E-commerce, no alla profilazione senza consenso

Vietato ad una società l’uso dei dati di oltre 300mila persone per l’invio di newsletter personalizzate

No alla profilazione senza consenso di gusti e abitudini dei clienti per l’invio di newsletter personalizzate. Lo ha affermato il Garante privacy in un Provvedimento con cui  ha vietato ad una società di e-commerce l’illecito trattamento dei dati di oltre 300 mila persone.

La società – una delle più importanti nella fornitura on line di biglietti  per spettacoli teatrali,  manifestazioni sportive, concerti e nell’e-commerce di prodotti anche di marchi celebri –  non potrà più utilizzare i dati trattati in modo illecito.

Dagli accertamenti ispettivi svolti dall’Autorità è emerso che la società raccoglieva dati personali attraverso tre siti, di cui uno operativo in più lingue straniere destinato ad utenti di paesi Ue ed Extra Ue. Il consenso richiesto, però, era  preselezionato e unico per varie finalità, comprese quelle di marketing e comunicazione dei dati ad altre società, sempre per scopi commerciali.

Una procedura  contraria alla normativa, anche se l’utente poteva deselezionare il consenso e procedere alla registrazione al sito.

La società, inoltre, svolgeva, sempre senza consenso, un’attività di profilazione utilizzando un software per  l’invio di newsletter personalizzate, “create” elaborando i dati relativi agli ordini dei clienti o anche ai prodotti inseriti nel carrello il cui ordine non era stato finalizzato.

La società peraltro non aveva provveduto ad adempiere all’obbligo di notificazione al Garante previsto dal Codice per l’attività di profilazione, né aveva stabilito alcun tempo di conservazione dei dati personali raccolti tramite i siti.

Il Garante  ha dunque disposto il divieto di uso dei dati dei clienti acquisiti illecitamente e ha  prescritto alla società  di adottare, entro sessanta giorni, le misure necessarie per mettersi in regola con le disposizioni del Codice privacy.

La società dovrà, in particolare:

• integrare l’informativa indicando le aziende o le categorie economiche o merceologiche alle quali intende comunicare i dati per le loro finalità promozionali;
• informare i soggetti, ai quali i dati sono stati già comunicati o ceduti, che non possono utilizzarli senza aver prima acquisito il consenso degli interessati.

La società dovrà, infine:

• prevedere tempi di conservazione dei dati e,
• alla scadenza, provvedere all’immediata cancellazione o alla  anonimizzazione permanente.

Il Privacy Officer quale figura obbligatoria

• Fonte: Iusletter
  

Autonomo, specializzato e con un budget di spesa. Sono le caratteristiche principali del responsabile della protezione dei dati personali (Data Protection Officer, DPO) presentate in una scheda diffusa dal Garante della privacy sul suo sito.

Il DPO è previsto nella proposta di regolamento Com(2012)11, destinato a sostituire la direttiva 95/46 e con essa il Codice italiano della privacy (dlgs 196/2003). L’iter per l’approvazione definitiva del regolamento dovrebbe concludersi nei primi mesi del 2016. Ci sarà poi tempo per adeguarsi.

Nel frattempo la figura del responsabile privacy comincia a farsi strada anche a legislazione vigente. Nella scheda sul DPO si spiega, salvo modifiche, quando sarà prevista la nomina, come deve essere scelto e che compiti avrà.

Va, però, ricordato che già, a legislazione vigente, è possibile istituire una figura assimilabile al DPO, con deleghe specifiche nella materia della protezione dei dati. Si tratta di una opzione organizzativa, che ha trovato applicazione in realtà aziendali medio-grandi.

Qualche esperienza analoga (creazione di uffici ad hoc per la privacy) si trova anche nel settore pubblico, ma si tratta di unità organizzative che molto spesso accorpano più funzioni, tra cui quello relativo alla gestione dei trattamenti. Vediamo in sintesi il contenuto della scheda predisposta dal garante.

NOMINA OBBLIGATORIA

Secondo la proposta di regolamento (suscettibile di emendamenti) dovranno designare obbligatoriamente un responsabile della protezione dei dati:

• tutte le amministrazioni e gli enti pubblici;
• le imprese con 250 o più dipendenti;
• tutti i soggetti la cui attività principale consiste in trattamenti che richiedono il controllo regolare e sistematico degli interessati.

Ciò non toglie che possa essere nominato un DPO anche fuori da questi casi, per scelta dell’impresa.

Va sottolineato che nel settore pubblico non vi sarà esonero in base al numero dei dipendenti e che, quindi, tutte le p.a. dovranno dotarsene, valorizzando propri dipendenti o ricorrendo a consulenze esterne.

REQUISITI

Il responsabile della protezione dei dati deve essere uno specialista della privacy e deve essere collocato in una posizione di autonomia, visto che esercita funzioni di controllo e vigilanza.

Godrà di una relativa inamovibilità per un termine di due anni e dovrà avere a disposizione risorse umane e finanziarie necessarie all’adempimento dei suoi compiti.

COMPITI

Il DPO dovrà:

• gestire tutti gli adempimenti di privacy, svolgendo formazione e consulenza, vigilando anche su attività di controllo interno;
• avere parola anche sulle decisioni organizzative e sull’attribuzione dei compiti e delle responsabilità; 
• curare l’attuazione delle misure di sicurezza e dovrà predisporre il sistema informativo in maniera tale da essere conforme alla disciplina della protezione dei dati.

Il DPO avrà il compito di:

• garantire la conservazione della documentazione relativa ai trattamenti effettuati;
• controllare che le violazioni dei dati personali siano documentate, notificate e comunicate (data breach).

Il DPO avrà la responsabilità della valutazione d’impatto dei trattamenti sulla protezione dei dati e sarà il punto di contatto per il Garante per la protezione dei dati personali.

Se poi il Garante rivolge richieste alla p.a. o all’impresa, il DPO dovrà curare che venga data tempestiva risposta.

Sull’inquadramento della figura si discute:

• se si tratterà di una funzione con compiti gestionali (con conseguente coinvolgimento nelle responsabilità) o
• se invece sarà una funzione di controllo esterno.