g-docweb-display Portlet

Campagne di marketing effettuate tramite numeri di cellulari: vietato l'invio di SMS promozionali senza il consenso degli interessati - 30 giugno ...

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1834208]

Campagne di marketing effettuate tramite numeri di cellulari: vietato l´invio di SMS promozionali senza il consenso degli interessati - 30 giugno 2011

Registro dei provvedimenti
n. 272 del 30 giugno 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSO

1. ATTIVITÀ ISPETTIVA.
L´Autorità ha avviato d´ufficio, a partire dal mese di maggio 2010, un ciclo di accertamenti ispettivi volti a verificare il rispetto della normativa in materia di dati personali, con particolare riferimento alle campagne di marketing effettuate tramite numeri di cellulari (per l´invio di sms e mms) e indirizzi di posta elettronica (per l´invio di email pubblicitarie, cd. DEM).

Nell´ambito di tale attività, è stata oggetto di ispezione, nei giorni 22, 23 e 24 settembre 2010, la ditta individuale XX di XX (di seguito "XX"), con sede legale, all´epoca dell´ispezione in Oriago-Mira (VE), XX e attualmente in XX.

Nel corso dell´accertamento ispettivo (e nelle successive note del 27 settembre e del 30 dicembre 2010), il sig. XX ha dichiarato che:

• XX è un´impresa individuale nata nel 2001, la cui principale attività consiste nella gestione dei siti Internet XX.org e vogliovincere.it: il primo, a fronte della ricezione di messaggi promozionali, consente agli iscritti di ricevere crediti telefonici sulle proprie utenze mobili; il secondo consente agli iscritti di partecipare a concorsi a premi (cfr. verbale del 22 settembre 2010, pag. 2);

• mediante i predetti siti, XX registra, in due database distinti (DB XX e DB vogliovincere) i dati personali degli iscritti, tra i quali: numero di cellulare, operatore telefonico, email, data di nascita,  comune, provincia, sesso e, a fronte delle prestazioni offerte, gli interessati sono tenuti a rilasciare il consenso per il trattamento dei predetti dati per finalità di marketing e propaganda elettorale (cfr. verbali del 22 settembre 2010, pag. 2 e del 23 settembre 2010, pag. 3 e relativo all. 11);

• con i dati raccolti, XX effettua campagne promozionali per conto di terzi-committenti, quali aziende ed esercizi commerciali, offerte tramite il sito smsadvertising.it (cfr. verbale del 23 settembre 2010, pag. 4);

• le campagne di marketing di XX sono veicolate attraverso sette società intermediarie (cfr. verbale del 22 settembre 2010, pag. 3);

• all´inizio del 2010, ha costituito una società di diritto spagnolo avente sede in Barcellona, denominata En Avant Guard Slu (di seguito "En Avant Guard", di cui il sig. XX è amministratore unico), la quale gestisce i servizi cd. "bulk sms e email" e non svolge alcun trattamento di dati personali, incaricandosi di fatturare le prestazioni rese da XX sulla base di uno specifico accordo (cfr. verbale del 22 settembre 2010, pag. 2 e del 23 settembre 2010, pag. 2 e relativo all. 9);

• la titolarità dei dati personali utilizzati per le attività promozionali rimane in capo a XX, in quanto En Avant Guard svolge solo un´attività di intermediazione (dalla Spagna) nei confronti di società italiane (committenti) per servizi offerti da un´altra impresa italiana (XX) (cfr. verbale del 22 settembre 2010, pag. 3);

• tutta l´attività di XX viene svolta personalmente dallo stesso sig. XX senza necessità di uffici o strutture commerciali (cfr. verbale del 22 settembre 2010, pag. 2);

• i server che ospitano i dati di cui XX è titolare si trovano a Pisa, presso la società Engine Technology s.r.l. (cfr. verbale del 22 settembre 2010, pag. 4 )

Poiché da successive verifiche dell´ufficio è emerso che Engine Technology s.r.l. non ha alcuna sede a Pisa, il sig. XX ha rettificato tale dichiarazione rappresentando che i dati sono presenti nelle server farm di Engine, ubicate in Italia (a Torino e a Milano) e in Svizzera (a Zurigo e a Ginevra) (cfr. nota del 30 dicembre 2010).

In sostanza, XX ha dichiarato che, per quanto riguarda le attività di marketing effettuate mediante l´invio di sms (cd. "sms advertising") ed email (cd. DEM, direct email marketing) tratta i dati personali, acquisiti tramite i predetti siti, per inviare comunicazioni promozionali per conto dei propri clienti. Questi ultimi, nella maggioranza dei casi, non sono i reali committenti della campagna, ma società che svolgono attività di intermediazione tra il committente (che si rivolge a loro per realizzare la campagna promozionale) e il fornitore di dati (XX).

Da quando è stata costituita la società En Avant Guard, il sig. XX richiede ai propri clienti di rivolgersi a quest´ultima società per la realizzazione delle campagne, affinché quest´ultima veicoli la richiesta pervenuta a XX, che, quindi, risulta essere fornitore di En Avant Guard.

Per quanto riguarda invece l´attività di "bulk sms e email" XX, tramite il proprio sito inviasms.it, mette a disposizione di chi detiene una propria banca dati a cui intende inviare messaggi promozionali, una piattaforma informatica online, attraverso la quale coloro che si registrano al sito, possono effettuare invii massivi di messaggi promozionali.

2. TRATTAMENTO DI DATI PERSONALI PROVENIENTI DA PLANET.
Nel corso delle verifiche è emerso che dalla piattaforma web a sua disposizione il sig. XX accede anche ad un ulteriore database, denominato "Planet new". Il titolare ha dichiarato che tale database, che contiene circa 180.000 numeri di utenze telefoniche mobili, è stato costituito a seguito di accordi con la società tedesca Planet49 Gmbh (di seguito "Planet") (cfr. verbale del 22 settembre 2010, pag. 3, del 23 settembre, pag. 2 e relativo all. 10).

Dalle risultanze istruttorie è emerso che tali accordi, conclusi nel 2008 e nel 2009, prevedevano ciascuno la creazione di 1.000.000 di anagrafiche da realizzarsi mediante l´organizzazione, da parte di Planet, di un concorso a premi online finalizzato alla raccolta di numeri di telefoni cellulari. XX e altre ventuno aziende (non solo italiane) si incaricavano, in qualità di "sponsor", della promozione di tale concorso. Le iscrizioni al concorso generavano un record che veniva automaticamente registrato nei database delle ventidue aziende. Gli accordi, hanno determinato, per ciascun anno la creazione di 1.000.000 di record per un totale di 2.000.000 di record (cfr. verbale del 23 settembre, pag. 3 e relativo all. 10).

Sulla base delle dichiarazioni rese dal sig. XX, di questi 2.000.000 circa la metà sono stati eliminati dal database "Planet new" a seguito di richiesta di cancellazione da parte degli interessati pervenuta a XX successivamente all´invio di un cd. "messaggio di benvenuto": tutte le operazioni di cancellazione sarebbero state svolte personalmente dallo stesso sig. XX (cfr. verbale del 23 settembre, pag. 3). Con riferimento ai dati acquisiti tramite Planet, il sig. XX ha dichiarato che il testo dell´informativa fornita all´atto del concorso è stato predisposto dalla società tedesca (cfr. verbale del 24 settembre 2010, pag. 3) e ha successivamente fornito tale documento da cui si evince che la titolarità è in capo a quest´ultima (cfr. allegato alla nota del 27 settembre 2010).

Dalle risultanze ispettive è emerso che i dati presenti nel database "Planet new" sono stati utilizzati da XX, nel corso del primo semestre del 2009, per realizzare una campagna per conto di Sky Italia s.r.l. (di seguito "Sky", tramite la concessionaria Zero9 S.p.A) che prevedeva l´invio di 680.000 sms promozionali. A seguito di tale campagna i record presenti nel database "Planet new" sono ulteriormente diminuiti a causa delle richieste di cancellazione pervenute e, al momento dell´accertamento ispettivo, erano 180.699 (cfr. verbale del 23 settembre 2010, pag. 2).

Riguardo al trattamento dei dati provenienti dai concorsi di Planet, non risulta che XX abbia mai fornito, al momento della loro registrazione nel proprio database "Planet new", alcuna informativa agli interessati ai sensi dell´art. 13, comma 4 del Codice e, a tal proposito, non può essere sufficiente né l´informativa resa dalla società tedesca (in quanto non indicava le ventidue società a cui i dati sarebbero stati comunicati) né l´asserito invio di un messaggio di benvenuto da parte di XX, avvenuto, in ogni caso, mediante l´invio di una prima email.

Inoltre non risulta che XX, trattando i dati registrati nel database "Planet new" in qualità di titolare del trattamento, abbia acquisito uno specifico consenso per l´invio di comunicazioni promozionali ai sensi dell´art. 130 del Codice, sia per inviare una prima email "di benvenuto" sia per l´inoltro dei successivi sms promozionali, come invece risulta essere avvenuto nel caso della campagna realizzata per conto di Sky nel primo semestre del 2009.

3. ATTIVITÀ DI "SMS ADVERTISING" E "EMAIL MARKETING".
Dalle dichiarazioni rese e dalla documentazione acquisita, risulta che l´attività principale di XX consiste nel trattamento di dati personali per la realizzazione di campagne di sms advertising e di email marketing per conto di terzi sulla base di specifici target (ad es. età, provincia, sesso) da questi ultimi di volta in volta indicati.

L´attività di mobile marketing e DEM si svolge, come detto, utilizzando i dati raccolti tramite i siti web XX.org e vogliovincere.it (cfr. verbale del 23 settembre 2010, pag. 3 e relativo all. 11) e viene offerta mediante il sito smsadvertising.it. Dall´accertamento ispettivo è risultato che i database relativi a tali siti sono logicamente separati e, all´epoca dell´ispezione, contenevano rispettivamente 61.053 (DB XX) e 37.979 (DB vogliovincere) anagrafiche (cfr. verbale del 22 settembre 2010, pag. 3).

La gestione delle campagne pubblicitarie viene curata esclusivamente e personalmente dal sig. XX, il quale riceve gli ordini da sette società intermediarie (che a loro volta li ricevono dai propri clienti-committenti) e seleziona i target a cui inviare la promozione (cfr. verbale del 22 settembre 2010, pag. 3). Allo stesso modo, tutte le operazioni di cancellazione che pervengono a XX, riferite ai dati presenti nel DB XX, nonché i relativi riscontri alle richieste degli interessati, vengono effettuate direttamente dal sig. XX. Solo le cancellazioni relative al DB vogliovincere possono essere effettuate in modalità automatica dall´interessato (cfr. verbale del 23 settembre 2010, pag. 2-3).

Con riferimento ai dati acquisiti tramite il sito vogliovincere.it, il sig. XX ha dichiarato che tali dati permangono nel relativo database per tutta la durata del concorso a premi. Al termine del concorso viene inviata un´email ad ogni iscritto con la quale si comunica, fra l´altro, che i dati dell´interessato saranno utilizzati per il successivo concorso, salvo richiesta di cancellazione (cfr. verbale del 23 settembre 2010, pag. 3 e relativo all. 11).

Il sig. XX ha inoltre dichiarato che XX, per la realizzazione di campagne pubblicitarie, si avvale anche di dati personali in possesso di altre due aziende, titolari del trattamento: tale circostanza si realizza quando XX, calcolando i dati presenti nei suoi database, non raggiunge comunque il quantitativo di cellulari richiesto dal proprio cliente per una specifica campagna (cfr. verbale del 23 settembre 2010, pag. 4). Infatti, da un´interrogazione effettuata alla data dell´accertamento ispettivo mediante il sito smsadvertising.it risulterebbe che vi sia la disponibilità di 1.364.636 numeri di telefoni cellulari e 542.749 indirizzi email, numeri molto superiori rispetto a quelli contenuti nei database a disposizione di XX (cfr. verbale del 23 settembre 2010, pag. 4).

In sostanza, quindi, è emerso che anche XX (oltre a fornire direttamente i numeri di cellulare di cui dispone) svolgerebbe in alcune occasioni, la funzione di "intermediario" tra il soggetto che si rivolge a XX per la realizzazione di campagne promozionali (che, come detto, nella maggioranza dei casi è a sua volta un intermediario) e altri "fornitori" che detengono i numeri di cellulari. Le due società a cui XX si rivolgerebbe in qualità di "intermediario" sono la citata Planet (con dati, a detta del sig. XX, diversi da quelli generati dai due concorsi citati) e Internetting di Massimo Cuomo (impresa individuale che gestisce il sito SmsMusic.it, di seguito "Internetting").

In tali casi XX non avrebbe la disponibilità dei dati, ma richiederebbe di volta in volta alle predette aziende l´invio dei messaggi senza effettuare alcun trattamento, aggiungendosi, di fatto, alla schiera degli intermediari che compongono la filiera del mobile marketing.
Tuttavia, per l´aspetto appena descritto, dalle risultanze istruttorie non è emerso alcun riscontro documentale in ordine alle dichiarazioni rese riguardanti la collaborazione di XX con Planet e Internetting.

Per quanto riguarda le concrete modalità di effettuazione delle campagne promozionali, il sig. XX ha dichiarato che XX, per l´invio di sms, acquista pacchetti di messaggi a basso prezzo da alcune aziende. In particolare, è emerso che, per quanto riguarda l´invio di sms cd. di "alta qualità" (cioè messaggi con personalizzazione del mittente ed eventuale rapporto di consegna) XX si avvale della società malese Ice Corporation.

Per gli sms cd. di "bassa qualità" (con mittente non personalizzabile e senza rapporto di consegna) XX acquista i pacchetti di messaggi dalla società R&D Communication s.r.l., con sede in Verona.

L´invio degli sms avviene nella pratica mediante trasmissione di un file ai citati operatori contenente il testo del messaggio, il mittente e i numeri di cellulari dei destinatari. Dalle risultanze dell´accertamento ispettivo è emerso che i soggetti a cui sono inviati i predetti file non sono stati designati quali responsabili del trattamento (cfr. verbale del 23 settembre 2010, pag. 4).

Sotto il profilo della raccolta dati, va osservato che l´informativa resa da XX all´interno dei propri siti non risulta idonea, in quanto mancante di alcuni elementi relativi alle modalità di trattamento (in particolare il trasferimento dei dati all´estero, che avviene allorquando XX trasmette il file contenente i numeri di cellulari cui inviare una campagna promozionale a Ice Corporation, in Malesia) e all´ambito di comunicazione dei dati.

Per quanto riguarda i limiti temporali di utilizzo dei dati, si rileva che i dati personali conferiti dall´utente per partecipare ad un concorso a premi vengono trattati da XX anche oltre la scadenza del concorso stesso, a meno che l´utente non formuli un diniego espresso. XX, pertanto, procede al trattamento di dati (raccolti con la specifica finalità di partecipazione ad un concorso anche dopo la conclusione del concorso stesso) in assenza di uno specifico consenso e senza che tale ulteriore trattamento sia stato evidenziato nell´informativa.

Per quanto riguarda le modalità di invio dei messaggi, in nessun caso risulta che XX abbia designato i suoi partner (Ice Corporation e R&D Communication) quali responsabili del trattamento.

Inoltre, è da rilevare che l´invio dei messaggi tramite getaway stranieri (Ice Corporation, in Malesia) determina un trattamento illecito di dati personali, consistente nel trasferimento dei dati all´estero, in assenza di una idonea informativa e al di fuori delle ipotesi di cui agli artt. 43 o 44 del Codice e determinando quindi un trattamento vietato ai sensi dell´art. 45 del Codice.

L´Autorità si riserva di verificare la liceità e correttezza delle dichiarazioni rese in ordine alla collaborazione di XX con Internetting di Massimo Cuomo e alla liceità e correttezza dei relativi trattamenti.

4. INVIO MASSIVO DI SMS (CD. "BULK SMS").
Il sig. XX ha dichiarato che la propria impresa svolge anche attività di bulk sms ovvero di invio massivo di messaggi sms per conto di propri clienti che possono utilizzare una piattaforma messa a disposizione da XX (cfr. verbale del 22 settembre 2010, pag. 2).

Dall´istruttoria effettuata a seguito dell´accertamento ispettivo, è risultato che tale attività si realizza concretamente quando il cliente si registra al sito inviasms.it e acquista un servizio per inviare pacchetti di sms ai numeri dei cellulari di cui dispone in quanto titolare. A tal proposito risulta che, all´atto della registrazione, XX richieda, a coloro che intendono registrarsi al predetto sito, l´indirizzo email e il numero di cellulare, senza rilasciare alcuna informativa.

La piattaforma offerta da XX consente la comunicazione fra i sistemi di quest´ultima e quelli dell´operatore (da cui, come detto, XX acquista pacchetti di sms cioè Ice Corporation o R&D Communication, a seconda che si tratti di "alta" o "bassa" qualità) che invia il messaggio: il cliente di XX inserisce i numeri dei cellulari dei destinatari, unitamente al testo promozionale, nella piattaforma di XX, che automaticamente trasmette tale lista ai gateway degli operatori telefonici, per la concreta trasmissione dei messaggi. XX detiene un archivio dei messaggi inviati, comprendente l´indicazione del cliente, l´elenco dei numeri dei destinatari e il testo inviato, che cancella con cadenza annuale (cfr. verbale del 23 settembre 2010, pag. 3).

Per tale attività XX, pur trattando dati personali (ricevendo mediante la propria piattaforma i numeri di cellulare inseriti dai propri clienti) non risulta sia stata designata quale responsabile del trattamento da parte dei propri clienti (cfr. verbale del 23 settembre 2010, pag. 4).

È da rilevare inoltre che, nel momento in cui archivia e conserva i dati relativi ai propri clienti e all´elenco dei numeri dei destinatari, XX effettua in piena autonomia delle operazioni di trattamento, che per questa parte, la qualificano quale titolare. Oltre a ciò si deve rilevare che XX a sua volta trasmette i numeri dei destinatari, presenti nei rispettivi file, a un ulteriore soggetto per l´effettivo inoltro, senza alcun consenso e senza che vi sia alcuna qualificazione di quest´ultimo nell´ambito del trattamento.

Dalle dichiarazioni rese risulta che per l´attività di "bulk sms" XX conserva nei propri sistemi anche l´indirizzo IP del cliente (che accede alla piattaforma per inserire l´elenco dei numeri di cellulari e il testo promozionale). Quest´ultimo può procedere autonomamente alla cancellazione del proprio archivio di messaggi inviati presente nella piattaforma, comprendente sia il numero dei destinatari sia il testo del messaggio, ma non può rimuovere il dato dell´indirizzo IP di accesso alla piattaforma medesima. A cadenza annuale il sistema provvede alla cancellazione totale degli archivi, compresi gli indirizzi IP memorizzati (cfr. verbale del 23 settembre 2010, pag. 3).

Per quel che concerne la raccolta dei dati di coloro che si iscrivono al sito per poter usufruire della piattaforma d´invio, non risulta che XX rilasci agli interessati alcuna informativa.

Per quanto riguarda il servizio "bulk sms", occorre rilevare che XX non è stata designata quale responsabile del trattamento da parte dei soggetti che utilizzano la sua piattaforma per l´invio dei messaggi, pur trattando i dati personali da questi inseriti.

Inoltre, si rileva che l´utilizzo di gateway stranieri, in particolare posizionati al di fuori dell´Unione Europea (come nel caso della società malese Ice Corporation) determina un trasferimento di dati all´estero, al di fuori delle ipotesi consentite dagli artt. 43 o 44 del Codice, determinando un trattamento illecito ai sensi dell´art. 45 del Codice.

Inoltre, per quanto attiene i dati presenti nei file inseriti dai propri clienti (contenenti, come detto, il nome del cliente, i numeri dei destinatari e il testo del messaggio promozionale), XX agisce in qualità di titolare, archiviandoli e conservandoli, senza fornire agli interessati un´idonea informativa.

5. CONCLUSIONI.
Per quanto riguarda gli aspetti evidenziati nei paragrafi 2, 3 e 4, si rileva che l´art. 11, comma 2, del Codice prevede che non possono essere utilizzati i dati personali trattati in violazione della disciplina rilevante in materia di dati personali. Il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, ha in tal caso il compito di vietare, anche d´ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o di disporne il blocco e di adottare, altresì, gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali.

Si rileva, quindi, la necessità di adottare nei confronti di XX un provvedimento di divieto per aver trattato i dati personali:

• provenienti da Planet senza aver fornito agli interessati un´idonea informativa ai sensi dell´art. 13 comma 4, del Codice e senza aver acquisito uno specifico consenso per l´invio di comunicazioni promozionali automatizzate ai sensi dell´art. 130, come risulta avvenuto nella campagna promozionale realizzata per conto di Sky;

• di coloro che si sono iscritti ai siti XX.org e vogliovincere.it senza aver rilasciato agli interessati una idonea informativa ai sensi dell´art. 13 del Codice, comprensiva dell´indicazione del trasferimento dei dati all´estero, e senza aver acquisito un consenso specifico per ciascuna finalità realizzata;

• trasferiti all´estero al proprio partner commerciale, la società malese Ice Corporation, in assenza di uno dei presupposti previsti dagli artt. 43 o 44 del Codice e realizzando, quindi, un trattamento vietato ai sensi dell´art. 45 del Codice;

• conservando e archiviando nei propri sistemi i numeri di cellulare che i clienti di XX inseriscono per le attività di "bulk sms", senza aver rilasciato un´idonea informativa e aver richiesto uno specifico consenso agli interessati;

• dei propri clienti che, iscrivendosi al sito inviasms.it, usufruiscono del servizio "bulk sms", senza aver rilasciato agli stessi una idonea informativa.

L´Autorità si riserva di verificare, con autonomo procedimento, la sussistenza dei presupposti per contestare le violazioni amministrative di cui agli artt. 13, commi 1 e 4, 23, 45 e 130 del Codice e la conseguente applicazione delle sanzioni di cui agli artt. 161 e 162, comma 2 bis del Codice.

Si evidenzia che, ai sensi dell´art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni e che, ai sensi dell´art. 162, comma 2 ter, del Codice, in caso di inosservanza del divieto, è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro.

Si rileva infine che, per quanto riguarda tutte le ipotesi di sanzioni amministrative che si riterranno di applicare, l´Autorità si riserva di valutare se sia possibile configurare anche l´ipotesi di fattispecie aggravate previste dall´art. 164 bis, commi 2 e 3 del Codice in quanto sembra trattarsi di violazioni "commesse anche in tempi diversi in relazione a banche di dati di particolare rilevanza o dimensioni" e "la violazione coinvolge numerosi interessati".

Ai sensi dell´art. 28, comma 6, della direttiva 95/46/CE sulla protezione dei dati personali e dell´art. 154, comma 3, del Codice, l´Autorità si riserva di inviare copia del presente provvedimento alle competenti Autorità tedesca e spagnola di protezione dei dati personali, per la verifica dei profili di propria competenza in relazione ai trattamenti effettuati, rispettivamente, da Planet e da En Avant Guard.

PER QUESTI MOTIVI IL GARANTE

ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice, rilevato che i dati personali di cui è stato accertato l´illecito trattamento non possono essere ulteriormente utilizzati (art. 11, comma 2, del Codice) vieta a XX s.r.l. di effettuare ulteriori trattamenti di dati personali:

1. provenienti da Planet49 Gmbh senza aver fornito agli interessati un´idonea informativa ai sensi dell´art. 13, comma 4 del Codice e senza aver acquisito uno specifico consenso per l´invio di comunicazioni promozionali automatizzate ai sensi dell´art. 130;

2. di coloro che si sono iscritti ai siti XX.org e vogliovincere.it senza aver rilasciato agli interessati una idonea informativa ai sensi dell´art. 13 del Codice, comprensiva dell´indicazione del trasferimento dei dati all´estero, e senza aver acquisito un consenso specifico per ciascuna finalità realizzata;

3. trasferiti all´estero al proprio partner commerciale, la società malese Ice Corporation, in assenza di uno dei presupposti previsti dagli artt. 43 o 44 del Codice e realizzando, quindi, un trattamento vietato ai sensi dell´art. 45 del Codice;

4. conservando e archiviando nei propri sistemi i numeri di cellulare che i clienti di XX inseriscono per le attività di "bulk sms", senza aver rilasciato un´idonea informativa e aver richiesto uno specifico consenso agli interessati;

5. dei propri clienti che, iscrivendosi al sito inviasms.it, usufruiscono del servizio "bulk sms", in assenza di una idonea informativa.

Si ricorda che avverso il presente provvedimento è possibile, ai sensi dell´art. 152 del Codice, proporre opposizione con ricorso all´autorità giudiziaria ordinaria entro il termine di trenta giorni dalla data di comunicazione del medesimo provvedimento, e che l´opposizione non sospende l´esecuzione del provvedimento (v. art. 152, comma 5 del Codice).

Roma, 30 giugno 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
De Paoli