| Settore: | Normativa nazionale |
| Materia: | 68. Norme civilistiche |
| Capitolo: | 68.7 riservatezza |
| Data: | 06/02/2014 |
| Numero: | 53 |
§ 68.7.129 - Delibera 6 febbraio 2014, n. 53.
Aggiornamento delle prescrizioni dirette ai fornitori di servizi di comunicazione elettronica accessibili al pubblico che svolgono attività di profilazione.
(G.U. 11 marzo 2014, n. 58)
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;
Visto il Codice in materia di protezione dei dati personali (
Visto il provvedimento del Garante del 25 giugno 2009 recante «Prescrizioni ai fornitori di servizi di comunicazione elettronica accessibili al pubblico che svolgono attività di profilazione» (pubblicato in G.U. n. 159 dell'11 luglio 2009 e in www.gpdp.it, doc. web n. 1629107 - di seguito «provvedimento generale»);
Vista la
Vista la
Vista la delibera n. 147/11/CIR, adottata dall'Autorità per le garanzie nelle comunicazioni, il 30 novembre 2011 recante «Revisione delle norme riguardanti la portabilità del numero mobile - approvazione del Regolamento»;
Visto il «Regolamento riguardante la portabilità dei numeri per i servizi di comunicazioni mobili e personali» di cui all'Allegato 1 alla suddetta delibera;
Visti i singoli provvedimenti emanati nei confronti dei fornitori di servizi di comunicazione elettronica accessibili al pubblico, a seguito delle specifiche istanze di verifica preliminare presentate al Garante in materia di profilazione della clientela, attraverso l'utilizzo di dati personali aggregati (di seguito «fornitori»);
Tenuto conto dell'istanza di riesame e aggiornamento, presentata all'Autorità da un fornitore destinatario di uno degli specifici provvedimenti emanati, con particolare riguardo ad una nuova previsione della base temporale di aggregazione dei dati utilizzati per finalità di profilazione;
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del
Relatore la dott.ssa Augusta Iannini;
Premesso
Con il provvedimento generale del 25 giugno 2009 l'Autorità ha prescritto ai fornitori di servizi di comunicazione elettronica accessibili al pubblico che svolgevano o intendevano svolgere attività di profilazione nei confronti dei propri clienti, utilizzandone i dati personali aggregati e senza richiedere il previsto consenso, di formulare al Garante, attraverso il ricorso alla procedura prevista dall'art. 17 del Codice, un'istanza di verifica preliminare (c.d. prior checking) nella quale individuare, in maniera dettagliata, i trattamenti da effettuare, le specifiche finalità e la tipologia dei dati di cui fruire.
In particolare, la possibilità che il trattamento di profilazione attraverso dati personali aggregati degli utenti potesse essere effettuato previo esonero dalla preventiva acquisizione del consenso previsto dall'art. 23 del Codice, è stata individuata dall'Autorità in forza di un bilanciamento di interessi condotto alla stregua dell'art. 24, comma 1, lett. g) del Codice.
A seguito del provvedimento generale, all'Autorità sono pervenute, da parte delle maggiori società di telecomunicazioni che operano nel nostro Paese, numerose istanze di prior checking che hanno condotto all'emanazione di specifici provvedimenti nei confronti di ciascun titolare del trattamento, il cui legittimo interesse è stato individuato nella necessità per i fornitori di svolgere l'attività di profilazione in quanto elemento, non solo determinante della customer relationship management ma, anche, di un'efficace e corretta politica commerciale e di marketing nei confronti della clientela.
Al Garante è stato difatti prospettato come i risultati dell'attività di analisi dei comportamenti di consumo degli utenti attraverso dati aggregati consentano di supportare i processi decisionali e le strategie societarie, di implementare la progettazione delle strutture aziendali e, soprattutto, di fornire servizi e prodotti funzionali alle esigenze ed alle scelte dei clienti.
Nell'ambito dei singoli provvedimenti adottati, il Garante ha pertanto previsto l'adozione di una serie di misure ed accorgimenti, sia sotto il profilo giuridico, sia sotto quello tecnico al fine di rendere i trattamenti di profilazione conformi alla disciplina sulla protezione dei dati personali ed a rafforzare la tutela dei soggetti interessati.
Difatti, come evidenziato nel provvedimento generale, i dati personali aggregati oggetto dell'attività di profilazione, pur derivando da dati originari dettagliati di cui il titolare continua a disporre per finalità gestionali ed esigenze operative previste anche per legge, devono essere esclusivamente dati dai quali non si possa risalire ad informazioni dettagliate relative a singoli interessati.
In ragione di ciò, tra le specifiche misure prescrittive, individuate dall'Autorità nei confronti dei singoli fornitori per lo svolgimento dell'attività di profilazione, è stata individuata la previsione di un livello di aggregazione delle informazioni personali degli utenti non inferiore a trenta giorni.
Ciò in quanto detto periodo costituiva una base temporale sufficientemente ampia per evitare una ricostruzione dettagliata delle comunicazioni elettroniche riferibili a singoli interessati e risultava al contempo idonea a rappresentare fenomeni e comportamenti dell'utenza.
Infatti, dalle valutazioni effettuate dal Garante preliminarmente all'emanazione degli specifici provvedimenti rivolti ai fornitori, era emerso che periodi di osservazione inferiori, per tutto l'insieme dei dati considerati, conducevano ad un livello di dettaglio eccedente rispetto alla necessità dell'operatore di valutare i consumi dei clienti individuandone eventuali variazioni, le quali, oltre ad essere legate più a fenomeni stagionali, osservabili su scale temporali mensili anzichè settimanali o giornaliere, ben potevano desumersi anche dal confronto con altri indicatori quali, ad esempio, la serie storica delle fatture emesse sulla base di una normale cadenza mensile o bimestrale, oppure la frequenza di ricarica che può riguardare periodi ancor più distanziati.
Tuttavia, a fronte di un quadro così delineato, negli ultimi tempi, all'Autorità è stato prospettato, in particolare attraverso un'apposita istanza di riesame, proposta da un fornitore rispetto alle prescrizioni impartite, un nuovo assetto del mercato delle telecomunicazioni che impone, dopo alcuni anni dall'emanazione del provvedimento generale del 2009, nonchè degli specifici provvedimenti, nuove considerazioni rispetto al livello di aggregazione delle informazioni degli utenti, utilizzate per finalità di profilazione.
All'Autorità, sulla base delle più recenti dinamiche di mercato che hanno prodotto un aumento della pressione competitiva tra i soggetti che operano nel settore delle telecomunicazioni ed una crescente presenza di nuovi operatori, è stato quindi richiesto di valutare un livello di aggregazione dei dati su una base temporale più ridotta, come misura idonea a garantire un maggior equilibrio nei processi di gestione della clientela.
Ciò tenendo conto del fatto che, tra gli elementi che hanno maggiormente alterato i pregressi assetti di mercato, generando un rilevante incremento di fenomeni di natura concorrenziale, è emerso il crescente ricorso da parte degli utenti allo strumento della number portability, ovvero della portabilità del numero di telefonia mobile che consente, mantenendo detto numero, di cambiare con tempistiche molto rapide il fornitore del servizio, così da poter beneficiare di nuove e più vantaggiose offerte commerciali.
Attraverso la number portability si viene a delineare un meccanismo di mercato che coinvolge, in tempi molto brevi, oltre all'utente che chiede la portabilità del numero, sia l'operatore mobile (c.d. operatore donating) con il quale quest'ultimo ha stipulato l'originario contratto per la fornitura del servizio di telefonia mobile, sia l'operatore mobile ricevente (c.d. operatore recipient) che acquisisce tale utente.
Il regolamento, allegato alla menzionata delibera dell'Autorità per le garanzie nelle comunicazioni del 30 novembre 2011, prevede peraltro che l'operatore recipient invii all'operatore donating la richiesta di portabilità del cliente «entro le ore 19.00 del giorno in cui la medesima richiesta è immessa dalle reti di vendita dei sistemi del recipient stesso, avuto riguardo alla data eventualmente indicata dal cliente...» (cfr. art. 5) riducendo ad un giorno lavorativo il c.d. periodo di migrazione. Inoltre, ciascun operatore mobile, in quanto donating, mette a disposizione degli altri operatori mobili una capacità di evasione giornaliera degli ordinativi, ovvero delle richieste di portabilità (cfr. art. 8).
L'operatore che causa un ritardo nella realizzazione della portabilità rispetto ai tempi massimi previsti è poi tenuto a corrispondere all'operatore recipient una penale (cfr. art. 13), così come quest'ultimo, quale unico interlocutore del cliente, è tenuto a risarcire eventuali ritardi nell'attivazione della portabilità del numero, su richiesta del cliente stesso (cfr. art. 14).
Peraltro, il numero degli utenti che attualmente richiedono il servizio di number portability è superiore ai 10 milioni su base annua ed il dato risulta in forte espansione, come emerge dalla «Relazione annuale 2013 sull'attività svolta e sui programmi di lavoro» dell'Autorità per le garanzie nelle comunicazioni.
L'opportunità offerta agli utenti di cambiare il proprio operatore di telefonia mobile in tempi così ridotti, unita alla crescente consapevolezza delle offerte che il mercato è in grado di offrire, ha quindi progressivamente accentuato la competitività tra operatori.
Oltre a tale fenomeno il mercato ha poi assistito, negli ultimi tempi, anche ad una crescita «dell'offerta dati» legata alla sempre maggiore diffusione di dispositivi radiomobili evoluti, quali smartphone e tablet, ed alla presenza di una rete mobile a banda larga sempre più capillare ed efficace.
Tale offerta ha modificato la propensione all'uso dei servizi tradizionalmente offerti dall'operatore, orientando molti utenti verso l'uso di servizi alternativi ai classici servizi sms o di telefonia, quali quelli di messaggistica o fonia (c.d. VoIP) e i servizi internet, proposti dai vari fornitori di servizi della società dell'informazione, indicati anche come provider over the top.
La combinazione delle suddette cause ha quindi comportato una maggiore reattività dei clienti che sono in grado di «inseguire», in ragione sia dei ridotti tempi di migrazione del numero tra i diversi gestori di telefonia mobile, sia della disponibilità di servizi alternativi a quelli di mera telefonia cui accedere attraverso la rete a banda larga, i mutamenti del mercato aderendo alle offerte più vantaggiose, di volta in volta proposte dai vari competitors.
Orbene, i nuovi comportamenti dell'utenza, che si verificano su una scala temporale molto ridotta, hanno fatto emergere per i fornitori la necessità di osservare alcuni fenomeni utili per l'attività di profilazione, i quali potrebbero essere più efficacemente interpretati laddove l'arco temporale di aggregazione delle informazioni fosse più breve rispetto a quello mensile, attualmente previsto sulla base delle prescrizioni impartite dal Garante.
In tale ipotesi, infatti, all'operatore risulta difficile comprendere ed analizzare i comportamenti dei clienti con un'adeguata velocità e quindi riuscire a gestire i servizi offerti in maniera più puntale e ritagliata sulle loro reali esigenze, tanto che spesso la clientela viene contattata sulla base di bisogni divenuti ormai obsoleti.
Siffatte condizioni rendono inoltre evidente un evento rilevante per l'operatore (come ad esempio una drastica riduzione del traffico telefonico o della spesa che costituisce un chiaro indicatore del mutamento delle esigenze del cliente), solo al termine del periodo di riferimento ed impediscono di intervenire prontamente attraverso efficaci misure di coinvolgimento dell'utente stesso in un nuovo e più adeguato piano di offerte e tariffe.
Peraltro, da quanto rappresentato al Garante, è emerso che il periodo mensile di osservazione crea un vuoto di informazioni sulle esigenze del cliente già nelle prime fasi di attivazione di una sim, le quali si rivelano invece fondamentali per un'idonea gestione dell'utenza.
Sulla base di tutte le osservazioni sopra richiamate e nell'ottica di consentire una più corretta e puntuale gestione dell'offerta rivolta all'utenza, l'Autorità ritiene quindi opportuno rivedere alcuni dei presupposti che ne hanno ispirato le scelte nel provvedimento generale del 25 giugno 2009 e negli specifici provvedimenti successivamente emanati a seguito delle diverse istanze di verifica preliminare proposte dai fornitori.
In tal senso occorre, come sempre, effettuare un contemperamento dei diversi interessi in gioco, tenuto conto delle necessarie tutele che devono presidiare la riservatezza delle comunicazioni elettroniche degli interessati e la protezione dei relativi dati personali, in particolare nell'ambito dei processi di profilazione.
In ragione di tali premesse possono pertanto individuarsi, nello specifico ambito in oggetto, alcune peculiarità dell'attività di profilazione come attualmente svolta dai fornitori sulla base delle prescrizioni impartite dal Garante, che offrono un sicuro ambito di tutela pure rispetto alle nuove valutazioni che sono state richieste all'Autorità in ragione dei cambiamenti evidenziati.
Ci si riferisce, in primo luogo, alla circostanza che l'attività di profilazione svolta dai predetti soggetti si basa su dati aggregati come espressione di somma di tutti gli eventi di traffico (volumi di minuti generati o di byte trasmessi) i quali costituiscono una categoria sufficientemente robusta rispetto a tentativi di estrazione di singole informazioni che possono consentire l'identificazione anche indiretta dell'utente. Tale circostanza offre, quindi, un'adeguata tutela anche laddove si dovesse ridurre, al di sotto del previsto periodo di osservazione mensile, la scala temporale di riferimento per il processo di aggregazione dei dati utilizzati per profilare gli utenti.
In secondo luogo, l'attività di profilazione attualmente consentita, non si può basare su singole numerazioni, ma esclusivamente su direttrici di traffico, con la conseguenza che non appare possibile risalire a dati di dettaglio del singolo evento di comunicazione elettronica riferibile ad un utente identificato o identificabile.
Inoltre, il processo di profilazione si configura come un'attività interna dell'operatore e non prevede il coinvolgimento di terze parti, peraltro il rischio di accessi indesiderati al dato aggregato di traffico per finalità di profilazione risulta mitigato da tutte le misure di carattere tecnico-organizzativo già individuate nei singoli provvedimenti emanati nei confronti dei fornitori.
Ciò avuto particolare riguardo all'implementazione di sistemi appositamente dedicati alla profilazione, funzionalmente separati dai sistemi originari che costituiscono la fonte del dato aggregato e da ulteriori eventuali sistemi utilizzati dal titolare per altre finalità; alla definizione di specifici profili autorizzativi per gli incaricati che svolgono l'attività di profilazione, diversi da quelli di coloro che effettuano eventuali, ulteriori, attività, anche successive alla profilazione; all'adozione di meccanismi di audit che consentono il tracciamento delle operazioni realizzate dagli incaricati che svolgono l'attività di profilazione, nonchè alla conservazione dei dati per un periodo di tempo limitato, decorso il quale gli stessi devono essere obbligatoriamente cancellati.
In cospetto di uno scenario come quello sopra delineato e ferme restando tutte le misure prescritte dall'Autorità per garantire un corretto ed adeguato trattamento dei dati personali degli utenti nell'ambito dell'attività di profilazione svolta dai fornitori, si ritiene quindi possibile individuare, nell'ambito della suddetta attività, una nuova scala di misurazione dei fenomeni che delineano il comportamento degli utenti.
Tuttavia, tale scala di misurazione può considerarsi solo rispetto ad alcune categorie di dati e senza che sussista la possibilità di risalire ad informazioni di dettaglio del singolo evento di comunicazione elettronica riferibile ad un utente identificato o identificabile.
Conseguentemente, il periodo minimo di riferimento per l'aggregazione dei dati personali utilizzati al predetto fine può essere individuato in un arco temporale di due giorni.
Ciò in quanto una base di osservazione ancor più ridotta potrebbe riguardare un numero di eventi talmente esiguo da consentire l'associazione alla singola utenza e vanificare così il processo di aggregazione che è posto alla base del trattamento stesso.
La riduzione del periodo di osservazione dei dati personali aggregati per finalità di profilazione può poi ritenersi ammissibile a condizione che la misurazione dei fenomeni che rilevano per tale attività riguardi esclusivamente determinate tipologie di dati, ovvero quelle relative al volume di minuti in traffico originato o terminato (in minuti o byte), al numero di eventi di ricarica, distinto per canale di ricarica, nonchè al totale delle ricariche.
A fronte di tale previsione deve poi considerarsi che, per tutte le altre misurazioni, ovvero per l'analisi aggregata dei dati che riguardano altri eventi che il fornitore individua per finalità di profilazione della clientela, quali i contatti dell'utente con il customer care, le visite ai diversi punti vendita ed assistenza del fornitore, nonchè le offerte relative ai terminali, la base temporale minima di riferimento deve essere di trenta giorni.
Resta peraltro inteso che anche nelle ipotesi esaminate permangono tutti gli adempimenti di cui agli articoli 37 e 38 del Codice.
Il mancato rispetto delle prescrizioni impartite con il presente provvedimento può inoltre comportare l'applicazione delle sanzioni previste dall'art. 162, comma 2-ter del Codice.
Tutto ciò premesso il Garante:
1. prescrive a tutti i fornitori di servizi di comunicazione elettronica accessibili al pubblico che svolgono attività di profilazione sulla base delle prescrizioni impartite dall'Autorità nel provvedimento generale del 25 giugno 2009 e negli specifici provvedimenti emanati a seguito delle istanze di prior checking rivolte al Garante, ai sensi e per gli effetti dell'art. 154, comma 1, lett. c), del Codice:
a) di ridurre limitatamente a quanto indicato al punto successivo, il tempo di osservazione dei dati personali aggregati per finalità di profilazione della clientela dal periodo minimo di un mese, previsto negli specifici provvedimenti adottati dal Garante a seguito delle singole istanze di verifica preliminare, a quello minimo di due giorni;
b) di adottare, a garanzia degli interessati in conformità alle disposizioni in materia di protezione dei dati personali, le misure e gli accorgimenti necessari nei termini di cui in motivazione prevedendo, in particolare, che la misurazione dei fenomeni che rilevano per la profilazione dell'utenza sulla base di un'aggregazione dei dati relativa ad un arco temporale di due giorni debba riferirsi unicamente:
1. al volume di minuti in traffico originato o terminato (in minuti o byte);
2. al numero di eventi di ricarica, distinto per canale di ricarica;
3. al totale delle ricariche;
c) di escludere, limitatamente ai dati di cui alla precedente lett. b), punto 1, dall'impiego per finalità di profilazione, i periodi a cui corrisponda un solo evento di comunicazione elettronica riferibile ad un singolo utente;
d) di trasmettere al Garante, considerata la natura e le caratteristiche tecniche degli adempimenti prescritti, entro il termine di 30 giorni dalla data dell'eventuale implementazione delle misure indicate ai precedenti punti, copia della documentazione che ne comprovi l'adozione;
2. dispone la trasmissione di copia del presente provvedimento al Ministero della giustizia - Ufficio pubblicazione leggi e decreti, per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.
Ai sensi degli articoli 152 del Codice e 10 del