Occorre specificare bene modalità del trattamento
e soggetti ai quali possono essere comunicati i dati
L’informativa sulla privacy relativa a dati personali raccolti via web deve contenere tutte le informazioni elencate nel Codice in materia di protezione dei dati personali.
Lo ha ribadito il Garante privacy che ha ingiunto ad una società il pagamento di seimila euro. La società, tramite il proprio sito web, raccoglieva i dati personali di cittadini interessati a ricevere informazioni sui servizi offerti, che riguardavano l’assistenza allo studio e la preparazione agli esami universitari. Nel sito, in particolare, venivano raccolti indirizzi e-mail e numeri di telefonia mobile, specificando che il recapito telefonico fornito dagli interessati sarebbe stato utilizzato esclusivamente "per un contatto da parte di un commerciale". Il Garante aveva contestato alla società la violazione prevista dal Codice (omessa o inidonea informativa all’interessato). La società non aveva dato corso al pagamento in misura ridotta e si era anzi opposta sostenendo non solo che l’informativa proposta conteneva tutte le informazioni specificate nel Codice, ma anche che gli indirizzi e-mail e i numeri di cellulare raccolti non potessero essere definiti dati personali, sia perché non in grado di identificare una persona, sia perché non compresi tra le tipologie annoverate nella definizione di dato personale fornita dal Codice. Tali motivazioni sono state ritenute inadeguate a giustificare il comportamento dell’azienda. "L’informativa fornita dalla società era gravemente carente" - ha commentato il relatore del provvedimento di ingiunzione, Giuseppe Fortunato -.
Agli interessati, infatti, non era dato sapere né le modalità del trattamento dei propri dati, né i soggetti ai quali potessero essere comunicati. Addirittura, gli estremi identificativi del titolare del trattamento riportati sul sito erano incompleti. Nel Provvedimento del garante viene inoltre chiarito come il numero di telefonia mobile e l’indirizzo e-mail siano appunto dati personali, tanto che una specifica sezione del Codice è stata dedicata alla disciplina dei trattamenti di dati personali effettuati tramite comunicazioni elettroniche".
Come precisato nel Provvedimento, infatti:
a) indicare, da parte della società, che "l'utilizzo del numero di cellulare verrà utilizzato esclusivamente per un contatto telefonico di un nostro commerciale" non consente all'interessato di conoscere compiutamente e preventivamente le modalità del trattamento (art. 13, comma 1, lett. a)), la natura obbligatoria o facoltativa del conferimento dati (art. 13, comma 1, lett. b)), le conseguenze di un eventuale rifiuto di rispondere (art. 13, comma 1, lett. c)), i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati o che possono venire a conoscenza in qualità di responsabili o di incaricati (art. 13, comma 1, lett. d)) (al riguardo, anche l'indicazione di "un nostro commerciale" deve ritenersi inidonea attesa la sua assoluta genericità), i diritti di cui all'art. 7 (art. 13, comma 1, lett. e)), nonché gli estremi identificativi del titolare (art. 13, comma 1, lett. f)) (al riguardo, la mera indicazione "Soc. Universitalia" non consente, nel caso di specie, un'individuazione certa del titolare del trattamento, non essendo indicata la ragione sociale completa accompagnata da un idoneo recapito. In ogni caso, nessuna delle predette informazioni viene fornita con riferimento al trattamento dell'indirizzo di posta elettronica;
b) la nozione di dato personale, che la società ritiene di poter evincere dall'art. 4, comma 1, lett. b) del Codice, è erronea, atteso che il numero di telefonia mobile e l'indirizzo di posta elettronica rappresentano certamente informazioni relative a persona fisica, persona giuridica, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione; a riprova di ciò, va rilevato che una specifica sezione del Codice (Titolo X) è dedicata proprio alla disciplina dei trattamenti dei dati personali mediante le comunicazioni elettroniche. Risulta, pertanto, irrilevante che il predetto art. 4, comma 1, lett. b) non elenchi esplicitamente le tipologie di dati personali;