g-docweb-display Portlet

Procedimento relativo ai ricorsi - Richiesta accesso ai dati - Assenza di particolari formalità - 29 settembre 1999 [39045]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 39045]

Procedimento relativo ai ricorsi - Richiesta accesso ai dati - Assenza di particolari formalità - 29 settembre 1999

Le richieste di cui all´art. 13, comma 1, lett. c), num. 1), della legge n. 675, dirette a conoscere i dati, la loro origine nonché le finalità e la logica del loro trattamento, possono essere avanzate dagli interessati senza particolari formalità ed anche verbalmente (v. art. 17, comma 1, d.P.R. n. 501 del 1998). Appaiono, pertanto, illegittime prassi consistenti nel richiedere agli interessati di indicare, nelle istanze di accesso ai dati ai sensi dell´art. 13 della legge n. 675, eventuali codici identificativi ad essi attribuiti dal titolare del trattamento.


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Ugo De Siervo e dell´ing. Claudio Manganelli, componenti, e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il ricorso presentato dal ricorrente nei confronti di un titolare del trattamento dei dati personali;

VISTE le osservazioni dell´Ufficio formulate dal Segretario generale ai sensi dell´art. 7, comma 2, lettera a) del d.P.R. 31 marzo 1998, n. 501;

VISTI gli articoli 13 e 29 della legge 31 dicembre 1996, n. 675 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo 1998, n. 501;

RELATORE il prof. Ugo De Siervo;

PREMESSO:

1. A seguito dell´invio di una pubblicità concernente una cura dimagrante, il ricorrente ha chiesto alla società mittente, ai sensi dell´art. 13 della legge n. 675/1996, di conoscere l´origine dei dati che lo riguardano, la loro natura e le relative modalità di trattamento; non avendo ricevuto risposta, si è quindi rivolto al Garante presentando un ricorso ai sensi dell´art. 29 della predetta legge.

A seguito dell´invito ad aderire formulato dal Garante ai sensi dell´art. 20, comma 1, del d.P.R. n. 501/1998, la società, per il tramite del proprio legale, ha inviato lo scorso .. .. ….una memoria nella quale ha affermato che:

  • avrebbe già fornito risposta al ricorrente il .. 1 …, evidenziando "l´impossibilità di rintracciare il suo nominativo", in quanto l´interessato, nella sua precedente richiesta, non aveva indicato "i dati così come formulati sul materiale pubblicitario ricevuto, completi del "codice cliente", che rappresenta un elemento indispensabile al fine dell´individuazione dei dati medesimi";
  • non avrebbe più ricevuto alcuna notizia in merito alla questione fino alla presentazione del ricorso in esame;
  • avrebbe provveduto, a seguito della comunicazione del ricorso (cui è stata allegata copia dell´informativa pubblicitaria comprensiva del suddetto "codice cliente"), all´individuazione ed "alla immediata cancellazione dei dati in oggetto";
  • i dati del ricorrente farebbero parte di una banca dati detenuta dalla società "già in data anteriore all´entrata in vigore della L. 675/96 e rientrante, pertanto, nel regime transitorio di cui all´art. 41 della suddetta legge", precisando che si tratterebbe di "dati anagrafici personali non sensibili oggetto di trattamento informatico ai fini di direct marketing".

2. In relazione a tale memoria, il ricorrente (con comunicazione via fax del .. ..) ha manifestato una sostanziale insoddisfazione per la risposta fornita, sostenendo:

  • di non aver ricevuto la lettera del … (della cui trasmissione o ricezione non sarebbe stata fornita alcuna prova);
  • che non sembrerebbe "verosimile la presunta impossibilità " della società titolare del trattamento "a rintracciare nel proprio sistema informativo i dati sulla base delle sole generalità ";
  • che la società non avrebbe comunicato i dati personali in proprio possesso, né avrebbe fornito la prova che si tratterebbe dei soli dati anagrafici, mentre "la proposta commerciale inviata riguarda prodotti medicinali per la cura dell´obesità ";
  • che non sarebbero state fornite le prove "della preesistenza della banca dati in questione anteriormente alla data di entrata in vigore della L. 675/96" e "della avvenuta cancellazione" dei dati.

Il ricorrente ha quindi concluso chiedendo la liquidazione delle spese inerenti al ricorso da porre integralmente a carico della società sopra indicata.

CIÒ PREMESSO, IL GARANTE OSSERVA:

3. Sul ricorso in esame deve essere dichiarato, in via principale, non luogo a provvedere, in quanto la società titolare del trattamento dei dati personali ha aderito spontaneamente alle richieste del ricorrente dirette ad ottenere la cancellazione dei dati e la comunicazione della loro natura e delle modalità del loro trattamento.

Il ricorso va però dichiarato fondato in ordine alla richiesta di conoscere l´origine dei dati personali in quanto la società non ha fornito idonei riscontri al riguardo.

Rispetto poi ad un profilo emerso nel procedimento (asserita impossibilità di rintracciare i dati del ricorrente in mancanza del codice identificativo riportato sul materiale pubblicitario), il Garante intende avvalersi dell´autonomo potere di segnalazione previsto dall´art. 31 della legge n. 675 al fine di indicare alla società alcune modificazioni che dovranno essere assunte al fine di rendere il trattamento dei dati conforme alla legge n. 675/1996.

4. In particolare, salvi i successivi accertamenti che questa Autorità si riserva di effettuare, può prendersi atto, al momento, della dichiarazione della società di aver cancellato i dati relativi al ricorrente, aderendo alla principale istanza di quest´ultimo.

Nei medesimi termini, può, altresì, prendersi atto delle precisazioni fornite dalla società in ordine all´origine dei dati, alla loro natura e alle modalità di trattamento.

Al riguardo va ricordato che il ricorrente, sia nella precedente richiesta, sia nel ricorso, ha chiesto di conoscere la sola natura dei dati che lo riguardano e non anche i dati stessi, come consente l´art. 13, comma 1, lett. c), num. 1) della legge n. 675. Sotto questo profilo, la società ha dunque fornito esauriente risposta all´interessato precisando che i dati personali in suo possesso riguardano informazioni anagrafiche di natura non sensibile.

La società ha fornito anche alcune indicazioni sulle modalità di trattamento, specificando che i dati sono trattati mediante l´uso di strumenti informatici per finalità di direct marketing . Il ricorrente non ha sollevato eccezioni, per cui può ritenersi che la risposta abbia sostanzialmente soddisfatto le esigenze conoscitive dell´interessato.

5. In relazione all´origine dei dati, la società titolare si è invece limitata ad evidenziare che le informazioni utilizzate provengono da una banca dati costituita prima dell´entrata in vigore della legge n. 675. A prescindere dai rilievi formulati dal ricorrente sulla veridicità della precisazione, la stessa non può essere ritenuta sufficiente in quanto evidenzia all´interessato solo la fonte più immediata di provenienza dei dati senza indicare la loro reale origine (secondo quanto previsto dal citato art. 13, comma 1, lett. c), num. 1)), ossia, nel caso concreto, in che modo è stata acquisita o formata la banca dati contenente le informazioni utilizzate per l´invio del materiale pubblicitario.

In proposito, è irrilevante il fatto che la banca dati, in quanto costituita prima dell´entrata in vigore della legge n. 675/1996, rientri nel regime transitorio di cui all´art. 41 di tale legge, poiché:

a) quest´ultimo articolo, che riguarda l´applicazione delle disposizioni sul consenso, prevede una clausola di salvezza dell´esercizio dei diritti di cui agli articoli 13 e 29 della medesima legge;

b) in base a tali due articoli, ogni soggetto che, in quanto titolare, detiene od utilizza dati personali acquisiti anche prima della data di entrata in vigore della legge n. 675 o il cui trattamento sia iniziato precedentemente, ha comunque l´obbligo di soddisfare, a prescindere dall´informativa eventualmente dovuta agli interessati, la richiesta di questi ultimi di conoscere l´origine delle informazioni che li riguardano; è tenuto, quindi, ad effettuare una ricognizione delle fonti dalle quali questi ultimi sono stati ricavati.

Per questi motivi, la società titolare del trattamento deve integrare la precedente risposta, fornendo al ricorrente un preciso riscontro sull´origine delle informazioni relative alla sua persona, e specificando la provenienza o le modalità di acquisizione della banca dati contenente tali informazioni.

6. Relativamente alle doglianze del ricorrente sulle difficoltà incontrate nell´individuare i dati a causa della mancata indicazione del "codice cliente" riportato sul materiale pubblicitario, va precisato che esse non precludono la dichiarazione di non luogo a provvedere, in quanto sono da ritenersi superate alla luce dell´avvenuta adesione alle richieste effettivamente formulate dall´interessato (che, in ogni caso, si è limitato a richiedere informazioni sulla sola natura dei dati) e dell´avvenuta cancellazione dei dati. Esse possono, semmai, essere considerate ai fini della determinazione delle spese da porre integralmente a carico della parte soccombente.

Tuttavia, le medesime doglianze evidenziano alcuni profili di evidente contrasto del comportamento della società rispetto ai princìpi sanciti dalla legge n. 675/1996 in materia di accesso ai dati personali, che questa Autorità è tenuta ad esaminare, d´ufficio, in applicazione del citato art. 31, comma 1, lett. c), della legge, allo scopo di assicurare, anche nei confronti delle eventuali future richieste delle persone interessate, una corretta applicazione della legge.

Deve infatti osservarsi che le richieste di cui all´art. 13, comma 1, lett. c), num. 1), della legge n. 675, dirette a conoscere i dati, la loro origine nonché le finalità e la logica del loro trattamento, possono essere avanzate dagli interessati senza particolari formalità ed anche verbalmente (v. art. 17, comma 1, d.P.R. n. 501 del 1998), dimostrando la propria identità attraverso l´esibizione o la trasmissione della copia di un documento di riconoscimento (art. 17, comma 2, cit.).

Appaiono, pertanto, illegittime prassi, come quella seguita dalla società resistente, consistenti nel richiedere agli interessati di indicare, nelle istanze di accesso ai dati ai sensi dell´art. 13 della legge n. 675, eventuali codici identificativi ad essi attribuiti dal titolare del trattamento.

Secondo quanto stabilito dal più volte citato art. 17, comma 9, del d.P.R. n. 501/1998, i titolari dei trattamenti devono piuttosto adottare, ai fini di una più efficace applicazione dello stesso art. 13, opportune misure volte a facilitare l´esercizio dei diritti di accesso (anche attraverso l´impiego di appositi programmi per elaboratore), nonché a semplificare le modalità per il riscontro ai richiedenti e a ridurre i relativi tempi.

La società resistente deve, quindi, apportare apposite modificazioni alle procedure informatiche di gestione e di consultazione della propria banca dati per consentire un agevole accesso degli interessati ai propri dati, anche senza indicazione del codice precedentemente attribuito a questi ultimi (c.d. "codice cliente").

7. In relazione alla richiesta formulata dal ricorrente di determinare l´ammontare delle spese e dei diritti inerenti al ricorso da porre a carico della società soccombente, si ritiene congruo, ai sensi dell´art. 20, commi 2 e 9, del d.P.R. n. 501/1998, determinare tale ammontare nella misura forfettaria di lire 200.000, di cui lire 50.000 per diritti. Tale ammontare tiene conto degli adempimenti connessi, in particolare, alla redazione e presentazione del ricorso, dei documenti inviati, nonché dell´istruttoria e delle questioni giuridiche trattate. Alla luce delle considerazioni sopra esposte (cfr. punti 5 e 6), tale somma va posta integralmente a carico della società di cui in premessa.

TUTTO CIÒ PREMESSO, IL GARANTE:

  1. dichiara, ai sensi dell´art. 20, comma 1, del d.P.R. n. 501/1998, non luogo a provvedere sul ricorso per quanto riguarda le richieste volte ad ottenere la comunicazione della natura dei dati e delle modalità del loro trattamento, nonché la loro cancellazione;
  2. dichiara fondato il ricorso per quanto concerne l´istanza relativa all´origine dei dati e, per l´effetto, ordina alla .... quale titolare del trattamento di integrare la precedente risposta facendo pervenire al ricorrente e a questa Autorità, entro il .. ….., un preciso riscontro sulla provenienza dei dati che lo riguardano;
  3. segnala alla stessa società, ai sensi dell´art. 31, comma 1, lett. c) della legge n. 675, la necessità di adottare apposite misure per agevolare l´accesso degli interessati ai dati personali, nei termini indicati in motivazione, e di fornire a questa Autorità un preciso riscontro sulle misure adottate, entro il …;
  4. determina ai sensi dell´art. 20, commi 2 e 9, del d.P.R. n. 501/1998, nella misura forfettaria di lire 200.000, di cui lire 50.000 per diritti, l´ammontare delle spese e dei diritti inerenti al presente ricorso, che pone a carico della suddetta società.

Roma, 29 settembre 1999

IL PRESIDENTE
Rodotà

IL RELATORE
De Siervo

IL SEGRETARIO GENERALE
Buttarelli