[doc. web . n. 1055346]

Informazioni all´interessato - Modelli per l´informativa e il consenso - 22 ottobre 1997

L´American Express ha chiesto un parere al Garante riguardo ai modelli per l´informativa e per la prestazione del consenso da inviare ai clienti. Nella risposta, si richiama l´attenzione sul fatto che l´interessato, prestando il proprio consenso, deve essere a conoscenza di tutte le informazioni richieste dall´art. 10 e deve essere libero di esprimere il consenso per uno o più trattamenti.

Roma, 22 ottobre 1997

American Express S.E.L.
Largo Caduti di El Alamein, 9
00173 ROMA

OGGETTO: Modelli per l informativa e il consenso. Riferimento nota ALS/100/97 del 19 agosto 1997.

Con riferimento alla nota in oggetto, si fa presente che i modelli per l´informativa all´interessato e la manifestazione del consenso sottoposti all´attenzione di quest´Autorità il 14 settembre u.s., soddisfano in alcuni punti i requisiti previsti dalla legge n. 675/96.

Si illustrano, di seguito, alcune modificazioni da apportare.

Informativa

1) Nella prima parte dell´informativa, occorre precisare se i dati sono raccolti presso l´interessato o da terzi ovvero, come sembra, da entrambi (art. 10, commi 1 e 3, legge n. 675/96).

2) Le finalità del trattamento devono essere specificate meglio, evidenziando anche la natura facoltativa o obbligatoria del conferimento dei dati, in modo da permettere all´interessato di esercitare consapevolmente le opzioni in ordine all´ampiezza del consenso.

Particolare chiarezza necessita per ciò che riguarda alcune finalità (quelle di cui al punto 6 dell´informativa, nonché quelle di cui al punto c), che vanno esplicitate nella prima pagina al posto dell´attuale formula di rinvio):

il cliente deve poter comprendere agevolmente che per queste finalità vi è un´assoluta libertà di esprimere o meno il consenso, e che l´eventuale diniego non comporta alcuna conseguenza sfavorevole, fatta eccezione, ovviamente, per l´impossibilità di ricevere offerte commerciali dell´American Express o da terzi.

3) Il riferimento alle modalità impiegate per il trattamento deve essere sviluppato descrivendo la logica su cui si basa il trattamento, e individuando, in particolare, i principali criteri e le metodologie di elaborazione dei dati.

In particolare, non può ritenersi sufficiente l´accenno ai "criteri qualitativi, quantitativi e temporali" su cui si basa l´intreccio dei dati. Sia pure per grandi linee, l´interessato deve essere consapevole della circostanza che le analisi e i controlli effettuati sugli acquisti possono comportare il raffronto con dati detenuti all´estero e la classificazione dei clienti in fasce a seconda del tipo di acquisto o della puntualità nei pagamenti.

4) Nell´informativa si parla dei "terzi fornitori di fiducia incaricati" . L´inciso sembra riguardare non i soggetti estranei all´attività del titolare, ma le persone che operano direttamente per conto di quest´ultimo.

Occorre tuttavia precisare se tali soggetti assumano, al pari del sig. Gaddini, la qualità di "responsabili" del trattamento (art. 8, l. 675/96).

Qualora essi svolgano, invece, il ruolo degli "incaricati del trattamento" (i quali com´è noto, possono essere solo persone fisiche: art. 19, l. 675/96), non è necessario menzionarli nell´informativa.

Si ricorda che può essere designato come "responsabile" del trattamento sia una persona fisica dipendente dal titolare, sia un ente, un´associazione o una persona giuridica esterna alla struttura del titolare, sia, infine, una persona fisica dipendente da uno di tali organismi.

L´informativa dovrà comprendere il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede delle persone fisiche o degli organismi designati in qualità di "responsabili" (art. 10, comma 1, lett. f) I. 675/96).

Le persone fisiche responsabili potranno essere indicate anche con un riferimento alla qualità rivestita pro-tempore (es. in qualità di capo del settore ... ), il che eviterà, in caso di avvicendamento in tale qualità, di ripetere l´informativa.

5) Con riferimento alla parte relativa all´ambito di comunicazione e di diffusione dei dati, risultano generici i riferimenti alle società "licenziatarie ovunque nel mondo" (punto a) e ai "centri di elaborazione dati/banche dati e loro aderenti" (punto b)). Si precisa, al riguardo, che è sufficiente indicare le categorie di soggetti ai quali i dati possono essere comunicati e l´ambito di diffusione dei dati medesimi.

6) Alla pagina 2, in relazione alla natura del conferimento dei dati e alle eventuali conseguenze del rifiuto di fornirli, occorre distinguere le ipotesi in cui i dati:

a) devono essere forniti per adempiere ad un obbligo di legge (ad es., in base alla normativa antiriciclaggio);

b) sono necessari all´instaurazione o, a seconda dei casi, all´attuazione del rapporto contrattuale (in alcune situazioni, peraltro, il consenso non è necessario, il che potrebbe verificarsi, ad esempio, nel caso in cui la valutazione dell´esistenza di un rischio di inadempienza e insolvenza sia strettamente connaturata al tipo di rapporto: art.12, comma 1, lett. b) l. 675/96);

c) si riferiscono ad attività svolte da società terze o dall´American Express, per le quali il diniego di consenso non può avere alcuna conseguenza sfavorevole sulla costituzione o sulla prosecuzione del rapporto.

Le diverse conseguenze del rifiuto di fornire i dati personali devono essere collegate, alle ipotesi.

7) Il riferimento alla possibilità di escludere il trattamento di cui al punto C) dell´informativa dovrà essere riformulato in modo da precisare che l´opzione a disposizione dell´interessato è di tipo "positivo" (possibilità di esprimere o di negare un consenso) anziché "negativo" (possibilità di esercitare a posteriori un diniego).

8) È da precisare che le ultime due righe che figurano a pagina 2 non hanno effetti sostanziali, in quanto lì American Express, qualora raccolga presso il titolare della carta di credito dati relativi a terzi (ad es., ai familiari), deve fornire in ogni caso, ai terzi medesimi, a posteriori, l´informativa di cui all´art. 10, comma 3, della legge n. 675/96, e chiedere il loro consenso, ove necessario.

9) Nel modello d´informativa occorre specificare meglio chi siano i soggetti indicati al punto d) del modello di consenso quali "terzi fornitori" selezionati al "solo scopo di assicurare i livelli di servizio ed il controllo dei flussi operativi" , chiarendo inoltre il rapporto che intercorre con l´American Express.

Consenso

1) La Vs. società intende inserire la formula relativa alla dichiarazione del consenso all´interno del regolamento concernente la carta di credito, consegnato all´interessato al momento dell´adesione. Tale formula, sia per la sua collocazione, sia per il mancato collegamento ad una informativa, risulterebbe in contrasto con l´art.11, comma 3, della legge n. 675/96, il quale stabilisce che il consenso può ritenersi validamente prestato solo se è espresso "in forma specifica" e sono state rese all´interessato le informazioni di cui all´art. 10.

Pertanto, nella formula del consenso, dovrà essere inserito un richiamo puntuale alle informazioni rese prima della sottoscrizione della richiesta della carta, ai sensi del medesimo art. 10, articolando la formula con eventuali distinzioni in modo da permettere all´interessato di esprimere liberamente, ed in forma specifica, il proprio consenso "informato" .

2) L´inciso nel quale il titolare della carta di credito autorizza l´American Express ad ottenere informazioni presso il datore di lavoro o altri soggetti non è conforme alle disposizioni della legge n. 675/96, le quali prevedono che siano gli altri titolari del trattamento (datori di lavoro, banche, ecc.) a dover richiedere, ove necessario, il consenso dell´interessato alla comunicazione dei dati personali all´American Express, (la quale, a sua volta, deve acquisire il consenso per la comunicazione dei dati a terzi).

Non è preclusa la possibilità di esprimere con un solo atto il consenso sia in favore dell´American Express, sia del datore di lavoro, della banca, di terzi ecc. In tal caso, però, affinché il consenso sia espresso "in forma specifica", occorre citare puntualmente i soggetti "autorizzati" al trattamento. Si ricorda, peraltro quanto osservato a proposito dell´informativa in ordine alla genericità del riferimento alle società licenziatarie.

3) L´ipotesi descritta al punto a) del modulo di consenso dovrebbe essere depennata in quanto non è necessario richiedere il consenso agli interessati per ciò che riguarda l´attività dei soggetti che, agiscono, come sembra, in qualità di responsabili (punto a). L´interessato dovrà inoltre disporre della possibilità di manifestare a parte l´eventuale consenso per ciò che riguarda la partecipazione dell´American Express alle banche dati operanti nel credito (punto b), e per quanto concerne l´analisi delle informazioni, delle caratteristiche delle spese e degli orientamenti all´acquisto (punto c)), a prescindere dalla circostanza che tale analisi sia effettuata dall´American Express o da terzi.

4) Suscita perplessità il riferimento al traffico telefonico, che incide su una materia sulla quale è intervenuta una recente direttiva comunitaria che dovrà essere recepita entro il 23 ottobre 1998.

Non sono chiare, anzitutto, le caratteristiche e la durata temporale del "monitoraggio" delle telefonate. In secondo luogo, non occorre richiedere il consenso qualora la registrazione della conversazione sia realmente necessaria per l´esecuzione degli obblighi contrattuali o per l´acquisizione delle informative precontrattuali attivate su richiesta dell´interessato (art.12 comma 1 lett. b) 1. 175/96).

Si informa infine che la risposta ai quesiti formulati con lettera del 13/6/1997, è stata sospesa in base alle intese telefoniche con i competenti uffici della Vs. società, in attesa degli ulteriori quesiti preannunciati.

IL PRESIDENTE