottobre 2004, p. 2; da Antonio Saglimbene l´8 ottobre 2004, p. 3; da Vincenzo Cottone, per Se.E.Con. s.c.a.r.l. di Trapani, l´8 ottobre 2004, p. 3; da Anna Guglielmi il 6 ottobre 2004, p. 3).

Regali e utilità vengono assegnati sulla base di un sistema a punti in virtù del quale a ciascun "referente" è attribuito un punto per ogni cartolina compilata. In base ai punti accumulati il "referente" può scegliere, utilizzando una modulistica predisposta da Sfera, premi compresi in un catalogo costantemente aggiornato dalla società.

La tipologia dei premi offerti è variegata, comprendendo oggetti di marca ad uso personale (collier d´oro, orologi, depilatori, macchine fotografiche digitali, telefoni cellulari, piastre arricciacapelli a vapore, beauty case ), domestico (copripiumone matrimoniale, friggitrici da cucina, bistecchiere grill con doppia piastra, folletto aspirabriciole, tostapane, tovaglie) o destinati al tempo libero (abbonamenti a riviste, apparecchiature di riproduzione musicale, televisori, borse da viaggio), peraltro di dubbia attinenza con i ruoli sanitari ricoperti.

È stato accertato, mediante annotazioni contenute nelle "schede di passaggio", che vengono talora richiesti beni non compresi nel catalogo (cfr. scheda di un ospedale acquisita negli accertamenti effettuati presso il sig. Saglimbene, nella quale si legge: "La professoressa XY contattata telefonicamente dice che per questo lavoro vuole almeno un´incubatrice, paragona questa attività di propaganda ad uno spot televisivo e ritiene giusto applicare le stesse tariffe"); altri, subordinano la propria collaborazione alla concessione di "spazi" su riviste (cfr. scheda di un ospedale acquisita negli accertamenti effettuati presso il sig. Carollo, nella quale si legge: "Il primario pediatria dottoressa VZ vieta qualsiasi tipo di promozione, salvo disponibilità da parte di Eurotrend a dedicarle uno spazio sulla rivista" e nella quale si legge, quale annotazione ulteriore, "Attenzione! L´incaricata collabora di nascosto" ).

 

5. I coupon c.d. " non spontanei"

5.1. Nel corso delle verifiche Sfera ha dichiarato che "può accadere che il coupon non venga compilato direttamente dall´interessata, ma tramite la mediazione di persone operanti all´interno della struttura ospedaliera, le quali a titolo di cortesia e avendone informato l´interessata, provvedono a completare la cartolina" (memoria integrativa di Sfera, cit., p. 3).

Tali cartoline, prive di sottoscrizione (ed eventualmente del numero di telefono degli interessati), vengono contrassegnate dai promotori con la dizione "da verificare", oppure "non spontanee" (cfr. dichiarazioni di Anna Guglielmi, verbale 6 ottobre 2004, p. 3). Al riguardo, la società ha affermato che la classificazione delle cartoline come "non spontanee" (termine con il quale si qualificano "dati che sono il risultato di una mediazione, non pianificata, nella fase di compilazione della cartolina stessa") è attribuita non solo ai coupon "che presentano un´analoga grafia, ma anche alle cartoline incomplete, con dati mancanti o contraddittori" (memoria integrativa di Sfera, cit., p. 6).

In tale contesto, sembrerebbe doversi ricomprendere anche la cartolina (riprodotta in copia da Sfera) da cui sono stati ricavati i dati relativi a YW, priva anch´essa di sottoscrizione e del numero di telefono, che i segnalanti sostengono di non aver mai compilato (cfr. note del sig. YX del 28 agosto 2000 e del 16 gennaio 2002 inviate a Sfera e trasmesse per conoscenza a questa Autorità).

5.2. Presso i "promotori", per trovare un´ulteriore conferma della prassi sopra descritta e della circostanza che la stessa fosse nota a Sfera, sono stati successivamente acquisiti i seguenti documenti:

a) una missiva del 30 gennaio 2003 (prodotta nel corso dell´ispezione presso Gianfranco Brescia) a firma del responsabile dell´Area logistica di Sfera, sig. Maurizio Santandrea, che in un passo evidenzia che "alcuni ospedali […] consegnano cartoline non spontanee. Nell´ottimizzare la vostra raccolta e il vostro rendimento economico, abbiamo inserito nel pacco di questo mese la "dichiarazione informativa sulla privacy" che se compilata dall´incaricata permette alla cartolina non spontanea di acquisire gli stessi vantaggi di quella spontanea, ottimizzando così tempi e costi";
b) una nota a firma di Maurizio Santandrea e del coordinatore dell´area "Field" Antonio Saracino, in cui si ribadisce al "promotore"  Brascia la possibilità di ricorrere all´informativa sottoscritta dai "referenti" ospedalieri per acquisire (in termini di incentivi e premi) gli stessi vantaggi delle cartoline spontanee anche da quelle non spontanee e si invia un prospetto degli enti che, "confrontati con l´aprile 2002, sono notevolmente calati nella raccolta delle cartoline". La missiva prosegue invitando il Brescia a riferire i motivi del decremento e a prospettare rimedi;
c) una terza missiva indirizzata al Brescia dall´Area logistica di Sfera, nella quale si evidenzia che le cartoline provenienti da taluni enti "ci risultano essere non spontanee" ed esorta il "promotore" a incentivare la distribuzione delle informative ai referenti "anche regalando dei punti piuttosto che dei regali";
d) in altra missiva, indirizzata anch´essa al Brescia da parte dell´Area logistica di Sfera, si affronta nuovamente la questione della "trasformazione" delle cartoline non spontanee tramite la sottoscrizione dell´informativa da parte dei "referenti" ospedalieri, osservando che "per questi enti c´è sempre il catalogo premi, l´articolo sulla rivista, qualche donazione, convegno, pertanto dia il massimo affinché possa convertirli".

Il fatto che la società sia a conoscenza che molti coupon non sono compilati dalle interessate risulta anche dall´analisi delle annotazioni (dal seguente tenore: "cartoline compilate dall´incaricata"; "cartoline compilate dall´ostetrica") riportate nel "campo note" di talune delle schede riassuntive in atti che, come detto, il "promotore" è tenuto ad inviare a Sfera.

5.3. Nel corso degli accertamenti, anche in relazione al rinvenimento negli archivi cartacei di Sfera di diverse cartoline provenienti dagli ospedali di Taranto e San Giuseppe di Nardò (in atti), apparentemente compilate da un unico soggetto (cfr. dichiarazione di Anna Guglielmi nel verbale del 6 ottobre 2004, p. 3), è stato chiesto al responsabile dell´Area logistica se la società avesse contestato ai "promotori" comportamenti irregolari in ordine al fenomeno delle cartoline c.d. non spontanee. Dalle dichiarazioni rese per conto della società è emerso che: "in ogni circostanza in cui la società abbia nutrito dubbi circa la spontaneità dell´acquisizione delle informazioni, ha proceduto a classificare le stesse con la sigla "NS" (…) e che non sono state fatte specifiche contestazioni ma che, comunque, a partire dal 2003, il contratto dei promotori è stato integrato con le linee-guida per il trattamento" (cfr. verbale del 22 dicembre 2003, p. 5).

La società ha precisato che "i dati definiti come non spontanei vengono trattati con cautele aggiuntive che portano a chiedere all´interessata di confermare il suo interesse a ricevere il materiale editoriale e, in caso di risposta negativa o anche semplicemente di mancata risposta la società, nel pieno rispetto del principio del consenso espresso dall´interessato su cui si fonda questa attività in base alla normativa, sospende precauzionalmente qualsiasi trattamento dei dati stessi" (memoria integrativa di Sfera, cit., p. 6; cfr. anche la nota di riscontro di Sfera del 18 maggio 2001, cit.).

 

6. Archiviazione e attività di tele-marketing per i dati contenuti nei coupon c.d. "non spontanei"

6.1. Sulla base di quanto dichiarato da Sfera in sede ispettiva, è emerso che i coupon, una volta riconsegnati dai "promotori", vengono affidati a Kalitype s.n.c. e D.S.Z. s.a.s. di Milano per le operazioni di data-entry nel data-base principale di Sfera.

A seguito di un esame sommario dei coupon così raccolti, volto a verificare la completezza dei dati, vengono registrati nel data-base soltanto i dati riportati nelle cartoline contenenti il numero telefonico e la sottoscrizione dell´interessato.

Le cartoline classificate come "non spontanee" sono invece trasmesse a Telecontatto S.p.a., che provvede a reperire i numeri telefonici degli interessati per rendere possibile la successiva attività di tele-marketing da parte di Sfera. A questo proposito Sfera ha dichiarato che al momento del contatto telefonico l´operatore incaricato "provvede ad acquisire il consenso al trattamento dei dati personali […] con lettura integrale, all´interessato, dell´informativa".

 

7. Le istanze ex art. 7 del Codice e le verifiche in ordine a YW

Negli accertamenti presso Sfera si è anche verificato il trattamento dei dati personali relativi ai componenti della famiglia YX, in relazione alla procedura seguita per dare corso alle richieste di cancellazione dei dati relativi a coloro che revocano il consenso o che si oppongono al trattamento.

I predetti dati risultano presenti nel data-base sotto il nominativo della sig.a "YW" (sebbene il nominativo risulti errato, come evidenziato nel coupon a suo tempo esibito dalla società). In relazione a tale nominativo è presente un c.d. "vincolo di utilizzo" denominato "blocco permanente su richiesta persona". I dati della sig.a YW risultano essere stati acquisiti in due circostanze, "rispettivamente in data 2 agosto 1999, attraverso il coupon della rivista "Io & il mio bambino" […] e in data 1° giugno 2001, attraverso un coupon "Ospedali"" (cfr. verbale del 22 dicembre 2003, p. 5).

Con riguardo poi alle richieste di cancellazione dei dati o alle opposizioni al trattamento, la società ha dichiarato di aver modificato la relativa procedura (che in una prima fase prevedeva la estromissione del relativo record dal data-base) creando un´apposita black list formata dai nominativi e dai codici di avviamento postale di residenza degli interessati che non desiderano ricevere comunicazioni da Sfera.

 

8. Trattamenti effettuati da Sfera e protezione dei dati: in particolare, la mancata designazione di responsabili e incaricati

8.1. La complessa vicenda descritta è di seguito esaminata per ciò che concerne la liceità e la correttezza del trattamento dei dati, profili questi di competenza del Garante.

Vanno preliminarmente qualificate dal punto di vista della protezione dei dati le attività svolte da "promotori" e "referenti" nell´interesse di Sfera, titolare del trattamento sopra descritto.

Dalla ricostruzione delle attività svolte e degli impegni contrattualmente assunti da soggetti esterni quali i "promotori", la figura di questi ultimi (che peraltro non sono sempre persone fisiche) non risulta qualificabile alla mera stregua di semplici "incaricati del trattamento".

Il grado di autonomia del "promotore" in ordine alle modalità da osservare nel trattamento dei dati, così come prefigurata dalle clausole contrattuali che regolano il rapporto di collaborazione coordinata e continuativa con la società, risulta infatti alquanto ampio ancorché all´interno delle direttive impartite da Sfera ("Sintesi delle linee guida che regolano la raccolta dei dati personali da parte della società Sfera Editore s.p.a.", allegata al contratto di collaborazione).

Va pertanto prescritto a Sfera, ai sensi dell´art. 154, comma 1, lett. c ), del Codice, di provvedere alla necessaria designazione dei promotori di cui intenda continuare ad avvalersi quali "responsabili", anziché "incaricati" del trattamento, in conformità a quanto previsto dagli artt. 4 e 29 del Codice.

8.2. Dagli atti non risulta che Sfera, pur sussistendone i presupposti e la necessità, abbia designato quale "responsabile del trattamento", salva la società Kalitype –la quale comunque non risulta aver provveduto a designare quali incaricati del relativo trattamento i propri dipendenti (cfr. verbale del 22 dicembre 2003, p. 4)– le società Telecontatto e D.S.Z., né tale designazione è stata a tutt´oggi comunicata al Garante.

Il trattamento dei dati presso tali società non risulta quindi dagli atti effettuato in conformità ai necessari requisiti di liceità (artt. 4, 30, 33 e All. B del Codice).

La prescrizione di cui al punto 8.1. va quindi impartita dal Garante anche in relazione all´attività di tali società, oltre alla trasmissione degli atti e di copia del presente provvedimento all´autorità giudiziaria per le valutazioni di competenza in ordine alla non risultante adozione delle misure minime di sicurezza previste dal predetto All. B al Codice (art. 169 del Codice).

8.3. Sono emersi profili critici anche in relazione alla qualificazione, dal punto di vista della disciplina di protezione dei dati personali, dei comportamenti materiali posti in essere dai "referenti" che, a titolo diverso, hanno consentito (o tollerato) o, ancora, effettuato direttamente un´attività di distribuzione dei coupon e di loro raccolta e conservazione una volta compilati, con eventuale partecipazione diretta anche alla loro redazione, prestando assistenza agli interessati, o finanche sostituendosi (a loro insaputa) ai medesimi.

Queste attività, basate su una distribuzione alquanto capillare dei "referenti" nell´ambito delle strutture sanitarie interessate agli accertamenti, sono operazioni di trattamento di dati personali (art. 4, comma 1, lett. a ) del Codice).

L´attività dei "referenti", per le modalità attraverso le quali trova regolare attuazione, lungi dal caratterizzarsi per la saltuarietà e l´occasionalità dell´apporto fornito per il trattamento dei dati, denota infatti una continuità nell´impegno assunto dai "referenti" con i "promotori" (e la società), rappresentando un elemento indefettibile ed imprescindibile per la buona riuscita delle operazioni di raccolta dei dati finalizzate al marketing da parte di Sfera.

Né, tenendo conto dell´attribuzione dei benefici sopra descritti al punto 4.2., tale attività si caratterizza per disinteresse e spontaneità, come le dichiarazioni della società vorrebbero far intendere (cfr. memoria integrativa di Sfera, cit., p. 4, secondo cui le cartoline possono anche "essere raccolte con l´assistenza spontanea del personale ospedaliero […], che si premura di distribuire le cartoline. A tale riguardo va precisato […] che non è infrequente che lo stesso personale ospedaliero agevoli la diffusione del materiale distribuito e questo per un comprensibile elemento di carattere psicologico (risulta infatti moralmente gratificante consentire alla neo-mamma di ricevere gratuitamente materiale di pregio e di immediata utilità)".

Tali elementi, valutati nelle concrete modalità di svolgimento delle operazioni di raccolta, inducono a rinvenire nei "referenti" l´ultimo, ma vitale, anello della catena di cui Sfera si avvale per la raccolta (e, talora, la "generazione", nel caso delle c.d. cartoline non spontanee) delle informazioni personali.

I "referenti" non risultano aver assunto questo compito in termini leciti in rapporto alle funzioni che i medesimi possono svolgere nelle strutture pubbliche e private di appartenenza in corrispondenza dell´esecuzione della prestazione lavorativa (non constando, dagli atti acquisiti, che l´attività svolta per Sfera fosse prevista da convenzioni legittimamente sottoscritte dalle strutture sanitarie o consentita da atti autorizzativi interni).

Oltre agli altri aspetti di illiceità e non correttezza del trattamento legati a talune modalità di concreta informativa e compilazione dei coupon, non risulta altresì che i "referenti" abbiano trattato legittimamente i dati nella qualità di "incaricati del trattamento" designati da Sfera o dai "promotori" (incarico di cui è peraltro difficile configurare la liceità alla luce della disciplina vigente e dell´anomalo sistema di collaborazione sinora instaurato, atteso che i "referenti" sono generalmente dipendenti o collaboratori delle strutture sanitarie presso le quali operano –e, quindi, già "incaricati" delle medesime– e che l´"incaricato del trattamento" può essere designato come tale solo se opera "sotto la diretta autorità del titolare o del responsabile": art. 30 del Codice).

Va pertanto vietato a Sfera, ai sensi degli artt. 143, comma 1, lett. c), 154, comma 1, lett. d), e 170 del Codice, di effettuare ulteriori operazioni di trattamento dei dati avvalendosi di "referenti" sprovvisti dei necessari presupposti di legittimazione al trattamento.

La comunicazione all´autorità giudiziaria di cui al punto 8.2. viene disposta dal Garante anche in relazione alla non risultante adozione delle predette misure minime di sicurezza concernenti la descritta attività dei "referenti".

 

9. L´informativa e il consenso degli interessati

9.1. I coupon distribuiti dai promotori (di cui sono state acquisite alcune copie nel corso degli accertamenti) sono di tenore parzialmente diverso in relazione all´informativa e alla dichiarazione di consenso al trattamento da parte degli interessati riprodotte nei medesimi; contengono una sintetica informativa ai sensi dell´art. 10 della legge n. 675/1996 e un apposito spazio per raccogliere la manifestazione del consenso.

In taluni casi è previsto uno spazio per la sottoscrizione; in altri modelli, per esplicitare il consenso, è inserita solo una casella da barrare. A tale riguardo la società ha asserito che le differenze "nelle formule di informativa e consenso sono effetto di un processo in continuo divenire di adeguamento alle indicazioni provenienti dal Garante e di suggerimenti dei consulenti dell´azienda" (v. verbale del 22 dicembre 2003, p. 2).

9.2. Ciò premesso, i diversi modelli di informativa esaminati non contengono una specifica e distinta indicazione in ordine alle finalità perseguite (consistenti nell´utilizzo delle informazioni per l´invio dell´abbonamento gratuito alla rivista e nell´invio di altro materiale promozionale da parte della società o di terzi, anche appartenenti allo stesso gruppo societario) e alle relative modalità di trattamento dei dati. Né viene indicata la finalità di profilazione degli interessati, che è stata oggetto di notificazione al Garante da parte di Sfera.

I modelli, così come sono strutturati, non consentono agli interessati di comprendere quali siano le informazioni che gli stessi dovrebbero conferire ai fini dell´invio della rivista (tra i quali potrebbero ricomprendersi i dati identificativi e i recapiti) e quelle, facoltative, utilizzate dalla società per compiere altre attività (dati anagrafici propri e dei figli, sesso, professione, numeri telefonici e indirizzi di posta elettronica).

In alcuni casi non è prevista un´indicazione chiara delle categorie di soggetti cui i dati possono essere comunicati. In particolare, in uno dei modelli di informativa predisposto dalla società e acquisito agli atti, Sfera si limita ad operare un mero riferimento, per di più a titolo esemplificativo, a "gli inserzionisti di "Io & il mio bambino" ed altre aziende di primaria importanza". Nelle altre cartoline esaminate, invece (con cui sembrerebbero essere state sostituite a partire dal 2000 quelle appena descritte: v. la nota di riscontro di Sfera del 18 maggio 2001 alla richiesta di informazioni del Garante ex art. 32, comma 1, l. n. 675/1996), ai fini dell´individuazione delle categorie di soggetti cui i dati possono essere comunicati, si rinvia, più genericamente, ad un elenco aggiornato contenente tali indicazioni, che l´interessato può richiedere al responsabile del trattamento.

Oltre al divieto di cui al dispositivo per quanto riguarda i dati già trattati in modo illecito e non corretto, va pertanto prescritto a Sfera, ai sensi dell´art. 154, comma 1, lett. c), del Codice, di riformulare l´informativa inserita nei coupon, in conformità alla previsione ora contenuta nell´art. 13 del Codice e ai principi richiamati dal Garante in precedenti occasioni (Provv.24 febbraio 2005, punto 6, in www.garanteprivacy.it, doc. web n. 1109624; Provv.13 gennaio 2000, ivi, doc. web n. 42276), integrandola in maniera tale da rendere chiari e comprensibili tutti gli aspetti qualificanti del trattamento sopra rappresentati.

9.3. Con riguardo al profilo del consenso, le formule predisposte da Sfera risultano differenziate. Ricorrono, infatti, le seguenti locuzioni:

a) "Se non desideri ricevere successivi invii di campioni gratuiti e di informazioni scientifiche o commerciali, contrassegna con X la casella". A questo proposito deve rilevarsi che tale formula, strutturata mediante l´inserimento di una casella da barrare, non consente all´interessato di esplicare pienamente il proprio diritto all´autodeterminazione informativa, prevedendo solo un´opzione di tipo "negativo" (c.d. opt out) e non è quindi conforme ai requisiti già previsti dalla legge n. 675 e, ora, dal Codice (art. 23). Come già rilevato (cfr. Provv13 gennaio 2000, cit., p. 42), la manifestazione del consenso (o la sua documentazione) in forma negativa, ossia come mera possibilità di esprimere un dissenso o di barrare una casella per la rinuncia o l´opposizione ad ulteriori contatti o comunicazioni commerciali, anche se preceduta da una corretta informativa, si pone infatti in contrasto con quanto stabilito dal citato art. 23, comma 3, del Codice (già art. 11, comma 3, l. n. 675/1996), il quale presuppone che il medesimo, per essere valido, sia "espresso liberamente" e "in forma specifica";
b) "In mancanza del suo consenso l´Editore non potrà inviarle la rivista ed informarla sulle iniziative commerciali". Ponendo riguardo a tale formula, deve rilevarsi che il trattamento di dati preordinato all´invio della rivista è necessario, in base a quanto previsto nell´art. 24, comma 1, lett. b), del Codice (già art. 12, comma 1, lett. b), l. n. 675/1996), per eseguire obblighi derivanti da un contratto del quale è parte l´interessato (ossia l´esecuzione del contratto gratuito di abbonamento). Non è quindi corretto da parte di Sfera sollecitare, come risulta avvenire nel caso di specie, il consenso a tale trattamento di dati (cfr. Provv
24 febbraio 2005, cit., punto 7; Provv3 novembre 2005, in www.garanteprivacy.it, doc. web n. 1195215).

La raccolta dei dati degli interessati di cui al punto a) effettuata da parte di Sfera per compiere successive attività di marketing configura pertanto una violazione dei principi di liceità e correttezza ai sensi degli artt. 11, comma 1, lett. a ), e 23 del Codice. Ai sensi dell´art. 11, comma 2, del Codice i dati così raccolti sono inutilizzabili.

Oltre al divieto di cui al dispositivo per quanto riguarda i dati già trattati in modo illecito e non corretto, va prescritto a Sfera, ai sensi dell´art. 154, comma 1, lett. c), del Codice, di:

  • definire, nei coupon utilizzati, un modello uniforme di raccolta del consenso utilizzando solo formule che permettano agli interessati di manifestare validamente la propria volontà in termini "positivi";
  • richiedere tale consenso solo in ordine ad ogni altra finalità di trattamento differente da quella relativa all´invio della rivista (ossia, la finalità di profilazione e ricerche di mercato da un lato; e quella di marketing dall´altro);
  • acquisire, in base a quanto prescritto nell´art. 23 del Codice, solo manifestazioni di consenso specifiche, informate e distinte per ciascuna delle finalità perseguite dalla società attraverso il trattamento dei dati raccolti con i predetti coupon (cfr. Provv24 febbraio 2005, cit., punto 7).

9.4. Con riferimento al trattamento dei dati effettuato mediante le c.d. cartoline "non spontanee" (descritto al punto 5) redatte in assenza della sottoscrizione degli interessati, e comunque della prova (resa anche in altra forma) che il consenso è stato previamente prestato dagli stessi per la cessione e la successiva utilizzazione di dati personali per finalità di marketing, ricorre anche in questo caso un´ipotesi di violazione dei principi di liceità e correttezza ai sensi degli artt. 11, comma 1, lett. a ), e 23 del Codice.

Le "cautele aggiuntive" cui fa riferimento Sfera e le "procedure di controllo" dalla medesima adottate (v. precedente punto 5.3.), consistenti nel contattare telefonicamente gli interessati (al fine di "chiedere di confermare il suo interesse a ricevere il materiale editoriale" e più in generale quelle descritte al punto 6), comportano la realizzazione di operazioni di trattamento che non possono ritenersi allo stato lecite, considerato che la raccolta dei dati da cui hanno avuto origine tali operazioni è avvenuta in contrasto con le previsioni normative sopra citate.

Anche sotto questo profilo, oltre a quanto già affermato nel punto 8.3. ed estendendo al punto in esame sia la prescrizione di cui al punto 9.3., sia il divieto di trattamento dei dati già trattati in modo illecito e non corretto, va rilevato, ai sensi dell´art. 11, comma 2, del Codice, che i dati trattati sono inutilizzabili.

 

10. Procedure di cancellazione ed opposizione al trattamento
 
In ordine alle procedure adottate da Sfera per garantire un esatto adempimento alle istanze presentate dagli interessati ai sensi degli artt. 7 e 8 del Codice (cfr. punto 7), la società, in caso di opposizione al trattamento ai sensi dell´art. 7, comma 4, lett. b), del Codice, non è tenuta a cancellare i dati, essendo a tal fine sufficiente adottare un sistema (ad esempio mediante apposite black list ) che consenta di impedire l´ulteriore trattamento di tali dati per le finalità oggetto dell´opposizione (invio di materiale pubblicitario, vendita diretta, compimento di ricerche di mercato, comunicazione commerciale).

Al contrario, diversamente da quanto risulta effettuato da Sfera, la richiesta di cancellazione di dati dell´interessato comporta (quando sussistono i presupposti previsti nell´art. 7, comma 3, lett. b), del Codice, ossia la violazione di legge o l´esaurimento degli scopi per i quali sono stati raccolti) la necessaria eliminazione definitiva dei medesimi dal data-base ove sono custoditi, in maniera tale da escludere qualsiasi loro ulteriore trattamento, anche in forma di conservazione.

Anche tale profilo deve pertanto formare oggetto di prescrizione a Sfera per ulteriori trattamenti di dati, ai sensi del predetto art. 154, comma 1, lett. c ), del Codice, nonché di divieto del trattamento per ciò che concerne i dati già trattati in modo illecito e non corretto.

TUTTO CIÒ PREMESSO, IL GARANTE

1) vieta a Sfera Editore S.p.a., ai sensi dell´art. 154, comma 1, lett. d ), del Codice, di proseguire il trattamento dei dati personali che sono stati già trattati in modo illecito e non corretto in violazione delle disposizioni e dei principi di cui ai punti 8, 9 e 10, a decorrere dalla data di ricezione del presente provvedimento;

2) prescrive a Sfera Editore S.p.a., ai sensi dell´art. 154, comma 1, lett. c ), del Codice, al fine di rendere il trattamento conforme alle disposizioni vigenti, di adottare per eventuali altri trattamenti leciti di dati, nei termini di cui in motivazione ed entro il 15 febbraio 2007, le misure necessarie per rispettare l´obbligo di:

a. designare quali responsabili del trattamento ai sensi dell´art. 29 del Codice i soggetti di cui la società si avvale per effettuare attività di gestione del data-base o per le attività di raccolta dei dati personali finalizzati allo svolgimento di attività di marketing svolta dalla medesima (punti 8.1. e 8.2.);

b. fornire un´idonea informativa agli interessati, completa di tutti gli elementi di cui all´art. 13 del Codice (punto 9.2.);

c. acquisire e trattare i dati degli interessati in base ad un consenso validamente prestato ai sensi dell´art. 23 del Codice (punto 9.3. e 9.4.);

d. adottare procedure idonee a garantire un esatto adempimento alle istanze rivolte dagli interessati in base agli artt. 7 e 8 del Codice (punto 10);

e. dare conferma al Garante, entro e non oltre la medesima data del 15 febbraio 2007, in ottemperanza alla presente statuizione adottata anche ai sensi e per gli effetti di cui agli artt. 157, 164 e 168 del Codice, che i trattamenti di dati da essa effettuati sono conformi alle prescrizioni del presente provvedimento, conformità che dovrà essere comprovata anche da ogni informazione e documento utili da allegare alla comunicazione all´Autorità;

3) dispone la trasmissione degli atti e di copia del presente provvedimento all´autorità giudiziaria per le valutazioni di competenza in ordine alla non risultante adozione delle misure minime di sicurezza previste dall´Allegato B al Codice (art. 169 del Codice) (punti 8.2. e 8.3.).

Roma, 7 dicembre 2006

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli