No allo spam sulle Pec dei liberi professionisti

Il Garante per la privacy ha vietato a una società e a un´associazione a essa collegata l´invio senza consenso di e-mail promozionali a liberi professionisti, utilizzando i loro indirizzi di posta elettronica certificata [doc. web n. 7810723].

Dalle verifiche  - avviate dall´Autorità a seguito di numerose segnalazioni ed effettuate con l´ausilio del Nucleo Speciale Privacy della Guardia di Finanza - è emerso che alcuni collaboratori volontari dell´Associazione e una società terza avevano reperito on line massivamente gli indirizzi Pec di avvocati e, in minor parte, di commercialisti, revisori contabili, consulenti del lavoro e notai, con varie modalità manuali e automatizzate, in violazione dei fondamentali principi di finalità, liceità e correttezza del trattamento dei dati personali.

La società aveva poi spedito agli indirizzi di più di 800.000 professionisti diverse e-mail, contenenti la notizia della pubblicazione di un bando di selezione per "consulente reputazionale", l´invito a partecipare ad un webinar e articoli relativi alla società mittente.

Oltre ad essere stati trattati senza consenso, gli indirizzi Pec erano stati reperiti in modo illecito dal registro Ini-Pec, l´Indice nazionale dei domicili digitali, dal sito www.registroimprese.it e dagli elenchi pubblicati da alcuni ordini provinciali. La norma stabilisce infatti che l´estrazione di elenchi di indirizzi di posta elettronica certificata contenuti nel registro delle imprese o negli albi o elenchi "è consentita alle sole pubbliche amministrazioni per le comunicazioni relative agli adempimenti amministrativi di loro competenza". In un caso le e-mail risultavano inviate anche dopo che il destinatario si era già opposto formalmente al trattamento dei suoi dati personali, esercitando i diritti previsti dal Codice privacy.

A nulla sono valse le giustificazioni addotte dalla società e dall´associazione, le quali, tra l´altro, si ritenevano esentate dalla richiesta del consenso preventivo sulla base della presunta natura "istituzionale" delle comunicazioni. Le e-mail infatti, come ha chiarito il Garante, avevano carattere promozionale, in quanto favorivano le attività dell´associazione connesse alla figura di "consulente reputazionale" e dunque dovevano essere inviate nel rispetto delle regole previste dal Codice privacy e dalle Linee guida del Garante in materia di attività promozionale e contrasto allo spam. L´Autorità ha vietato, di conseguenza, alla società e all´associazione l´ulteriore illecito trattamento dei dati dei professionisti e ne ha prescritto la cancellazione, riservandosi di valutare eventuali profili sanzionatori.

Dati sanitari, rating di impresa, Sistan nel piano ispettivo del Garante

Il bilancio 2017 segna un aumento del 307% dei procedimenti sanzionatori e 13 milioni e 300 mila euro di sanzioni applicate

Dati sanitari a fini di ricerca, rating sulla solvibilità delle imprese, sistema statistico nazionale (Sistan), Spid, telemarketing. Sono questi i settori sui quali nei prossimi mesi punterà la sua lente il Garante per la protezione dei dati personali contenuti nel piano ispettivo per il primo semestre 2018 approvato nelle scorse settimane [doc. web n. 7810451].

L´attività ispettiva, svolta anche in collaborazione con il Nucleo speciale privacy della Guardia di finanza sulla base del protocollo di intesa siglato con Guardia di finanza, riguarderà innanzitutto i trattamenti di dati effettuati dalle Asl e poi trasferiti a terzi per il loro utilizzo a fini di ricerca, il rilascio dell´identità digitale ai cittadini italiani (Spid), l´attività delle società che si occupano di valutare il rischio e la solvibilità delle imprese, il telemarketing, il Sistema Integrato di Microdati (Sim) dell´Istat.

I controlli si concentreranno anche sull´adozione delle misure di sicurezza da parte di pubbliche amministrazioni e di imprese che trattano dati sensibili, il rispetto delle norme sull´informativa e il consenso, la durata della conservazione dei dati da parte di soggetti pubblici e privati. L´attività ispettiva verrà svolta anche in riferimento a segnalazioni e reclami con particolare attenzione alle violazioni più gravi.

Intanto il bilancio 2017 dell´attività ispettiva dell´Autorità conferma il forte incremento dell´attività sanzionatoria già registrata lo scorso anno. Nel corso del 2017 sono stati infatti definiti oltre 1.000 procedimenti sanzionatori in più rispetto all´anno precedente, pari ad un aumento del 307%. L´importo della sanzioni applicate con ordinanza-ingiunzione sono cresciute arrivando ad oltre 13 milioni e 300 mila euro. Le sanzioni già riscosse dall´erario sono state di circa 3 milioni e 800 mila euro (pari ad un complessivo 15% in più rispetto al 2016).

Diminuite le segnalazioni all´autorità giudiziaria (41 rispetto alle 53 del 2016).

Gli accertamenti, svolti nel 2017 anche con il contributo delle Unità Speciali della Guardia di finanza, Nucleo speciale privacy, hanno riguardato numerosi e delicati settori, sia nell´ambito pubblico che privato. Per quanto riguarda il settore privato le ispezioni si sono rivolte principalmente ai trattamenti di dati effettuati da società operanti nella "sharing economy", da imprese di vendita a domicilio, da società che operano nel settore dell´intermediazione creditizia o nel recupero crediti, da aziende che offrono servizi di informazioni commerciali, da società che svolgono attività di telemarketing (in particolare di quelle situate in Albania), da società di selezione del personale, da centri odontoiatrici. Oggetto di accertamento anche l´uso di sistemi di geolocalizzazione dei dipendenti da parte di imprese private.

Per quanto riguarda il settore pubblico l´attività di verifica si è concentrata in particolare sulla gestione del "dossier sanitario" da parte di Asl e Aziende ospedaliere e altri enti sanitari pubblici, sulle grandi banche dati pubbliche, sul sistema della fiscalità, con speciale riguardo alle misure di sicurezza e al sistema degli audit, sul sistema informativo dell´Istat, sullo Spid.