PRIVACY: Vendita dati on line (04/08/2008)

Mette in vendita sul proprio sito web intere banche dati con indirizzi di posta elettronica, numeri di fax e di telefono, lecitamente estratti da registri pubblici, ma non informa le persone alle quali quei dati appartengono, e il Garante gli "blocca" la banca dati. É accaduto a un piccolo imprenditore di Milano al quale il Garante ha vietato (con un provvedimento di cui è stato relatore Giuseppe Chiaravalloti) di continuare ad utilizzare, conservare e soprattutto vendere quei dati.

Le norme sulla protezione dei dati personali stabiliscono, infatti, che è lecito estrarre e raccogliere dati personali, senza la necessità di avere il consenso degli interessati, da pubblici registri, documenti o elenchi conoscibili da chiunque. Ma le norme precisano anche che è obbligatorio informare gli interessati della costituzione della banca dati e degli scopi per i quali le loro informazioni personali verranno usate (compresa ovviamente la cessione o la vendita a terzi), in modo tale da consentire ai medesimi interessati di potersi opporre, se lo ritengono, al trattamento dei propri dati. Venendo a mancare questa informativa, i dati risultano trattati in violazione della disciplina in materia di privacy e non possono più essere utilizzati.

Sulla base di queste disposizioni e delle ispezioni effettuate il Garante ha dunque ritenuto illecito il trattamento dei dati personali posti in vendita sul sito web e ha vietato di trattare quei dati.

Esplicito consenso per il trattamento di dati per finalità di marketing -

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI



NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;
VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTO il provvedimento generale adottato dall’Autorità in data 29 maggio 2003 relativo allo spamming (in www.garanteprivacy.it, doc. web n. 29840);

VISTE le decisioni adottate il 20 dicembre 2006 a seguito dei ricorsi proposti nei confronti di Syner.it informatica s.r.l. e dell’impresa individuale Nonsolo-web di Sergio Livrieri, nei quali era stata lamentata la ricezione di messaggi pubblicitari indesiderati per posta elettronica (in www.garanteprivacy.it, doc. web nn. 1381644 e 1378152);

CONSIDERATO che dalla documentazione acquisita a seguito dei predetti ricorsi sono emersi ulteriori profili in ordine ai quali è stata avviata un’istruttoria preliminare per verificare la liceità e la correttezza del trattamento;

VISTA l’ulteriore documentazione in atti e, in particolare, la relazione riassuntiva (n. Dcrt 01.02.07.183 del 16 marzo 2008) sugli esiti degli accertamenti preliminari svolti nei riguardi di Syner.it informatica s.r.l., di New Project s.r.l. e dell’impresa individuale Nonsolo-web di Sergio Livrieri;

RILEVATO dai primi elementi acquisiti che Sergio Livrieri aveva registrato a suo nome molteplici siti web attraverso i quali promuoveva beni e servizi della propria impresa individuale Nonsolo-web, inviando messaggi di posta elettronica a soggetti che avevano sottoscritto un form inserendo i rispettivi dati personali; rilevato, altresì, che all’interno di tali siti non risultava inizialmente presente un’idonea informativa;

VISTE le risultanze istruttorie dell’accertamento ispettivo effettuato in data 25 ottobre 2007 presso l’impresa individuale Nonsolo-web di Sergio Livrieri dalle quali risultava che le banche dati utilizzate dalla medesima impresa erano costituite da dati personali acquistati da terzi, nonché da dati che gli interessati inserivano, come detto, in alcuni form;

VISTA la nota pervenuta in data 23 novembre 2007 con la quale Sergio Livrieri ha attestato, sotto la propria responsabilità, anche penale, ai sensi dell’art. 168 del Codice, di aver modificato, a seguito del predetto accertamento ispettivo, l’informativa presente sui siti registrati;

VISTA la segnalazione di Gabriele Porrati del 24 novembre 2007, inoltrata a questa Autorità dalla Polizia di Stato con nota del 21 dicembre 2007 e relativa a uno dei siti registrati a nome di Sergio Livrieri e, cioè, al sito www.databaseaziende.com;

RILEVATO che mediante tale sito sono poste in vendita alcune banche dati relative a indirizzi di posta elettronica, numeri di fax e numeri di telefono e che nell’ambito delle "condizioni di vendita" si sostiene che "tutte le banche dati rispettano la nuova normativa sulla privacy in quanto i record provengono da pubblici registri, documenti o elenchi conoscibili da chiunque e il conseguente trattamento non richiede il consenso dell’interessato";

RILEVATO che dalla documentazione allo stato acquisita non risulta che la predetta impresa individuale, nel costituire le banche dati in vendita sul sito indicato, abbia fornito tempestivamente agli interessati un’idonea informativa rispetto ai dati che li riguardano, come prescritto dall’art. 13, comma 4, del Codice;

RISERVATA, con autonomo provvedimento, la verifica dei presupposti per contestare la violazione amministrativa concernente l’omessa informativa (artt. 13, comma 4 e 161 del Codice);

CONSIDERATO, altresì, l’impresa individuale è tenuta al rispetto delle garanzie richiamate dal Garante con i provvedimenti del 15 luglio 2004 (in www.garanteprivacy.it, doc. web n. 1032381) e del 14 luglio 2005 (in www.garanteprivacy.it, doc. web n. 1151640), relativi alla formazione e al successivo utilizzo degli elenchi telefonici "alfabetici" e "categorici";

CONSIDERATO che l’art. 11, comma 2, del Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di dati personali non possono essere utilizzati;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha il compito di vietare anche d’ufficio il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali;

RILEVATO che il predetto trattamento di dati personali, il quale non risulta effettuato in modo lecito, ha carattere sistematico;

RILEVATA quindi la necessità di adottare nei confronti dell’impresa individuale Nonsolo-web di Sergio Livrieri un provvedimento di divieto del trattamento illecito di dati personali ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice;

TENUTO CONTO che, ai sensi dell’art. 170 del Codice chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;
RELATORE il dott. Giuseppe Chiaravalloti;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ritenuta l’inutilizzabilità dei dati già trattati in violazione di legge per omessa informativa (art. 13, comma 4, del Codice), dispone nei confronti di Nonsolo-web di Sergio Livrieri, con sede in Milano, Via Camillo Sbarbaro n. 6, il divieto dell’ulteriore trattamento dei dati personali (che provengano da pubblici registri, documenti o elenchi conoscibili da chiunque) posti in vendita sul sito www.databaseaziende.com, in quanto ritenuto illecito per il mancato rilascio della predetta informativa.


Roma, 13 maggio 2008


IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli