IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

VISTO il  provvedimento del 23 maggio 2002  con il quale questa Autorità ha segnalato a tutti gli operatori le garanzie necessarie per trattare dati personali al fine di formare i nuovi elenchi telefonici e prestare i servizi di informazione agli utenti;

CONSIDERATO che tali garanzie sono state richiamate nella deliberazione dell'Autorità per le garanzie nelle comunicazioni n. 180/02/CONS del 13 giugno 2002, in applicazione della normativa all'epoca vigente;

RILEVATO che gli accordi-quadro tra gli operatori sulla costituzione di una base di dati unica della clientela, previsti dalla deliberazione della predetta Autorità n. 36/02/CONS del 6 febbraio 2002 e sottoscritti dagli operatori di telefonia mobile e fissa il 23 dicembre 2002 e 28 luglio 2003, hanno recepito varie indicazioni di questa Autorità;

RITENUTA la necessità di prescrivere a tali operatori, ai sensi dell' art. 154, comma 1, lett. c) , del Codice in materia di protezione dei dati personali entrato in vigore il 1° gennaio 2004 ( d.lg. 30 giugno 2003, n. 196 ) le misure che non sono state da essi attuate, con particolare riferimento alle modalità di aggiornamento degli elenchi e di visualizzazione dei risultati delle ricerche sui medesimi elenchi;

VISTO l' art. 129, comma 2 , del Codice che, in attuazione della disciplina comunitaria e in particolare della direttiva comunitaria n. 2002/58/Ce , ha individuato nella " mera ricerca dell'abbonato per comunicazioni interpersonali " la finalità primaria degli elenchi telefonici realizzati in qualunque forma prevedendo, in relazione a tale finalità, il principio della massima semplificazione per l'inclusione in essi degli abbonati;

CONSIDERATO che tale disposizione ribadisce, invece, che il trattamento dei dati inseriti negli elenchi, se effettuato per fini ulteriori, diversi da quelli interpersonali sopra indicati, e in particolare, per scopi pubblicitari, promozionali o commerciali, è lecito solo se è effettuato con il consenso specifico ed espresso degli interessati;

RILEVATO che tali principi sono stati confermati dalla legge 31 ottobre 2003, n. 306 (art. 12);

VISTO che il medesimo  art. 129 ha attribuito al Garante il compito di individuare con proprio provvedimento, in cooperazione con la predetta Autorità e in conformità alla normativa comunitaria, le modalità di inserimento e di successivo utilizzo dei dati personali relativi agli abbonati negli elenchi cartacei o elettronici a disposizione del pubblico, in rapporto alle varie finalità sopraindicate, anche in riferimento ai dati raccolti prima della data di entrata in vigore del Codice;

CONSIDERATO che questa Autorità ha già provveduto in materia con la richiamata  decisione del 23 maggio 2002 , il cui contenuto prescrittivo mantiene efficacia con particolare riferimento ai seguenti profili: necessità di una disciplina armonizzata per tutti i tipi di elenco; individuazione di ciascun operatore quale esclusivo titolare del trattamento, nonché del gestore della predetta base di dati unica della clientela quale titolare di un trattamento autonomo; rapporti degli interessati con i propri operatori; applicazione delle garanzie sia agli abbonati, sia agli acquirenti del traffico prepagato (persone fisiche e giuridiche); dati da inserire negli elenchi; loro aggiornamento immediato o periodico, a seconda delle caratteristiche tecniche; servizi di informazione elenchi abbonati e di c.d. ricerca derivata o a criteri multipli;

RILEVATO che, in costante cooperazione con la predetta Autorità ai sensi del citato  art. 154, comma 3 , sono stati acquisiti vari elementi di valutazione negli incontri tecnici intercorsi con gli operatori interessati;

RILEVATO che il Garante ha ritenuto necessario acquisire ulteriori elementi anche dalle associazioni di utenti e consumatori e visto il parere fornito dal Consiglio nazionale dei consumatori e degli utenti (Cncu) in data 25 giugno 2004;

CONSIDERATO che da tali consultazioni sono emersi alcuni dettagli operativi che rendono necessario integrare le prescrizioni già impartite dal Garante con il citato  provvedimento del 23 maggio 2002 , con particolare riferimento ai seguenti profili: individuazione dei simboli da apporre sugli elenchi accanto ai nominativi degli interessati e di corrispondenti riscontri nella predetta base di dati unica per evidenziare le loro scelte riguardo ai citati usi secondari dei dati; dati raccolti anteriormente all'operatività del nuovo regime; requisiti minimi degli schemi per informare gli interessati e per acquisire il loro consenso; inserimento nei contratti di cessione di dati a terzi di una clausola di responsabilità dei cessionari con riguardo al trattamento dei dati;

RITENUTO necessario richiamare nel presente provvedimento le predette garanzie già segnalate dal Garante, prescrivere agli operatori le misure non previste dagli accordi-quadro e specificare i dettagli operativi sopra indicati;

RILEVATO che questo quadro di misure deve essere attuato da tutti gli operatori anche ai sensi dell' art. 154, comma 1, lett. c) , del Codice, in modo effettivo e uniforme, dovendosi prefigurare un'eguale tutela a prescindere dalla diversa modalità di realizzazione degli elenchi (stampati, elettronici, fisici, logici, realizzati da singoli o da più operatori, distinti per aree geografiche o costituenti parti di elenchi più ampi);

CONSIDERATO che, come rilevato anche nel citato parere del Cncu, milioni di utenti verranno chiamati ad esercitare scelte significative che avranno effetto sulla loro sfera privata, sulla base di una disciplina per alcuni aspetti nuova e basata anche su taluni termini tecnici; ritenuto pertanto indispensabile prescrivere agli operatori un modello unico per l'informativa e il consenso, che non è stato previsto dai predetti accordi-quadro, basato su espressioni chiare, semplici e di agevole comprensione anche per gli utenti non esperti; ritenuto che gli operatori potranno apportare a tale modello le integrazioni e gli eventuali adattamenti compatibili con lo schema predisposto unicamente previo assenso di questa Autorità, in particolare per quanto riguarda il consenso per le finalità pubblicitarie, promozionali e commerciali;

RITENUTA la necessità di richiamare l'attenzione degli operatori sull'esigenza di organizzare idonee procedure per rispettare fedelmente le scelte degli interessati e sulla gravità dei comportamenti lesivi dei relativi diritti, in particolare in caso di mancato rispetto della scelta di non figurare negli elenchi o di non acconsentire ad utilizzi secondari dei dati;

RITENUTA la necessità che negli eventuali contratti di cessione a terzi dei dati contenuti nella base di dati unica e destinati ad essere riprodotti negli elenchi figuri una specifica clausola per vincolare i cessionari al rispetto delle manifestazioni di volontà degli interessati, anche in rapporto alle sanzioni amministrative e penali previste;

RITENUTA la necessità che tutti i titolari del trattamento coinvolti nella raccolta delle informazioni da inserire negli elenchi di prossima realizzazione organizzino efficienti servizi di assistenza e di informazione ai cittadini, e idonee verifiche a campione a cura degli operatori, in collaborazione con le associazioni dei consumatori e degli utenti, informandone il Garante;

VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell' art. 15 del regolamento del Garante n. 1/2000 ;

RELATORE il dr. Mauro Paissan;

TUTTO CIÒ PREMESSO, IL GARANTE

a) constata di aver già segnalato a tutti gli operatori interessati, con il  provvedimento del 23 maggio 2002  menzionato in premessa, le garanzie necessarie per trattare i dati personali dei clienti al fine di formare i nuovi elenchi telefonici comunque realizzati e prestare i servizi di informazione all'utenza, sintetizzate nell' allegato I  al presente provvedimento;

b) prescrive a tutti i titolari del trattamento interessati, ai sensi dell' art. 154, comma 1, lett. c) , del Codice la necessità di adottare le misure indicate nell'allegato II, già oggetto del provvedimento del 23 maggio 2002 e non attuate;

c) individua nell' allegato III ai sensi dell' art. 129  del Codice, in cooperazione con l'Autorità per le garanzie nelle comunicazioni ai sensi dell' art. 154 , comma 3, del medesimo Codice, i dettagli operativi relativi all'inserimento negli elenchi, comunque realizzati, dei dati personali degli abbonati e dei titolari di schede di traffico prepagato e al loro successivo utilizzo;

d) individua nell' allegato IV  un modello semplificato di informativa e richiesta di consenso, relativo alla telefonia fissa e mobile, contenente i requisiti minimi che, ai sensi dell' art. 154, comma 1, lett, c) , del Codice, prescrive a tutti i titolari del trattamento interessati di utilizzare nei termini di cui in motivazione.

Roma, 15 luglio 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli

ALLEGATO I
(Garanzie già individuate con il  provvedimento del Garante del 23 maggio 2002 )

1. Soggetti interessati

I diritti degli interessati sono riconosciuti a tutti gli abbonati e agli acquirenti del traffico pre-pagato della telefonia mobile e personale (di seguito: "interessati"), siano essi persone fisiche, persone giuridiche, enti o associazioni.

Per il traffico pre-pagato, negli elenchi è indicato il sottoscrittore. Nel caso in cui l'utenza sia utilizzata stabilmente da un altro soggetto, quest'ultimo può, con atto sottoscritto sotto la propria responsabilità, dichiarare di essere l'utilizzatore effettivo e stabile dell'utenza che, previa informativa al sottoscrittore, può essere quindi indicato negli elenchi e al quale devono essere riconosciuti i diritti in materia.

2. Informativa agli interessati

Oltre a quanto previsto dall' art. 13  del Codice (che implica anche informazioni sui titolari dei trattamenti e sulle modalità di esercizio dei diritti), l'operatore deve informare preventivamente gli interessati, in modo agevolmente comprensibile e sulla base dell'informativa-tipo di cui all'allegato IV:

2.1.  sulle finalità degli elenchi realizzati in qualunque forma (elenchi stampati su carta o riprodotti su supporti magnetici od ottici, consultabili anche in rete, o ottenibili attraverso servizi che forniscono informazioni sugli elenchi);

2.2.  in merito ad ogni ulteriore possibilità di utilizzo basato su funzioni di ricerca incorporate nelle versioni elettroniche degli elenchi e in merito ai risultati conseguibili;

2.3.  sulla facoltà di esprimere un consenso libero, differenziato e revocabile, nonché di formulare alcune richieste, nei termini di seguito indicati;

2.4.  sulla possibilità che gli elenchi consultabili da chiunque possano essere oggetto di cessione a terzi, in conformità alla legge e per usi non incompatibili con le finalità per le quali i dati sono stati raccolti.

3. Diritto di essere inseriti negli elenchi

Gli interessati hanno il diritto di decidere se i dati personali che li riguardano debbano essere riportati negli elenchi conoscibili da chiunque.

Il consenso all'inserimento di tali dati deve essere espresso liberamente, in forma specifica e documentata per iscritto, sulla base di un'idonea informativa ai sensi dell' art. 13  del Codice e delle prescrizioni di seguito indicate.

Il predetto diritto va riconosciuto sia in riferimento ad elenchi formati da singoli operatori, sia in relazione ad elenchi unici messi a disposizione di chiunque, a prescindere dalla forma con cui sono realizzati.

4. Dati da inserire negli elenchi

I dati personali riportati negli elenchi conoscibili da chiunque sono limitati agli elementi necessari per identificare un determinato interessato (nome, cognome, indirizzo postale e numeri di telefono fisso e -nel caso di elenco misto per la telefonia vocale/personale e mobile- numero mobile).

Nel caso di eventuali elenchi riferiti alla sola telefonia mobile è omesso, salvo che l'interessato vi acconsenta, l'indirizzo postale. L'interessato può però chiedere che sia indicato il comune di residenza o di domicilio.

L'interessato può chiedere che l'indirizzo postale sia omesso in parte. Ove sia possibile dal punto di vista linguistico, può altresì chiedere di non essere contraddistinto da un riferimento che ne riveli il sesso, mediante abbreviazione del nome.

L'interessato può esprimere, nei modi suindicati, un ulteriore consenso:

4.1.  all'inserimento di altri dati personali che lo riguardano, ove pertinenti e non eccedenti rispetto alle finalità dell'elenco dichiarate dall'operatore o, per un elenco generale, unitariamente dagli operatori. Deve essere possibile esprimere tale consenso in modo differenziato in relazione a singoli dati (titolo di studio o di specializzazione; professione; altri indirizzi o recapiti; indirizzo di posta elettronica);

4.2.  all'utilizzazione dell'elenco consultabile da chiunque per finalità diverse dalla ricerca di dati su persone sulla base del loro nome (e, ove necessario, di un numero minimo di altri elementi di identificazione), in particolare per quanto riguarda:

4.2.1.  l'inclusione dei dati personali che riguardano il medesimo interessato nell'ambito di quelli ottenibili attraverso servizi di c.d. ricerca derivata o a criteri multipli che permettano a chiunque di risalire, nei casi in cui è stato espresso il consenso, alle generalità di uno o più interessati disponendo del solo numero telefonico o di un altro dato non identificativo;

4.2.2.  l'utilizzazione dei dati personali che riguardano il medesimo interessato (sia attraverso chiamate, sia per inoltri a domicilio), a fini di informazione commerciale o di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva. A tal fine deve essere prevista una procedura uniforme che tutti gli operatori sono tenuti ad utilizzare per esplicitare la manifestazione di consenso attraverso i due simboli riportati in calce all'allegato III da apporre a fianco dei singoli nominativi anche negli elenchi consultabili da chiunque, in qualunque forma realizzati.

L'interessato può modificare in ogni tempo le manifestazioni del consenso e le proprie richieste, che devono essere documentate per iscritto e non devono comportare oneri per l'abbonato.

L'operatore deve indicare a disposizione del pubblico almeno un indirizzo postale, un numero di telefax, un indirizzo di posta elettronica e un ufficio cui gli interessati possono rivolgersi agevolmente. Va altresì indicato un recapito telefonico presso il quale ottenere informazioni con chiamata gratuita.

5. Diritti rispetto a dati non inseriti in elenchi consultabili da chiunque

I diritti di cui all' art. 7  del Codice e di cui al presente provvedimento sono esercitabili gratuitamente, ricorrendone i presupposti, anche nei riguardi dei dati non riportati in elenchi consultabili da parte di chiunque.

6. Conformazione tecnica dell'elenco generale e degli elenchi dei singoli operatori

Devono essere previste idonee misure affinché l'elenco generale e gli elenchi dei singoli operatori:

6.1.  siano progettati per consentire la visualizzazione di un numero limitato di risultati per pagina in caso di utilizzazione dei c.d. servizi di ricerca derivata o a criteri multipli;

6.2.  prevedano idonee procedure per l'aggiornamento immediato degli elenchi disponibili in rete o ottenibili attraverso servizi che forniscono informazioni sugli elenchi, nonché per l'aggiornamento periodico, entro un congruo termine non superiore all'anno, di quelli cartacei o su supporti magnetici od ottici consultabili non in rete, i quali devono indicare la data di ultimo aggiornamento.

7. Disciplina transitoria.

Deve essere prevista una procedura per immettere nella prima versione degli elenchi consultabili da chiunque, istituiti in applicazione della disciplina in esame:

7.1.  i nominativi degli interessati compresi negli elenchi di telefonia vocale già pubblicati, decorso un periodo non inferiore a sessanta giorni dalla ricezione di un'informativa scritta avente le caratteristiche indicate nell'allegato IV, inviata da ciascun operatore anche unitamente alla corrispondenza commerciale, rispettando le manifestazioni di volontà espresse in passato anche in applicazione dell' art. 9 del d.lg. n. 171/1998 ;

7.2.  i nominativi degli interessati, in relazione a servizi di telefonia personale e mobile, i quali abbiano espresso il proprio consenso nei termini suindicati, sulla base di un'informativa scritta inviata al domicilio del sottoscrittore;

7.3.  i nominativi di eventuali acquirenti del traffico pre-pagato della telefonia personale e mobile che, sulla base del modulo scritto di informativa e di consenso avente le caratteristiche suindicate, posto a disposizione dagli operatori anche per via telematica, abbiano spontaneamente manifestato il proprio consenso all'inclusione negli elenchi, alle condizioni sopra precisate.

ALLEGATO II
(Garanzie già individuate con il  provvedimento del Garante del 23 maggio 2002
non ancora attuate dagli operatori)

1. Servizi di ricerca derivata o a criteri multipli

La base di dati unica, l'eventuale elenco generale e gli elenchi dei singoli operatori, contenenti le informazioni degli abbonati e dei titolari di schede di traffico prepagato, devono essere progettati e comunque conformati in modo che, nel caso in cui essi vengano utilizzati per la realizzazione di servizi di ricerca derivata o basata su criteri multipli, sia possibile visualizzare solo un numero limitato di risultati per pagina.

2. Consultazione periodica e aggiornamento della base di dati unica

Gli operatori sono tenuti, anche mediante idonee procedure informatiche, ad effettuare consultazioni periodiche della base di dati unica, al fine di realizzare aggiornamenti immediati e costanti della stessa in ragione delle scelte operate, anche successivamente, dagli interessati.

3. Aggiornamento degli elenchi

Devono essere previste ed attuate idonee procedure che consentano agli operatori e a chiunque realizzi elenchi di qualunque tipo di aggiornare immediatamente gli elenchi disponibili in rete o ottenibili attraverso servizi che forniscono informazioni sugli elenchi.

Devono essere, altresì, previste ed attuate idonee procedure in grado di consentire l'aggiornamento periodico da effettuarsi entro un congruo termine, comunque non superiore all'anno, anche degli elenchi stampati su carta o memorizzati su supporti magnetici od ottici consultabili non in rete. Tali elenchi devono indicare la data dell'ultimo aggiornamento.

ALLEGATO III
(Dettagli operativi relativi all'inserimento dei dati personali degli abbonati e dei titolari di schede di traffico prepagato nella base di dati unica e negli elenchi comunque realizzati, e al loro successivo utilizzo)

1. Tempi complessivi di attuazione della nuova disciplina

L'adeguamento alle prescrizioni richiamate nel  provvedimento del 23 maggio 2002 e ai dettagli operativi indicati in questa sede, tenuto conto dei tempi tecnici obiettivamente necessari e degli elementi forniti al riguardo nel procedimento dagli operatori e dall'Autorità per le garanzie nelle comunicazioni, dovrà essere completato entro e non oltre la data del 30 aprile 2005.

In questo quadro, gli operatori hanno l'obbligo di contattare la clientela in essere -per la telefonia vocale e per quella personale e mobile- inviando loro il modello di cui all'allegato IV entro e non oltre il 31 gennaio 2005, e assegnando un congruo termine per la risposta di almeno sessanta giorni, necessario per valutare adeguatamente gli effetti delle scelte sollecitate con il modello.

Per quanto riguarda la prima formazione degli elenchi, resta ferma la disciplina di cui all'allegato II, in particolare per quanto riguarda la mancata risposta da parte degli interessati compresi negli elenchi di telefonia vocale già pubblicati ( punto 7.1 ).

Dal 1° febbraio 2005 potrà essere utilizzato per la nuova clientela solo il modello medesimo.

Le scelte della clientela sono annotate nella base di dati unica, in sede di prima applicazione, entro e non oltre il 31 maggio 2005, e, successivamente, immediatamente dopo la loro ricezione da parte degli operatori. L'operatore adotta idonee procedure affinché sia effettuata ogni opportuna verifica prima di registrare o meno la presenza o l'assenza di determinate scelte.

Resta fermo che è consentita la sola formazione, distribuzione e diffusione degli elenchi, in qualunque forma realizzati, basati sulla consultazione e accesso alla base di dati unica, e che è consentita la sola utilizzazione di elenchi aggiornati.

2. Utilizzo del codice fiscale degli interessati

Al solo fine di identificare in maniera univoca gli abbonati e i titolari di schede prepagate e procedere poi all'eventuale abbinamento dei dati relativi a ciascuno di essi (anche se concernenti utenze gestite da più operatori) potrà essere utilizzato il codice fiscale dagli stessi fornito (dato c.d. "strumentale"), conformemente a quanto già stabilito da questa Autorità (nota 30 dicembre 2002, n. 17895/16395).

3. Uso di altri dati strumentali

Le informazioni di cui gli operatori dispongono al fine di individuare l'abbonato, il contratto di abbonamento e le sue variazioni (codice fiscale, partita Iva, categoria di abbonamento, operatore di appartenenza, tipo di variazione contrattuale) e inserite nella base di dati unica, non possono essere in ogni caso pubblicate o altrimenti diffuse con qualunque mezzo, né essere rivelate nell'ambito di alcun servizio offerto al pubblico che tragga informazioni dalla medesima base di dati.

Tali informazioni possono essere eventualmente accessibili e utilizzate nella sola misura effettivamete indispensabile al fine di consentire la corretta interrogazione della base di dati unica (anche nel dare seguito alle opzioni degli interessati relative al collegamento fra i dati che li riguardano) e la realizzazione tecnica di servizi di elenchi e di servizi di informazione di qualunque tipo ed in qualunque forma effettuati.

Le predette limitazioni all'utilizzo dei dati strumentali non possono essere eluse, anche da parte di terzi, ricorrendo all'eventuale consenso dell'interessato e devono essere rese note ai cessionari della base di dati unica all'atto della cessione, tramite l'inserimento di un'apposita clausola nei relativi contratti.

4. Procedure per controlli a campione

Gli operatori titolari del trattamento di dati registrati nella base di dati unica effettuano idonee verifiche periodiche sulla liceità e correttezza del trattamento delle informazioni registrate, estratte a campione e confrontate con il modello ricevuto o altra documentazione disponibile, nonché sugli elenchi realizzati. Il controllo è eseguito con cadenza almeno annuale da un organismo composto da almeno un rappresentante degli operatori, da un rappresentante dell'organismo preposto alla gestione della base di dati unica e da un rappresentante delle associazioni dei consumatori di cui verrà chiesta la designazione da parte del Consiglio nazionale dei consumatori ed utenti. Il verbale dei controlli è trasmesso al Garante.

5. Clausola di responsabilità da inserire nei contratti di cessione della base di dati unica

Al fine di assicurare il rispetto delle scelte operate dalla clientela da parte di tutti i soggetti che accedono alla base di dati unica, gli operatori devono inserire, nei contratti con i quali si disciplina la cessione o altra utilizzazione della medesima base di dati, una specifica clausola che richiami le prescrizioni del presente provvedimento, unitamente alle sanzioni amministrative e penali previste per il loro mancato rispetto.

6. Realizzazione di campagne informative ed attivazione di servizi a disposizione della clientela

Gli operatori coinvolti nella raccolta delle informazioni da inserire nella base di dati unica e negli elenchi devono organizzare, in particolare nella prima fase di applicazione del presente provvedimento, idonei servizi di assistenza e di informazione ai cittadini, attraverso un numero telefonico al quale rivolgersi gratuitamente e attivando ulteriori strumenti, anche in collaborazione con associazioni dei consumatori e degli utenti, e informandone il Garante.

7. Caratteristiche dei simboli grafici da apporre accanto ai nominativi

Le scelte operate dagli abbonati e dagli acquirenti del traffico pre-pagato della telefonia mobile e personale devono essere evidenziate negli elenchi comunque realizzati, pubblicati a partire dal 1° agosto 2005, esclusivamente mediante i simboli grafici riportati in calce al presente  allegato III .

Non sono ammesse modifiche ai simboli, fatta eccezione di lievi adattamenti relativi alla dimensione o al colore, necessari in ragione del genere o formato di elenco.

Al fine di consentire a chiunque utilizzi la base di dati unica e/o i nuovi elenchi di comprendere agevolmente le scelte degli interessati sulla base del simbolo grafico, dovrà essere inserita in entrambi una legenda esplicativa adeguatamente posizionata in modo da consentire un'agevole comprensione del relativo significato.

I due simboli da apporre in tutti gli elenchi consultabili da chiunque, comunque formati, ( allegato I, punto 4.2.2 ), cui corrispondono i prescritti riscontri sulla base di dati unica, sono i seguenti:

 

fonte Sito ufficiale del Garante