Double Opt In o Single Opt In? Questo è il problema!

Il Double Opt In è una delle due modalità di iscrizione ad una newsletter. L’alternativa è quella del Single Opt In, ma qual’è la scelta che ci rende conformi alle nuove norme sulla privacy?

La creazione di una newsletter per fidelizzare i clienti, cercarne di nuovi e tenerli aggiornati sulle nostre offerte è una prassi di marketing oggi molto diffusa. Tuttavia, la gestione di una newsletter comporta sempre un trattamento di dati personali.

Il Garante Privacy ha espresso parere favorevole alla possibilità di inviare ai propri clienti delle email di c.d. soft spam. Trattasi di offerte promozionali di beni e servizi corrispondenti a quelli già acquistati dal cliente[1]. In questi casi deve sempre essere fornita un’informativa e si deve offrire la possibilità di opporsi al ricevimento di queste email. Tuttavia il consenso espresso non è necessario.

Diversamente, quando si acquisiscono i dati personali di un nuovo soggetto e si intende utilizzarli per l’invio di newsletters, occorre ottenere il suo consenso espresso.

Cos’è il Double Opt In

Per permettere l’iscrizione ad una newsletter ci sono due possibilità: il Single Opt In ed il Double Opt In.

Con il Single Opt In, l’interessato deve inserire i suoi dati personali, in genere nome, cognome ed indirizzo e-mail, e poi cliccare su un pulsante “Iscriviti”. Così facendo, chi si iscrive fornisce il consenso al trattamento dei propri dati ai fini dell’invio della newsletter. Con il click l’iscrizione può ritenersi completata e l’interessato inizierà a ricevere le e-mail della newsletter.

Il Double Opt In aggiunge un passaggio ulteriore. Dopo aver cliccato su “Iscriviti” o su un pulsante analogo, l’interessato riceve una comunicazione e-mail all’indirizzo inserito, con la richiesta di confermare l’iscrizione.Soltanto con la conferma l’iscrizione alla newsletter può dirsi perfezionata.

I vantaggi del Single Opt In e quelli del Double Opt In

Dal punto di vista del marketing, entrambi i modelli di iscrizione hanno i loro pro e contro.

Il Single Opt In garantisce senza dubbio un numero maggiore di iscrizioni. Ciò avviene perché, con la procedura di Double Opt In, non tutti i soggetti che lasciano i loro dati personali sul modulo online rispondono poi all’email di conferma. Le ragioni possono essere le più varie: pigrizia, disattenzione, perdita di interesse etc. Ciò che è certo è che la procedura di Single Opt In scongiura il rischio che alcuni dati vengano persi per la strada.

D’altro canto, il Double Opt In consente di ottenere un numero di dati inferiore ma di maggior valore. Ciò poiché le persone che hanno un reale interesse a finalizzare l’iscrizione non verranno scoraggiate da un click in più su una e-mail di conferma. Non soltanto, il Double Opt In garantisce una maggiore attendibilità del dato, che, nel linguaggio dei Big Data, rappresenta la quarta V (Volume, Velocità, Varietà, Veridicità), ovvero un elemento di valore aggiuntivo[2].

Essendo io un Avvocato e non un esperto di marketing, non mi occuperò di valutare i suddetti pro e contro. La mia valutazione sarà invece strettamente legata al rispetto delle normative sulla privacy, in particolare il Nuovo Regolamento Europeo 2016/679 (GDPR).

Privacy by Design e by Default

In base al principio di Privacy by Design, la tutela della privacy deve essere tenuta in considerazione sin dalla fase di progettazione di un nuovo trattamento. Lo scopo è quello di mettere in atto misure tecniche ed organizzative adeguate a minimizzare il trattamento ed i rischi ad esso collegati.

In base al principio di Privacy by Default, ogni tecnologia deve prevedere come impostazione predefinita il trattamento meno invasivo possibile. Ad esempio: quando ci  si iscrive ad un social network, le impostazioni della privacy preimpostate devono essere le più protettive possibili; i consensi privacy non devono essere preimpostati etc. In sostanza, l’utente non deve mai essere costretto ad un comportamento attivo per innalzare il livello di protezione della privacy, ma semmai per abbassarlo.

La scelta del Double Opt In per essere in regola con il GDPR

Esaminati i suddetti principi, in che modo il Single Opt In è in contrasto con essi? Se scrivessi su un modulo di iscrizione online che prevede il Single Opt In il vostro indirizzo e-mail, non vi iscriverei forse alla newsletter senza il vostro consenso?

Il Single Opt In non garantisce che il consenso all’invio delle newsletter sia stato effettivamente dato dal titolare dell’indirizzo email comunicato. E’ vero, dopo l’invio della prima newsletter, il destinatario può sempre cancellare l’iscrizione. In tal modo però viene costretto a compiere un’azione. Ciò, come abbiamo visto, contrasta con il principio di privacy by default. Pensate se con un sistema automatico inserissi il vostro indirizzo email in cento newsletter diverse. La vostra casella sarebbe infestata da email indesiderate e dovreste perdere un sacco di tempo per cancellarvi.

Il GDPR obbliga chiunque tratti dati personali a minimizzare l’impatto del trattamento. Ecco perché il Double Opt In è l’unica soluzione che, a mio parere, può ritenersi in regola con le nuove norme sulla privacy.

Studio Legale Cappellini Carlesi

Garanti Ue, varate le Linee guida sulla valutazione di impatto privacy

Adottate dalle Autorità  di protezione dati europee riunite nel Gruppo di lavoro ex art.29 le Linee guida che aiuteranno amministrazioni pubbliche e imprese nella valutazione di impatto sulla protezione dei dati (DPIA, Data Protection Impact Assessment).

La DPIA, introdotta dal Regolamento europeo 2016/679, consiste in una procedura finalizzata a descrivere il trattamento dei dati, valutarne necessità e proporzionalità  e  facilitare la gestione dei rischi per i diritti e le libertà delle persone fisiche. La DPIA è uno strumento importante:  aiuta il titolare non soltanto a rispettare le prescrizioni del Regolamento europeo, ma anche a dimostrare l´adozione di misure idonee a garantirne il rispetto. In altri termini, la DPIA è una procedura che permette al titolare di realizzare e dimostrare la conformità del trattamento alle norme.  Non è obbligatorio condurre una DPIA per ogni singolo trattamento. Essa è però necessaria se il trattamento "può presentare un rischio elevato per i diritti e le libertà delle persone fisiche". È possibile utilizzare un´unica DPIA per valutare più trattamenti che presentino delle analogie (ad es. un gruppo di autorità locali che decidano di installare ciascuna un analogo sistema di videosorveglianza). E una analisi  di impatto privacy può essere utile anche per valutare l´effetto di un nuovo dispositivo tecnologico. In ogni caso, a prescindere dalla sua obbligatorietà, la DPIA rappresenta sempre una buona prassi per Pa e imprese.

Per assicurare un´interpretazione uniforme dei casi in cui la DPIA è obbligatoria, i Garanti Ue hanno fornito anche alcuni criteri  in vista dell´elaborazione degli elenchi dei trattamenti più rischiosi che le Autorità di controllo sono tenute ad adottare (ad es., trattamenti valutativi, compresi lo scoring e la profilazione; decisioni automatizzate dalle quali possono derivare discriminazioni per gli interessati; monitoraggio sistematico; trattamenti su larga scala, in particolare di dati sensibili).

L´inosservanza degli obblighi concernenti la DPIA può comportare l´imposizione di sanzioni pecuniarie da parte delle Autorità garanti. Il mancato svolgimento dell´analisi (quando il trattamento è soggetto a tale valutazione),  lo svolgimento non corretto o la mancata consultazione dell´Autorità di controllo competente ove ciò sia necessario, possono comportare l´applicazione di una sanzione amministrativa fino a un massimo di 10 milioni di euro  e, se si tratta di un´impresa, fino al 2% del fatturato globale annuo.

Regolamento privacy, come scegliere il responsabile della protezione dei dati

Le pubbliche amministrazioni, così come i soggetti privati, dovranno scegliere il Responsabile della protezione dei dati personali (RPD) con particolare attenzione, verificando la presenza di competenze ed esperienze specifiche. Non sono richieste attestazioni formali sul possesso delle conoscenze o l´iscrizione ad appositi albi professionali. Queste sono alcune delle indicazioni fornite dal Garante della privacy alle prime richieste di chiarimento in merito alla nomina di questa nuova  importante figura  - introdotta dal Regolamento UE 2016/679 -  che tutti gli enti pubblici e anche molteplici soggetti privati dovranno designare non più tardi del prossimo maggio 2018.

Nella nota  inviata a un´azienda ospedaliera l´Ufficio del Garante ricorda che i Responsabili della protezione dei dati personali - spesso indicati con l´acronimo inglese DPO (Data Protection Officer) – dovranno avere un´approfondita conoscenza della normativa e delle prassi in materia di privacy, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento. Nella selezione sarà poi opportuno privilegiare soggetti che possano dimostrare qualità professionali adeguate alla complessità del compito da svolgere, magari documentando le esperienze fatte, la partecipazione a master e corsi di studio/professionali (in particolare se risulta documentato il livello raggiunto). Gli esperti individuati dalle aziende ospedaliere, ad esempio, in considerazione della delicatezza dei trattamenti di dati effettuati (come quelli sulla salute o quelli genetici) dovranno preferibilmente vantare una specifica esperienza al riguardo e assicurare un impegno pressoché esclusivo nella gestione di tali compiti.

L´Autorità ha inoltre chiarito che la normativa attuale non prevede l´obbligo per i candidati di possedere attestati formali delle competenze professionali. Tali attestati, rilasciati anche all´esito di verifiche al termine di un ciclo di formazione, possono rappresentare un utile strumento per valutare il possesso di un livello adeguato di conoscenza  della disciplina ma, tuttavia, non equivalgono a una "abilitazione" allo svolgimento del ruolo del RPD. La normativa attuale, tra l´altro, non prevede l´istituzione di un albo dei "Responsabili della protezione dei dati" che possa attestare i requisiti e le caratteristiche di conoscenza, abilità e competenza di chi vi è iscritto. Enti pubblici e società private dovranno quindi comunque procedere alla selezione del RPD, valutando autonomamente il possesso dei requisiti necessari per svolgere i compiti da assegnati.

Il Garante si riserva di fornire ulteriori orientamenti, che saranno pubblicati sul sito istituzionale, anche all´esito dei quesiti e delle richieste di approfondimento sul Regolamento privacy, raccolti nell´ambito di specifici incontri che l´Autorità ha in corso con imprese e Pubblica Amministrazione.

Sì al Gps sui mezzi per raccolta rifiuti, ma senza controllo continuativo

La localizzazione dei veicoli aziendali non può realizzare un monitoraggio costante dei lavoratori. Questa la decisione del Garante della privacy in merito alla richiesta di verifica preliminare, presentata da un´azienda che si occupa di raccolta dei rifiuti, relativa ad un sistema Gps installato su automezzi e apparati mobili in dotazione  ad autisti ed operai [doc. web n.6495708]. Scopo del sistema, quello di assicurare il migliore impiego delle risorse, il coordinamento dei mezzi, la sicurezza del personale e tutelare il patrimonio aziendale. In quest´ottica la società ha correttamente provveduto ad acquisire la specifica autorizzazione da parte della Direzione territoriale del lavoro, nel rispetto della disciplina in materia di controllo a distanza dei lavoratori, anche dopo le modifiche introdotte dal cosiddetto Jobs Act. I dati concernenti la  posizione geografica dei dispositivi radiomobili assegnati alle squadre a piedi, non verranno  memorizzati, diversamente da quelli  dei dispositivi installati sui mezzi di raccolta "porta a porta" che saranno invece registrati.

Nell´esaminare il progetto, il Garante ha sottolineato che i dati delle coordinate geografiche, contrariamente a quanto sostenuto dalla società, non possono considerarsi anonimi, in quanto, sebbene il sistema di geolocalizzazione non li associ direttamente ai singoli operatori, l´incrocio con i dati del "sistema turni", preordinati da uno specifico software, consente di risalire all´identità del dipendente a cui sia stato assegnato uno specifico dispositivo.

Per evitare il controllo continuativo a distanza dei lavoratori l´Autorità ha dunque proposto una rilevazione cosiddetta  "ad eventi", che dovrà avvenire nel momento in cui l´automezzo giunga in prossimità di un punto di raccolta già precedentemente georeferenziato.

Il Garante ha ammesso il trattamento dei dati raccolti nei due distinti sistemi (geolocalizzazione e predisposizione dei turni) per l´ulteriore finalità di individuazione e gestione di eventuali anomalie nello svolgimento del servizio, in conformità alla vigente disciplina del lavoro sui controlli a distanza, purché nel rispetto delle previste garanzie a tutela e protezione dei dati degli interessati e con modalità proporzionate. In tal senso, il Garante  ha precisato che la consultazione di questi dati potrà esser effettuata  (a cura degli incaricati, dotati di credenziali di accesso personalizzate, e registrata in appositi file di log) solo in presenza della concreta ricorrenza di anomalie (es. gravi irregolarità nel servizio) che siano state predeterminate e rese note ai lavoratori insieme alle modalità  per l´eventuale trattamento dei dati.

Tra le misure previste in generale dal Garante, la necessità di trattare solo i dati necessari, pertinenti e non eccedenti entro limiti temporali congrui rispetto alle finalità perseguite. Trascorso il termine di conservazione dei dati, questi potranno essere storicizzati solo in forma anonima. Il trattamento dei dati personali dovrà essere notificato all´Autorità e dovranno essere adottate idonee misure di sicurezza a protezione degli stessi.

Il Garante lancia un video per celebrare i 20 anni di privacy in Italia

Per celebrare i vent´anni dall´introduzione nel nostro ordinamento del diritto fondamentale alla protezione dei dati personali, il Garante per la privacy ha realizzato un video che ripercorre le tappe più significative della sua attività e i cambiamenti intervenuti nella nostra società.

Nel corso di questi anni, l´Italia si è potuta avvalere di strumenti giuridici e dell´impegno costante da parte dell´Autorità Garante per tutelare le persone e assicurare che la raccolta, l´uso e la conservazione dei dati avvenissero nel rispetto dei diritti fondamentali: primo fra tutti i diritti costituzionali a vedere salvaguardata la propria libertà e dignità. La stessa normativa si è evoluta con l´adozione del Codice privacy del 2003 per far fronte al mutato scenario del nuovo millennio.

In questi due decenni sì è fatta strada una nuova consapevolezza sull´importanza cruciale della protezione dei dati in un mondo dove sono le informazioni personali sono diventate la nuova fonte di "energia" e dove la sicurezza delle banche dati, la qualità delle informazioni raccolte ed elaborate, la sicurezza delle reti di trasmissione sono diventati obiettivi prioritari e strategici.

Il Garante per la privacy ha svolto un ruolo centrale nella costruzione di questa consapevolezza, definendo regole per il corretto uso dei dati personali, verificando l´applicazione delle norme, sanzionando le violazioni, portando avanti una costante azione di sensibilizzazione.

Alla vigilia di uno storico cambiamento che vedrà da maggio 2018 l´applicazione in tutti i Paesi dell´Unione europea di ununico sistema di regole in materia di protezione dati - l´Italia celebra una ricorrenza importante della sua storia sociale, culturale e giuridica.

Il video è disponibile sul sito del Garante www.garanteprivacy.it/, oltre che sui profili istituzionali attivati sui social media Linkedin (https://www.linkedin.com/company/autorit-garante-per-la-protezione-dei-dati-personali), Google+ (https://plus.google.com/u/1/+GarantedatipersonaliGP) e Youtube (https://www.youtube.com/user/videogaranteprivacy).

Roma, 12 maggio 2017

Lavoro: geolocalizzazione flotte aziendali, sì con accordo sindacale

Per i sistemi di geolocalizzazione rimane necessario l´accordo sindacale – come previsto dallo Statuto dei lavoratori – e va garantita la riservatezza dei dipendenti.

Questa la decisione del Garante della privacy [doc. web n. 6275314] in merito alla richiesta di verifica preliminare presentata da una compagnia che offre servizi idrici e assistenza in caso di problemi alla rete. In base alla documentazione presentata, la localizzazione geografica dei veicoli utilizzati per gli interventi sarà attivata per molteplici scopi come l´ottimizzazione delle richieste di intervento o delle emergenze, l´innalzamento delle condizioni di sicurezza sul lavoro dei dipendenti, la corretta manutenzione dei veicoli, la tutela del patrimonio aziendale, il calcolo del tempo di lavoro effettivo oppure la gestione di eventuali incidenti stradali o di sanzioni subite per violazioni del codice della strada.

Nel corso dell´istruttoria l´Autorità ha riconosciuto il legittimo interesse della società a rilevare la posizione dei propri mezzi per le molteplici finalità indicate, ma solo nel pieno rispetto della privacy dai lavoratori. Visto che tale sistema potrebbe consentire il controllo a distanza dei lavoratori, anche dopo le modifiche introdotte dal cosiddetto Jobs Act, per poterlo attivare dovrà prima essere raggiunto un apposito accordo con le rappresentanze sindacali o, in sua assenza, si dovrà richiedere l´autorizzazione all´Ispettorato nazionale del lavoro.

Dovranno inoltre essere attentamente definite le modalità di raccolta, di elaborazione e di conservazione dei dati di geolocalizzazione e degli altri dati personali, differenziando le tutele in base alla singola finalità perseguita. Ad esempio, se la società intende avvalersi del sistema di localizzazione per la regolare tenuta del libro unico del lavoro, potrà conservare i dati necessari per cinque anni. I dati da utilizzare in caso di contestazione di violazione amministrativa con modalità non immediata, invece, potranno essere conservati al massimo per 90 giorni, ovvero il tempo previsto dalla normativa per notificare un eventuale verbale di contestazione. Al termine del periodo individuato, i dati personali raccolti dovranno essere automaticamente cancellati o anonimizzati. Deve essere inoltre escluso il monitoraggio dei tracciati percorsi, salvo il possibile trattamento dei relativi dati in forma aggregata o anonima per finalità statistiche e di programmazione del lavoro.

Dovranno essere adottate anche precise misure di sicurezza e l´accesso ai dati trattati dovrà essere consentito al solo personale incaricato, definendo per i dati di geolocalizzazione appositi profili autorizzativi individuali per ogni singolo utente.

La società potrà comunque avviare il trattamento delle informazioni sulla posizione geografica dei veicoli di lavoro solo dopo aver effettuato la notificazione al Garante e aver fornito un´informativa completa ai dipendenti.

Lavoro: vietati i controlli indiscriminati su e-mail e smartphone aziendali

Il datore di lavoro non può accedere in maniera indiscriminata alla posta elettronica o ai dati personali contenuti negli smartphone in dotazione al personale.

È un comportamento illecito. Lo ha ribadito il Garante della privacy vietando a una multinazionale l´ulteriore utilizzo dei dati personali trattati in violazione di legge [doc. web n. 5958296]. La società potrà solo conservarli per la tutela dei diritti in sede giudiziaria.

Nel disporre il divieto l´Autorità ha affermato che il datore di lavoro, pur avendo la facoltà di verificare l´esatto adempimento della prestazione professionale ed il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti, deve in ogni caso salvaguardarne la libertà e la dignità, attenendosi ai limiti previsti dalla normativa. La disciplina di settore in materia di controlli a distanza, inoltre, non consente di effettuare  attività idonee a realizzare, anche indirettamente, il controllo massivo, prolungato e indiscriminato dell´attività del lavoratore.

I lavoratori, poi, devono essere sempre informati in modo chiaro e dettagliato sulle modalità di utilizzo degli strumenti aziendali ed eventuali verifiche.

La vicenda nasce dal reclamo di un dipendente che si era rivolto al Garante lamentando un illegittimo  trattamento effettuato da una multinazionale, che avrebbe acquisito informazioni anche private contenute nella e-mail e nel telefono aziendale, sia durante il rapporto professionale sia dopo il suo licenziamento.

Dai riscontri effettuati dall´Autorità sono effettivamente emerse numerose irregolarità. La società, ad esempio, non aveva adeguatamente informato i lavoratori sulle modalità e finalità di utilizzo degli strumenti elettronici in dotazione, né su quelle relative al trattamento dei dati. Aveva poi configurato il sistema di posta elettronica in modo da conservare copia di tutta la corrispondenza per ben dieci anni, un tempo non proporzionato allo scopo della raccolta. Esisteva anche una procedura che consentiva alla società di accedere al contenuto dei messaggi che, in linea con la policy aziendale, potevano avere anche carattere privato. E´ inoltre emerso che la società continuava a mantenere attive le caselle e-mail fino a sei mesi dopo la cessazione del contratto, senza però dare agli ex dipendenti la possibilità di consultarle o, comunque, senza informare i mittenti che le lettere non sarebbero state visionate dai legittimi destinatari ma da altri soggetti.

Nel corso dell´istruttoria è stato accertato inoltre, che  il titolare poteva accedere da remoto – non solo per attività di manutenzione – alle informazioni contenute negli smartphone in dotazione ai dipendenti (anche privatissime e non attinenti allo svolgimento dell´attività lavorativa), di copiarle o cancellarle, di comunicarle a terzi violando i principi di liceità, necessità, pertinenza e non eccedenza del trattamento.

Il Garante ha disposto l´apertura di un autonomo procedimento per verificare l´applicazione di eventuali sanzioni amministrative.

Come cancellarsi da una newsletter?

Il sistema più facile e immediato per cancellarsi da una newsletter è di ricercare, all’interno di essa, il link per la cessazione del servizio. A volte il comando è scritto in inglese (unsubscribe che significa “annulla l’iscrizione”) o con un testo particolarmente piccolo affinché si confonda e l’utente non lo percepisca immediatamente.
Qualora non dovesse essere presente tale link, si può tentare di rispondere alla stessa email, chiedendo espressamente la cancellazione dal servizio. Spesso, però, i servizi di newsletter non sono abilitati alla risposta: in tal caso, la vostra mail non verrebbe mai recapitata. Non resta, allora, che collegarsi con il sito a cui approdano i link della newsletter e accedere alla voce “contatti”. Lì sarà opportuno inviare una mail (eventualmente accompagnandola da una telefonata) con la richiesta di cancellazione dalla newsletter. La richiesta non deve rispettare forme prestabilite o sacramentali; l’importante è indicare l’indirizzo email (o gli indirizzi email) di cui si chiede la cancellazione. La domanda può essere genericamente rivolta al “titolare” o al “responsabile” del trattamento dei dati personali. La richiesta rivolta al titolare o al responsabile può essere trasmessa anche mediante lettera raccomandata, fax o posta elettronica, ed in taluni casi anche oralmente.

Vuoi che il tuo email marketing funzioni davvero?

Vuoi che il tuo email marketing funzioni davvero? Sappi che il requisito principale è soltanto uno: una banca dati con indirizzi email di persone interessate, che abbiano sottoscritto personalmente la newsletter e che ne leggano i contenuti. Raccogliere indirizzi email di questo tipo è però la parte, apparentemente, più difficile. Chi visita il tuo sito o potenziali sottoscrittori devono in primo luogo sapere che esiste una newsletter alla quale abbonarsi e, in secondo luogo, essere convinti ad abbonarsi e cedere il proprio indirizzo email. Infine, bisogna far in modo che clicchi sul link dell’email di conferma per completare la procedura di sottoscrizione. La procedura si compone, dunque, di diversi passaggi durante i quali si corre il rischio di perdere potenziali iscritti.

Per questo, se vuoi raccogliere nuovi indirizzi email per le tue campagne di email marketing è importante sviluppare una strategia adeguata, partendo dal giusto modulo di iscrizione. In questo articolo ti illustriamo come ottimizzare la procedura di iscrizione alla newsletter e guadagnare nuovi iscritti.

No all´algoritmo della reputazione, viola la dignità della persona

No del Garante privacy alla banca dati on line della reputazione [doc. web n.5796783]. Il progetto per la misurazione del "rating reputazionale", elaborato da una organizzazione articolata in un´associazione e da una società preposta alla  gestione dell´iniziativa,  viola le norme del Codice sulla protezione dei dati personali e incide negativamente sulla dignità delle persone.

L´infrastruttura, costituita da una piattaforma web e un archivio informatico, dovrebbe raccogliere ed elaborare una mole rilevante di dati personali contenuti in documenti "caricati" volontariamente sulla piattaforma dagli stessi utenti o "pescati" dal web. Attraverso un algoritmo, il sistema assegnerebbe poi ai soggetti censiti degli indicatori alfanumerici in grado, secondo la società, di misurare in modo oggettivo l´affidabilità delle persone  in campo economico e professionale.

Nel disporre il divieto di qualunque operazione di trattamento presente e futura, il Garante ha ritenuto che il sistema comporti rilevanti problematiche per la privacy a causa della delicatezza delle informazioni che si vorrebbero utilizzare, del pervasivo impatto sugli interessati e delle  modalità di trattamento che la società intende mettere in atto. Pur essendo infatti legittima, in linea di principio, l´erogazione di servizi che possano contribuire a rendere maggiormente efficienti, trasparenti e sicuri i rapporti socioeconomici, il sistema in esame - realizzato  peraltro in assenza di una idonea base normativa - presuppone una raccolta massiva, anche on line, di informazioni suscettibili di incidere significativamente sulla rappresentazione economica e sociale di un´ampia platea di individui (clienti, candidati, imprenditori, liberi professionisti, cittadini). Il "rating reputazionale" elaborato potrebbe ripercuotersi sulla vita delle persone censite, influenzando le scelte altrui e  condizionando l´ammissione degli interessati a prestazioni, servizi o benefici.

Per quanto riguarda, poi, l´asserita oggettività delle valutazioni, la società non è stata in grado di dimostrare l´efficacia dell´algoritmo che regolerebbe la determinazione dei "rating"  al quale dovrebbe essere rimessa, senza possibilità di contestazione, la valutazione  dei soggetti censiti. L´Autorità nutre, in generale, molte perplessità sull´opportunità di rimettere ad un sistema automatizzato ogni decisione su aspetti così delicati e complessi come quelli connessi alla reputazione. Senza contare, infatti, la difficoltà di misurare situazioni e variabili non facilmente classificabili, la valutazione potrebbe basarsi su documenti e certificati incompleti o viziati, con il rischio di creare profili inesatti e non rispondenti alla identità sociale delle persone censite.

Dubbi sono stati espressi dal Garante anche sulle misure di sicurezza del sistema -  basate, prevalentemente, su sistemi di autenticazione "debole" (user id e password) e su meccanismi di cifratura dei soli dati giudiziari secondo l´Autorità davvero inadeguate, specie se rapportate all´elevato numero di soggetti che potrebbero essere coinvolti e all´ingente quantitativo di informazioni, anche molto delicate, che verrebbero registrate all´interno della piattaforma.

Ulteriori criticità, infine, sono state ravvisate nei tempi di conservazione dei dati e nell´informativa da rendere agli interessati.

Lavoro: no al controllo indiscriminato di e-mail e navigazione Internet

Verifiche indiscriminate sulla posta elettronica e sulla navigazione web del personale sono in contrasto con il Codice della privacy e con lo Statuto dei lavoratori. Questa la decisione adottata dal Garante [doc. web n. 5408460], che ha vietato a un´università il monitoraggio massivo delle attività in Internet dei propri dipendenti. Il caso era sorto proprio per la denuncia del personale tecnico-amministrativo e docente, che lamentava la violazione della propria privacy e il controllo a distanza posto in essere dall´Ateneo.

Nel corso dell´istruttoria, l´amministrazione ha respinto le accuse, sostenendo che l´attività di monitoraggio delle comunicazioni elettroniche era attivata saltuariamente, e solo in caso di rilevamento di software maligno e di violazioni del diritto d´autore o di indagini della magistratura. L´Università aveva inoltre aggiunto che non venivano trattati dati personali  dei dipendenti che si connettevano alla rete. L´istruttoria del Garante ha invece evidenziato che i dati raccolti erano chiaramente riconducibili ai singoli utenti, anche grazie al tracciamento puntuale degli indirizzi Ip (indirizzo Internet) e dei Mac Address (identificativo hardware) dei pc assegnati ai dipendenti.

L´infrastruttura adottata dall´Ateneo, diversamente da quanto affermato, consentiva poi la verifica costante e indiscriminata degli accessi degli utenti alla rete e all´e-mail, utilizzando sistemi e software che non possono essere considerati, in base alla normativa, "strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa". Tali software, infatti, non erano necessari per lo svolgimento della predetta attività ed operavano, peraltro, in background, con modalità non percepibili dall´utente. E´ stato così violato lo Statuto dei lavoratori - anche nella nuova versione modificata dal cosiddetto "Jobs Act" – che in caso di controllo a distanza prevede l´adozione di specifiche garanzie per il lavoratore.

Nel provvedimento il Garante ha rimarcato che l´Università avrebbe dovuto privilegiare misure graduali che rendessero assolutamente residuali i controlli più invasivi, legittimati solo in caso di individuazione di
specifiche anomalie, come la rilevata presenza di virus. In ogni caso, si sarebbero dovute prima adottare misure meno limitative per i diritti dei lavoratori.

L´Autorità ha infine riscontrato che l´Università non aveva fornito agli utilizzatori della rete un´idonea informativa privacy, tale non potendosi ritenere la mera comunicazione al personale del Regolamento relativo al corretto utilizzo degli strumenti elettronici, violando così il principio di liceità alla base del trattamento dei dati personali.  L´Autorità ha quindi dichiarato illecito il trattamento dei dati personali così raccolti e ne ha vietato l´ulteriore uso, imponendo comunque la loro conservazione per consentirne l´eventuale acquisizione da parte della magistratura.

Newsletter promozionali: no senza consenso

No alle newsletter promozionali senza consenso. È quanto ha riaffermato il Garante per la privacy [doc. web n. 4988238] affrontando il caso di un utente che lamentava la ricezione sulla propria mail di una newsletter a carattere promozionale proveniente dall´indirizzo di posta elettronica di una società che opera nell´e-commerce di articoli medicali. La comunicazione, giunta all´utente dopo l´acquisto on line di alcuni prodotti sul sito della società,  era stata inviata senza che avesse fornito un esplicito e specifico consenso al ricevimento di materiale pubblicitario. Una procedura più volte sanzionata dall´Autorità perché in aperta violazione con quanto stabilito dal Codice sulla protezione dei dati personali.

Dalle verifiche effettuate dall´Autorità sul sito dell´azienda è emerso che gli utenti non solo non potevano esprimere uno specifico consenso per le finalità di marketing ma erano per di più impossibilitati a procedere all´acquisto di un prodotto senza aver prima fornito un generico consenso al "trattamento dei dati personali". Inoltre, dai riscontri è risultato che anche l´informativa fornita dalla società presentava profili di inidoneità, non specificando le modalità di contatto per lo svolgimento di attività a contenuto promozionale.

Il Garante ha quindi vietato alla società l´ulteriore trattamento per finalità di marketing dei dati personali raccolti in assenza di idonea informativa e di consenso legittimamente manifestato, imponendole, inoltre, la riformulazione del form con il quale si chiede il consenso, l´integrazione del testo con le modalità utilizzate per il contatto promozionale e, infine, l´adozione delle misure opportune affinché la manifestazione del consenso da parte degli interessati al trattamento per finalità di marketing non sia condizione necessaria per il perfezionamento dell´acquisto tramite sito web.

L´Autorità si è riservata di verificare, con autonomo procedimento, la sussistenza dei presupposti per contestare le violazioni amministrative concernenti l´inidonea informativa e il consenso per l´utilizzo dei dati a fini di marketing.

Ecco il Nucleo Speciale Privacy, Reparto della Guardia di Finanza

Il "Codice in materia di trattamento dei dati personali" (art. 158, comma 2, del D.Lgs. 30 giugno 2003, n. 196) stabilisce che, per lo svolgimento delle sue funzioni, l’Autorità Garante per la protezione dei dati personali si avvale, ove necessario, anche della collaborazione di altri organi dello Stato.

Il Dott. Antonello Soro, Presidente dell’Autorità e il Gen. C.A. Saverio Capolupo, Comandante Generale pro tempore della Guardia di Finanza, hanno sottoscritto un Protocollo d’Intesa nell’ambito di questo quadro normativo e in attuazione dei principi contenuti nel D.Lgs. n. 68/2001 il 10 marzo 2016 che ribadisce la competenza generale del Corpo in materia economico-finanziaria e ne prevede espressamente la collaborazione con le Autorità indipendenti.

Tale protocollo, che ha sostituito quello sottoscritto una prima volta il 26 settembre 2002, si colloca nel solco dei consolidati rapporti di collaborazione del Corpo con altre istituzioni pubbliche e in particolare con il Garante per la protezione dei dati personali.

Esso testimonia gli ottimi risultati sin qui ottenuti e la volontà di adeguare il testo alle modifiche di carattere normativo e ordinativo del Corpo, assicurando il proprio sostegno a un comparto delicato come quello della tutela dei dati personali.

Per le attivazioni e i relativi riscontri operativi, il Garante attiva il Nucleo Speciale Privacy, quale Reparto della Guardia di Finanza individuato per assicurare - su tutto il territorio nazionale o previo interessamento del Reparto territorialmente competente - gli adempimenti connessi all’attività di collaborazione.

Nel suddetto Nucleo Speciale sono concentrate le migliori professionalità del settore, sia dal punto di vista operativo che per quanto riguarda le funzioni di analisi dei fenomeni che toccano il comparto.

Lo scopo del protocollo è in definitiva quello di assicurare all’Autorità, tramite l’Unità Speciale, un’efficace collaborazione allo svolgimento delle sue funzioni ispettive, conoscitive e informative sui fenomeni che riguardano il trattamento dei dati personali.

In particolare, il Corpo collabora all’attività ispettiva condotta dall’Autorità attraverso:

• il reperimento di dati e informazioni sui soggetti da controllare;
• l’assistenza nei rapporti con le Autorità Giudiziarie;
• la partecipazione di proprio personale agli accessi alle banche dati, ispezioni, verifiche e alle altre rilevazioni nei luoghi ove si svolge il trattamento;
• lo sviluppo delle attività delegate o sub-delegate per l’accertamento delle violazioni di natura penale o amministrativa;
• la contestazione delle sanzioni amministrative rilevate nell’ambito delle attività delegate;
• l’esecuzione di indagini conoscitive sullo stato di attuazione della citata Legge in settori specifici.

Con il presente protocollo sono state previste più strette sinergie nell’attività di informazione in tema di protezione dei dati personali, mediante il supporto dell’Autorità nei processi di formazione del personale in materia di protezione dei dati personali.

La firma del nuovo protocollo assume particolare rilievo perché la Guardia di Finanza conferma di essere il principale interlocutore istituzionale dell’Autorità in materia di accertamento delle violazioni alla normativa sui dati personali. Viene confermata la competenza del personale del Corpo nel particolare comparto, grazie alle specializzazioni professionali maturate nelle attività di polizia giudiziaria e amministrativa.

Si rafforza così la presenza della Guardia di Finanza in un comparto che suscita notevole interesse nella collettività, perché riguarda un insieme di diritti sempre più sentiti dai cittadini, oltre che oggetto di importanti interventi legislativi.

Tlc, no alla pesca a strascico sul web per formare gli elenchi telefonici

No ai software che "pescano" on line in maniera sistematica e indiscriminata dati e informazioni per realizzare elenchi telefonici. Le società che intendono costituire questo tipo di pubblicazione, cartacea o on line, devono utilizzare il data base unico (dbu), l´archivio elettronico che raccoglie  numeri di telefono e  altri dati dei clienti di tutti gli operatori nazionali di telefonia fissa e mobile. In alternativa,  devono acquisire il consenso libero, informato, specifico per ogni finalità che si intende perseguire (come la consultazione on line dell´elenco o la "ricerca inversa" delle generalità di un abbonato attraverso il numero di telefono).

 

Questi principi sono stati ribaditi dal Garante privacy che ha dichiarato illecito e ha vietato ad una società la formazione e la diffusione on line di un elenco telefonico contenente dati di oltre 12.500.000 persone non raccolti dal dbu ma da altri siti web (mediante web scraping) senza il consenso degli utenti [doc. web n. 6053915]. I dati trattati in modo illecito dovranno essere cancellati dalla società.

 

Le numerose segnalazioni pervenute all´Autorità lamentavano la diffusione sul sito della società di un elenco telefonico on line contenente vari dati personali (nome e cognome, indirizzo, recapito telefonico, a volte anche utenze riservate, numero di cellulare o indirizzo email) raccolti senza consenso. Alcuni segnalanti, inoltre, associavano la ricezione di telefonate promozionali indesiderate alla messa a disposizione dei propri dati sul sito. Dagli accertamenti effettuati è emerso che la società gestiva un sito in cui aggregava e rendeva disponibili i numeri di telefonia fissa e altri dati personali raccolti in maniera automatica e sistematica attraverso script  lanciati direttamente sulle fonti web acquisendone i contenuti (web scraping). Gli script, come affermato dalla società, erano impostati in modo tale da raccogliere qualsiasi informazione pubblicata su fonti web accessibili a tutti, per poi metterla a disposizione degli utenti del sito della società.

 

Nel disporre il divieto il Garante ha riaffermato le regole sulla formazione degli elenchi telefonici  e ha ritenuto la pubblicazione on line di un elenco telefonico non tratto dal dbu e senza il consenso degli interessati un trattamento particolarmente invasivo per l´agevole reperibilità dei dati anche mediante i più comuni motori di ricerca e per la possibilità che essi possano essere utilizzati anche per ulteriori trattamenti (ad es. marketing indesiderato).

 

L´Autorità sta valutando l´applicazione di una sanzione amministrativa per gli illeciti commessi dalla società.

E-commerce, no alla profilazione senza consenso

No alla profilazione senza consenso di gusti e abitudini dei clienti per l´invio di newsletter personalizzate. Lo ha affermato il Garante privacy in unprovvedimento [doc. web n. 4487559] con cui  ha vietato ad una società di e-commerce l´illecito trattamento dei dati di oltre 300 mila persone. La società - una delle più importanti nella fornitura on line di biglietti  per spettacoli teatrali,  manifestazioni sportive, concerti e nell´e-commerce di prodotti anche di marchi celebri -  non potrà più utilizzare i dati trattati in modo illecito. Dagli accertamenti ispettivi svolti dall´Autorità è emerso che la società raccoglieva dati personali attraverso tre siti, di cui uno operativo in più lingue straniere destinato ad utenti di paesi Ue ed Extra Ue. Il consenso richiesto, però, era  preselezionato e unico per varie finalità, comprese quelle di marketing e comunicazione dei dati ad altre società, sempre per scopi commerciali. Una procedura  contraria alla normativa, anche se l´utente poteva deselezionare il consenso e procedere alla registrazione al sito.

 

La società, inoltre, svolgeva, sempre senza consenso, un´attività di profilazione utilizzando un software per  l´invio di newsletter personalizzate, "create" elaborando i dati relativi agli ordini dei clienti o anche ai prodotti inseriti nel carrello il cui ordine non era stato finalizzato. La società peraltro non aveva provveduto ad adempiere all´obbligo di notificazione al Garante previsto dal Codice per l´attività di profilazione, né aveva stabilito alcun tempo di conservazione dei dati personali raccolti tramite i siti.

 

Il Garante  ha dunque disposto il divieto di uso dei dati dei clienti acquisiti illecitamente e ha  prescritto alla società  di adottare, entro sessanta giorni, le misure necessarie per mettersi in regola con le disposizioni del Codice privacy. La società dovrà, in particolare, integrare l´informativa indicando le aziende o le categorie economiche o merceologiche alle quali intende comunicare i dati per le loro finalità promozionali. Dovrà, poi, informare i soggetti, ai quali i dati sono stati già comunicati o ceduti, che non possono utilizzarli senza aver prima acquisito il consenso degli interessati.

 

La società dovrà, infine, prevedere tempi di conservazione dei dati e, alla scadenza, provvedere all´immediata cancellazione o alla  anonimizzazione permanente.

Skype: il datore di lavoro non può spiare le conversazioni dei dipendenti

Il datore di lavoro non può  spiare le conversazioni Skype dei dipendenti. Il contenuto di comunicazioni di tipo elettronico o telematico scambiate dai dipendenti nell´ambito del rapporto di lavoro godono di garanzie di segretezza tutelate anche a livello costituzionale.

Il principio è stato riaffermato dal Garante privacy nell´accogliere il ricorsoproposto da una dipendente che lamentava l´illecita acquisizione di conversazioni, avute con alcuni clienti/fornitori, poste poi alla base del suo licenziamento.

A seguito del provvedimento del Garante il datore di lavoro non potrà effettuare alcun trattamento dei dati personali contenuti nelle conversazioni ottenute in modo illecito, limitandosi alla conservazione di quelli finora raccolti ai fini di una eventuale acquisizione da parte dell´autorità giudiziaria.

Nel caso esaminato, rileva il Garante, il datore di lavoro è incorso in una grave interferenza nelle comunicazioni, attuata, per sua stessa ammissione, attraverso l´installazione di un software sul computer assegnato alla dipendente in grado di visualizzare sia le conversazioni effettuate dalla ricorrente dalla propria postazione di lavoro prima di uscire dall´azienda, sia quelle avvenute successivamente da un computer collocato presso la propria abitazione. Una procedura, secondo il Garante, in evidente contrasto con le "Linee guida del Garante per posta elettronica e Internet" e con le disposizioni poste dall´ordinamento a tutela della segretezza delle comunicazioni, nonché con la stessa policy aziendale approvata anche dalla competente Direzione territoriale del lavoro. Pur spettando, infatti, al datore di lavoro definire le modalità di utilizzo degli strumenti aziendali, occorre comunque che queste rispettino la libertà e la dignità dei lavoratori, nonché i principi di correttezza (secondo cui le caratteristiche essenziali dei trattamenti di dati devono essere rese note ai lavoratori), di pertinenza e non eccedenza stabiliti dal Codice privacy. Principi questi da tenere ben presenti, in considerazione del fatto che l´esercizio  del controllo da parte del datore di lavoro può determinare la raccolta di informazioni personali, anche non pertinenti, di natura sensibile oppure riferite a  terzi.       

Dati sulla salute, attenzione a quelli contenuti nelle mail

E´ illecito inoltrare una mail con informazioni sulla salute e il numero di cellulare della persona che l´ha inviata senza averla prima informata e avere avuto il suo consenso.

 

Lo ha stabilito il Garante privacy in un provvedimento [doc. web n. 3966213] con il quale ha vietato a due società  l´ulteriore trattamento dei dati contenuti in una mail ed ha prescritto loro l´adozione di  misure per garantire una scrupolosa vigilanza sull´operato del personale che tratta i dati per loro conto o interesse. Il caso nasce dal reclamo di una signora che si è rivolta al Garante lamentando l´illecito trattamento dei dati personali contenuti in una mail inviata ad un conoscente  di una agenzia immobiliare, per promuovere la propria attività di consulenza. Nella mail la reclamante, oltre alle informazioni di natura promozionale,  aveva indicato anche il proprio numero di cellulare e informazioni relative ad una operazione che avrebbe dovuto affrontare.  La mail, giunta a due collaboratori delle società dopo essere stata  parzialmente modificata, era stata  inoltrata ad oltre 200 affiliati commerciali, senza cancellare le informazioni personali che la signora aveva inserito.

 

A nulla sono servite le tesi difensive delle società basate sulla erronea supposizione che la mail non contenesse dati personali e che, pertanto, potesse essere liberamente  inoltrata in allegato per avvertire i colleghi di avvalersi solo di consulenze esterne preventivamente valutate. Così pure il tentativo di declinare ogni addebito, ascrivendo l´accaduto ad iniziative personali di singoli, non ha trovato accoglimento presso Il Garante, il quale ha stabilito che la responsabilità fosse addebitabile alle due società, in capo alle quali rimane il compito ed il potere di vigilare sui propri collaboratori.

 

Nel disporre il divieto, l´Autorità ha dunque prescritto alle società di adottare idonee misure atte a garantire una scrupolosa vigilanza sull´operato del personale, sensibilizzandolo al rispetto delle istruzioni ricevute sulla protezione dei dati personali.

Lavoro: uso dei dati di localizzazione solo con precise garanzie

Due società telefoniche potranno utilizzare i dati di localizzazione geografica, rilevati da una app attiva sugli smartphone in dotazione ai lavoratori, purché adottino adeguate cautele a protezione della loro vita privata. Lo ha stabilito il Garante privacy nell´accogliere le istanze di verifica preliminare [doc. web n. 3505371 e 3474069] presentate dalle due società che intendono utilizzare questa tipologia di dati  per ottimizzare l´impiego delle risorse presenti sul territorio e migliorare la gestione, il coordinamento e la tempestività degli interventi tecnici.

 

A tutela della riservatezza dei dipendenti l´Autorità ha prescritto l´adozione di una serie di accorgimenti e stringenti misure di sicurezza. Lo smartphone per le proprie caratteristiche  è destinato a "seguire" la persona che lo possiede,  senza distinzione tra tempo di lavoro e tempo di non lavoro. Il trattamento dei dati di localizzazione può presentare, quindi, rischi specifici per la libertà (es. di circolazione e di comunicazione), i diritti e la dignità del dipendente. Per questo motivo, le società, che si sono anche impegnate a raggiungere un accordo con le organizzazioni sindacali, dovranno adottare specifiche misure volte a  garantire che le informazioni visibili o utilizzabili dalla app siano solo quelle di geolocalizzazione, impedendo l´accesso ad altri dati, quali ad esempio, sms, posta elettronica, traffico telefonico. E dovranno configurare il sistema in modo tale che sullo schermo dello smartphone compaia sempre, ben visibile, un´icona che indichi ai dipendenti che la funzione di localizzazione è attiva.

 

I dipendenti dovranno essere ben informati sulle caratteristiche dell´applicazione (ad es., sui tempi e le modalità di attivazione) e sui trattamenti di dati effettuati dalle società. Nel dare l´ok il Garante ha ritenuto che il sistema sottoposto alla sua attenzione rispetti nel complesso i principi stabiliti dal Codice privacy. Il sistema infatti è conforme al principio di liceità perché consente di ottimizzare la gestione degli interventi tecnici, incrementando la velocità di risposta alle richieste dei clienti, soprattutto in caso di emergenze o calamità naturali.

 

La localizzazione geografica, inoltre, rafforza le condizioni di sicurezza dei  dipendenti permettendo l´invio mirato di soccorsi in caso di difficoltà. Il sistema risulta poi conforme anche ai principi di necessità, pertinenza e non eccedenza. La rilevazione dei dati di geolocalizzazione prospettata dalle società, infatti, non sarebbe continuativa, ma avverrebbe a intervalli stabiliti. E´ previsto che l´ultima rilevazione cancelli quella precedente.  Come stabilito dal Codice privacy, prima di attivare il sistema le società dovranno notificare all´Autorità il trattamento di dati sulla localizzazione.

Niente spam per gli iscritti alla newsletter

Illecito il comportamento di una società che inviava email promozionali senza consenso 

Un cittadino che compila un form on line per ricevere una newsletter deve poter decidere, liberamente e consapevolmente, se dire sì o no alle comunicazioni promozionali, alla profilazione, all´invio dei suoi dati ad altre società e, in generale, a tutti i tipi di trattamenti che vanno al di là del servizio richiesto. La registrazione alla newsletter, inoltre, non può essere condizionata al rilascio del consenso anche per altre finalità.

 

Il principio è stato ribadito dal Garante privacy che ha vietato l´uso dei dati a fini commerciali ad una società che inviava e-mail promozionali senza consenso agli utenti registrati a un servizio di newsletter. Ora la società, destinataria del  provvedimento inibitorio dell´Autorità, potrà utilizzare i dati fin qui raccolti solo per inviare la newsletter. Se vorrà inviare email promozionali dovrà mettersi in regola con  il Codice della privacy, modificando il form di registrazione in modo da consentire agli utenti la possibilità di esprimere, un preventivo consenso "ad hoc" per la ricezione di email promozionali. Dagli accertamenti svolti dall´Ufficio del Garante su segnalazione di un cittadino che  lamentava la ricezione di pubblicità indesiderata, è emerso infatti che per iscriversi la newsletter l´utente, al momento di inserire nel form on line l´indirizzo email, poteva esprimere solo un generico, omnicomprensivo consenso al "trattamento dei dati personali". L´accesso al servizio era, peraltro, condizionato alla manifestazione di tale generico consenso. Il comportamento della società è stato dichiarato illecito dal Garante perché i trattamenti di dati per fini commerciali esulano da quelli necessari per adempiere al contratto di fornitura di un servizio. L´Autorità sta valutando, con separato provvedimento, l´applicazione della sanzione amministrava per l´illecito commesso.

Quote condominiali: no al sollecito di pagamento presso il datore di lavoro

L´Autorità ha dichiarato illecito [doc. web n. 3275910] il trattamento di dati personali effettuato da un amministratore che aveva inviato un sollecito di pagamento al datore di lavoro di un inquilino in ritardo con il saldo di alcune rate anziché a lui personalmente.

Il sollecito, inviato su richiesta del proprietario dell´appartamento affittato all´inquilino moroso, era stato spedito ad un indirizzo email accessibile da chiunque sul posto di lavoro e riportava anche l´ammontare del debito.

L´Autorità, intervenuta su reclamo dell´interessato, ha accertato che l´amministratore è incorso in  un trattamento di dati non conforme alla legge, perché lesivo della dignità della persona ed effettuato senza consenso dell´affittuario, che non aveva autorizzato quel tipo di comunicazione. Il Garante, inoltre, ha prescritto all´amministratore di adottare le misure necessarie in grado di assicurare effettivamente il rispetto delle regole poste dal Codice privacy a tutela della comunicazione di dati personali a terzi e di impartire adeguate istruzioni in merito al personale in servizio presso il proprio studio.

La circostanza che l´amministratore non fosse presente nello studio, di cui è titolare, quando è stata inviata la mail non lo esonera dalla condotta tenuta dai propri dipendenti né fa venir meno la sua qualità di "titolare del trattamento" e quindi la sua responsabilità per l´illecita comunicazione. Con un autonomo procedimento il Garante si riserva di applicare un´eventuale sanzione amministrativa per l´illecito commesso.