Garante per la protezione
    dei dati personali


vedi anche
[comunicato stampa]

[parere Tessera del tifoso e protezione dei dati personali]


[provvedimento Consenso e trattamento dei dati personali a fini di Marketing]

 

Tessera del tifoso: piŁ garanzie per i supporter

PROVVEDIMENTO DEL 10 NOVEMBRE 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

IN DATA ODIERNA, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

VISTE le istanze pervenute in data 23 e 24 giugno e in data 16 agosto 2010 relative all'attuazione del programma "tessera del tifoso";

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Francesco Pizzetti;

PREMESSO

1. Il programma "tessera del tifoso".
Sono pervenute all'esame dell'Autoritł alcune istanze con cui sono state prospettate possibili violazioni della disciplina di protezione dei dati personali nell'ambito della realizzazione del programma "tessera del tifoso" varato dall'Osservatorio nazionale sulle manifestazioni sportive-Dipartimento della pubblica sicurezza del Ministero dell'Interno.

Come Ć noto, tale misura, inserendosi nel solco delle "iniziative strumentali poste a garanzia della sicurezza degli appassionati di calcio" (cfr. circolare del Ministero dell'Interno 14 agosto 2009, n. 555), rientra –secondo l'accezione accolta dallo stesso Ministero– tra le "agevolazioni" riconducibili nell'alveo dell'art. 8 del d.l. 8 febbraio 2007, n. 8 (recante "Misure urgenti per la prevenzione e la repressione di fenomeni di violenza connessi a competizioni calcistiche, nonchÄ norme a sostegno della diffusione dello sport e della partecipazione gratuita dei minori alle manifestazioni sportive") e mira, tra l'altro, a "valorizzare il rapporto trasparente e aperto con i [╔] tifosi, che diventano [cosô] i veri protagonisti dell'evento sportivo" (cfr. le Linee guida per gli addetti ai lavori approvate dal Gruppo di Lavoro tecnico predisposte dal Ministero dell'Interno, p. 3); in pari tempo, lo strumento offre alle societł sportive interessate la possibilitł di fornire ai tifosi servizi ulteriori e "collaterali" in grado di esaltare "il valore aggiunto dell'appartenenza ad una comunitł di supporters fidelizzati" (cosô la predetta circolare del Ministero dell'Interno).

In tale quadro, la tessera del tifoso consente al relativo possessore, tra l'altro, di:

a) entrare a far parte di una comunitł "virtuosa" di tifosi, dedita alla promozione della cultura e dei valori dello sport;

b) fruire di eventuali facilitazioni, privilegi, servizi resi disponibili dalle singole societł sportive;

c) accedere agevolmente, attraverso varchi dotati di sistemi di lettura elettronica, ai settori degli impianti sportivi;

d) acquisire i tagliandi riservati ai settori "ospiti" in caso di partite da giocarsi in trasferta;

e) andare "esente" (salvo valutazioni contingenti) dalle prescrizioni eventualmente indicate dal Comitato di Analisi per la Sicurezza delle Manifestazioni Sportive e adottate dalle competenti Autoritł provinciali di pubblica sicurezza;

f) acquistare agevolmente, attraverso procedure piŁ snelle di identificazione degli acquirenti, i tagliandi relativi all'evento di interesse.

Ogni tessera del tifoso –rilasciata dalle societł sportive previo accertamento, da parte delle questure, dell'assenza dei requisiti ostativi richiamati nel predetto d.l. 8 febbraio 2007, n. 8– risulta contrassegnata da un codice alfanumerico che identifica in termini univoci l'"agevolazione" corrisposta; tale codice viene comunicato alle questure (in conformitł al d.m. 15 agosto 2009) dalle medesime societł sportive, che provvedono a loro volta a conservare, per quanto di propria competenza, i dati relativi a: l'"anagrafica del soggetto" interessato; il "numero della tessera rilasciata"; la "data di scadenza" (cfr. le "Linee guida", p. 9).

Le societł sportive –cui le Linee guida raccomandano di consegnare agli utenti un'"adeguata informativa" relativa, tra l'altro, al trattamento dei dati personali connesso al rilascio della tessera– trattano i dati raccolti in sede di sottoscrizione "per le sole finalitł previste dal programma" e li conservano "per il tempo di validitł della tessera". Tali dati possono formare oggetto di eventuali ulteriori trattamenti, anche "da parte di altre societł e dalle relative concessionarie del servizio, per finalitł di promozione ed iniziative commerciali", solo qualora l'interessato abbia espresso, al riguardo, il proprio specifico consenso (cfr. le "Linee guida", p. 8).

La mancata sottoscrizione della tessera –il cui rilascio costituisce condizione necessaria per il rilascio dell'abbonamento e l'ingresso nel settore "ospiti" presso altri impianti sportivi– non preclude peraltro agli utenti di accedere comunque allo stadio, acquistando il biglietto relativo all'evento di interesse in settori che, in caso di trasferta, devono essere distinti da quello preposto all'accoglienza dei tifosi "ospiti" (cfr. le "Linee guida", p. 5).

Stando alla documentazione acquisita, il programma "tessera del tifoso" non riveste carattere di "definitivitł"; quest'ultimo, infatti, "dopo un [primo] periodo di applicazione e comunque entro il 30 luglio 2011", potrł formare oggetto di eventuale revisione da parte dell'Osservatorio, onde renderlo ancor piŁ rispondente alle esigenze delle tifoserie (cfr. le "Linee guida", p. 15).

2. Le istanze pervenute.
Secondo le istanze pervenute, il programma varato dall'Osservatorio, anche alla luce delle modalitł di attuazione concretamente adottate dalle singole societł sportive, avrebbe dato luogo a numerose violazioni della disciplina di protezione dei dati personali, in considerazione del fatto che:

a) non sussisterebbe un'idonea base giuridica in grado di giustificare l'obbligo di sottoscrizione della "tessera del tifoso";

b) l'informativa resa nei moduli di sottoscrizione risulterebbe inadeguata, non contenendo indicazioni chiare e puntuali circa le finalitł del trattamento e i soggetti (in particolare: questure e societł terze coinvolte nell'iniziativa) che possono o che potrebbero venire a conoscenza dei dati raccolti, talora anche nella dichiarata veste di autonomi titolari dei rispettivi trattamenti;

c) la modulistica utilizzata per il rilascio della tessera, in quanto preordinata ad acquisire dati personali degli interessati sovente attraverso un unico modello, risulterebbe in contrasto con le indicazioni rese dal ministero nelle citate linee guida, che prevedono espressamente l'utilizzo e la sottoscrizione, da parte dei medesimi interessati, di appositi moduli (distinti e separati) per l'eventuale attivazione di funzionalitł o servizi ulteriori rispetto a quelli "istituzionalmente" connessi al rilascio della tessera;

d) lo stesso rilascio, in quanto subordinato al preventivo accertamento, da parte delle questure, dell'assenza di requisiti ostativi in capo agli interessati (provvedimenti di d.a.spo.; misure di prevenzione; sentenze di condanna per reati c.d. "da stadio"), comporterebbe un trattamento di dati giudiziari da parte delle societł sportive non "coperto" dall'art. 27 del Codice;

e) le finalitł di fidelizzazione e di marketing connesse all'impiego della tessera sarebbero suscettibili di determinare, sia pure a livello solo potenziale, un rischio di profilazione degli utenti, allo stato non dichiarato;

f) la tecnologia rfid contenuta nel chip presente sulla tessera sarebbe utilizzata per scopi non chiaramente individuati, nÄ previamente indicati all'utenza (oltre che in violazione delle prescrizioni impartite dal Garante con il provvedimento generale del 9 marzo 2005), con possibile rischio, tra l'altro, di localizzazione degli utenti.

In ragione di tali rilievi, Ć stato chiesto all'Autoritł di intervenire per i profili di propria competenza.

3. I riscontri delle societł sportive.
3.1. Considerata la necessitł, anche in ragione delle campagne abbonamenti gił avviate dalle societł sportive, di svolgere le indagini istruttorie in tempi molto brevi, l'Autoritł ha immediatamente richiesto informazioni –con specifico riferimento al trattamento di dati personali effettuato con tecnologia rfid, in quanto profilo comune a tutte le istanze pervenute– ad alcune di queste ritenute particolarmente rappresentative sul piano nazionale (A.S. Roma S.p.A., Juventus F.C. S.p.A., F.C. Internazionale Milano S.p.A., A.C. Milan S.p.A.), oltre che ad alcuni enti per quanto di loro eventuale competenza.

Dalle informazioni complessivamente acquisite e dalle dichiarazioni rese Ć emerso un quadro generale che, allo stato, vede la tecnologia rfid impiegata prevalentemente per finalitł di accesso agli impianti sportivi.

I dati contenuti nella tessera (piŁ precisamente, i codici numerici ivi memorizzati), alla luce dei riscontri forniti, sarebbero leggibili dagli appositi dispositivi ad una distanza variabile, approssimativamente, tra 1 e 10 centimetri; tale circostanza Ć stata indirettamente confermata dal C.O.N.I., cui risulta che la menzionata tecnologia Ć stata applicata per fattispecie ordinarie di "lettura del solo numero di tessera da distanza ravvicinata (lettura di prossimitł)" (cfr. nota del 28 luglio 2010).

In ogni caso, nessun dato personale sarebbe memorizzato presso i "tornelli" di ingresso agli impianti sportivi, abilitati ad operazioni di sola verifica della rispondenza dei codici contenuti sulla tessera a quelli relativi all'evento di interesse.

3.2. In termini piŁ generali, Ć inoltre emerso che le societł acquisiscono il consenso espresso degli interessati per finalitł distinte e ulteriori, come, ad esempio, per lo svolgimento di eventuali attivitł di marketing (talora anche da parte di societł terze), oppure per finalitł di profilazione.

L'esame dei riscontri ha poi evidenziato, con particolare riferimento ai rapporti intercorrenti (sotto il profilo della disciplina di protezione dei dati) tra le singole societł sportive ed eventuali societł terze coinvolte nell'iniziativa (societł emettitrici della tessera; societł convenzionate; ecc.), che queste ultime vengono sovente ritenute autonomi titolari in relazione ai trattamenti connessi alle attivitł di loro esclusiva pertinenza (al riguardo, cfr. anche il successivo p. 4.3); peraltro, ove dette societł non figurino quali autonomi titolari, non risulta sempre chiaro se le stesse siano state o meno formalmente designate quali responsabili del trattamento ai sensi dell'art. 29 del Codice.

4. La modulistica predisposta dalle societł calcistiche.
4.1. L'esame della modulistica adottata da un piŁ ampio numero di societł sportive, sotto altro profilo, ha evidenziato modalitł di attuazione del programma "tessera del tifoso" non sempre omogenee.

La maggior parte di queste si avvale di modelli che ricalcano, in parte, quello presente sul sito dell'Osservatorio nazionale sulle manifestazioni sportive, peraltro di carattere orientativo e adattabile in funzione delle diverse circostanze. Dalla loro analisi Ć emerso che non viene richiesto il consenso degli interessati al trattamento dei loro dati personali per finalitł di adesione al "programma" (e al conseguente rilascio della tessera), risultando viceversa prevista la sua acquisizione in relazione a finalitł distinte e ulteriori, quali quelle collegate ad eventuali iniziative di informazione commerciale e promozionale di prodotti o servizi o per lo svolgimento di ricerche statistiche e di mercato; talora viene acquisito un consenso specifico anche per la comunicazione a terzi dei dati, onde consentirne il trattamento da parte di questi ultimi per le medesime finalitł commerciali/promozionali.

Rispetto a tali profili, parte dei moduli acquisiti agli atti risulta provvisto di due "caselle" distinte e separate ("presta il consenso"/"nega il consenso"), sô da consentire agli interessati di contrassegnare l'opzione prescelta –in relazione tanto al trattamento effettuato per le predette finalitł di marketing dalle societł sportive che in relazione a quello (distinto) svolto da eventuali societł terze– in funzione delle determinazioni liberamente adottate da costoro. In altri modelli, tale opzione risulta formulata in termini "omnicomprensivi", prevedendo, cioĆ, la contestuale acquisizione (o negazione) del consenso per finalitł di marketing e di ricerche di mercato tanto da parte delle societł sportive che di eventuali societł terze. In altri casi ancora, la documentazione acquisita ha evidenziato la presenza di una sola casella da "marcare", con conseguente possibilitł per l'interessato di negare il consenso al trattamento dei propri dati personali per le anzidette finalitł semplicemente non apponendo alcun segno sulla casella.

L'analisi ha poi evidenziato, in alcuni casi, l'utilizzo di modelli unici ai fini tanto del rilascio della tessera che per l'attivazione di ulteriori servizi connessi all'uso della stessa; quest'ultima, infatti, puś "incorporare" al proprio interno molteplici funzionalitł ed essere utilizzata, tra l'altro, quale strumento elettronico di pagamento, presupponendo a tal fine una esplicita manifestazione di volontł da parte dell'utente; la tessera, infatti, viene consegnata dalle societł sportive in modalitł "non attiva".

4.2. Sotto distinto profilo, la predetta modulistica, nell'individuare le finalitł del trattamento, fa tendenzialmente riferimento, nelle sue molteplici varianti ("finalitł del servizio"; "finalitł riguardanti la partecipazione alla presente operazione"; "svolgimento di tutte le attivitł connesse alle funzionalitł contenute nella tessera"), a operazioni di trattamento genericamente connesse all'adesione al programma e al rilascio della tessera.

Tali finalitł sono sovente accompagnate dall'indicazione secondo cui i dati acquisiti formeranno oggetto di comunicazione a societł terze per l'espletamento, nell'ambito del "programma", delle attivitł connesse all'utilizzo e gestione della tessera. Detta previsione compare anche in alcuni regolamenti presenti sui moduli in atti, ove si afferma che i dati contenuti nella tessera "saranno trasferiti, in maniera sicura e protetta, ai sistemi di vendita dei [╔] servizi/prodotti offerti dalla societł, dalle societł emettitrici e dalle societł in convenzione".

Nessun riferimento Ć invece rinvenibile relativamente alla comunicazione dei dati personali dei tifosi alle questure, nÄ risultano dettagliatamente specificate le finalitł e modalitł del trattamento connesso all'utilizzo della tecnologia rfid applicata alla tessera in esame. Parimenti, alcune informative (invero una minoranza) risultano prive delle indicazioni relative alle "conseguenze di un eventuale rifiuto di rispondere" (art. 13 del Codice).

4.3. Infine, in ordine alla qualificazione giuridica dei soggetti coinvolti a vario titolo nelle operazioni di rilascio, gestione e utilizzo della tessera del tifoso, risulta dai moduli che costoro operano in prevalenza, ciascuno per le attivitł di propria competenza, quali autonomi titolari dei trattamenti. Ove ciś non risulti, non Ć dato rinvenire elementi certi, all'interno della modulistica utilizzata dalle societł sportive, circa l'eventuale designazione dei soggetti terzi coinvolti nell'iniziativa quali responsabili del trattamento.

5. Profili di liceitł del trattamento.
5.1. Come rilevato dal Ministero dell'Interno nelle citate "Linee guida" e ribadito nella modulistica adottata da alcune societł sportive, la tessera del tifoso costituisce una "facilitazione" –ai sensi dell'art. 8 del d.l. 8 febbraio 2007, n. 8, convertito con modificazioni dalla legge 4 aprile 2007, n. 41– all'acquisto di titoli per assistere a eventi sportivi organizzati dalle medesime societł sportive e riservati a persone fisiche che non siano destinatarie dei provvedimenti di cui all'art. 6 della legge 13 dicembre 1989, n. 401 (d.a.spo.) o di cui alla legge 27 dicembre 1956, n. 1423 (misure di prevenzione), ovvero condannati, anche con sentenza non definitiva, per reati commessi in occasione o a causa di manifestazioni sportive.

Tenuto conto dell'inquadramento giuridico gił riconosciutole (che potrł formare oggetto di eventuale sindacato in altra sede, non essendo rimessa alcuna competenza al riguardo a questa Autoritł), deve dunque rilevarsi che, allo stato, non risulta fondato l'assunto in base al quale difetterebbero, nel caso di specie, idonei presupposti normativi atti a giustificare il trattamento dei dati personali, anche giudiziari, connesso all'adozione della tessera del tifoso.

5.2. Sotto distinto profilo, vale inoltre rilevare che risulta corretta l'impostazione riscontrata nei moduli esaminati in ordine alla mancata acquisizione, in sede di adesione al programma "tessera del tifoso", del consenso degli interessati relativamente alla gestione del rapporto in corso di instaurazione, come pure all'acquisizione di un consenso specifico e distinto per le iniziative connesse ad eventuali attivitł di marketing.

Infatti, come gił precisato da questa Autoritł con il parere reso in data 16 giugno 2010), peraltro in riferimento alle sole Linee guida predisposte dall'Osservatorio, per l'adesione al "programma" e la conseguente gestione, da parte delle societł sportive, dei dati forniti mediante la compilazione del modulo di richiesta della tessera non Ć dovuto il consenso in quanto il correlato trattamento risulta necessario per eseguire obblighi derivanti da un contratto del quale Ć parte l'interessato (art. 24, comma 1, lett. b), del Codice).

Diverso Ć il discorso per quanto concerne le finalitł di marketing, rispetto alle quali questa Autoritł si Ć piŁ volte pronunciata, in passato, evidenziando la necessitł che per le stesse sia acquisito un consenso specifico e distinto da quello eventualmente richiesto ad altri scopi (cfr. il menzionato parere 16 giugno 2010; cfr., altresô, Provv. 31 gennaio 2008). Tale impostazione, peraltro, Ć stata largamente riscontrata nella modulistica in atti (fatta eccezione per qualche profilo di dettaglio, su cui meglio si dirł al par. 6.3.), che consente al sottoscrittore della tessera di poter liberamente orientare le proprie scelte in ordine alle opzioni proposte, sicchÄ viene comunque garantita all'interessato la possibilitł di autodeterminarsi in ordine all'eventualitł che i suoi dati personali vengano trattati per finalitł di marketing, anche da parte di societł terze.

5.3. Occorre poi rilevare, allo stato, che non risulta provato il rischio di localizzazione degli utenti prospettato dalle parti istanti in ragione del chip a tecnologia rfid presente sulla tessera.

Alla luce delle dichiarazioni rese dalle societł interpellate (confermate indirettamente dal C.O.N.I.), deve infatti ritenersi insussistente tale rischio in ragione della "leggibilitł" esclusivamente ravvicinata dei dati contenuti nella tessera, tale peraltro da escludere la stessa possibilitł di acquisizione "accidentale" dei dati da parte di terzi.
Per altro verso, il trattamento correlato all'impiego della tecnologia rfid per finalitł di accesso agli impianti sportivi non puś ritenersi in violazione del provvedimento generale del 9 marzo 2005, con particolare riferimento ai profili di necessitł, liceitł e proporzionalitł del trattamento.

Da un lato, infatti, il trattamento risulta necessario e non eccedente, attese anche le garanzie che lo strumento Ć in grado di offrire sul piano della sicurezza e della velocizzazione degli accessi, anche in ragione dell'elevato numero di spettatori presente, di solito, sugli spalti (in molti casi, nell'ordine di qualche decine di migliaia di persone). Dall'altro, tale trattamento non necessita nemmeno del consenso degli interessati in base all'art. 24, comma 1, lett. b), del Codice, in quanto funzionale al perseguimento di una finalitł (l'accesso agevolato agli impianti sportivi) che Ć parte integrante del "programma" cui l'interessato aderisce volontariamente; ciś, a tacere del fatto che Ć comunque in facoltł di coloro che non intendono sottoscrivere la tessera accedere liberamente agli impianti sportivi attraverso l'utilizzo di canali alternativi (l'acquisto dei biglietti).

Per quanto concerne il profilo relativo all'informativa, si rinvia alle precisazioni di cui al successivo punto 6.2.

6. Profili di illiceitł del trattamento.
6.1. L'esame della documentazione acquisita agli atti, per altro verso, ha evidenziato alcune criticitł relativamente all'informativa che viene resa agli interessati, all'acquisizione (talora) del loro consenso per finalitł di marketing, alla qualificazione dei rapporti intercorrenti tra i soggetti coinvolti nell'iniziativa (cfr. i successivi punti 6.26.36.4); si ritiene pertanto di dover fornire alcune prime indicazioni e prescrizioni al fine di adeguare le suddette operazioni di trattamento alla disciplina di protezione dei dati personali. 

6.2. Riguardo all'informativa che le societł sportive forniscono in sede di adesione al "programma", occorre anzitutto evidenziare che le finalitł del trattamento –benchÄ talora desumibili dalle caratteristiche del programma medesimo e dai connessi regolamenti di partecipazione– non risultano formulate (ancorchÄ in forma sintetica) in termini tali da consentire ai tifosi di comprendere appieno la complessiva portata delle operazioni di trattamento correlate all'utilizzo (invero, anche solo potenziale) della tessera.

Sarebbe quindi necessario, onde garantire la piena conoscibilitł dei trattamenti effettuati, che le finalitł concretamente perseguite dalle singole societł interessate fossero chiaramente individuate e puntualmente indicate, distinguendo quelle che comportano trattamenti di dati su base meramente facoltativa e volontaria (ad esempio, le attivitł di profilazione e marketing: in tal senso, cfr. anche Provv. 24 febbraio 2005) da quelle, invece, che prescindono da una manifestazione di volontł degli utenti, perchÄ necessariamente connesse al rilascio della tessera (ad esempio, le attivitł di fidelizzazione o l'acquisto dei titoli di accesso agli impianti sportivi).

Analoghe esigenze di correttezza e trasparenza inducono poi a ritenere come necessaria anche l'indicazione, nelle informative da rendere agli interessati, della comunicazione dei dati alle questure; tale comunicazione, in quanto funzionalmente preordinata all'accertamento dell'assenza dei requisiti ostativi di cui al d.m. 15 agosto 2009 (attributo indefettibile ai fini del rilascio della tessera), costituisce infatti un elemento la cui conoscenza, anche in ragione del principio di finalitł (art. 11, comma 1, lett. b), del Codice), non puś essere sottaciuta agli interessati.

Discorso analogo puś essere effettuato in relazione all'utilizzo della tecnologia rfid: infatti, benchÄ la stessa, per le modalitł con cui risulta impiegata nel caso specifico, non possa essere ritenuta, allo stato, lesiva della libertł e dignitł degli interessati, la sua mancata indicazione nelle informative, anche in ragione di quanto stabilito con il Provvedimento 9 marzo 2005, non Ć conforme all'art. 13 del Codice. Infine, adeguata informativa va data anche con riferimento alla mancata indicazione delle "conseguenze di un eventuale rifiuto di rispondere".

Alla luce di tali considerazioni, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, si ritiene di dover prescrivere ai titolari dei trattamenti che non abbiano gił provveduto in tal senso di integrare l'informativa da rendere agli aderenti, precisando:

a) le singole finalitł concretamente perseguite, distinguendo quelle che comportano trattamenti di dati su base meramente facoltativa e volontaria da quelle, invece, che prescindono da una manifestazione di volontł degli utenti, perchÄ necessariamente connesse al rilascio della tessera;

b) le conseguenze dell'eventuale rifiuto di rispondere;

c) che i dati formeranno oggetto di comunicazione alle questure per l'accertamento dei requisiti di cui al d.m. 15 agosto 2009;

d) le caratteristiche del trattamento dei dati svolto attraverso l'utilizzo di tecnologia rfid, con particolare riferimento alle relative finalitł e modalitł.

6.3. Per altro verso, occorre evidenziare che le modalitł prescelte da alcune societł sportive per la compilazione dei modelli (recanti una sola casella da contrassegnare ai fini dell'acquisizione del consenso degli interessati per finalitł di marketing, come tali suscettibili di agevole manipolazione successivamente alla loro sottoscrizione) non soddisfano alcuni requisiti di conformitł alla disciplina di protezione dei dati personali, avuto particolare riguardo alla qualitł dei dati trattati (art. 11, comma 1, lett. c) del Codice).

Limitatamente a detto profilo, deve dunque prescriversi ai titolari dei trattamenti che hanno adottato modelli di sottoscrizione recanti un'unica casella per la manifestazione del consenso al trattamento dei dati personali per finalitł di marketing di riformulare i medesimi, adottando accorgimenti idonei a garantire agli interessati l'effettiva possibilitł di formalizzare anche il proprio diniego al trattamento, prevenendone cosô eventuali manipolazioni successive (artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice).

Sotto altro profilo, deve ritenersi invece corretta l'impostazione –anche in questo caso riscontrata solo in parte dei modelli esaminati– di acquisire un distinto consenso in relazione al trattamento eventualmente svolto per finalitł di marketing da parte di societł terze (cfr. in proposito, anche il provvedimento 16 giugno 2010, cit.), per permettere agli interessati di autodeterminarsi in relazione alla circolazione dei propri dati e all'eventuale trattamento degli stessi, per le summenzionate finalitł, anche da parte di soggetti diversi dalle societł sportive.

Alla luce di ciś, deve quindi prescriversi ai titolari che non hanno previsto modalitł di acquisizione di un consenso autonomo e distinto degli interessati in relazione al trattamento dei loro dati personali a fini di marketing da parte di societł terze, di riformulare i modelli utilizzati, adottando soluzioni idonee a garantire la possibilitł di manifestare liberamente la propria volontł di ricevere o meno, anche da parte di soggetti diversi dalle societł sportive, comunicazioni a carattere commerciale o promozionale (artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice).

Si invita inoltre le societł sportive a voler valutare l'opportunitł di predisporre moduli separati per l'attivazione di ulteriori funzionalitł della tessera o per la fornitura di servizi "accessori" agli interessati che abbiano espresso a tal fine il proprio specifico consenso, in quanto di possibile ausilio per gli stessi nella comprensione delle caratteristiche e delle operazioni di trattamento distintamente effettuate dai soggetti coinvolti a vario titolo nell'iniziativa.

Infine, si richiama l'attenzione delle societł che intendono effettuare attivitł di profilazione sulla necessitł di acquisire un consenso specifico e distinto da parte degli interessati (come pure in relazione alla medesima attivitł svolta da societł terze), provvedendo altresô alla notifica del relativo trattamento in base all'art. 37, comma 1, lett. d), del Codice.

6.4. Per quanto concerne, da ultimo, i rapporti intercorrenti tra i soggetti coinvolti a vario titolo nelle operazioni di rilascio e gestione della tessera, occorre ricordare che il d.lg. n. 196/2003 identifica il titolare del trattamento nel soggetto "cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalitł, alle modalitł del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza" (art. 4, comma 1, lett. f), del Codice).

Ai fini di una corretta individuazione dei reali "titolari" dei trattamenti, occorre dunque che i predetti soggetti valutino attentamente il ruolo effettivamente svolto da ciascuno di essi nell'espletamento delle proprie prestazioni a vantaggio degli aderenti, verificando la reale sussistenza, in capo a sÄ, di un autonomo potere decisionale o, piuttosto, se essi debbano invece conformare il proprio operato alle istruzioni formulate da altri, sô da doversi piŁ correttamente qualificare quali responsabili del trattamento (art. 29 del Codice). Tale valutazione si rende necessaria anche nell'interesse degli utenti i quali, per effetto di una chiarificazione dei rapporti intercorrenti tra i soggetti coinvolti nell'iniziativa, possono risultare concretamente agevolati nell'esercizio dei diritti previsti dall'art. 7 del Codice.

Alla luce di tali considerazioni, nel raccomandare ai soggetti coinvolti nel programma "tessera del tifoso" di valutare con attenzione il ruolo concretamente svolto da ciascuno di essi, si invitano gli effettivi titolari a valutare l'opportunitł di designare quali responsabili del trattamento i soggetti che, all'esito delle operazioni di valutazione, risultino privi di reale e autonoma capacitł decisionale in ordine alle finalitł e modalitł del trattamento medesimo.

6.5. Da ultimo, al fine di assicurare un'ampia conoscibilitł del presente provvedimento anche presso gli aderenti al programma "tessera del tifoso", si ritiene di dover prescrivere ai titolari del trattamento, quale misura necessaria a garanzia degli interessati, di disporne la relativa pubblicazione sui rispettivi siti web, ove esistenti, evidenziandolo adeguatamente in un autonomo riquadro per favorirne una immediata consultazione da parte degli utenti, anche predisponendo eventuali link appositamente dedicati alla sottoscrizione degli abbonamenti o alla partecipazione al programma medesimo (artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice).

Questa Autoritł si riserva ogni ulteriore iniziativa e approfondimento, anche a seguito delle revisioni che l'Osservatorio riterrł di dover eventualmente apportare al programma "tessera del tifoso", come pure l'opportunitł di valutare in separata sede l'adozione di ulteriori misure, anche in ragione di eventuali violazioni del presente provvedimento da parte delle singole societł.

TUTTO CI˝ PREMESSO, IL GARANTE

ą ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, prescrive ai titolari dei trattamenti che non abbiano gił provveduto in tal senso di:

- integrare l'informativa da rendere agli aderenti (punto 6.2), evidenziando:

a) i trattamenti che prescindono dalla manifestazione del consenso degli utenti perchÄ necessariamente connessi al rilascio della tessera del tifoso, precisando, in tale ambito, che l'informativa dovrł contenere uno specifico riferimento alla comunicazione dei dati personali degli utenti alle questure (per l'accertamento dei requisiti di cui al d.m. 15 agosto 2009), nonchÄ alle caratteristiche del trattamento svolto mediante l'utilizzo di tecnologie rfid;

b) i trattamenti che possono essere effettuati su base meramente volontaria, precisando che l'informativa dovrł indicare chiaramente le diverse finalitł perseguite e che le relative operazioni di trattamento dovranno essere effettuate solo sulla base di un espresso consenso dell'interessato;

c) le conseguenze dell'eventuale rifiuto di rispondere;

- adottare accorgimenti idonei a garantire agli interessati l'effettiva possibilitł di formalizzare anche il proprio diniego al trattamento per finalitł di marketing, prevenendo cosô possibili manipolazioni successive dei moduli sottoscritti dagli utenti (punto 6.3);

- riformulare i modelli utilizzati, adottando soluzioni idonee a garantire la possibilitł agli aderenti di manifestare liberamente la propria volontł di ricevere o meno, anche da parte di societł terze, comunicazioni a carattere commerciale o promozionale (punto 6.3);

ą ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, prescrive ai titolari dei trattamenti di pubblicare il presente provvedimento sui rispettivi siti web, ove esistenti, evidenziandolo adeguatamente in un autonomo riquadro per favorirne una immediata consultazione da parte degli utenti, anche predisponendo eventuali link appositamente dedicati alla sottoscrizione degli abbonamenti o alla partecipazione al programma "tessera del tifoso";

ą dispone che le misure e gli accorgimenti di cui ai punti precedenti siano adottati entro il termine di quarantacinque giorni dalla data di ricezione del presente provvedimento, dando riscontro a questa Autoritł, entro lo stesso termine, dell'avvenuto adempimento;

ą invita le societł sportive che non abbiano gił provveduto in tal senso, per le ragioni di cui in motivazione, a voler valutare l'opportunitł di predisporre moduli separati per l'attivazione di ulteriori funzionalitł della tessera o per la fornitura di servizi "accessori" agli interessati che abbiano espresso a tal fine il proprio specifico consenso (punto 6.3);

ą invita gli effettivi titolari, anche nell'interesse degli utenti, a valutare l'opportunitł di designare quali responsabili del trattamento i soggetti che, all'esito delle operazioni di verifica concernenti il ruolo concretamente svolto da ciascuno di essi, risultino privi di reale e autonoma capacitł decisionale in ordine alle finalitł e modalitł del trattamento (punto 6.4);

ą richiama l'attenzione delle societł che intendono effettuare attivitł di profilazione sulla necessitł di acquisire un consenso specifico e distinto da parte degli interessati (come pure in relazione alla medesima attivitł svolta da societł terze), provvedendo altresô alla notifica del relativo trattamento ove ne ricorrano i presupposti (punto 6.3);

ą dispone l'invio del presente provvedimento al Ministero dell'interno, al CONI e alla FIGC.

Roma, 10 novembre 2010

Il presidente
Pizzetti

Il relatore
Pizzetti

Il segretario generale
De Paoli