Eccoli:
- Trattamento dei dati raccolti attraverso un pop up - 22 maggio 2018 [8995274]
- Provvedimento del 22 febbraio 2018 8080493
Portiamo a casa una informazione subito:
a) il sito in questione offriva un servizio di comparazione delle offerte disponibili per più settori merceologici (mutui, assicurazioni, luce, gas, telefonia) e proponeva, al momento dell’accesso:
- un “popup” con la seguente dicitura “Chiama il numero ...oppure inserisci i tuoi dati per essere contattato, gratis e senza impegno”;
- alcune caselle di testo editabili con le richieste di “Nome e Cognome” e “Cellulare”, nonché
- una casella di spunta con la seguente formula “Ho letto l’informativa privacy e acconsento al trattamento dei dati”;
in caso di compilazione delle caselle di testo, ma di mancata spunta del consenso, il sito non acquisiva i dati personali inseriti dall’interessato, segnalando tale mancanza e non consentendo all’interessato di procedere con la richiesta di essere contattato;
b) l’informativa, rilasciata in corrispondenza del form in questione, mediante un apposito link, recava il riferimento a diverse finalità di trattamento di dati tra le quali: l’invio di comunicazioni promozionali proprie e di soggetti terzi; la comunicazione dei dati a terzi (situati anche in paesi extra UE) per attività di marketing;
c) a fronte dell’informativa di cui sopra (con l’indicazione delle diverse citate finalità del trattamento), non veniva richiesto agli interessati un consenso specifico e differenziato.
2.2. Sulla base degli elementi sopra complessivamente esposti, considerate anche la varietà e la rilevanza dei settori merceologici curati dalla Società, nonché il fenomeno di circolazione dei dati emergente da alcune ulteriori segnalazioni, l’Autorità - avvalendosi della collaborazione del Nucleo Speciale Privacy - ha effettuato, nei giorni 11-13 luglio 2017, accertamenti presso la Società in questione al fine di verificare la liceità dei trattamenti di dati effettuati.
LA DECISIONE
a) vieta il trattamento, per finalità diverse da quelle di esecuzione del servizio, dei dati raccolti mediante pop-up sul proprio sito www.....eu (punto 5.2);
b) vieta il trattamento per finalità promozionali, nonché la comunicazione/cessione per analoghe finalità, dei dati personali relativi ai: segnalanti WQ; XY; WW; ZZ; XX; ai soggetti selezionati a campione nonché agli ulteriori interessati, le cui anagrafiche siano state acquisite da soggetti terzi (in particolare: INB; ...Web ...e ......srl), in assenza di un comprovato consenso libero e specifico per ciascuna di tali finalità (punti 6.2 e 6.3);
c) prescrive di avvisare i soggetti terzi ai quali siano stati eventualmente cedute liste di dati personali (acquisite direttamente mediante il sito di ...o ...INB; .........e ......srl) sprovvisti del necessario specifico consenso di cui alla lettera b) - che tali dati non possono essere utilizzati per finalità promozionali (o per quella di comunicazione/cessione a terzi), in assenza dell’acquisizione di uno specifico consenso, libero, informato e documentato, degli interessati per ciascuna di tali finalità (punti 6.2 e 6.3);
d) prescrive, quale misura necessaria, nel caso in cui la Società intenda effettuare in futuro gli ulteriori trattamenti per le finalità sopra descritte, la riformulazione del form di raccolta dei dati mediante il menzionato pop-up affinché venga acquisito dagli utenti un consenso, oltre che informato e documentato per iscritto, anche libero, specifico e chiaramente formulato con riferimento alle finalità promozionali e alla prevista comunicazione a terzi (punto 5.2);
e) invita a comunicare, entro 30 giorni dal ricevimento del presente provvedimento, ai sensi dell’art. 157 del Codice, quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento, con l’avvertenza che il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all’art. 164 del Codice.