Per un pugno di spunte – La Privacy

Riprendendo le fila del discorso dal precedente articolo: “Per un pugno di spunte…” passiamo oggi ad esaminare la questione della privacy.
La domanda fondamentale  alla quale l’impresa deve rispondere è:

A cosa mi servono i dati personali dei miei utenti?

Spesso le imprese, nel rispondere a questa domanda, mi dicono:

vorrei utilizzare i dati dei miei utenti per inviargli comunicazioni commerciali, per creare dei “profili” per abitudini e scelte di consumo e vorrei anche cedere dietro corrispettivo i dati in questione ad altre imprese

1. Perché è importante conoscere preventivamente le finalità del trattamento?

Perché occorrerà richiedere uno o più specifici “consensi” da parte dell’utente finale a seconda della tipologia di trattamento.
Senza entrare troppo nel merito, vale la pena precisare che in un caso come quello sopra indicato l’impresa dovrà, per lo meno:
a) chiedere un consenso separato per le finalità di marketing
b) chiedere un consenso separato per la profilazione e procedere alla notificazione preventiva del trattamento!
c) chiedere un consenso separato per la comunicazione/cessione dei dati personali a terzi.

2. Perché tutto questo?

Lo ha chiarito lo stesso Garante per la protezione dei dati personali, con Provv. si ribadisce che il titolare del trattamento deve acquisire un consenso specifico per ciascuna distinta finalità quali ad esempio: marketing, profilazione, comunicazione a terzi dei dati (cfr. Provv. 24 febbraio 2005, punto 7, doc. web n. 1103045).

3. Cosa accade in caso di violazione?

Il rischio fondamentale è che il trattamento per il quale non sia stato richiesto un consenso corretto, sia qualificato come trattamento illecito e, per esso, soggetto a sanzioni di carattere amministrativo e, nei casi più gravi, penale.

4. Si può marcare preventivamente il consenso?

Assolutamente no. Il Garante, con giurisprudenza ormai consolidata, ha sempre affermato che il consenso deve essere “libero” e “specifico” per ciascuna finalità perseguita dal titolare. Con Provv. 9 gennaio 2014, infatti, si è ribadito che:
come già rilevato da questa Autorità (v., in www.garanteprivacy.it, provv. 22 febbraio 2007, doc. web n. 1388590; provv. 12 ottobre 2005, doc. web n. 1179604; provv. 3 novembre 2005, doc. web n. 1195215; provv. 15 luglio 2010, doc. web n. 1741998, provv. 19 maggio 2011, doc. web n. 1823148), non può definirsi “libero”, e risulta indebitamente necessitato, il consenso a ulteriori trattamenti di dati personali che l’interessato debba prestare quale condizione per conseguire una prestazione richiesta, e che gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei dati che li riguardano, manifestando il proprio consenso per ciascuna distinta finalità perseguita dal titolare (cfr. provv. 24 febbraio 2005, punto 7, doc. web n. 1103045).

5. Perché nessuno dei miei competitor rispetta questa normativa?

La compliance con la normativa vigente non deve essere subordinata alla verifica del comportamento delle altre imprese. Tutti siamo obbligati a presentare la dichiarazione dei redditi, ma se qualcuno non rispettasse la normativa (anche se fosse la maggioranza) andrebbe incontro a sanzioni.
Ad ogni modo, basterà una semplice ricerca su internet per verificare che le aziende più strutturate sono perfettamente in linea con la normativa in tema di protezione dei dati personali. Ad esempio, Mediaworld nella pagina di registrazione richiede espressamente consensi separati per la profilazione e per il marketing diretto.