Raccolta e trattamento dei dati personali degli utenti

Di Iacopo Chianese In Diritto di Internet, Diritto Societario Il 27 Gennaio 2014

La quarta parte della guida legale in 5 mosse per blogger  e siti di e-commerce è dedicata al tema della raccolta e del trattamento dei dati personali degli utenti del sito internet.

Ognuno è libero di raccogliere per uso strettamente personale dati personali riguardanti altri individui, a patto di non diffonderli o comunicarli sistematicamente a terzi.

Quando però i dati sono raccolti ed utilizzati per altre finalità, come nel caso di una mailing list o di un sito di e-commerce, il trattamento dei dati personali deve rispettare alcune regole.

La materia è regolata dal D.Lgs 30 giugno 2003 n. 196, il cosiddetto codice della privacy, che disciplina gli obblighi di informativa, consenso, trattamento e conservazione dei dati personali.

Obblighi informativi

Ai sensi dell’art. 13 del codice chiunque intenda raccogliere dati personali altrui deve preventivamente fornire all’interessato alcune informazioni affinché possa esercitare i propri diritti spiegando in particolare:

• le finalità e le modalità del trattamento cui sono destinati i dati
• la natura obbligatoria o facoltativa del conferimento dei dati
• le conseguenze di un eventuale rifiuto di rispondere
• i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l’ambito di diffusione dei dati medesimi
• i diritti di cui all’articolo 7 (di cui parleremo a breve)
• gli estremi identificativi del titolare del trattamento dei dati e, se designati, del rappresentante nel territorio dello Stato ai sensi dell’articolo 5 e del responsabile del trattamento

L’informativa sul trattamento dei dati personali deve quindi essere presente sul sito internet ed essere facilmente identificabile dagli utenti. Nel caso in cui, nel corso del tempo, l’informativa venga modificata, è opportuno che la relativa pagina web riporti la data a partire dalla quale la nuova versione ha effetto ed è comunque consigliabile, a fini probatori, conservare la precedente versione.

Il rispetto degli obblighi informativi è molto importante poiché, in caso contrario, è prevista una sanzione amministrativa di importo compreso tra 6.000,00 e 36.000,00 euro.

Consenso al trattamento dei dati

Una volta assolti gli obblighi informativi il soggetto che raccoglie i dati personali degli utenti è autorizzato al loro trattamento solo se ricorrono i presupposti dell’art. 26 del codice, ovvero:

• l’interessato ha manifestato espressamente il consenso al trattamento (che può essere anche parziale)
• sono stati assolti gli obblighi informativi di cui sopra
• il consenso è stato espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato
• il consenso è stato espresso in forma scritta se avente ad oggetto dati sensibili

Anche in questo caso sono previste pesanti sanzioni nel caso di mancato rispetto delle prescrizioni di legge ed in particolare è prevista l’applicazione di una sanzione amministrativa di importo compreso tra 10.000,00 e 120.000,00 euro.

Nel caso di un sito web il consenso è spesso espresso mediante l’apposizione di un flag su un’apposita casella inserita nel modulo di raccolta dei dati (ad esempio il modulo di contatto, di richiesta di un preventivo o di iscrizione ad una mailing list):

Questa tecnica è sufficiente nella maggior parte dei casi ma non sempre costituisce la soluzione migliore per tutelarsi verso una potenziale accusa di trattamento dei dati personali in violazione dell’informativa. Nell’esempio di cui sopra infatti l’utente non vede concretamente qual è il contenuto dell’informativa sulla privacy perché questa si trova in un’altra pagina del sito.

Per evitare il problema ed ogni genere di ripercussione negativa è consigliabile che il modulo di raccolta dati contenga al suo interno l’informativa stessa:

Questo accorgimento impedisce all’utente di lamentare la mancata informativa ed è particolarmente utile se il testo dell’informativa stessa viene salvato nel database del sito internet insieme agli altri dati raccolti. In questo modo sarà sempre possibile dimostrare che l’informativa è stata resa secondo quanto previsto dalla legge.

Modalità di trattamento

Resa l’informativa ed acquisito il consenso al trattamento occorre domandarsi come in concreto sia possibile utilizzare i dati raccolti.

Il codice della privacy prevede il cosiddetto “principio di necessità” secondo il quale (art. 3 del D.Lgs 196/2003):

I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità.

In sostanza il trattamento e l’utilizzo dei dati personali raccolti è consentito solo ove l’operazione non possa essere realizzata in altro modo.

Esemplificando: è consentito al blogger che abbia raccolto gli indirizzi email degli utenti di utilizzare tali dati per l’invio di una newsletter (sul presupposto che gli utenti abbiano espresso il consenso a tale tipo di trattamento) in quanto sarebbe impossibile ottenere lo stesso risultato senza utilizzare i dati forniti.

Allo stesso modo il titolare di un sito di e-commerce potrà utilizzare i dati forniti dai clienti al fine di emettere la fattura per i beni acquistati sul sito internet. Al contrario non potrà servirsi degli stessi dati per l’invio di materiale pubblicitario a meno che non abbia provveduto a raccogliere apposito consenso.

I dati personali devono inoltre essere (art. 11 del codice della privacy):

• trattati in modo lecito e secondo correttezza
• raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi
• esatti e, se necessario, aggiornati
• pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati
• conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati

Diritti dell’interessato

Anche se la raccolta dei dati personali viene eseguita rispettando alla lettera le disposizioni di legge al titolare dei dati raccolti sono comunque riconosciuti una serie di diritti stabiliti dall’art. 7 del codice della privacy.

1. L’interessato ha diritto di ottenere la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile.

2. L’interessato ha diritto di ottenere l’indicazione:

a) dell’origine dei dati personali;

b) delle finalità e modalità del trattamento;

c) della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici;

d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell’articolo 5, comma 2;

e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati.

3. L’interessato ha diritto di ottenere:

a) l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati;

b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;

 c) l’attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato.

4. L’interessato ha diritto di opporsi, in tutto o in parte:

a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta;

b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

Nel prossimo capitolo

Nel prossimo capitolo: termini e condizioni di vendita di un sito di e-commerce.

Serve aiuto?

Lo Studio Notaio Chianese fornisce ai propri clienti il massimo supporto nella fase di avvio e durante la vita del blog o del sito di e-commerce con particolare riferimento alla risoluzione di tutte le problematiche legate allo svolgimento di un’attività su internet.

Per informazioni usa il modulo di contatto e sarai ricontattato al più presto con tutti i dettagli!