Garante per la protezione dei dati personali
Decisione dell'11 gennaio 2001
Raccolta e trattamento di caselle di posta elettronica attraverso procedure di spamming per comunicazioni politiche

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice-presidente, del prof. Ugo De Siervo e dell'ing. Claudio Manganelli, componenti e del dott. Giovanni Buttarelli, segretario generale;

Vista la documentazione in atti;

VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 adottato con deliberazione n. 15 del 28 giugno 2000 e pubblicato sulla Gazzetta Ufficiale della Repubblica Italiana n. 162 del 13 luglio 2000;

Relatore l'ing. Claudio Manganelli;

PREMESSO:

1. In data 15 novembre 2000 il Garante ha avviato accertamenti nei confronti dell'Associazione politica nazionale Lista Marco Pannella per verificare la liceità e la correttezza di alcuni trattamenti di dati relativi ad indirizzi di posta elettronica, in relazione a circa trenta segnalazioni che lamentano la ricezione non gradita di messaggi per via telematica per finalità di comunicazione politica.

Diversi cittadini lamentano anche di aver ricevuto numerosi messaggi del medesimo contenuto in un arco ravvicinato di tempo.

Altri hanno fatto invece presente che non è stato loro possibile cancellarsi dagli elenchi dei destinatari secondo le modalità indicate nelle e-mail non gradite, o di essere stati costretti a reiterare invano più richieste di cancellazione.

L'Associazione ha fornito un riscontro alla richiesta di informazioni, all'esito del quale il Garante osserva quanto segue.

2. Le segnalazioni sono fondate.

L'Associazione ha fatto presente di aver reperito oltre 390.000 indirizzi di posta elettronica a scopo di comunicazione politica utilizzando un software a disposizione di un terzo il quale archivierebbe indirizzi e-mail visualizzati su pagine web con suffissi ".it", ".org", ".com" e ".net" accessibili a chiunque in rete senza l'uso di password o di altri sistemi di protezione.

La circostanza non ha trovato pieno riscontro in quanto, da accertamenti tecnici effettuati, in almeno otto casi non è stato possibile reperire in rete gli indirizzi di posta elettronica dei cittadini che hanno inviato una segnalazione.

Non appare tuttavia rilevante approfondire tale aspetto.

Infatti, anche ritenendo che pure questi otto indirizzi siano stati effettivamente raccolti mediante il software menzionato dall'Associazione, l'utilizzazione per finalità di comunicazione politica di tali indirizzi -e degli altri che sono stati invece reperiti in rete - non risulta comunque lecita e corretta.

Contrariamente a quanto infatti argomentato dall'Associazione, gli indirizzi di posta elettronica dei segnalanti non provengono da "pubblici registri, elenchi, atti o documenti conoscibili da chiunque" (art. 12, comma 1, lett. c), della legge n. 675/1996 ) e la loro utilizzazione nel caso in esame non è quindi consentita in mancanza di una previa manifestazione positiva di consenso da parte degli interessati (essendo altresì inoperanti gli ulteriori presupposti elencati nell'art. 12 della medesima legge).

La previsione contenuta nella citata lettera c) non si riferisce a qualunque dato personale che sia di fatto consultabile da una pluralità di persone, ma ai soli dati personali che oltre ad essere desunti da registri, elenchi, atti o documenti "pubblici" (in particolare in quanto formati o tenuti da uno o più soggetti pubblici), siano sottoposti ad un regime giuridico di piena conoscibilità da parte di chiunque, regime che può peraltro prevedere modalità o limiti temporali i quali vanno rispettati anche in caso di comunicazione o diffusione dei dati (art. 20, comma 1, lett. b), legge n. 675/1996 ).

Le citate disposizioni contenute negli artt. 12 e 20 della legge n. 675/1996, di cui è chiaro il significato letterale, possono essere semmai applicate in altri casi di stretta analogia in cui un determinato registro, elenco, atto o documento sia reso ad esempio accessibile a chiunque sulla base della determinazione di un soggetto pubblico adottata in base ad una norma (si veda ad esempio l'elenco degli abbonati al servizio di telefonia vocale, per il quale l'Autorità per le garanzie nelle comunicazioni provvede affinché sia reso disponibile agli utenti: art. 17, comma 1, d.P.R. 19 settembre 1997, n. 318).

Inoltre, una legittimazione all'utilizzazione pubblica di determinati dati può derivare anche dal consenso espresso degli interessati, manifestato in modo specifico ed informato.

Al contrario, le citate disposizioni non possono essere estese arbitrariamente in contrasto con la relativa ratio. In particolare, sul piano sistematico, esse non possono essere applicate in modo da poter trattare liberamente qualsiasi dato personale di natura non sensibile in base alla sola circostanza che il dato sia stato conoscibile di fatto, anche momentaneamente, da una pluralità di soggetti.

Tale interpretazione, oltre a vanificare il sistema di garanzie introdotto dalla citata legge, risulta anche in aperto contrasto con la direttiva europea n. 95/46/CE del 24 ottobre 1995 nella parte attinente ai presupposti di liceità del trattamento (art. 7 ).

L'utilizzazione per finalità di comunicazione politica degli indirizzi di posta elettronica dei segnalanti non poteva pertanto avvenire senza un preventivo consenso manifestato dagli interessati eventualmente anche nei confronti di più soggetti.

Per nessuno dei cittadini che ha presentato la segnalazione è invece risultato dimostrato che l'interessato (al momento dell'attivazione del rapporto con il fornitore di servizi di telecomunicazioni o successivamente) abbia espresso il proprio consenso alla divulgazione e all'utilizzazione da parte di chiunque del proprio indirizzo di posta elettronica. Non era pertanto corretto gravare l'utente dell'onere di chiedere all'Associazione di interrompere l'invio dei messaggi non richiesti.

3. E' parimenti per un verso infondata e per un altro ininfluente la tesi secondo cui, con la partecipazione a forum e newsgroup, l'utente "decide di pubblicare (cioè di rendere pubblico) il proprio indirizzo di posta elettronica" ed "è consapevole che quell'indirizzo, quel dato, potrà esser letto ed acquisito da chiunque si trovi "a passare" dalla pagina web interessata".

Va considerato infatti che la conoscenza di fatto degli indirizzi che si realizza in tali casi non può essere disgiunta dalla finalità per cui essa avviene. Contrasta, pertanto, con i principi di correttezza e finalità del trattamento raccogliere i dati che singoli utenti "lasciano" in un newgroup, forum, ecc. solo per le finalità di specifica discussione su determinati temi, hobbies, ecc., ed utilizzarli per altri scopi che nulla hanno a che vedere -anche indirettamente- con l'argomento per il quale l'utente partecipa ad una discussione più o meno "pubblica" ed indica il proprio recapito e le proprie generalità (art. 9, comma 1, lett. b), legge n. 675/1996 ).

Una puntuale conferma della non correttezza di tale modalità di trattamento è posta tra l'altro in evidenza nel parere n. 1/2000 che il Gruppo europeo delle autorità garanti per la protezione dei dati ha adottato il 3 febbraio 2000 in tema di reti e di commercio elettronico (pubblicato sul sito web del Garante www.garanteprivacy.it). Anche tale atto pone infatti in evidenza che il solo fatto della rinvenibilità di un indirizzo e-mail in uno spazio pubblico di Internet non comporta un uso libero dell'indirizzo stesso per mailing elettronici. Il principio in esso affermato vale, poi, per ogni tipo di uso sistematico di una pluralità di recapiti non riconducibile ad un uso personale (su quest'ultimo, si veda un altro provvedimento adottato in data odierna dal Garante, sempre in tema di posta elettronica).

4. Ad una conclusione analoga a quella indicata nei precedenti punti deve pervenirsi anche per ciò che riguarda altri casi oggetto di segnalazione, nei quali gli indirizzi di posta elettronica sono stati acquisiti dall'Associazione in quanto pubblicati su alcuni siti web per specifici fini di informazione aziendale, comunicazione commerciale o attività istituzionale ed associativa.

La pubblicità di alcuni indirizzi resi conoscibili attraverso tali siti va collegata anch'essa, infatti, agli scopi per cui essa si verifica, non potendosi sostenere, anche in tali casi, che i dati posti a disposizione del pubblico per circoscritte finalità siano liberamente utilizzabili per l'invio generalizzato di e-mail anche quando queste non abbiano un contenuto commerciale o pubblicitario.

5. Le segnalazioni sono infine fondate anche per ciò che riguarda le modalità di cancellazione dei dati.

A prescindere dalla liceità o meno dell'utilizzazione dei dati, l'Associazione era tenuta a soddisfare senza ritardo le richieste di cancellazione ai sensi dell'art. 13 della legge n. 675/1996 , curando un servizio attivo ed efficace di eliminazione degli indirizzi dei reclamanti. Il numero delle segnalazioni pervenute al riguardo (che lamentano l'inerzia dell'Associazione o l'inattività del meccanismo telematico predisposto) non sembra invece far ritenere che si sia trattato solo di un disguido occasionale.

6. L'Associazione deve quindi astenersi dall'utilizzare ulteriormente i dati personali relativi agli utenti che non abbiano previamente manifestato un consenso alla loro utilizzazione per finalità di comunicazione politica, il che può ovviamente avvenire sia in occasione dell'attivazione del rapporto con il fornitore di servizi telematici, sia al momento della partecipazione ad un forum o newsgroup o in altra circostanza.

L'Associazione deve adottare inoltre ulteriori misure per dare effettivo seguito alle richieste di cancellazione dei dati già pervenute o che pervengano successivamente.

TUTTO CIO' PREMESSO IL GARANTE:

dichiara fondate le segnalazioni riguardanti l'Associazione politica nazionale Lista Marco Pannella nei termini di cui in motivazione e dispone che questa fornisca al Garante un riscontro sulle misure adottate entro il 5 marzo 2001, ai sensi dell'art. 32, comma 1, della legge n. 675/1996 .

Roma, lì 11 gennaio 2001