Trasmissione di dati personali a terzi da parte di associazioni a scopi di marketing

Un'associazione sportiva svizzera ha chiesto alle società affiliate una lista di tutti i loro membri. I dati dovrebbero essere venduti a scopi di marketing. Diverse società ci hanno interpellato per sapere se questo modo di procedere sia corretto e se i dati personali in questione possono essere trasmessi. Abbiamo spiegato loro che la trasmissione di dati personali necessita del consenso delle persone interessate e invitato l'associazione a richiamare l'attenzione delle società su questa situazione giuridica, e a non impiegare in nessun caso i dati eventualmente già forniti. La società potrebbe però delegare all'associazione, nell'ambito di un outsourcing, il compito di consultare i singoli membri per ottenere il loro consenso.

Non è la prima volta che dobbiamo occuparci della trasmissione di indirizzi e di altri dati personali di membri di società a terzi a scopo di marketing (ad es. a sponsor) (cfr. il nostro 16° rapporto d'attività 2008/2009, n. 1.8.5). Le società possono trasmettere dati personali a terzi soltanto se questa trasmissione è riconoscibile dagli interessati, se essi la consentono e se non vi si oppongono. Le società possono sancire nei loro statuti che detta trasmissione è ammessa o chiedere il consenso nel caso singolo. Inoltre, gli interessati devono essere informati del fatto che in ogni momento possono opporsi all'utilizzazione dei loro dati personali a scopi di marketing.

Nella primavera del 2009 un'associazione sportiva svizzera si è rivolta per scritto alle sue società affiliate, e ha chiesto loro, basandosi sui suoi statuti, un elenco dei membri (inclusi indirizzi postali ed e-mail). Questi dati dovevano essere impiegati a scopi di marketing. Inoltre l'associazione aveva dichiarato che la trasmissione dei dati a terzi (da parte dell'associazione stessa) era assolutamente conforme alle disposizioni della LPD.

Successivamente, diverse società regionali hanno chiesto se questo modo di procedere fosse corretto, in particolare, volevano sapere se i dati personali chiesti all'associazione potevano o addirittura dovevano essere trasmessi. Abbiamo attirato l'attenzione delle società sul fatto che i dati dei loro membri potevano essere trasmessi a terzi soltanto previo consenso dei singoli membri. Per quanto concerne i dati personali che non hanno bisogno di particolare protezione è sufficiente un'approvazione implicita che può essere tradotta con una soluzione opt-out. In ogni caso, gli interessati devono essere informati circa il destinatario e lo scopo della trasmissione dei dati e deve essere loro accordato il diritto d'opposizione. Inoltre, abbiamo sottolineato che l'impiego di indirizzi e-mail nel caso di pubblicità in massa sottostà alla legge federale del 19 dicembre 1986 contro la concorrenza sleale (LCSl) e presuppone tra l'altro un consenso esplicito (opt-in).

Siamo intervenuti presso l'associazione e l'abbiamo invitata a richiamare l'attenzione delle sue affiliate sulla situazione giuridica corretta e a non utilizzare in nessun caso i dati eventualmente già forniti dai club regionali. In particolare, essa non deve comunicare questi dati a altri terzi fino quando non sia stato garantito che la trasmissione da parte delle società all'associazione sia stata legittimata (ossia mediante la presentazione del consenso dei singoli membri). Solo allora l'associazione è legittimata sia al trattamento che alla trasmissione dei dati a terzi.

In occasione di un incontro, l'associazione ci ha comunicato che l'attuazione della procedura comporta spesso problemi, in quanto le società non detengono in generale la capacità e la volontà di chiedere il consenso dei loro affiliati. Abbiamo proposto una procedura conforme alla LPD: le società potrebbero trasferire l'incarico di chiedere il consenso dei singoli membri all'associazione nell'ambito di un outsourcing. L'associazione può però utilizzare soltanto una volta gli indirizzi al fine di ottenere in nome della società l'approvazione all'impiego dei dati da parte dell'associazione. Dopo la richiesta del consenso, l'associazione può trattare soltanto i dati personali per i quali ha ottenuto l'approvazione delle persone interessate.

https://www.edoeb.admin.ch/content/edoeb/it/home/documentazione/rapporti-d-attivita/vecchi-rapporti/17--rapporto-d-attivita-2009-2010/trasmissione-di-dati-personali-a-terzi-da-parte-di-associazioni-.html