1.2 Ulteriori provvedimenti del Garante privacy:

Offerte commerciali indesiderate: clienti più tutelati anche in caso di outsourcing
Il Garante è intervenuto nella materia con ulteriori provvedimenti specifici.
Anzitutto, si è posto il problema di meglio regolamentare le attività promozionali svolte in outsourcing: frequentemente accade infatti che tali attività vengano svolte non direttamente dall'impresa/società promotrice, ma da agenti o altri soggetti terzi, rendendo quindi necessario chiarire quale fra il soggetto promotore e il terzo debba considerarsi titolare del trattamento ai sensi della normativa privacy; e ciò sia per individuare correttamente il soggetto tenuto all'adempimento dei relativi e conseguenti obblighi in materia, sia per tutelare il legittimo affidamento dell'interessato nell'identificare col committente il soggetto da cui viene contattato, sia per individuare con maggiore certezza gli autori di eventuali illeciti.
A questo proposito, con il provvedimento a carattere generale "Titolarità del trattamento di dati personali in capo ai soggetti che si avvalgono di agenti per attività promozionali" del 15 giugno 2011, le società che si avvalgono di agenzie o altre imprese per la promozione o la commercializzazione della loro attività definendone esse stesse gli obiettivi, le strategie commerciali e le istruzioni operative – quindi mantenendo di fatto il controllo operativo dell'operazione – , rispondono sempre in prima persona dei trattamenti dei dati e degli eventuali illeciti compiuti e sono tenute a nominare formalmente le agenzie o le imprese di cui si avvalgono in outsourcing quali responsabili dei trattamenti stessi.

Call center siti in Paesi fuori dall'UE
Con il "Provvedimento prescrittivo in materia di trattamento dei dati personali effettuato mediante l'utilizzo di call center siti in Paesi al di fuori della Unione europea"  del 10 ottobre 2013 il Garante ha imposto ulteriori e specifici obblighi in capo agli operatori titolari del trattamento che per le loro attività di telemarketing si avvalgono di call center situati in paesi al di fuori dell’Unione europea, nei quali non siano assicurate le garanzie previste dalla normativa comunitaria.
Il provvedimento ribadisce anzitutto le regole generali da rispettare per i trasferimenti di dati all'estero: l'autorizzazione del Garante, l'adozione di regole di condotta infragruppo (le cosiddette BCR "binding corporate rules"), la sottoscrizione tra le parti delle clausole contrattuali tipo stabilite dalla Commissione europea.
Ma soprattutto introduce importanti novità, anche di tipo organizzativo. Anzitutto gli operatori che utilizzano tali call center devono integrare l'informativa resa al momento del contatto con l'utente specificando anche la nazione dalla quale chiamano o rispondono.
Devono inoltre provvedere alla formazione degli operatori del call center che trattano i dati in qualità di incaricati (anche per il tramite del soggetto designato responsabile) in merito alle procedure ed alle misure di sicurezza adottate, ed effettuare verifiche periodiche presso il responsabile sull'osservanza delle istruzioni impartite.
Per le chiamate in entrata,  i call center sono tenuti ad adottare apposite procedure per dare all'utente la possibilità di scegliere un operatore collocato sul territorio nazionale (ad es. deviando la telefonata o disponendo un successivo contatto da parte di un operatore italiano). Infine, gli operatori che intendono trasferire o affidare il trattamento di dati personali a un call center situato in Paesi extra Ue devono effettuare una comunicazione preventiva al Garante, utilizzando il modello messo a disposizione sul sito dell'Autorità.

Nuove regole per fermare le "chiamate mute"
Infine, con il Provvedimento generale sulle c.d. 'chiamate mute' del 20 febbraio 2014 - oggetto della recente consultazione con gli operatori coinvolti (associazioni di categoria, lavoratori, consumatori) -  il Garante è nuovamente intervenuto sulle pratica delle "chiamate mute"  (un precedente provvedimento era  stato emesso nei confronti di una grande società operante nel settore dell'energia).
L'Autorità, in seguito alle segnalazioni ricevute ed alle verifiche effettuate, ha accertato che il problema deriva dalle impostazioni dei sistemi centralizzati di chiamata dei call center, rivolti a massimizzare la produttività degli operatori. In pratica, per eliminare i tempi morti tra una telefonata e l'altra, il sistema genera in automatico un numero di chiamate superiore agli operatori disponibili. Queste chiamate, una volta ottenuta risposta, possono essere mantenute in attesa silenziosa finché non si libera un operatore. Il risultato è appunto una "chiamata muta", che può indurre comprensibili stati di ansia, paura e disagio nei destinatari, quindi diffuso allarme sociale.

Al fine di eliminare gli effetti distorsivi di questa pratica commerciale, il Garante ha stabilito precise regole:

• i call center dovranno tenere precisa traccia delle "chiamate mute", che si interromperanno comunque trascorsi 3 secondi dalla risposta dell'utente;
• non potranno verificarsi più di 3 telefonate "mute" ogni 100 andate "a buon fine". Tale rapporto dovrà essere rispettato nell'ambito di ogni singola campagna di telemarketing;
• l'utente non potrà più essere messo in attesa silenziosa, ma il sistema dovrà generare una sorta di rumore ambientale (ad es. con voci di sottofondo, squilli di telefono, brusio) per dare la sensazione che la chiamata non provenga da un eventuale molestatore;
• l'utente disturbato da una chiamata muta non potrà essere ricontattato per almeno cinque giorni e, al contatto successivo, dovrà essere garantita la presenza di un operatore;
• i call center saranno tenuti a conservare per almeno due anni i report statistici delle telefonate "mute" effettuate per ciascuna campagna, così da consentire eventuali controlli.

Gli operatori di telemarketing hanno sei mesi di tempo per mettersi in regola e adottare le misure prescritte dall'Autorità.

2. Le garanzie introdotte nel novellato Codice del consumo
Richiamati, pur se nelle loro linee generali, i principali provvedimenti in materia di privacy nell'ambito delle attività di telemarketing, veniamo ad esaminare le novità introdotte con le recenti modifiche al Codice del consumo dal decreto legislativo n. 21 del 21 febbraio 2014.
Le modifiche, sviluppate lungo le due linee direttrici degli obblighi di informazione precontrattuale e dell'esercizio del diritto di recesso, toccano esplicitamente il tema qui trattato.

Oltre alle regole generali previste per le vendite a distanza, il riferimento esplicito è, in particolare, ai commi 5 e 6 del nuovo art. 51 "Requisiti formali dei contratti a distanza", così formulati:
"5. … se il professionista telefona al consumatore al fine di concludere un contratto a distanza, all’inizio della conversazione con il consumatore egli deve rivelare la sua identità e, ove applicabile, l’identità della persona per conto della quale effettua la telefonata, nonché lo scopo commerciale della chiamata e l’informativa di cui all’articolo 10 del decreto del Presidente della Repubblica 7 settembre 2010, n. 178" (che, ricordiamolo, è il decreto che regolamenta il funzionamento del Registro delle opposizioni)
"6. Quando un contratto a distanza deve essere concluso per telefono, il professionista deve confermare l’offerta al consumatore, il quale è vincolato solo dopo aver firmato l’offerta o dopo averla accettata per iscritto; in tali casi il documento informatico può essere sottoscritto con firma elettronica ai sensi dell’articolo 21 del decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni. Dette conferme possono essere effettuate, se il consumatore acconsente, anche su un supporto durevole."

Quindi, il perfezionamento del contratto di vendita a distanza è subordinato alla sottoscrizione o all'accettazione per iscritto della relativa offerta. La sottoscrizione può avvenire anche con firma digitale o con altre modalità di firma elettronica qualificata. E' invece definito “supporto durevole: ogni strumento che permetta al consumatore o al professionista di conservare le informazioni che gli sono personalmente indirizzate in modo da potervi accedere in futuro per un periodo di tempo adeguato alle finalità cui esse sono destinate e che permetta la riproduzione identica delle informazioni memorizzate". In base a tale definizione (integralmente mutuata da quella contenuta nella direttiva 2011/83/CE), un supporto è duraturo se consente al consumatore di conservare le informazioni, se assicura l’assenza di alterazione del contenuto delle stesse informazioni e garantisce la loro accessibilità, consentendo altresì la possibilità di riprodurre le informazioni ricevute in maniera identica. Al fine di meglio comprendere cosa si intenda per supporto durevole, può soccorrere la direttiva 2002/65/CE, concernente la commercializzazione a distanza di servizi finanziari ai consumatori, che considera quali "supporti durevoli" i dischetti informatici, i CD-ROM, i DVD e il disco fisso del computer del consumatore che tiene in memoria messaggi di posta elettronica.

Soffermandoci invece sul comma 5, ed interpretando letteralmente le disposizioni qui contenute, il call center è espressamente tenuto ad identificare l'azienda (o il brand) per conto del quale sta chiamando, a chiarire che si tratta di una chiamata avente finalità commerciali e a fornire l'informativa in merito al registro delle opposizioni (in base al citato  richiamo all'art. 10 del D.P.R. 178/2010) .
Questo nel caso in cui i nominativi dei consumatori destinatari della telefonata siano estratti dagli elenchi telefonici, secondo la disciplina regolamentare introdotta dal citato D.P.R. 178/2010 .
Se invece i nominativi provenissero da una diversa fonte? O se addirittura venissero utilizzate modalità automatizzate di contatto? La risposta a queste domande non può essere immediata, e richiede uno specifico sforzo interpretativo, anzitutto perché nella versione novellata del Codice del consumo è stata abrogata la norma di coordinamento prevista nel precedente art. 58 e, conseguentemente, anche il richiamo alla competenza del Garante per la protezione dei dati personali limitatamente alla violazione di cui all'articolo 58 stesso (cfr. artt.  58 e 62 del Codice del consumo, D.Lgs. 6 settembre 2005 n. 206).

E' infatti  interessante notare che l'art. 58 "Limiti all'impiego di talune tecniche di comunicazione a distanza" del Codice del consumo  al comma 1 così recitava:
"1. L'impiego da parte di un professionista del telefono, della posta elettronica, di sistemi automatizzati di chiamata senza l'intervento di un operatore o di fax richiede il consenso preventivo del consumatore."
Lo stesso comma 1 venne poi modificato dall'art. 20-bis della legge 20 novembre 2009, n. 166, contestualmente alle modifiche introdotte nel Codice privacy, diventando "L'impiego da parte di un professionista del telefono, della posta elettronica, di sistemi automatizzati di chiamata senza l'intervento di un operatore o di fax richiede il consenso preventivo del consumatore, fatta salva la disciplina prevista dall' articolo 130, comma 3-bis, del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, per i trattamenti dei dati inclusi negli elenchi di abbonati a disposizione del pubblico".

E lo stesso Garante privacy non mancava di rilevare tale uniformità di impostazione quando, nel citato provvedimento Linee guida in materia di attività promozionale e contrasto allo spam al paragrafo 2.5 dello stesso, così rilevava: "inoltre va evidenziato, in un'ottica di coerenza sistematica, che il principio del consenso per il trattamento dei dati vige anche nella disciplina sulla protezione dei consumatori nei contratti a distanza secondo la quale l'impiego da parte di un professionista del telefono, della posta elettronica, di sistemi automatizzati di chiamata senza l'intervento di un operatore o di fax richiede il consenso preventivo del consumatore (v. art. 58 d.lgs. n. 206/2005, c.d. Codice del consumo)."
Ora, nella versione novellata del Codice del consumo, il comma 5 dell'art. 51 si limita a prevedere il richiamo all'art. 10 del D.P.R. 178/2010 e non alla disciplina di cui all'art. 130 comma 3-bis del Codice Privacy ; viene inoltre abolito il richiamo alla competenza del Garante privacy per le violazioni relative al trattamento dei dati personali (anche se ricordiamo che ai sensi dell'art. 12 del citato D.P.R. 178/2010  i poteri di verifica ed ispettivi in merito al funzionamento del Registro delle opposizioni spettano al Garante stesso).
Una tale diversità nella formulazione del testo normativo non può che insinuare qualche dubbio di coordinamento tra i due Codici e, forse, un intervento chiarificatore da parte delle Autorità competenti sarebbe auspicabile.

Tuttavia, tornando alle domanda precedenti, la risposta non può che fondarsi sul ricorso alle regole generali stabilite dal Codice privacy, in particolare come da ultimo ricostruite dal Garante stesso nei provvedimenti sopra citati in tema di consenso.
Anche perchè, come qui ribadito dal Garante, l'art. 130 del Codice  costituisce una norma speciale di diretta derivazione comunitaria, ricollegata all'art. 13 comma 1 della direttiva 2002/58/CE (cd. direttiva e-privacy), il quale dispone espressamente che: "l'uso di sistemi automatizzati di chiamata senza intervento di un operatore (dispositivi automatici di chiamata), del telefax o della posta elettronica a fini di commercializzazione diretta è consentito soltanto nei confronti degli abbonati che abbiano espresso preliminarmente il loro consenso"; ed il Codice del consumo nella versione novellata, all'art. 67 "Tutela in base ad altre disposizioni", stabilisce che "1. Le disposizioni delle Sezioni da I a IV del  presente  Capo  non escludono nè limitano i diritti che sono attribuiti  al  consumatore da altre norme dell'ordinamento  giuridico  di  fonte  comunitaria  o adottate in conformità a norme comunitarie".

Solo seguendo questa interpretazione l'esigenza di garantire ai consumatori il controllo effettivo delle proprie informazioni personali, di difendersi dall'invadenza di chi utilizza senza il loro consenso recapiti e informazioni personali e quindi di aumentare la fiducia nelle proprie scelte di acquisto potrebbe essere effettivamente rafforzata.