Provvedimento del 16 settembre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

esaminato il ricorso presentato da Claudia Matarazzo rappresentata e difesa dall'avv. Maria Di Massa presso il cui studio ha eletto domicilio

nei confronti di

Capital One Bank plc.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO:

A seguito della ricezione al proprio domicilio di materiale pubblicitario relativo ad una carta di credito, la ricorrente ha formulato una richiesta ai sensi degli artt. 7 e 8 del Codice con la quale ha chiesto alla resistente la conferma dell'esistenza di dati personali che la riguardano e la comunicazione del loro contenuto e della relativa origine, in forma intelligibile, nonché della logica, delle finalità del trattamento e degli estremi del responsabile eventualmente designato. Con la medesima istanza l'interessata ha anche chiesto la cancellazione dei dati.

Nel riscontro a tale istanza la società ha dichiarato di "aver preso visione della (…) lettera" dell'interessata, di iniziare "la procedura di cancellazione dei (…) dati personali dalla lista dei nominativi della Capital One", e di aver "bisogno di circa sei mesi (…) affinché questo avvenga completamente". La società ha invitato poi l'interessata, "nel frattempo (…), ad ignorare ogni tipo di pubblicazione (…)".

Ritenendosi insoddisfatta di tale riscontro, l'interessata ha proposto ricorso ai sensi degli artt. 145 s. del Codice con il quale ha ribadito le proprie istanze chiedendo di porre a carico della controparte le spese sostenute per il procedimento.

A seguito dell'invito ad aderire formulato da questa Autorità il 12 maggio 2004 ai sensi dell'art. 149 del Codice, la resistente, con nota inviata via fax il 26 maggio 2004, ha comunicato i dati personali relativi alla ricorrente di cui ha confermato l'esistenza, nonché la logica e le finalità e modalità del trattamento e gli estremi identificativi del responsabile designato. La resistente ha altresì comunicato di avere ricevuto tali dati da Cemit Interactive Media S.p.A., indicando nelle liste elettorali la fonte dei dati medesimi.

A seguito di specifica richiesta formulata da questa Autorità successivamente alla proroga del termine per la decisione del ricorso, la resistente ha sostenuto di aver spedito la proposta promozionale in questione "in data 13 novembre 2003".

CIÒ PREMESSO IL GARANTE OSSERVA

Il ricorso verte sul trattamento dei dati personali effettuato attraverso l'invio di materiale pubblicitario al domicilio del ricorrente.

Va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice, in ordine alle richieste della ricorrente volte ad ottenere la conferma dell'esistenza di dati personali che la riguardano, ad accedere agli stessi e a conoscerne l'origine, nonché a conoscere il responsabile, la logica e le finalità del trattamento, avendo la resistente fornito adeguato riscontro in merito.

Il ricorso deve invece essere accolto con riferimento alla richiesta di cancellazione dei dati, alla quale la società resistente non ha fornito un adeguato riscontro.

Ai sensi dell'art. 7, comma 3, lett. b), del Codice l'interessato ha diritto di ottenere la cancellazione dei dati di cui non è necessaria la conservazione in relazione agli scopi per i quali sono stati raccolti o successivamente trattati.

Stando alle dichiarazioni in atti, i dati che nel novembre 2003 sono stati utilizzati per l'invio di materiale pubblicitario sono stati tratti dalle liste elettorali. Con riferimento al sopravvenuto regime di conoscibilità di tali dati, va rilevato che l'art. 177, comma 5, del Codice, modificando l'art. 51 del d.P.R. n. 223/1967 (recante il testo unico per la disciplina dell'elettorato attivo e per la tenuta e la revisione delle liste elettorali), ha delimitato le modalità e le finalità per le quali i dati personali contenuti in tali liste possono essere raccolti, tenendo conto degli scopi per i quali le liste stesse sono formate e aggiornate. Il nuovo testo del citato art. 51 prevede infatti che le liste elettorali possono essere rilasciate in copia solo "per finalità di applicazione della disciplina in materia di elettorato attivo e passivo, di studio, di ricerca statistica, scientifica o storica, o carattere socio-assistenziale o per il perseguimento di un interesse collettivo o diffuso".I dati in esse riportati non sono quindi più accessibili ed utilizzabili per finalità promozionali, commerciali o pubblicitarie.

Il Codice rende lecito anche senza il consenso degli interessati il trattamento dei dati personali diversi da quelli sensibili o giudiziari nel caso in cui gli stessi siano tratti da pubblici registri; impone però il rispetto dei limiti previsti dalla normativa nazionale o comunitaria per la loro conoscibilità e pubblicità (artt. 11, comma 1, lett. b) e 24, comma 1, lett. c)).

Nel caso di specie, non risultando manifestato alcun consenso da parte dell'interessata per il trattamento dei dati personali che la riguardano a fini di invio di materiale pubblicitario (né operante uno degli altri presupposti di cui al citato art. 24), l'ulteriore trattamento dei dati per la finalità già perseguita dalla resistente non risulta più basato su un idoneo presupposto di legge.

Va pertanto accolta ai sensi dell'art. 150, comma 2, del Codice la richiesta di cancellazione avanzata dalla ricorrente con l'istanza ex artt. 7 e 8 del medesimo Codice. La società resistente dovrà cancellare i dati personali relativi alla ricorrente, qualora non vi abbia già provveduto, entro il 10 novembre 2004, dando conferma dell'avvenuto adempimento a questa Autorità ed all'interessata entro la stessa data.

Questa Autorità verificherà nell'ambito di un autonomo procedimento ai sensi dell'art. 154 del Codice (anche in relazione a quanto già disposto in un altro provvedimento già adottato nei confronti del medesimo titolare del trattamento) i presupposti di liceità del trattamento dei dati in questione effettuato da Cemit Interactive Media S.p.A., anche in relazione alla presenza di un'idonea informativa agli interessati ai sensi dell'art. 13 del Codice.

L'ammontare delle spese sostenute nel presente procedimento e posto a carico della resistente è determinato ai sensi dell'art. 150, comma 3, del d.lg. 196/2003, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso limitatamente alla richiesta di cancellare i dati personali relativi all'interessata e ordina alla resistente di cancellarli nei termini di cui in motivazione;

b) dichiara non luogo a provvedere sul ricorso in ordine alle altre richieste;

c) determina nella misura forfettaria di 250 euro l'ammontare delle spese e dei diritti del presente procedimento che pone a carico di Capital One Bank plc., la quale dovrà liquidarlo direttamente a favore della ricorrente.

Roma, 16 settembre 2004

Il presidente
Rodotà

Il relatore
Paissan

Il segretario generale
Buttarelli