g-docweb-display Portlet

Autorizzazione al trattamento di dati sensibili da parte di un'azienda - 29 marzo 2018 [8983338]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 8983338]

Autorizzazione al trattamento di dati sensibili da parte di un'azienda - 29 marzo 2018

Registro dei provvedimenti
n. 180 del 29 marzo 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d. lgs. 30 giugno 2003, n. 196, di seguito “Codice”), con particolare riferimento all’art. 4, comma 1, lett. d), che individua i dati sensibili, nonché l’art. 26, comma 1, secondo il quale i soggetti privati possono trattare i dati sensibili solo con il consenso scritto dell’interessato e previa autorizzazione del Garante, nell’osservanza dei presupposti e dei limiti stabiliti dal Codice, dalla legge e dai regolamenti;

VISTA la richiesta di autorizzazione ai sensi degli artt. 26 e 41 del Codice, formulata il 24 novembre 2017, e successivamente integrata con la nota esplicativa del 22 febbraio 2018, da Ikea Italia Retail S.r.l. (con sede in Carugate – MI) società del gruppo Ikea operante nel settore della distribuzione di mobili e complementi d’arredo, concernente il trattamento di dati personali riferiti ai partecipanti ad un concorso a premi, dal titolo “Diversity Celebration”, rivolto a coppie formate da soggetti maggiorenni dello stesso sesso che intendano unirsi civilmente ai sensi della legge del 20 maggio 2016, n. 76, presso il Comune di Bari, e avente in palio un premio consistente in un buono acquisto Ikea, un viaggio in Svezia e una cena presso il ristorante sito all’interno del punto vendita Ikea (cfr. “Regolamento del concorso a premi Ikea – Diversity Celebration” – di seguito “Regolamento”);

VISTO che la richiesta ha ad oggetto il trattamento dei dati personali relativi ai componenti delle coppie che intendano partecipare al concorso, così come individuati nel “Modulo di iscrizione” (tra cui la dichiarazione di voler costituire un’unione civile ai sensi della legge n. 76/2016 e di essere in possesso di tutti i requisiti necessari a tal fine), per le finalità di espletamento delle attività connesse alla gestione ed esecuzione del suddetto concorso a premi (v. “Regolamento”, All. A – “Modulo d’iscrizione”); 

VISTO inoltre che la suddetta richiesta concerne anche il trattamento delle immagini fotografiche e video (di seguito definite indistintamente “immagini”), della coppia vincitrice, acquisite, previo specifico consenso degli interessati, nel corso della cerimonia di costituzione dell’unione civile e della cena oggetto del premio, nonché la loro diffusione, sul sito web ufficiale di Ikea Italia Retail S.r.l. e sui profili social appartenenti alla società istante, per le finalità di promozione del suddetto concorso; trattamento in merito al quale l’eventuale diniego del consenso da parte degli interessati “non precluderà la partecipazione [dei medesimi] al concorso” a premi (v. “Regolamento”, artt. 4 e 5 e All. A- “Modulo d’iscrizione”);

PRESO ATTO che il trattamento dei dati raccolti ai fini dell’espletamento del concorso si svolgerà “nella sola modalità cartacea” e che tali dati saranno “conservati per i 12 mesi successivi alla conclusione del suddetto concorso al fine di dimostrare il regolare svolgimento dello stesso a fronte di eventuali richieste da parte del Ministero dello Sviluppo economico”, e che, invece, le “immagini” saranno trattate (ivi compresa la diffusione) con modalità elettroniche “per un periodo non superiore a 90 giorni” decorrenti dalla realizzazione della cerimonia di costituzione dell’unione civile (v. nota della società del 22 febbraio 2018);

CONSIDERATO che i dati oggetto della presente richiesta di autorizzazione, in quanto riferiti a soggetti che intendono costituire un’unione civile tra persone dello stesso sesso, devono essere qualificati come “dati sensibili”, in quanto idonei a rivelare la vita sessuale delle persone interessate (art. 4, comma 1, lett. d) del Codice);

VISTI gli artt. 40 e 41 del Codice che disciplinano il regime delle autorizzazioni generali e le ipotesi di richiesta di autorizzazione in casi particolari;

VISTE le autorizzazioni generali del Garante n. 2, del 15 dicembre 2016, concernente il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (doc. web n. 5803257), e n. 5, del 15 dicembre 2016, relativa al trattamento dei dati sensibili da parte di diverse categorie di titolari (doc. web n. 5803396);

CONSIDERATO che l’autorizzazione generale n. 2/2016 non si riferisce alle finalità di svolgimento e di promozione di un concorso a premi perseguite, nel caso di specie, dalla società istante;

CONSIDERATO che, al caso in esame, non può trovare applicazione neanche l’autorizzazione n. 5/2016 concernente il trattamento di dati sensibili da parte di diverse categorie di titolari per una pluralità di attività, tra cui non figurano le finalità oggetto della richiesta di autorizzazione;

CONSIDERATO che il Garante si è riservato di prendere in considerazione specifiche richieste di autorizzazione il cui accoglimento sia giustificato da circostanze particolari;

RITENUTO che, ai sensi dell'art. 13 del Codice, la società deve rilasciare un’idonea informativa agli interessati, dalla quale emerga chiaramente ciascuna delle distinte finalità perseguite (segnatamente di “espletamento” e di “promozione” del concorso a premi), nonché il carattere facoltativo del conferimento dei dati personali consistenti nelle “immagini” degli interessati relativamente ai trattamenti effettuati per le predette finalità promozionali;

RILEVATO inoltre che il “Regolamento” deve contenere l’esatta indicazione dei diversi tempi di conservazione all’uopo individuati dalla società: 12 mesi con riferimento ai trattamenti dei dati personali per finalità di espletamento del concorso; 90 giorni con riferimento al trattamento delle “immagini” per finalità promozionali dello stesso (v. nota della società del 22 febbraio 2018); 

RITENUTO che la società, come peraltro dichiarato, deve acquisire uno specifico consenso scritto, ai sensi degli artt. 23 e 26 del Codice, per ciascuna delle distinte finalità che ha dichiarato di voler perseguire;

RITENUTO che i trattamenti devono essere effettuati nel rispetto dei principi di liceità, correttezza e necessità rispetto alle finalità perseguite, specie in relazione al trattamento di dati idonei a rivelare l’orientamento sessuale degli interessati (artt. 3 e 11 del Codice);

RITENUTO che la società deve inoltre adottare idonee misure e accorgimenti a garanzia dell’interessato, con particolare riferimento alle istruzioni che il titolare è tenuto a fornire ai soggetti autorizzati a trattare i dati nonché alla messa in atto di adeguate misure di sicurezza;

CONSIDERATO che la presente autorizzazione si applica esclusivamente ai trattamenti oggetto dell’istanza così come rappresentati allo stato attuale dalla società;

VISTO l’art. 26, comma 2, del Codice, il quale stabilisce che con il provvedimento di autorizzazione, ovvero successivamente, anche sulla base di eventuali verifiche, il Garante può prescrivere misure e accorgimenti a garanzia dell’interessato, che il titolare del trattamento è tenuto ad adottare;

VISTO l’art. 41 del Codice, che disciplina le richieste di autorizzazione;

VISTO l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione della disciplina rilevante in materia di trattamento di dati personali non possono essere utilizzati;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

Relatore la dott.ssa Giovanna Bianchi Clerici;

AUTORIZZA

ai sensi degli artt. 26, comma 2 e 41 del Codice, Ikea Italia Retail S.r.l., nei termini di cui in motivazione, a trattare i dati idonei a rivelare la vita sessuale degli interessati nel rispetto dei principi di liceità, correttezza e necessità (artt. 3 e 11 del Codice), a condizione che:

a) sia fornita agli interessati un’idonea informativa, dalla quale emerga chiaramente ciascuna delle distinte finalità perseguite (segnatamente di “espletamento” e di “promozione” del concorso a premi), nonché l’esplicitazione dei dati personali il cui conferimento risulti facoltativo rispetto alle predette finalità;

b) siano definiti nel “Regolamento” i tempi di conservazione dei dati come rilevato in motivazione;

c) siano adottate idonee misure e accorgimenti a garanzia dell’interessato, con particolare riferimento alle istruzioni che il titolare è tenuto a fornire ai soggetti autorizzati a trattare i dati nonché alla messa in atto di adeguate misure di sicurezza.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 29 marzo 2018

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia