Legge - 11/01/2018 - n. 5 art. 4

Verso il Regolamento ePrivacy

La riforma della direttiva ePrivacy – 2002/58/CE (attualmente in corso), ha ad oggetto la tutela delle comunicazioni elettroniche, la sicurezza dei dispositivi digitali nonché la protezione dei dati personali nel mondo online. La riforma si presenta, quindi, come una normativa di dettaglio rispetto al Regolamento generale europeo che, invece, pone le regole generali per la protezione dei dati personali. Essa rappresenta una legge speciale rispetto al GDPR, regolamentando specificamente le comunicazioni elettroniche, per cui in caso di conflitto di norme prevalgono le regole della ePrivacy.

Le problematiche relative alla ePrivacy sono molteplici, infatti il regolamento si occuperà della privacy nelle telecomunicazioni, sia con riferimento alle persone fisiche che a quelle giuridiche (anche se con alcune differenze), applicandosi ai fornitori di servizi di comunicazione elettronica, ma anche di comunicazioni tradizionali, ai fornitori di elenchi pubblici, ai fornitori di software di comunicazione elettronica, compreso il recupero e la presentazione di informazioni online. Inoltre, si applica ai soggetti (persone fisiche o giuridiche) che inviano comunicazioni commerciali o collezionano dati degli utenti, comprese quelle relative ai dispositivi degli utenti o contenuti negli stessi dispositivi. Mentre il Regolamento fa proprio l'art. 8 della Carta dei diritti fondamentali dell'Unione europea, il quale prevede la protezione dei dati personali, il regolamento ePrivacy richiama l'art. 7 della Carta, in base al quale ogni individuo ha diritto al rispetto della propria vita privata, familiare, domestica e delle comunicazioni.

Il regolamento ePrivacy recepisce la definizione di servizi di comunicazione elettronica dalla proposta di direttiva che istituisce il Codice delle Comunicazioni elettroniche, il quale comprende i servizi di accesso alla rete Internet e i servizi che consistono, in tutto o in parte, nel trasporto di segnali e comunicazioni interpersonali, quindi con l'inclusione dei servizi di messaggistica, di posta elettronica e VoIP.

In materia di e-privacy, il legislatore, ha abrogato gli artt. 32 e 32-bis del cod. privacy i quali trovano terreno fertile nei nuovi artt. 132-ter (Sicurezza del trattamento) e 132-quater (Informazioni sui rischi) del codice privacy. L'art. 132-ter prevede che, ai sensi di quanto disposto dall'art. 32 del GDPR, il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotti, anche attraverso altri soggetti a cui sia affidata l'erogazione del servizio, misure tecniche e organizzative adeguate al rischio esistente. Tale comma, erede del primo comma dell'abrogato art. 32 del codice, riferisce in sostanza la disciplina di sicurezza e-privacy a quella contenuta nel Regolamento.

Sebbene il passaggio alle suddette normative (artt. 132-ter e 132-quater del codice privacy) non paia incompatibile con il GDPR, risulta inopportuno come intervento, nelle more dell'approvazione, in seno al Parlamento europeo e Consiglio, del nuovo Regolamento e-privacy che dovrebbe sostituire la Direttiva 2002/58/CE. A maggior ragione, se pensiamo che l'art. 95 GDPR, dedicato al rapporto con la Direttiva 2002/58/CE, evidenzia come il GDPR non possa imporre obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell'Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla Direttiva 2002/58/CE.

Definizioni

Il primo comma dell'art. 1 della l. n. 5/2018 afferma che: “ai fini della presente legge si applicano le definizioni di cui all'articolo 4 del codice in materia di protezione dei dati personali, di cui al d.lgs. n. 196/2003, e all'art. 1 del regolamento di cui al d.P.R. n. 178/2010”.

Premesso che il d.lgs. n. 101/2018 ha abrogato l'art. 4cod. privacy, le definizioni applicabili alla presente legge sono rinvenibili nel Capo I all'art. 4 del Regolamento (UE) 2016/679 nonché all'articolo 1 del regolamento di cui al d.P.R. n. 178/2010. Le principali definizioni utili alla trattazione della normativa in questione sono le seguenti:

– “interessato”, la persona fisica cui si riferiscono i dati personali;

– “titolare del trattamento”, la persona fisica, la persona giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali;

– “utente”: qualsiasi persona fisica che utilizza un servizio di comunicazione elettronica accessibile al pubblico, per motivi privati o commerciali, senza esservi necessariamente abbonata;

– “abbonato”, qualunque persona fisica, persona giuridica, ente o associazione parte di un contratto con un fornitore di servizi telefonici accessibili al pubblico per la fornitura di tali servizi, o destinatario di tali servizi anche tramite schede prepagate, la cui numerazione sia comunque inserita negli elenchi di cui all'art. 129 del cod. privacy;

– “operatore”, qualunque soggetto, persona fisica o giuridica, che, in qualità di titolare intenda effettuare il trattamento dei dati di cui all'art. 129, comma 1, del cod. privacy, per fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l'impiego del telefono.

Registro delle opposizioni e pubblicazione delle numerazioni

Il secondo comma dell'art. 1 della l. n. 5/2018, prevedendo le modalità di iscrizione al registro pubblico delle opposizioni, stabilisce che possono iscriversi, a seguito di loro specifica richiesta, anche contemporaneamente per tutte le utenze telefoniche, fisse e mobili, loro intestate, anche per via telematica o telefonica tutti gli interessati che vogliano opporsi al trattamento delle proprie numerazioni telefoniche effettuato mediante operatore con l'impiego del telefono per fini di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale. Essendo il soggetto interessato una persona fisica identificata o identificabile, ai sensi della definizione di dato personale fornita dal Regolamento europeo, pare doversi escludere l'applicazione di tale normativa ad utenze intestate a persone giuridiche e ad altri soggetti diversi dalle persone fisiche.

Il Registro delle opposizioni rappresenta l'elenco al quale iscrivere il proprio numero telefonico per mettersi al riparo dal telemarketing selvaggio con la possibilità di inserire anche l'indirizzo degli abbonati presenti negli elenchi telefonici pubblici. Il Registro ha due funzioni principali: consentire agli abbonati di indicare l'utenza sulla quale non desiderano ricevere telefonate indesiderate; fare in modo che gli operatori di marketing telefonico riscontrino le liste delle utenze che intendono contattare per scopi commerciali o di ricerche di mercato, con quelle archiviate nel registro. Nel caso in cui la società di telemarketing riscontra la presenza di utenze iscritte nel registro delle opposizioni, ha l'obbligo di rimuoverle dalla lista degli utenti da contattare. In tal modo, da un lato gli operatori rispondono a un preciso obbligo di legge posto a condizione dell'uso degli strumenti di telemarketing e, dall'altro, i cittadini vedono maggiormente garantito il proprio diritto ad evitare sollecitazioni commerciali mediante telefono.

Con il d.P.R. n. 149/2018 (G.U. n. 16/2019) di modifica al d.P.R. 178/2010 ogni operatore, è obbligato alla preventiva consultazione del Registro delle Opposizioni, sia che intenda effettuare il trattamento per finalità di marketing attraverso il telefono, sia con l'impiego della posta cartacea. La consultazione del registro da parte di ciascun operatore ha efficacia pari a quindici giorni con riferimento ai trattamenti di dati svolti mediante l'impiego del telefono per finalità di marketing, vendita e ricerche di mercato.

Il trattamento per finalità di invio di materiale pubblicitario, vendita diretta, compimento di ricerche di mercato e comunicazioni commerciali è ammesso soltanto su espresso consenso del contraente se effettuato tramite l'uso di sistemi automatizzati di chiamata senza l'intervento di un operatore, posta elettronica, telefax, Mms o Sms o con mezzi diversi da quelli ivi indicati, salvo alcuni limiti di legge. Le comunicazioni mediante l'impiego del telefono e della posta cartacea sono consentite solamente verso coloro che non abbiano effettuato l'iscrizione presso il Registro pubblico delle Opposizioni.

Con l'ampliamento del Registro pubblico delle opposizioni (RPO) ai numeri non presenti negli elenchi pubblici sono cambiati, di conseguenza, i diritti acquisti dai contraenti telefonici con l'iscrizione al servizio e gli obblighi in capo agli operatori che trattano i dati per fini di invio di materiale pubblicitario, vendita diretta, comunicazione commerciale o per il compimento di ricerche di mercato.

Per quanto riguarda i diritti dei contraenti telefonici, con l'iscrizione nel RPO si esercita il diritto di opposizione al trattamento dei dati presenti negli elenchi telefonici pubblici per le finalità sopra elencate tramite telefono (con o senza l'intervento di un operatore umano) o mediante posta tradizionale, mentre per tutte le numerazioni telefoniche vengono annullati i consensi rilasciati per le medesime finalità ed è altresì vietata la comunicazione, il trasferimento e la diffusione a terzi dei dati personali degli iscritti al Registro per fini di telemarketing, teleselling e ricerche di mercato non riferibili alle attività, ai prodotti o ai servizi offerti dal titolare del trattamento.

Sul versante degli operatori, dal 27 luglio 2022 questi ultimi devono verificare mensilmente, e comunque prima dell'avvio di ogni campagna pubblicitaria, le proprie liste di contatti. Giova ricordare che l'obbligo di consultazione del RPO è in capo all'operatore, in qualità di titolare del trattamento dei dati personali; pertanto, si applica anche ai soggetti con sede fuori dal territorio nazionale, ivi comprese le società extra-UE.

Escluse le eccezioni previste dalla l. n. 5/2018 – ovvero le chiamate da parte di soggetti a cui è stato rilasciato un consenso dopo l'iscrizione oppure nell'ambito di un contratto a carattere continuativo in essere o cessato da meno di 30 giorni – con l'iscrizione nel RPO dovrebbero cessare le chiamate indesiderate. Per valutare l'efficacia dello strumento occorre evidenziare che dal mese di luglio 2022 ad oggi sono state diverse centinaia di milioni le verifiche sottoposte al RPO dagli operatori e che dall'avvio del servizio nel 2011 le consultazioni sono state circa 5 miliardi.

Al contempo, le numerose segnalazioni ricevute dal Garante Privacy nonché le denunce di alcune associazioni dei consumatori mettono in luce che al momento non tutti i soggetti verificano le liste di contatti con il RPO prima delle campagne. Tralasciando le chiamate con finalità di truffa, occorre fare alcune considerazioni sulle tecniche messe in atto da parte dei soggetti che eludono la nuova disciplina. Negli ultimi tempi anche in Italia, al pari di altri Paesi nel resto del mondo, si sta sperimentando l'aumento di chiamate automatizzate. A differenza delle telefonate del call center quelle automatizzate hanno certamente un tasso di redemption più basso e proprio per tale ragione il numero di chiamate deve essere nettamente più elevato per ottenere un buon risultato. Poiché si tratta di sistemi automatizzati la quantità di chiamate non rappresenta un problema.

A fianco a tale nuovo scenario, già da diverso tempo i soggetti che operano nell'illegalità tendono a effettuare le chiamate alterando in maniera fraudolenta il numero chiamante (CLI spoofing) oppure utilizzando numeri virtuali (ovvero attivi solo per chiamate in uscita).

Il combinato di tali tecniche rende molto complessa l'attività ispettiva e sanzionatoria delle Autorità preposte alla vigilanza, ovvero il Garante Privacy – con riferimento alla violazione dei diritti acquisiti con l'iscrizione nel RPO – e l'AgCom – per quanto riguarda la registrazione da parte dei call center al Registro degli Operatori di Comunicazione.

Per rendere il Registro pubblico delle opposizioni lo strumento che i cittadini auspicano, occorre individuare strategie per contrastare tali fenomeni, garantendo maggiore trasparenza nelle attività connesse al telemarketing, dalla raccolta dei dati e dei consensi fino alla vendita del bene o del servizio.

La recente approvazione da parte del Garante Privacy del Codice di Condotta del settore del telemarketing, che oltre al richiamo del rispetto della nuova disciplina stabilisce ulteriori impegni da parte dei soggetti aderenti, rappresenta una nuova speranza per promuovere comportamenti virtuosi e per far sì che i soggetti che agiscono nell'illegalità non siano remunerati per la propria attività al di fuori delle norme.

Il Registro Pubblico delle Opposizioni (RPO) si rinnova e, in virtù del DPR n. 26/2022, l'ambito di applicazione dei servizi viene esteso a tutti i numeri nazionali fissi e mobili, anche non presenti negli elenchi telefonici pubblici, nonché agli indirizzi di posta tradizionale se pubblicati negli elenchi telefonici pubblici in associazione ai numeri di telefono

Tramite l'iscrizione al RPO il cittadino manifesta la volontà di non voler ricevere chiamate di telemarketing indesiderate e/o pubblicità cartacea e, se già iscritto, gestisce l'iscrizione mediante le funzioni del rinnovo, revoca selettiva e cancellazione.

L'iscrizione al servizio annulla i consensi alla pubblicità rilasciati in precedenza (tranne quelli coi gestori delle proprie utenze, ovvero quelli con cui ha contratti continuativi) e quelli che autorizzerà a seguito dell'iscrizione al Registro. Il servizio si riferisce sia alle chiamate con operatore umano sia a quelle automatizzate (cd. “robocall”).

L'iscrizione è gratuita e a tempo indeterminato, tuttavia può essere rinnovata ove si intenda annullare nuovamente i consensi al telemarketing rilasciati a seguito dell'iscrizione al RPO.

Attraverso l'iscrizione al RPO vengono acquisiti i seguenti diritti:

– opposizione al telemarketing (invio di materiale pubblicitario, vendita diretta, comunicazione commerciale, compimento di ricerche di mercato),

–annullamento dei consensi al telemarketing rilasciati in precedenza per il trattamento delle numerazioni tramite chiamata telefonica (con o senza l'intervento di un operatore umano),

– divieto di comunicazione a terzi, trasferimento e diffusione di dati personali degli iscritti al Registro pubblico delle opposizioni, da parte del titolare del trattamento per lo svolgimento di telemarketing non riferibile alle attività, ai prodotti o ai servizi offerti dal titolare medesimo.

Il Registro pubblico delle opposizioni è stato esteso, a decorrere dal 27 luglio 2022, a tutti i numeri di telefono fissi e mobili, sia quelli presenti negli elenchi telefonici pubblici che quelli riservati.

I cittadini intestatari di un contratto telefonico possono iscriversi al servizio arrestando l'utilizzo del proprio numero per finalità pubblicitarie da parte degli operatori di telemarketing.

Col Registro pubblico delle opposizioni è possibile richiedere quattro funzioni differenti, e tutte le richieste sono gestite entro un giorno lavorativo, nonostante la loro efficacia diventi effettiva entro 15 giorni:

– “Iscrizione”: blocca le chiamate di telemarketing, annullando i consensi alla pubblicità e alla cessione a terzi di dati personali precedentemente rilasciati per campagne promozionali, tessere per la raccolta punti, la scontistica e la fidelizzazione. La revoca dei consensi ha efficacia sia sulle chiamate effettuate con operatore umano sia su quelle automatizzate (dette “robocall”). Dopo l'iscrizione al servizio è possibile ricevere solo chiamate autorizzate dai gestori delle tue utenze, nell'ambito di contratti attivi o cessati da non più di 30 giorni (per esempio del settore telefonico ed energetico), e quelle per cui si abbia rilasciato un apposito consenso successivamente alla data di iscrizione nel RPO.

–“Rinnovo”: consente di rinnovare l'iscrizione al servizio, annullando gli eventuali consensi al telemarketing rilasciati nel periodo compreso tra la data della prima iscrizione al RPO e quella del rinnovo.

–“Revoca selettiva”: offre la possibilità di revocare selettivamente l'opposizione nei confronti di specifici operatori registrati ai servizi RPO da cui si intende ricevere chiamate promozionali.

– “Cancellazione”: elimina l'iscrizione del proprio numero di telefono dal Registro pubblico delle opposizioni, rimuovendo in tal modo il diritto di opposizione al telemarketing.

È possibile iscrivere anche l'indirizzo postale associato al numero di telefono presente negli elenchi telefonici pubblici, al fine di non ricevere la pubblicità cartacea dagli operatori di marketing che utilizzano, per i contatti, gli elenchi telefonici pubblici. Per l'iscrizione dell'indirizzo postale è necessario seguire la stessa procedura dell'iscrizione dei numeri di telefono.

La violazione del diritto di opposizione dei contraenti telefonici, o la mancata osservanza del RPO da parte degli operatori di telemarketing, è disciplinata dal d.lgs. n. 196/2003 (Codice in materia di protezione dei dati personali) e dal GDPR (Regolamento generale sulla protezione dei dati), prevedendo l'applicazione di sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4 % del fatturato mondiale totale annuo dell'esercizio precedente, qualora maggiore.

Elenchi degli abbonati

Il comma 3 dell'art. 1 della presente legge prevede che all'interno del registro delle opposizioni vengono inserite, d'ufficio, tutte le numerazioni non ancora pubblicate sugli elenchi telefonici posto che non tutti i numeri sono pubblicati negli elenchi di abbonati (ex art. 129 cod. privacy), ma unicamente quelli di chi ne faccia richiesta. In particolare tutti i numeri fissi intestati a persone fisiche sono iscritti al registro delle opposizioni (sia pubblicati sia non pubblicati sugli elenchi) ad eccezione di quelli pubblicati sugli elenchi per i quali non sia stata esercitata l'iscrizione in registro delle opposizioni. Essere iscritti comporta non essere contattabili per telemarketing (telefonico con operatore) salvo preferenze specifiche sul singolo titolare/operatore espresse dall'interessato a norma dei successivi commi 4, 5 secondo periodo, e comma 6 dell'art. 1 della presente legge. Si aggiunge un obbligo di trasmissione periodica dei dati di tutti gli abbonati al registro delle opposizioni, valido per i fornitori di servizi di telefonia italiani, qui impropriamente, anche in contrasto con il comma 1 della stessa disposizione normativa, riferito alle definizioni, denominati “operatori”: è del resto immaginabile che gli unici soggetti in grado di eseguire tale aggiornamento della base di dati unica siano le compagnie telefoniche fisse e mobili. Se, viceversa, si dovesse interpretare letteralmente tale obbligo (di fornitura al gestore del registro delle numerazioni non pubblicate) come riferito agli operatori definiti alla lett. c) dell'art. 1 d.P.R. n. 178/2010, la dinamica parrebbe poco gestibile, sia nell'ottica dei titolari del trattamento che nell'ottica del gestore del registro.

Il comma 4 dell'art. 1 della l. n. 5/2018 prevede che gli interessati iscritti al registro di cui al comma 2 (le cui numerazioni siano o meno riportate negli elenchi di abbonati di cui all'art. 2, comma 2), possono revocare, anche per periodi di tempo definiti, la propria opposizione nei confronti di uno o più soggetti di cui all'art. 1, comma 1, lett. c), del medesimo regolamento, in qualunque momento, anche per via telematica o telefonica. Il registro, dovrà prevedere campi di eccezione, variabili e stratificati per periodi di tempo, nei quali l'interessato potrà indicare singoli titolari del trattamento nei confronti dei quali non varrà l'opposizione alla ricezione di contatti telefonici per fini di marketing.

La validità e la revoca dei consensi

Il comma 5 dell'art. 1 della legge recita che con l'iscrizione al registro di cui al comma 2 si intendono revocati tutti i consensi precedentemente espressi, con qualsiasi forma o mezzo e a qualsiasi soggetto, che autorizzano il trattamento delle proprie numerazioni telefoniche fisse o mobili effettuato mediante operatore con l'impiego del telefono per fini di pubblicità o di vendita ovvero per il compimento di ricerche di mercato o di comunicazione commerciale ed è altresì precluso, per le medesime finalità, l'uso delle numerazioni telefoniche cedute a terzi dal titolare del trattamento sulla base dei consensi precedentemente rilasciati. Sono fatti salvi i consensi prestati nell'ambito di specifici rapporti contrattuali in essere, ovvero cessati da non più di trenta giorni, aventi ad oggetto la fornitura di beni o servizi, per i quali è comunque assicurata, con procedure semplificate, la facoltà di revoca.

Il presente comma annulla la validità di qualsiasi consenso espresso per la finalità di marketing diretto telefonico e vieta, altresì, l'utilizzo dei dati, per quanto “consensati”, in liste cedute o noleggiate a terzi. Tale previsione risulta essere in contrasto con gli artt. 6.1.a) GDPR e 13.3 della Direttiva2002/58/CE: in tali norme, si dà rilevanza alla volontà dell'interessato, laddove invece la presente norma tende ad annullarne retroattivamente il valore. L'ultimo periodo fa salvi solo i consensi già rilasciati “nell'ambito di specifici rapporti contrattuali in essere, ovvero cessati da non più di trenta giorni, aventi ad oggetto la fornitura di beni o servizi”, tradendo così al contempo due elementi: da un lato, l'utilizzo della formula “nell'ambito di” che riprende la recente l. n. 167/2017 con il nuovo art. 110-bis del cod. privacy, foriero di criticabili limitazioni (anch'esse in attrito con il GDPR) per l'uso secondario dei dati per finalità di ricerca scientifica o statistiche; dall'altro lato, pone delle perplessità la scritturazione della norma: se il trattamento del dato personale comune fosse necessario per eseguire il contratto di cui è parte l'interessato, nessun consenso sarebbe richiesto a norma dell'art. 6.1.b) del GDPR, mentre gli unici consensi potrebbero configurarsi per diverse finalità dalla mera esecuzione del contratto. Vero è che la formula “nell'ambito di” pare prestarsi ad una possibile interpretazione per cui il consenso al marketing telefonico pregresso possa rimanere valido ancora e sempre che ricorra la condizione, aggiuntiva rispetto ad un consenso marketing dato in precedenza, del persistere di un rapporto contrattuale in essere (o cessato da meno di trenta giorni); quindi, senza “necessità” del trattamento per fini di marketing diretto telefonico, basato su consenso dell'interessato, ai fini della mera esecuzione del contratto.

È rilevante notare, altresì, come tale disciplina riguarda, da un lato, il telemarketing commerciale e, dall'altro, in quanto assimilabili, le attività di raccolta fondi per via telefonica con operatore svolte da organizzazioni non profit che costituisce, altresì, una forma di contatto telefonico promozionale.

Il comma 6 dell'art. 1 della l. n. 5/2018 prevede che è valido il consenso al trattamento dei dati personali prestato dall'interessato, ai titolari da questo indicati, successivamente all'iscrizione nel registro di cui al comma 2.

Il riferimento all'espressione “dati personali” anziché alle numerazioni non lascia il terreno privo di dubbi in quanto anche il titolo della legge sembrerebbe chiaro nel delimitare l'ambito di riferimento alle chiamate per i fini promozionali. Di certo, ogni consenso al marketing telefonico o alla cessione di dati a terzi per fini di marketing telefonico, prestato dall'interessato dopo la propria iscrizione volontaria al registro delle opposizioni, deve valere in eccezione rispetto al regime di opposizione generale. La norma non riconosce il medesimo valore alla volontà degli individui iscritti “d'ufficio” al registro delle opposizioni ex comma 3, in quanto la loro utenza non risulta pubblicata sugli elenchi telefonici.

Dal tenore del presente comma si può affermare la prevalenza del consenso successivo unicamente alle categorie di interessati che abbiano esercitato volontariamente il diritto di iscrizione al registro e non per gli altri iscritti “by default” in quanto aventi numerazioni non pubblicate sugli elenchi telefonici.

Oltre a porsi in probabile contrasto con l'art. 6.1.a) del GDPR, il presente comma fa sorgere una domanda per cui si confida sperabilmente in un'interpretazione ragionevole e conforme al diritto della UE della presente disposizione da parte delle autorità chiamate a giudicare le condotte ad essa riferibili. Ci si domanda, a tal proposito, come potrà un titolare del trattamento, dinanzi la richiesta esplicita e basata su consenso libero, specifico, informato di un interessato (nel senso di essere tenuto aggiornato sulle proprie attività promozionali e commerciali tramite telefono con operatore), non dar seguito a tale manifestazione di volontà in quanto vietata ex lege per l'iscrizione d'ufficio del medesimo interessato nel registro delle opposizioni.

Gli effetti della l. n. 5/2018

Il comma 7 dell'art. 1 della l. n. 5/2018 disciplina gli effetti della presente legge, prevedendo che sono vietati, con qualsiasi forma o mezzo, la comunicazione a terzi, il trasferimento e la diffusione di dati personali degli interessati iscritti al registro di cui al comma 2, da parte del titolare del trattamento, per fini di pubblicità o di vendita ovvero per il compimento di ricerche di mercato o di comunicazione commerciale non riferibili alle attività, ai prodotti o ai servizi offerti dal titolare del trattamento.

In particolare ogni attività di cessione di liste di numerazioni di soggetti che abbiano optato per l'iscrizione volontaria nel registro delle opposizioni è vietata. È altresì limitata l'eccezione alla regola prevista dal precedente comma 6, con riferimento ai consensi resi successivamente all'iscrizione, e l'altra eccezione prevista dal comma 5 ultimo periodo con riferimento ai rapporti contrattuali in essere o cessati da meno di 30 giorni. Il precedente comma 6 fa espresso riferimento al divieto di cessione, ai “dati personali” e non solo alle numerazioni, per le finalità di pubblicità, vendita diretta, ricerche di mercato o comunicazione commerciale: sembrerebbe da doversi limitare comunque, per via interpretativa, tale divieto alle sole cessioni di numerazioni, anche per via dell'oggettiva impossibilità, in molti casi e altrimenti, di riconciliare il dato di un determinato interessato (es. Tizio con email tizio@tizio.xx) al medesimo soggetto che sia iscritto con un numero al registro delle opposizioni.

In data 17 gennaio 2020, il CDM ha approvato, in esame preliminare, il Regolamento da adottarsi con decreto del Presidente della Repubblica che sostituirà il d.P.R. n. 178/2010 di istituzione e funzionamento del Registro Opposizioni originario, permettendo l'iscrizione a tutte le numerazioni nazionali. Dal 1 dicembre 2020 gli utenti potranno iscrivere i propri numeri, cellulari e fissi, nel Registro delle Opposizioni al fine di opporsi ai contatti per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l'impiego del telefono.

Cessione dei dati a terzi

Il comma 8 dell'art. 1 della presente legge recita che: in caso di cessione a terzi di dati relativi alle numerazioni telefoniche, il titolare del trattamento è tenuto a comunicare agli interessati gli estremi identificativi del soggetto a cui i medesimi dati sono trasferiti.

Qui pare introdursi un obbligo generale di informativa sulla cessione da parte di qualsiasi titolare che, tra gli altri dati, ceda a terzi autonomi titolari del trattamento anche dati relativi a numerazioni telefoniche. Infatti, la disposizione non limita il perimetro della cessione alla finalità di marketing telefonico diretto con operatore. Vero è che, letta in tal modo, tale norma diverrebbe insostenibile per qualsiasi operazione di comunicazione/cessione a terzi di anagrafiche: più sensato sarebbe intenderla come riferita, alle sole cessioni di tali dati destinate a finalità di marketing telefonico con operatore, posto il titolo della legge in esame.

Sanzioni

Il comma 9 dell'art. 1 della legge de qua recita che: “al di fuori dei casi previsti dall'art. 167 del cod. privacy (d.lgs. n. 196/2003), in caso di violazione di uno dei divieti di cui al comma 7, si applica la sanzione amministrativa di cui all'art. 162, comma 2- bis, del medesimo codice. In caso di reiterazione delle suddette violazioni, su segnalazione del Garante per la protezione dei dati personali, le autorità competenti possono altresì disporre la sospensione o, nelle ipotesi più gravi, la revoca dell'autorizzazione all'esercizio dell'attività”.

Posto che l'art. 162 comma 2-bis è stato abrogato dal d.lgs. n. 101/2018 il quale ha modificato, altresì, i commi dell'art. 167 del d.lgs. n. 196/2003 ed attuale codice privacy, si può affermare che l'art. 166 del codice, come trasformato a seguito del decreto, condensa in sé tutte le previsioni rilevanti in materia di protezione dei dati e sanzioni amministrative pecuniarie, e loro modalità di applicazione, a livello nazionale. Esse, pur rinviando sempre all'art. 83 del GDPR, non riguardano solo fattispecie di violazione derivanti dal GDPR, ma anche altre fattispecie connesse a discipline differenti (ad es. e-privacy) che vengono ricondotte nell'alveo del regime sanzionatorio del GDPR.

Ai sensi dell'art. 83, par. 4, 5 e 6, GDPR, le sanzioni amministrative pecuniarie sono suddivise nei seguenti due raggruppamenti in relazione alle diverse tipologie di violazioni:

– sanzioni fino a 10 milioni o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente;

– sanzioni fino ad euro 20 milioni o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente.

Ai fini della determinazione delle sanzioni applicabili per le diverse violazioni, occorre, inoltre, tener presente l'art. 166 del d.lgs. n. 196/2003 novellato dal d.lgs. n. 101/2018 rubricato “criteri di applicazione delle sanzioni amministrative pecuniarie e procedimento per l'adozione dei provvedimenti correttivi e sanzionatori” che dispone a quali sanzioni, fra quelle indicate nell'art. 83, par. 4 e 5, sono soggette le violazioni del d.lgs. n. 196/2003. Dal combinato disposto di cui agli artt. 83 del Regolamento e 166 del d.lgs. n. 196/2003 risultano applicabili le seguenti sanzioni relative agli ambiti della normativa ora analizzata e relative alla violazione dei seguenti articoli del d.lgs. n. 196/2003 come l'art. 123 comma 4 (informazioni sui dati relativi al traffico da rendere al contraente ed utente), l'art. 132-ter (sicurezza del trattamento per i fornitori di servizi di comunicazione elettronica accessibili al pubblico).

Il comma 10 dell'art. 1 della l. n. 5/2018 prevede che: “ai sensi dell'art. 12, comma 2, del regolamento di cui al d.P.R. n. 178/2010, in caso di violazione del diritto di opposizione nelle forme previste dalla presente legge, si applica la sanzione amministrativa di cui all'art. 162, comma 2-quater, del codice di cui al d.lgs. n. 196/2003. In caso di reiterazione delle suddette violazioni, su segnalazione del Garante per la protezione dei dati personali, le autorità competenti possono altresì disporre la sospensione o, nelle ipotesi più gravi, la revoca dell'autorizzazione all'esercizio dell'attività”.

Premesso che l'art. 162, comma 2-quater del d.lgs. n. 196/2003 è stato abrogato dal d.lgs. n. 101 del 2018, in caso di violazione del diritto di opposizione nelle forme previste dalla presente legge si applicano le sanzioni previste dal combinato disposto di cui agli artt. 83 GDPR e 166 del d.lgs. n. 196/2003. In particolare, sono previste delle sanzioni fino ad euro 20 milioni o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore, in caso di violazione dei diritti degli interessati a norma dell'art. 21 GDPR disciplinante il diritto di opposizione del soggetto interessato, dell'art. 130 commi da 1 a 5, cod. privacy (comunicazioni indesiderate), art. 131 cod. privacy (informazioni a contraenti ed utenti), art. 132 cod. privacy (conservazione di dati di traffico per altre finalità).

Il comma 11 dell'art. 1 della presente Legge prevede che il titolare del trattamento dei dati personali è responsabile in solido delle violazioni delle disposizioni della presente legge anche nel caso di affidamento a terzi di attività di call center per l'effettuazione delle chiamate telefoniche.

Consultazioni mensili del Registro pubblico delle opposizioni

Il comma 12 dell'art. 1 della legge prevede che gli operatori che utilizzano i sistemi di pubblicità telefonica e di vendita telefonica o che compiono ricerche di mercato o comunicazioni commerciali telefoniche hanno l'obbligo di consultare mensilmente, e comunque precedentemente all'inizio di ogni campagna promozionale, il registro pubblico delle opposizioni e di provvedere all'aggiornamento delle proprie liste.

Il comma 13 dell'art. 1 della l. n. 5/2018 prevede che al fine di rendere più agevole e meno costosa la consultazione periodica del registro da parte degli operatori di cui al comma 12, il Ministro dello sviluppo economico, sentiti il gestore del registro, se diverso dal Ministero dello sviluppo economico, gli operatori e le associazioni di categoria maggiormente rappresentative, con proprio decreto dettano criteri generali per l'aggiornamento periodico delle tariffe con le modalità previste dall'art. 6, comma 1, del regolamento di cui al d.P.R. n. 178/2010, conformandosi ai seguenti criteri:

a) promuovere l'adozione da parte del gestore del registro e degli operatori di forme tecniche, anche mediante l'utilizzo di tecnologie avanzate, con il fine di contenere il costo delle tariffe di consultazione preliminare del registro;

b) prevedere modelli tariffari agevolati anche con forme di abbonamento temporale per gli operatori a cui non siano state comminate, negli ultimi cinque anni, le sanzioni previste dal Regolamento europeo;

c) prevedere comunque, nella determinazione delle tariffe, l'integrale copertura dei costi di tenuta del registro.

Tale informazione pare dar per scontato che ogni attività di marketing telefonico diretto si suddivida in molteplici “campagne” isolabili l'una dall'altra, mentre così non è poiché vi possono essere trattamenti continuativi, basati sul consenso degli interessati, tesi all'aggiornamento su promozioni, offerte e altre iniziative promozionali. Con il presente comma si introduce una sorta di imposizione a qualunque titolare del trattamento che intenda fare pubblicità telefonica di registrarsi come operatore presso il registro delle opposizioni, pagando le tariffe obbligatorie per la consultazione e la “pulitura” periodica delle liste di contatti.

Il divieto dell'utilizzo di compositori telefonici

Il comma 14 dell'art. 1 della l. n. 5/2018 disciplina il divieto dell'utilizzo di compositori telefonici per la ricerca automatica di numeri anche non inseriti negli elenchi di abbonati di cui all'art. 2, comma 2, del Regolamento di cui al d.p.r. n. 178/2010. Non è chiaro cosa si intenda per “compositori telefonici per la ricerca automatica di numeri anche non inseriti negli elenchi di abbonati”. Se l'interpretazione fosse quella del divieto di utilizzare software che smistano le telefonate all'interno dei call center (assegnandole ai diversi operatori) di fatto si impedirebbe l'operatività dei call center che trattano liste massive di destinatari. L'interpretazione più ragionevole, invece, fa propendere per il divieto di uso di dialer che compongano numerazioni “inventandole” automaticamente, secondo algoritmi di combinazione numerica, e senza basarsi su elenchi telefonici o liste precompilate di numerazioni.

Il comma 15 della legge analizzata disciplinava la circostanza che, al momento antecedente all'entrata in vigore della presente legge, venissero apportate opportune modifiche alle disposizioni regolamentari vigenti disciplinanti le modalità di iscrizione e funzionamento del registro delle opposizioni disponendo, altresì, l'abrogazione di eventuali disposizioni regolamentari incompatibili con le norme della presente legge.

Individuazione di codici e prefissi

L'art. 2 della l. n. 5/2018 individua, ai sensi dell'art. 15 del d.lgs. n. 259/2003, due codici o prefissi specifici, atti a identificare e distinguere in modo univoco le chiamate telefoniche finalizzate ad attività statistiche (0843) da quelle finalizzate al compimento di ricerche di mercato e ad attività di pubblicità, vendita e comunicazione commerciale (0844).

Mediante tale innovazione chiunque, ancorché non iscritto al registro delle opposizioni, potrà riconoscere la natura commerciale delle telefonate; in alternativa al prefisso unico, difatti, il Legislatore prevede la possibilità, per gli operatori commerciali, di presentare l'identità della linea a cui possono essere contattati. In tal modo, chi riceve la chiamata, qualora non iscritto al registro della Fondazione Bordoni, potrà esercitare il diritto di recesso ricontattando il numero chiamante. Il contenuto di tale norma rappresenta un adempimento burocratico in più per gli operatori ed al contempo potrebbe rivelarsi utile per gli interessati destinatari delle chiamate. Interessante che l'uso dei due numeri con “codici o prefissi specifici, atti a identificare e distinguere in modo univoco le chiamate telefoniche finalizzate ad attività statistiche da quelle finalizzate al compimento di ricerche di mercato e ad attività di pubblicità, vendita e comunicazione commerciale” parrebbe solo un'opzione: in alternativa gli operatori “presentano l'identità della linea a cui possono essere contattati”. La competenza a tenere il Registro unico degli operatori di comunicazione (Roc) è stata affidata all'Autorità garante per le comunicazioni (Agcom) con la l. n. 249/1997 (che ha istituito la stessa Autorità). L'Agcom, da ultimo, con la delibera 666/08/Cons. del 26 novembre 2008, si è dotata di un regolamento interno per la gestione del Roc, delegando molte delle relative attività ai Comitati regionali per le comunicazioni (Co.re.com). La finalità espressa del Roc è quella di garantire la trasparenza e la pubblicità degli assetti proprietari dei soggetti che sono in possesso di concessioni o autorizzazioni nell'ambito della comunicazione (tra i quali, ovviamente, sono compresi anche i call center), nonché di facilitare l'applicazione delle normative antitrust e di tutela del pluralismo informativo, oltre che il rispetto dei limiti previsti per le partecipazioni di società estere.

L'art. 3 della l. n. 5/2018 prevede che: “agli adempimenti di cui agli artt. 1 e 2 si provvede senza nuovi o maggiori oneri per la finanza pubblica, con le risorse umane, finanziarie e strumentali disponibili a legislazione vigente”.

Vista la previsione dell'obbligo di iscrizione massiva al registro delle opposizioni da parte di qualsiasi titolare che voglia svolgere attività di marketing telefonico con operatore, così tenuto al versamento dei costi per la sua consultazione periodica, i fondi necessari per l'attuazione della presente normativa non dovrebbero, in effetti, rappresentare un problema per la finanza pubblica, ma anzi una grande e ricca risorsa da cui attingere.