GARANTE PROTEZIONE DATI PERSONALI – Nota 29 novembre 2017, n. 435 – No al social spam, per il marketing serve il consenso – Finanziamenti: più privacy per le richieste di preventivi –  Nuovo Cad: garantire più sicurezza del domicilio digitale e tutela dallo spam

No al social spam, per il marketing serve il consenso – Finanziamenti: più privacy per le richieste di preventivi –  Nuovo Cad: garantire più sicurezza del domicilio digitale e tutela dallo spam

No al social spam, per il marketing serve il consenso

No al social spam. Se un indirizzo email è presente su un social network non significa che possa essere utilizzato liberamente per qualsiasi scopo. Per inviare proposte commerciali, ad esempio, è sempre necessario il consenso dei destinatari. Per questi motivi il Garante per la privacy ha vietato a una società l’ulteriore trattamento di indirizzi email senza consenso per attività di marketing [doc. web n. 7221917].

L’intervento del Garante ha preso l’avvio dalla segnalazione di una società di consulenza finanziaria che lamentava l’invio di numerose email promozionali indirizzate alle caselle di posta elettronica di alcuni suoi promotori senza che questi ne avessero autorizzato la ricezione.

Dagli accertamenti, svolti presso la società dall’Autorità in collaborazione con il Nucleo Speciale Privacy della GdF, è emerso che la raccolta degli indirizzi di posta elettronica avveniva, oltre che con altre modalità, anche attraverso l’instaurazione di rapporti su Linkedin e Facebook o “pescando” contatti sui social. La società solo negli ultimi due anni ha inviato circa 100.000 email pubblicitarie.

Il Garante, anche sulla base delle Linee guida del 4 luglio 2013 che hanno disciplinato peraltro proprio il fenomeno del “social spam“, ha quindi ritenuto illecito il trattamento degli indirizzi di posta elettronica.

I dati reperiti sui social network e, più in generale, presenti on line, non possono essere utilizzati liberamente ha spiegato il Garante. Non ha infatti alcun fondamento normativo la tesi sostenuta dalla società secondo la quale l’iscrizione a un social network implica un consenso all’utilizzo dei dati personali per l’attività di marketing. Tale finalità non è compatibile con le funzioni dei social network che sono preordinate alla condivisione di informazioni e allo sviluppo di contatti professionali, e non alla commercializzazione di prodotti e servizi. Opinione sostenuta anche dalle Autorità per la privacy europee, le quali hanno espressamente escluso che l’iscrizione a un servizio presente sul web comporti la legittimità del trattamento dei dati personali da parte di altri partecipanti alla medesima piattaforma ai fini dell’invio di informazioni commerciali.

Oltre alla contestazione amministativa già effettuata dal Nucleo Speciale per il trattamento senza il necessario consenso, l’Autorità si è riservata di contestare alla società anche la violazione dell’obbligo di rilascio dell’informativa. Alla società è stato prescritto infine di modificare il modello di richiesta di consenso presente sul sito, in modo che risulti chiara la finalità di marketing.

Finanziamenti: più privacy per le richieste di preventivi

I chiarimenti del Garante privacy sul Codice per il credito al consumo

Chiariti dal Garante per la privacy i maggiori dubbi interpretativi relativi ad alcuni istituti del “Codice di deontologia e buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti” (Sic).

Con un provvedimento pubblicato oggi nella Gazzetta Ufficiale [doc. web n. 7221677], il Garante, recependo gli orientamenti più recenti della Corte di Cassazione, ha affermato che gli istituti di credito e gli operatori finanziari non bancari hanno l’obbligo di inviare il preavviso di imminente registrazione nei SIC ai soggetti che siano in ritardo nei pagamenti delle rate di un contratto di finanziamento o di un mutuo. Banche e finanziarie dovranno usare modalità idonee a provare non solo l’invio del preavviso, ma anche l’avvenuta ricezione da parte degli interessati medesimi (ad esempio tramite raccomandata con ricevuta di ritorno, telegramma o posta elettronica certificata).

Riguardo ai tempi di conservazione nei SIC dei dati relativi a inadempimenti non regolarizzati, l’Autorità ha precisato che, fermo restando il termine per così dire “ordinario” di 36 mesi dalla scadenza contrattuale o dalla cessazione del contratto, negli altri specifici casi previsti dal Codice, il tempo di conservazione non può comunque mai superare i 5 anni dalla data di scadenza del rapporto. Si tratta, ad esempio, di circostanze in cui intervengono la cessione del rapporto a società di recupero crediti, o la cessione in blocco e cartolarizzazione dei crediti.

Un terzo ed ultimo chiarimento ha riguardato la cosiddetta “informativa personalizzata SECCI”, prevista dall’art. 124 del Testo Unico Bancario. Si tratta di uno strumento mediante il quale il finanziatore informa l’interessato – non solo prima che questi sia vincolato da un contratto, ma addirittura prima che abbia formulato una richiesta di finanziamento – sulle condizioni del finanziamento. Il Garante ha chiarito che, a tutela della riservatezza del consumatore, nella fase antecedente alla presentazione di una richiesta di finanziamento – che di norma coincide con il momento in cui l’interessato si rivolge ad un istituto di credito o ad un operatore finanziario non bancario per ottenere un preventivo al fine di valutare la convenienza a formalizzare una richiesta di finanziamento – banche e finanziarie devono tener conto solo ed esclusivamente delle informazioni rese, direttamente e spontaneamente, dal consumatore, senza possibilità di accedere ai sistemi di informazione creditizia. Il codice deontologico si applica infatti solo in presenza di un rapporto di credito già instaurato, o quanto meno di una richiesta volta alla conclusione del medesimo.

Nuovo Cad: garantire più sicurezza del domicilio digitale e tutela dallo spam

No all’accesso indiscriminato ai dati relativi al “domicilio digitale” dei cittadini. Maggiori tutele per chi invia segnalazioni al difensore civico digitale. Regole più specifiche per l’accesso ai servizi digitali delle PA e per l’utilizzo dei dati anagrafici.

Queste sono alcune delle osservazioni che il Garante per la protezione dei dati personali ha espresso in merito allo schema di decreto legislativo, predisposto dalla Presidenza del Consiglio dei ministri, per integrare e modificare alcune disposizioni del Codice dell’amministrazione digitale (CAD) [doc.web n. 7221785]. Il Garante, pur esprimendo parere positivo sul testo ha rilevato alcune criticità in merito alla protezione dei dati personali trattati. Nella bozza di decreto, ad esempio, si prevede che “chiunque” possa consultare gli elenchi dei “domicili digitali”, tramite sito web e senza necessità di autenticazione. Secondo l’Autorità, invece, rendere pubblici tali elenchi, peraltro in formato aperto e senza specificare quali dati personali contengano, rischia di favorire l’invio di spam e di aumentare considerevolmente il rischio di furti di identità.

Il domicilio digitale dovrebbe invece essere utilizzabile solo per l’invio di comunicazioni avente valore legale o connesse al conseguimento di finalità istituzionali.

Un’altra disposizione del decreto prevede che il difensore civico digitale pubblichi on line tutte le segnalazioni “fondate” ricevute dai cittadini, relative a violazioni della normativa sulla digitalizzazione della Pa. Tale obbligo – afferma il Garante – non solo comporta una diffusione sproporzionata dei dati di chi denuncia un problema, ma rischia di essere un deterrente all’esercizio di tale diritto per il timore dell’utente di subire eventuali ritorsioni. Sarebbe quindi auspicabile prevedere sempre l’oscuramento dei dati personali eventualmente presenti nei documenti oggetto di pubblicazione online sia nel caso di segnalazioni, sia nel caso delle decisioni sulle stesse.

Il Garante ribadisce, inoltre, come già indicato in un precedente parere sul Cad, che sarebbe opportuno tutelare meglio la riservatezza dei dati personali contenuti nelle “Basi dati di interesse nazionale”, chiarendone le modalità di utilizzo, nonché valutare la possibilità di concedere l’accesso ai servizi della PA in rete non esclusivamente tramite SPID, ma utilizzando anche altri sistemi disponibili quali la Carta di Identità Elettronica o la Carta Nazionale dei Servizi.

Il Garante sottolinea infine che le indicazioni tecniche che dovrà definire l’Agid in merito al CAD non dovrebbero avere natura di “linee guida”, ma di regole prescrittive, tali da garantire livelli più elevati di sicurezza e di protezione dei dati personali.