Privacy & Marketing

Direct marketing telefonico e privacy: 4° parte

2011-07-11T10:32:00.001+02:00

Con l'entrata in vigore della disciplina delle opposizioni non si applicano più le precedenti prescrizioni del Garante privacy contenute nei provvedimenti del 15 luglio 2004 (utilizzo per finalità promozionali, tramite telefono con operatore, dei dati presenti negli elenchi c.d. "alfabetici" ) e del 14 luglio 2005 (utilizzo dei dati riportati negli elenchi cd. "categorici").

Il Garante ha però deliberato delle prescrizioni aggiuntive rispetto alla nuova disciplina, prendendo in considerazione tre casi specifici:

numerazioni contenute negli elenchi degli abbonati;
numerazioni provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque;
numerazioni contenute in banche dati comunque formate;

Trattamento dei numeri telefonici contenuti negli elenchi di abbonati

La regola generale è che un operatore di telemarketing non potrà più contattare i numeri degli abbonati che hanno scelto di iscriversi nel registro delle opposizioni.

Esistono però anche delle eccezioni a questo principio generale: la prima è che un abbonato ha il diritto a non essere più contattato, anche se è non iscritto nel registro delle opposizioni, se, prima dell'entrata in vigore della nuova normativa, ha manifestato ad un operatore specifico la sua volontà di opporsi al trattamento dei propri dati.

La seconda eccezione riguarda l’operatore che, prima dell'entrata in vigore della nuova normativa, abbia ricevuto dall’interessato un consenso specifico al trattamento dei dati per le finalità promozionali; in questo caso può continuare a contattarlo anche se si iscrive al registro delle opposizioni.

Il consenso deve essere però documentabile per iscritto, a richiesta dell’autorità, e, soprattutto, è revocabile in qualsiasi momento.

Trattamento dei numeri telefonici contenuti in pubblici registri e documenti

La legittimità del trattamento riguarda innanzitutto l’ipotesi del consenso da parte del soggetto interessato; in mancanza di consenso, invece, i dati potranno essere utilizzati soltanto se:

il telemarketing è ammesso da un eventuale normativa di riferimento;
le comunicazioni telefoniche risultano direttamente funzionali all’attività svolta dall’interessato, sempre che quest’ultimo non si sia opposto;

Trattamento dei numeri telefonici contenuti in altre banche dati

Tutte le numerazioni contenute in altre banche dati formate in qualsiasi modo, comprese quelle costituite utilizzando i dati estratti dagli elenchi telefonici, prima del 1° agosto 2005, potranno continuare ad essere utilizzate soltanto nel rispetto dei criteri generali del T.U privacy, ossia previo rilascio di una idonea informativa ed acquisizione di un consenso specifico dell’interessato.

Nuovi obblighi di informativa

Oltre a quanto già visto, gli operatori di telemarketing hanno l'obbligo di informare nuovi e vecchi abbonati sul regime per opporsi alle telefonate pubblicitarie attraverso due differenti modelli di informativa.

Il primo si applica ai nuovi abbonati alla telefonia mobile e fissa ed a coloro che cambiano operatore attraverso la cd. portabilità del numero: il modulo dovrà essere fornito al momento della stipula del relativo contratto, pubblicato nel sito web dell’operatore ed evidenziato in modo adeguato.

Il secondo, invece, riguarda i vecchi abbonati alla telefonia mobile e fissa: il modulo dovrà essere inviato alla prima occasione utile di contatto (es. fatturazione), pubblicato nel sito web dell’operatore ed evidenziato in modo adeguato; inoltre dovrà contenere l’indicazione specifica del diritto dell’abbonato di cancellarsi dagli elenchi in qualsiasi momento.

Per l’adempimento e la notifica di entrambi gli obblighi informativi è stato previsto un termine, ormai unificato, di 180 giorni dalla pubblicazione in Gazzetta Ufficiale, con prossima scadenza fissata per il 12 settembre 2011.

In caso di mancato rispetto delle prescrizioni dell’autorità, è prevista una sanzione di entità variabile, da 30mila a 180mila euro, e, nei casi più gravi, fino a 300mila.

Continua l'ultima settimana di luglio con la pubblicazione dell'ultima parte - La tutela degli interessati

Invio di fax pubblicitari: l'ennesimo stop del garante privacy

2011-07-11T09:06:00.001+02:00

Continua la campagna di "sensibilizzazione", condotta a suon di provvedimenti dell'autorità garante della privacy, contro la pratica dell'illecito invio di fax con finalità promozionali.

Questa battaglia si arricchisce di un nuovo provvedimento che si aggiunge ai numerosi altri emessi nel corso degli ultimi mesi, ribabendo peraltro principi che, ormai, dovrebbero essere noti; li ripetiamo per chiarezza:

chi vuole inviare messaggi promozionali attraverso sistemi automatizzati come, ad esempio, fax, email, sms/mms è obbligato a fornire preventivamente una idonea informativa di trattamento e ad acquisire il consenso specifico ed informato degli interessati, a prescindere dal fatto che questi ultimi siano persone fisiche o giuridiche;
nei messaggi deve essere sempre previsto un apposito spazio per l'indicazione di un valido recapito presso il quale gli interessati possano esercitare i loro diritti, tra i quali è ricompreso anche quello di opporsi all'invio dei messaggi;
il trattamento dei dati personali compiuto in violazione della normativa è illecito ed espone il titolare a varie forme di responsabilità, ad esempio civile (richieste di risarcimento dei danni), amministrativa (illecito di omessa od inidonea informativa) ed, in determinate ipotesi, anche penale.

Non importa, invece, sulla base di quanto afferma il provvedimento, che i dati personali siano conservati all'estero e gestiti in modalità remota perchè, se per il loro trattamento si utilizzano apparecchiature situate nel territorio dello Stato Italiano (nel caso di specie un fax gateway), questa circostanza è sufficiente per imporre all'azienda titolare il rispetto della normativa italiana e degli adempimenti ad essa connessi.

Contatti commerciali indesiderati: chi è responsabile ?

2011-07-05T18:55:00.001+02:00

Chi risponde degli eventuali illeciti commessi nel caso in cui il trattamento di dati personali dei destinatari di iniziative di carattere commerciale e/o promozionale sia svolto da un soggetto (cd. outsourcer) che agisce in nome o per conto di un altro (cd. preponente) sulla base di uno specifico accordo contrattuale ? Ed a chi va riconosciuta la titolarità dei dati ?

Sono queste le principali questioni sulle quali si è pronunciato il garante privacy, prendendo le mosse dai numerosi reclami degli abbonati negli elenchi telefonici che continuano ad essere tartassati da telefonate indesiderate, nonostante l'iscrizione nel registro delle opposizioni, ormai operativo da qualche mese.

Requisiti per l'autonoma titolarità dei dati

Dalle verifiche compiute è risultato che molte aziende affidano all'esterno (outsourcing) a terzi lo svolgimento di varie attività commerciali o promozionali, senza fare in modo però che a tale esternalizzazione corrisponda una posizione sostanziale di autonoma titolarità dei dati trattati a tale scopo.

Si tratta di una conclusione scaturita dall'analisi delle concrete modalità che, normalmente, accompagnano l'affidamento all'esterno degli incarichi e che continuano a prediligere un ruolo direttivo da parte del preponente.
Quest'ultimo, infatti, nonostante l'incarico, continua spesso a definire le strategie, le istruzioni operative, gli obiettivi e, magari, anche la modulistica, oltre a conservare un potere di controllo rilevante, precludendo la possibilità che l'outsourcer possa essere riconosciuto, come autonomo titolare dei dati, in base alla nozione fornita dal codice che identifica questa figura in colui cui competono le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati.

L'interpretazione è del tutto in linea con un recente provvedimento del gruppo di lavoro europeo dell'art. 29 della direttiva 95/46/CE, secondo cui, per meglio distinguere tra la figura del responsabile e quella del semplice incaricato, soprattutto nelle ipotesi di esternalizzazione di attività, bisogna guardare anche agli elementi extracontrattuali, cioè quelli che trascendono il contenuto dell'accordo nudo e crudo, come appunto i ruoli decisionali, i controlli, ecc...

La responsabilità per gli illeciti spetta al preponente

Se l'outsourcer non può quindi considerarsi come autonomo titolare dei dati trattati per le finalità commerciali e/o promozionali, ne deriva che il preponente conserva una responsabilità specifica per gli eventuali illeciti commessi in materia di protezione dei dati personali durante lo svolgimento delle attività stesse.

Il preponente ha l'obbligo di nominare l'outsourcer come responsabile

Il preponente ha inoltre l'obbligo di nominare l'outsourcer come responsabile del trattamento dei dati personali, in modo che tale nomina possa dare qualificare l'incarico conferito come giuridicamente rilevante in materia di protezione dei dati personali.

A tal fine il garante ha assegnato ai titolari preponenti un termine di 60 giorni, decorrente dalla pubblicazione del provvedimento in Gazzetta Ufficiale, avvenuta in data 4 luglio 2011, per adempiere a tale formalità.

Direct marketing telefonico e privacy: 3 parte

2011-07-04T11:21:00.001+02:00

Quali sono le novità che il nuovo regime del registro delle opposizioni apporta alla disciplina del marketing telefonico, dal punto di vista della privacy, e quali vincoli e regole impone agli abbonati degli elenchi telefonici ed agli operatori di telemarketing ?

Obblighi degli abbonati

Per gli abbonati non si può parlare di un vero e proprio obbligo, ma di una facoltà; se non vogliono essere più contattati dagli operatori di telemarketing possono richiedere gratuitamente l’iscrizione della numerazione telefonica di cui sono titolari nel registro delle opposizioni.

Infatti, è solo attraverso l’iscrizione che l’abbonato preclude qualsiasi trattamento dei propri dati personali mediante l’uso del telefono per gli scopi promozionali, senza distinzione di settore di attività o di categoria merceologica (es. in poche parole, una volta esercitata, l’opposizione riguarda tutte le telefonate commerciali, a prescindere dalla tipologia dell’oggetto della promozione).
La preclusione scatta, però, dopo il decorso di 15 giorni dalla iscrizione, perché questo è il termine massimo prescritto agli operatori per consultare il registro ed aggiornare le loro liste di opposizione.

L’iscrizione può essere effettuata in qualsiasi momento attraverso cinque modalità: a) telefono, b) web , c) email, d) fax, e) raccomandata, ed è valida a tempo indeterminato, salvo revoca o decadenza.
Con l’iscrizione l’abbonato riceve un “codice utenza” che, oltre ad evitare forme di accesso non autorizzato ai propri dati, gli consente di effettuare operazioni di aggiornamento o di revoca della iscrizione con le stesse modalità con le quali è avvenuta l’iscrizione.

Per maggiori informazioni sul sito web del registro pubblico esiste una specifica sezione di domande e risposte che gli abbonati possono liberamente consultare.

Obblighi degli operatori

Ogni operatore è tenuto a presentare al gestore del registro una apposita istanza, corredata dei documenti e delle allegazioni previsti dall’art. 5 del DPR 178/2010.
Entro 15 giorni dal ricevimento dell’istanza, il gestore del registro assegna all’operatore le credenziali di autenticazione e di autorizzazione per l’accesso e la consultazione del registro stesso, e pubblica gli estremi identificativi dell’operatore in un apposito elenco consultabile su web.

Gli operatori hanno inoltre l’obbligo di comunicare senza ritardo al gestore ogni variazione dei dati contenuti nella istanza iniziale ed a corrispondere le tariffe di accesso su base annuale o per altre frazioni temporali, anche di durata minore, a seconda delle esigenze degli stessi e nei limiti stabiliti dal gestore.

L’iscrizione ha una validità limitata ai 12 mesi decorrenti dall’ultima consultazione del registro stesso.

Gli obblighi e le modalità per instaurare un contatto telefonico lecito

In base a quanto previsto ora, gli operatori possono contattare gli abbonati, anche senza il loro consenso preventivo, purché vi siano due condizioni: a) la numerazione deve essere presente negli elenchi abbonati e b) la numerazone non deve essere iscritta nel registro delle opposizioni.

Questo significa che, prima del contatto, l’operatore ha l’obbligo di accertarsi dell’esistenza di entrambe queste condizioni, tenendo presente che la consultazione del registro, necessaria per la verifica di cui al punto b), deve avvenire con un intervallo non superiore a 15 giorni dalla precedente.

Ogni operatore ha l’obbligo di garantire l’identificazione della linea chiamante; inoltre, al momento della chiamata, deve indicare con precisione agli interessati che i loro dati sono stati estratti dagli elenchi pubblici, anche se non viene fatta una specifica richiesta in tal senso.

Questo tipo di informativa che può essere fornita con modalità semplificate dovrebbe contenere anche le indicazioni per una eventuale iscrizione nel registro delle opposizioni.

Va comunque segnalata l’esistenza di un codice di condotta sottoscritto dai maggiori operatori del settore, la cui finalità dichiarata è quella di permettere agli aderenti “di condurre la propria attività in maniera trasparente in un quadro di garanzie chiare, efficaci e facilmente comprensibili da parte di ognuno, tutelando i diritti (in particolare il diritto alla riservatezza ed il diritto all'identità personale), le libertà fondamentali e la dignità delle persone interessate, nel rispetto del principio di bilanciamento di interessi.”

Continua la prossima settimana con la pubblicazione della quarta parte - I provvedimenti del garante privacy

Direct marketing telefonico e privacy: 2 parte

2011-06-27T09:20:00.001+02:00

In precedenza abbiamo detto che le regole per l'utilizzo dei dati personali attraverso il mezzo telefonico per le cd. finalità promozionali o di marketing sono state modificate in modo tale che il consenso dell'interessato si può oggi ritenere esistente in caso di mancata iscrizione della numerazione telefonica di cui è titolare nel registro delle opposizioni.

Ma che cosa è il registro delle opposizioni e quale è il suo ambito di applicazione ?

Il registro pubblico delle opposizioni

E' un nuovo servizio pubblico (http://www.registrodelleopposizioni.it/) istituito con il DPR 7 settembre 2010, n. 178, gestito dalla fondazione Ugo Bordoni sotto la vigilanza ed il controllo dell’Autorità garante della privacy (http://www.garanteprivacy.it), operativo dal 1° febbraio 2011.

La sua funzione dichiarata è quella di tenere traccia dei numeri di telefono di tutti coloro che non intendono più ricevere telefonate di natura commerciale e/o promozionale; secondo le intenzioni del legislatore, in questo modo sarebbe possibile armonizzare il diritto dei cittadini a non essere disturbati con le esigenze di quelle imprese che, invece, scelgono di avvalersi degli strumenti di telemarketing per far fronte alle dinamiche del mercato.

Ambito di applicazione

Il nuovo regime si applica esclusivamente al trattamento dei dati personali contenuti in elenchi di abbonati mediante l'uso del telefono e con l'ausilio di un operatore, ai fini dell’invio di materiale pubblicitario o di vendita diretta o di ricerche di mercato o di comunicazione promozionale.

Sono quindi esclusi tutti gli altri trattamenti di dati aventi una origine differente (es. carte fedeltà, promozioni o altre forme di raccolta dei dati presso l’interessato o terzi) che rimangono dunque assoggettati alle regole già in vigore.

L’accesso al registro ed il suo funzionamento sono stati differenziati in due macroaree, per l’abbonato e per l’operatore:

Abbonato è qualsiasi persona fisica, giuridica, ente od associazione, parte di un contratto stipulato con un fornitore di servizi di telefonia pubblica oppure destinatario di tali servizi, anche attraverso il sistema delle carte prepagate, la cui numerazione telefonica è presente negli elenchi pubblici cartacei od elettronici;
Operatore è qualsiasi persona fisica o giuridica, titolare di dati personali, che intende compiere mediante l'impiego del telefono un trattamento dei dati degli abbonati presenti negli elenchi pubblici cartacei od elettronici, per finalità di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

Continua la prossima settimana con la pubblicazione della terza parte - Gli obblighi degli operatori e degli abbonati.

Direct marketing telefonico e privacy: 1 parte

2011-06-21T10:28:00.001+02:00

Per diversi anni, a partire dal recepimento della direttiva europea 2002/58/CE (cd. e-Privacy), il trattamento dei dati personali attraverso l'utilizzo del mezzo telefonico per le cd. finalità promozionali o di marketing (art. 7, comma 4, lett. b del T.U privacy), cioè:

a) l’invio di materiale pubblicitario;
b) la vendita diretta;
c) il compimento di ricerche di mercato;
d) la comunicazione commerciale;

si è considerato legittimo in base ad un sistema di consenso preventivo denominato opt-in, tuttora applicabile ad altre forme di comunicazione elettronica (es. telefax, posta elettronica, sms, ecc...) effettuate per le medesime finalità. Tale sistema prevede che, in mancanza di un consenso da parte del soggetto interessato, il relativo trattamento dei suoi dati debba considerarsi illecito, con tutte le conseguenze previste dalla normativa vigente in tema di responsabilità civile, penale ed amministrativa.

Per effetto delle modifiche introdotte dalla legge 20 novembre 2009, n. 166 il sistema si è radicalmente trasformato, passando ad un regime in cui il trattamento dei dati compiuto con il mezzo telefonico per le finalità menzionate si considera sempre lecito, non più quando vi sia il consenso, ma nei confronti di chiunque non abbia manifestato la propria opposizione.

In pratica, ai fini della legittimità del trattamento, la necessità del consenso è stata sostituita con il mancato esercizio di una opposizione. Ma come si manifesta questa opposizione, in che cosa consiste e chi deve manifestarla ?
L'opposizione consiste nella iscrizione da parte del soggetto interessato della propria utenza telefonica in un pubblico registro, denominato per questi motivi registro pubblico delle opposizioni.

Continua la prossima settimana con la pubblicazione della seconda parte - Il registro pubblico delle opposizioni.

Telemarketing: il registro ed il regime delle chiamate indesiderate

2011-06-14T16:36:00.001+02:00

Un altro tassello si è aggiunto di recente alla complessa regolamentazione del fenomeno del telemarketing dal punto di vista della privacy, a seguito dell'entrata in funzione del registro delle opposizioni, di cui alla normativa del DPR 178/2010.

La funzione primaria di tale registro, gestito da un entità terza, è quella di un meccanismo per tutelare i dati personali di chi non desidera essere disturbato da telefonate pubblicitarie, senza per questo compromettere eccessivamente gli interessi economici delle aziende che operano in questo settore o che scelgono di avvalersi di questa forma di marketing.

Si tratta quindi del meccanismo specifico attraverso il quale viene data attuazione ad una riforma del settore, già introdotta con la legge 166/2009, che ha determinato il passaggio da un sistema basato sul consenso preventivo (opt-in) ad uno basato, invece, sulla manifestazione espressa di un diniego (opt-out).
Infatti, a partire dal 31 gennaio 2011, gli abbonati che non desiderano più ricevere chiamate telefoniche con operatore, per l'invio di materiale pubblicitario, vendita diretta, ricerche o comunicazioni commerciali, devono iscriversi in tale registro con una delle modalità previste (web, email, fax, telefono).
A questo registro si affianca inoltre un provvedimento dell'autorità garante della privacy che ha fissato dei limiti precisi, proprio per garantire il rispetto della volontà dei cittadini da parte degli operatori.

Ambito di applicazione

Partiamo intanto dalla considerazione dei soggetti coinvolti che sono, da un lato, l'abbonato, cioè:

"qualunque persona fisica, persona giuridica, ente o associazione parte di un contratto con un fornitore di servizi telefonici accessibili al pubblico per la fornitura di tali servizi, o destinatario di tali servizi anche tramite schede prepagate, la cui numerazione sia comunque inserita negli elenchi [...] ";

e dall'altro l'operatore:

"qualunque soggetto, persona fisica o giuridica, che, in qualita' di titolare [...]intenda effettuare il trattamento dei dati [...] per fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l'impiego del telefono";

L'iscrizione nel registro e le nuove regole si applicano solo alle numerazioni riportate negli elenchi di abbonati, perciò, fermo restando questi limiti, è ora stabilito che:

gli operatori di telemarketing non possono più contattare i numeri telefonici degli abbonati iscritti nel registro;
se un operatore ha già ricevuto il consenso di un abbonato a ricevere telefonate promozionali, potrà continuare a contattarlo, anche se iscritto nel registro. Però il consenso precedentemente acquisito dovrà essere documentabile per iscritto e sarà, comunque, liberamente revocabile in qualsiasi momento;
se un abbonato ha chiesto di non essere più disturbato da telefonate, l'operatore dovrà rispettare la sua volontà, anche se non iscritto nel registro;

Per quanto riguarda invece il trattamento di dati aventi una origine differente dagli elenchi degli abbonati, risulta che:

per le numerazioni derivanti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, il trattamento è possibile, in assenza del consenso dell'interessato, solo se una specifica disciplina preveda espressamente le attività di comunicazioni telefoniche per le finalità di invio di materiale pubblicitario, vendita diretta, ricerche o comunicazioni commerciali, oppure se tali comunicazioni siano direttamente funzionali all'attività svolta dall'interessato, sempreché non vi sia stata o sia manifestata opposizione al trattamento;
per le numerazioni contenute in banche dati comunque formate (fuori dei casi di cui al punto precedente), il trattamento è possibile nel rispetto dei principi generali e, quindi, previo rilascio di una idonea informativa e l'acquisizione dello specifico consenso;

Esclusioni

L'entrata in funzione del registro non pregiudica le regole vigenti in materia di pubblicità effettuata attraverso la posta tradizionale o con strumenti diversi dal telefono (es. posta elettronica, telefax, messaggi del tipo Mms o Sms, chiamate automatizzate senza operatore), per la quale continua ad applicarsi il principio della richiesta di un consenso preventivo e informato del destinatario della comunicazione.

Sanzioni

Per la mancata osservanza delle prescrizioni dell'autorità è prevista l'applicazione di una sanzione da 30mila a 180mila euro e, nei casi più gravi, fino a 300mila euro.

Photo coutesy: igordeniro

Pubblicità comportamentale online: quali regole per la privacy ?

2011-06-13T10:33:00.000+02:00

Tra le varie forme di pubblicità esistenti, quella "online" rappresenta, senza dubbio, un segmento molto dinamico ed importante per lo sviluppo di un economia legata alla rete Internet.

Esistono, però, degli aspetti di legalità da considerare, soprattutto per quanto riguarda la cd. pubblicità comportamentale, termine con il quale si indica il tracciamento degli utenti in rete, attuato con lo scopo di derivare dall'osservazione delle loro azioni un profilo comportamentale che funga da base per la trasmissione di messaggi pubblicitari "personalizzati"
A causa della invasività delle principali tecniche di tracciamento, nonchè della loro, pressocchè totale, invisibilità per gli utenti, questa pratica presenta aspetti che possono incidere significativamente sulla protezione dei dati personali e della vita privata perchè, almeno potenzialmente, offre la possibilità di ricostruire, in modo molto dettagliato, le attività online degli interessati, a totale insaputa di questi ultimi.
Per questo motivo essa viene presa in grande considerazione da tutti i legislatori e le autorità di protezione nazionali ed europei; proprio in questo ambito, il gruppo di lavoro dell'articolo 29 della direttiva 95/46/CE (l'organismo rappresentativo delle autorità di protezione europee), ha adottato nel 2010 un parere che fornisce un quadro giuridico di riferimento abbastanza articolato.

Tecniche e strumenti di tracciamento

Sono per lo più basati sull'elaborazione lato client delle informazioni derivanti da motori di ricerca e dall'apparecchiatura terminale dell'utente, con una predominanza dei cd. cookies, frammenti di testo memorizzati e, successivamente, recuperati dal sistema dell'utente con lo scopo di alimentare ed identificare il profilo comportamentale di quest'ultimo.
Dei cookies si è occupata recentemente anche ENISA - Agenzia Europea per la sicurezza delle informazioni e della rete - con un documento ufficiale (in lingua inglese) intitolato "Bittersweet cookies. Some security and privacy considerations".
Inoltre esistono anche i cd. flash cookies, la cui adozione è in forte aumento perchè consentono di superare le limitazioni insite nella cancellazione (al momento della chiusura del browser) o nel rifiuto (attraverso le impostazioni di privacy) dei cookies tradizionali; tra l'altro, i flash cookies non possono essere cancellati mediante le impostazioni tradizionali di privacy di un web browser, essendo la loro gestione separata e, come tale, poco conosciuta dagli utenti non esperti (vedi Come cancellare i flash cookies dal proprio sistema).

Le regole applicabili

Secondo l'interpretazione fornita, la pubblicità comportamentale soggiace alle disposizioni delle direttive e-privacy (2002/58/CE) e privacy (95/46/CE) o, meglio, della relativa normativa italiana di attuazione, vale a dire il T.U privacy (D.Lgs. 196/2003). Peraltro, la direttiva e-privacy è stata modificata dalla recente direttiva 2009/136/CE che dovrebbe ricevere attuazione nel territorio italiano entro la data del 25 maggio 2011.
Partendo dalla direttiva e-privacy (art. 5, par. 3), risulta che per memorizzare od accedere lecitamente ad informazioni archiviate nell'apparecchiatura terminale di un utente sia necessario il consenso preventivo ed informato dell'interessato.
Le informazioni cui si fa riferimento possono essere di qualsiasi tipo (es. cookies), e non necessariamente dati di natura personale, poichè l'obbligo opera in funzione generica di protezione di un aspetto della vita privata; questo spiega anche il perchè tale obbligo non si applichi soltanto ai servizi di comunicazione elettronica, ma ad ogni altro servizio che si avvalga di tecniche similari.
Quando poi le informazioni raccolte con i cookies od altri simili dispositivi sono di natura personale, si applicano, in aggiunta, i dettami della direttiva privacy (95/46/CE), tra cui vi sono i principi relativi ai diritti degli interessati, alla qualità dei dati, alla sicurezza dei trattamenti ed ai limiti per il trasferimento internazionale dei dati.
Un ulteriore aspetto è quello riguardante l'ambito territoriale di applicazione, in particolare:

la tutela offerta dalla direttiva 2002/58/CE riguarda le informazioni conservate nell'apparecchiatura terminale degli interessati che utilizzano reti di comunicazione pubbliche nell'unione europea;
la tutela offerta dalla direttiva 95/46/CE riguarda: a) il trattamento dei dati personali effettuato nell'ambito delle attività di un responsabile del trattamento, stabilito nel territorio dell'unione europea; b) il trattamento dei dati personali effettuato da un responsabile del trattamento che, pur non essendo stabilito nel territorio dell'unione europea, ricorre, ai fini del trattamento stesso, a strumenti situati in tale territorio;

Nel parere si evidenzia, da un lato, l'assoluta inadeguatezza degli strumenti tradizionali offerti dal browser, basati sul rifiuto preventivo e generalizzato dei cookies, e, dall'altro, l'opportunità di implementare, anche con la cooperazione dei produttori di software, meccanismi incentrati su un azione positiva dell'utente, dalla quale risulti la sua volontà di ricevere cookies e di accettare il relativo monitoraggio delle attività online, con lo scopo di ricevere messaggi pubblicitari personalizzati.
Per quanto concerne invece gli obblighi informativi, sul rispetto dei quali si basa la validità del consenso, si considera insufficiente la semplice menzione dell'uso della pubblicità comportamentale all'interno delle condizioni generali del sito e/o dell'informativa privacy; occorre, piuttosto, che agli utenti sia comunicato, in modo chiaro e semplice: a) chi è il responsabile del trasferimento dei cookies e della raccolta delle informazioni, b) il fatto che i cookies sono utilizzati per creare profili dell'utente, c) il tipo di informazioni raccolte, d) l'utilizzo dei profili per la trasmissione di messaggi pubblicitari personalizzati, e) la possibilità che l'utente sia identificato attraverso i cookies su diversi siti web.
Non mancano, infine, considerazioni sulla ripartizione dei profili di responsabilità tra i vari soggetti che risultano coinvolti nel circuito della pubblicità comportamentale, vale a dire i fornitori di reti pubblicitarie, gli editori e gli inserzionisti.
Photo-courtesy: Yello-Dog

Privacy: le registrazioni audio degli ordini sono dati personali

2010-10-12T19:01:00.000+02:00

Anche i suoni e le immagini costituiscono dati personali secondo la normativa del d.lgs. 196/03 (codice privacy) e possono quindi ritenersi oggetto dei diritti degli interessati, tra cui quello di accesso.

E' questa la sostanza di un provvedimento con il quale il garante della privacy ha ordinato ad una società telefonica di mettere a disposizione di un consumatore la registrazione audio di un precedente colloquio telefonico comprovante l'attivazione di un contratto e l'adesione alle sue clausole.

Secondo l'autorità, infatti, la richiesta di accesso formulata dall'interessato non poteva dirsi integralmente soddisfatta mediante la semplice trasposizione su altro supporto dei dati personali forniti nel corso del precedente contatto telefonico, essendo necessaria anche la trasmissione di una copia della registrazione, unico mezzo in grado di consentire l'accesso al dato vocale di natura personale.

Direct marketing: cosa cambia con la riforma ?

2009-11-26T17:49:00.000+01:00

La legge 20 novembre 2009, n. 166 ha convertito il D.L. 25 settembre 2009, n. 135 contenente, tra le altre, nuovi disposizioni in materia di marketing telefonico sulle quali, ormai da mesi, imperversa una protesta in rete.

Il motivo di tale protesta, di cui si sono fatte portavoce anche diverse associazioni di consumatori, è insita nella portata delle norme che finiscono per incidere profondamente sulle legittime aspettative degli utenti di non essere tartassati dalle cd. comunicazioni commerciali.

La principale novità

Riguarda il principio che tutela la nostra privacy nell'ambito delle comunicazioni elettroniche (ma solo di quelle telefoniche), ed è rappresentata dal passaggio da un sistema di opt-in ad uno di opt-out.

Volendo tradurre in poche parole l'inevitabile tecnicismo, si passa da un sistema in cui il trattamento dei dati personali poteva considerarsi lecito solo con l'acquisizione del consenso preventivo dell'utente ad un altro in cui il trattamento è sempre lecito a meno che non vi sia l'opposizione espressa dell'utente. Una differenza, quindi, non trascurabile.

Per la verità c'è anche chi, giustamente, ha fatto osservare che il nuovo sistema non travolge affatto il precedente, ma lo affianca, con la conseguenza che ci troviamo di fronte ad un ibrido che si concilia male con la direttiva europea 2002/58/CE (e-privacy).

Quest'ultima, infatti, lascia gli Stati membri liberi di decidere se adottare l'uno o l'altro sistema, ma non sembra lasciare spazio ad una coesistenza di entrambi che, oltretutto, rischia di creare solo incertezza.

Tornando al testo normativo, questo stabilisce che il trattamento dei dati personali contenuti negli elenchi degli abbonati, mediante telefonate aventi la finalità di vendita diretta, di compimento di ricerche di mercato o di comunicazioni commerciali, è consentito nei confronti di chi non abbia manifestato la propria opposizione attraverso l'iscrizione della propria utenza telefonica in un apposito registro pubblico che attualmente non esiste, ma che dovrà essere istituito entro il termine di sei mesi dall'entrata in vigore della legge di conversione, avvenuta il 25 novembre 2009.

C'è però anche una ulteriore novità poichè la precedente deroga sulla privacy, di cui abbiamo già parlato, è stata differita fino al termine di sei mesi successivi alla data di entrata in vigore della legge 166/2009.

Il regime transitorio

In questo periodo di interregno, in attesa della istituzione del registro delle opposizioni, gli utenti sembrerebbero pertanto "costretti" a subire, nonostante la loro eventuale volontà contraria, il trattamento dei propri dati.

Il nuovo sistema non ha però cancellato minimamente il diritto di ogni interessato di:

opporsi in tutto od in parte al trattamento dei dati che lo riguardano a fini dell'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale

che continua ad essere previsto e che può essere esercitato, tra l'altro, senza alcuna formalità, mediante richiesta rivolta al titolare o responsabile, anche attraverso un incaricato.

Ciò vuol dire che un utente potrebbe sempre opporsi al trattamento dei propri dati e potrebbe farlo nel corso delle telefonate che riceve, non essendo richiesto il rispetto da parte sua di una particolare modalità di esercizio di questo diritto.

Anzi, dato che, per espressa previsione, l'iscrizione nel futuro registro delle opposizioni dovrebbe essere governata da "modalità semplificate", sarebbe auspicabile prevedere a carico degli operatori di telemarketing l'obbligo di raccogliere, contestualmente alle telefonate, le eventuali opposizioni degli interessati e di inoltrarle direttamente al gestore del registro per l'immediata iscrizione nello stesso, rilasciando al richiedente un identificativo univoco della transazione.

In questo modo l'onere della semplificazione dell'iscrizione nel registro sarebbe quanto meno rispettato.

Le sanzioni

La nuova legge modifica, infine, l'entità minima della sanzione amministrativa prevista per il trattamento illecito dei dati o per la mancata applicazione delle misure di sicurezza, riducendola da 20.000 a 10.000 euro.

Certo è strana l'esigenza avvertita di una modifica ad una disposizione introdotta soltanto otto mesi fa (legge 27 febbraio 2009, n. 14); purtroppo questo atteggiamento lascia intravedere la preoccupazione del legislatore di non essere troppo severo con i trasgressori nell'applicazione delle sanzioni.

In poche parole il legislatore ci manifesta chiaramente tutto il suo scetticismo sull'efficacia del futuro registro delle opposizioni nel tutelare la privacy dei cittadini, lanciando un segnale sicuramente poco rassicurante.

Marketing: il consenso all'uso dei dati personali deve essere libero

2009-05-20T19:10:00.000+02:00

Ancora una pronuncia del garante della privacy sulle caratteristiche del consenso all'utilizzo dei dati personali per finalità promozionali o di marketing e sulle modalità con le quali dovrebbero essere realizzate le maschere di registrazione dei dati (cd. form) su web per consentire una corretta manifestazione di volontà da parte degli interessati.

Nel caso specifico, che ha riguardato una società specializzata nella vendita online di biglietti per eventi di vario genere, l'autorità ha ribadito che:

gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso per ciascuna distinta finalità perseguita dal titolare; tale capacità di autodeterminazione non è assicurata quando si assoggetta la fruizione di beni e servizi alla preventiva autorizzazione a trattare i dati conferiti anche per finalità diverse, quali sono quelle di profilazione e promozionale;

Quindi, in poche parole, non si può negare un servizio a chi non vuole fornire i propri dati personali per scopi diversi da quelli strettamente inerenti la prestazione del servizio stesso. Ogni altro trattamento per differenti finalità deve essere, invece, preceduto da un consenso libero e specifico (cioè riferito alla singola finalità).

Nel caso in cui il consenso venga acquisito attraverso Internet, occorre anche che le relative pagine web facciano uso di elementi in grado di consentire agli interessati la libera manifestazione, positiva o negativa, della propria volontà (es. mediante caselle di spunta differenti per ogni finalità, non preselezionate).

Direct marketing telefonico e privacy: le nuove prescrizioni

2009-03-19T18:22:00.000+01:00

Dopo la conversione in legge del decreto milleproroghe, avvenuta con la legge 27 febbraio 2009, n. 14, che ha previsto una deroga temporanea sull'applicazione di alcuni istituti della normativa sulla privacy nelle attività promozionali, l'autorità garante della privacy è intervenuta con un nuovo provvedimento per precisare i criteri che, comunque, dovranno essere rispettati nell'esecuzione delle attività.

Le prescrizioni interessano tutti i titolari del trattamento che siano in possesso di banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 e che intendano utilizzarle per fini promozionali.

Le misure previste sono le seguenti:

documentare in modo adeguato la costituzione della banca dati prima del 1° agosto 2005, conservando la relativa documentazione presso la sede legale del titolare;
trattare direttamente i dati personali presenti nelle banche dati, senza cederli, a qualunque titolo, a terzi;
specificare, in occasione di ogni contatto, l'identificativo del titolare del trattamento dei dati, anche nel caso in cui questi operi per conto di terzi, e comunicare agli interessati che essi hanno il diritto di opporsi ai sensi dell'art. 7 del Codice;
registrare immediatamente l'eventuale opposizione dell'interessato al trattamento dei suoi dati personali, con effetto anche nei confronti dei terzi per conto dei quali questo operi, anche qualora ciò avvenga telefonicamente, e fornire all'interessato l'identificativo dell'operatore o dell'operazione compiuta;
utilizzare i dati personali presenti nelle banche dati esclusivamente per finalità promozionali e sino al 31 dicembre 2009. Non è possibile rendere un'informativa agli interessati e richiedere il loro consenso per l'uso dei dati per attività di carattere promozionale da effettuare in data successiva al 31 dicembre 2009;
comunicare al Garante, entro quindici giorni dalla pubblicazione del provvedimento in G.U. (prevista per il 20 marzo 2009), di essere in possesso di banche dati costituite anteriormente al 1° agosto 2005 che si intendono utilizzare per attività promozionali fino al 31 dicembre 2009, chiarendo se il trattamento dei dati personali venga effettuato anche per conto di terzi;