Liceità del trattamento e obblighi del titolare in materia di propaganda elettorale e comunicazione politica

Massimazione e Commenti ai Provvedimenti del Garante a cura dell’Osservatorio Privacy collegato con il Corso di Alta Formazione in Data Protection e Privacy Officer dell’Università di Bologna https://site.unibo.it/dpo

Massima (1) – Il trattamento dei dati personali effettuato da partiti, movimenti politici, comitati di promotori e sostenitori, nonché singoli candidati nell’ambito di iniziative collegate a propaganda elettorale e comunicazione politica può trovare un’idonea base giuridica nel consenso dell’interessato, nel rispetto di quanto previsto nel Regolamento, sia nel caso di soggetti iscritti ad organismi associativi a carattere non politico sia per simpatizzanti, persone contattate in occasione di singole iniziative e sovventori. Potrà poi applicarsi la condizione di liceità relativa al legittimo interesse, alla luce del bilanciamento in essa connaturato, al fine di legittimare i trattamenti di dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, così come quelli effettuati da associazioni, enti, organismi senza scopo di lucro con riguardo ai soggetti loro aderenti e a coloro che hanno con essi regolari contatti nell’ambito delle finalità individuate nello statuto o nell’atto costitutivo. Non possono, invece, essere utilizzati i dati raccolti o utilizzati per lo svolgimento di attività istituzionali, quelli raccolti da titolari di cariche elettive e di altre funzioni pubbliche, quelli raccolti nell’esercizio di attività professionali, di impresa e di cura, quelli contenuti negli elenchi telefonici e quelli reperiti sul web.

Massima (2) – In applicazione del principio di proporzionalità, il titolare del trattamento può ritenersi esonerato dall’obbligo di fornire l’informativa all’interessato laddove lo sforzo richiesto sia sproporzionato rispetto ai diritti tutelati. In particolare, qualora l’adempimento dell’obbligo di cui all’art. 14, par. 1 del Regolamento, come nel caso di dati estratti dalle liste elettorali, risulti impossibile o implichi uno sforzo sproporzionato per gli stessi, in relazione alle specifiche circostanze del caso, è rimessa ai partiti, movimenti politici, comitati di promotori e sostenitori, nonché singoli candidati la scelta di non rendere l’informativa purché siano individuate misure appropriate (ad esempio l’indicazione di un recapito nel materiale eventualmente inviato, così da permettere all’interessato di esercitare i suoi diritti ex art. 15 ss. GDPR, o la pubblicazione dell’informativa sul sito web del titolare o tramite annunci pubblicati su quotidiani a diffusione nazionale o locale).

Provvedimento: GPDP, Docweb n. 9105201 del 18 aprile 2019

Link: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9105201

Keywords: Propaganda elettorale e comunicazione politica, titolare del trattamento, condizioni di liceità, consenso dell’interessato, principio di proporzionalità, informativa

Riferimenti normativi: (1) Art. 49 Cost.; (2) artt. 5, 6, par. 1, lett. a) e f), 7, 13, 14 GDPR

Data del commento: 11 gennaio 2022

Massime e Commento di Carlo Basunti

1. Il caso

Il Garante per la protezione dei dati personali, nel provvedimento in commento, prende in esame i trattamenti di dati personali effettuati per ragioni di propaganda elettorale e comunicazione politica. In questa direzione, l’autorità fornisce importanti indicazioni per chi si ritrovi, nelle successive consultazioni (si rammenta che il provvedimento in questione è di poco antecedente alle ultime elezioni europee), a svolgere il ruolo di titolare del trattamento, e quindi partiti, organismi politici, comitati di promotori, sostenitori, nonché singoli candidati. Un rigoroso rispetto della normativa in materia di protezione dei dati personali risulta dunque fondamentale per mantenere la fiducia dei consociati e assicurare la regolarità delle varie fasi che compongono le consultazioni elettorali, momento centrale della partecipazione alla vita democratica.

2. Le questioni

Le questioni che vengono affrontate nel provvedimento in esame riguardano (i) le condizioni di liceità che possono essere poste alla base di un trattamento effettuato per ragioni di propaganda elettorale e connessa comunicazione politica; e (ii) la proporzionale esenzione del titolare dall’obbligo di fornire un’adeguata informativa circa il trattamento all’interessato.

2.1. Le basi giuridiche legittimanti il trattamento dei dati personali nel caso di propaganda elettorale e comunicazione politica

In merito alla prima questione, il Garante per la protezione dei dati personali individua, tra le condizioni di liceità sulle quali fondare il trattamento, il consenso dell’interessato [art. 6, par. 1, lett. a), GDPR], ponendo quindi in capo all’interessato la valutazione circa la meritevolezza del trattamento che si intende effettuare. Il consenso, come noto, deve essere libero, specifico, informato ed inequivocabile (art. 4, n. 11, GDPR), nonché esplicito laddove si tratti di categorie particolari di dati personali [art. 9, par. 2, lett. a), GDPR]; inoltre, nel caso in cui vi siano finalità ulteriori nell’ambito del medesimo trattamento, la formulazione del consenso “primario” deve essere tenuto distinto da tali eventuali finalità (art. 7, par. 2, GDPR), tenendo sempre in «massima considerazione» le c.d. operazioni di tying (art. 7, par. 4, GDPR).

Il Garante afferma quindi che i dati personali di soggetti iscritti ad organismi associativi a carattere non politico possono essere trattati previa acquisizione del loro consenso con idonea indicazione nell’informativa del proposito di trattare tali dati per la realizzazione di propaganda elettorale e comunicazione politica, così da permettere all’interessato di prestare o meno consensi validi per le finalità perseguite dal titolare. L’obbligo di richiesta del consenso agli interessati viene meno nel caso in cui le finalità di propaganda elettorale e comunicazione politica figurino nello statuto o nell’atto costitutivo dell’organismo titolare del trattamento, sempre che tali finalità, unitamente alle modalità di contatto degli interessati siano rese note a questi ultimi attraverso l’informativa ex art. 13 GDPR. Il consenso è, nel provvedimento in esame, la base giuridica da utilizzare anche per il trattamento dei dati personali di simpatizzanti, sovventori e, in generale, persone contattate in occasione di singole iniziative politiche purché nell’informativa fornita dal titolare siano evidenziate chiaramente le suddette finalità di propaganda elettorale e comunicazione politica perseguite. In quest’ultima fattispecie il consenso non sarà necessario qualora il sostegno ad una iniziativa comporti, con il conferimento dei propri dati personali, «una particolare forma di “adesione” al soggetto politico e al suo programma, tale per cui, in base allo statuto, all’atto costitutivo o ad altro preesistente complesso di regole, l’interessato potrà essere successivamente contattato in vista di ulteriori iniziative compatibili con gli scopi originari della raccolta» (GPDP, Docweb n. 9105201 del 18 aprile 2019, in commento, par. 2).

L’autorità Garante afferma poi che, nel caso di trattamento effettuato per ragioni di propaganda elettorale e comunicazione politica, possa trovare applicazione anche la condizione di liceità ex art. 6, par. 1, lett. f), GDPR riferita al legittimo interesse, disposizione dal carattere indeterminato che comporta un test comparativo tra l’interesse legittimo del titolare o di terzi, che deve essere valutato in rapporto agli interessi, ai diritti ed alle libertà fondamentali dell’interessato. Potranno quindi, certamente, fondarsi su tale base giuridica i trattamenti di dati provenienti da elenchi, atti o altre fonti documentali conoscibili da chiunque e quindi anche da pubblici registri (come evidenziato pure nella Relazione illustrativa di accompagnamento allo schema di d.lgs. 101/2018), pur sempre nel rispetto dei presupposti, dei limiti e delle modalità che la legge stabilisce per accedervi. Un discorso analogo può essere fatto per quei trattamenti effettuati da enti, associazioni e organismi senza scopo di lucro con riguardo ai soggetti loro aderenti e, più ampiamente, a coloro che hanno con essi regolari contatti nell’ambito delle finalità individuate nello statuto o nell’atto costitutivo.

Fanno invece eccezione, e non possono pertanto essere utilizzati per gli scopi in esame, i dati personali raccolti o utilizzati per lo svolgimento di attività istituzionali, come pure i dati personali raccolti da titolari di cariche elettive e di altre funzioni pubbliche, quelli raccolti nell’esercizio di attività professionali, di impresa e di cura, quelli contenuti negli elenchi telefonici e quelli reperiti sul web.

Il provvedimento in commento pone dunque in evidenza l’attenzione del Garante per l’individuazione della più corretta base giuridica su cui fondare il trattamento: l’autorità fornisce infatti efficaci criteri ed elenchi esemplificativi per indirizzare l’operato del titolare del trattamento.

2.2. Il principio di proporzionalità e l’esclusione dall’obbligo di fornire l’informativa all’interessato

Un’ulteriore questione sollevata dal provvedimento in esame riguarda l’obbligo cui è tenuto il titolare del trattamento di informare l’interessato nel caso in cui i dati siano raccolti presso quest’ultimo (art. 13 GDPR) o nel caso di raccolta non effettuato presso l’interessato (art. 14 GDPR). In quest’ultima circostanza, tra l’altro, il titolare è tenuto a fornire l’informativa entro un termine ragionevole dall’acquisizione dei dati (comunque non oltre un mese) o al più tardi non oltre la prima comunicazione all’interessato o ad altro destinatario laddove previsto (art. 14, par. 3 GDPR).

Il Garante, sulla scorta di quanto disposto dall’art. 14, par. 5 GDPR, pone in luce una delle applicazioni che il principio di proporzionalità può avere nella casistica in tema privacy, ossia un utilizzo di tale principio finalizzato alla valutazione delle deroghe all’esercizio dei diritti dell’interessato e, precisamente, dell’esonero per il titolare dall’obbligo di fornire l’informativa all’interessato. Più precisamente, la norma richiamata, nel sancire deroghe ulteriori rispetto a quella contenuta nel precedente art. 13, par. 4 (ossia il caso in cui le informazioni siano già note all’interessato), prevede giusta la lett. b) la fattispecie in cui la comunicazione di tali informazioni risulti impossibile o implichi uno sforzo sproporzionato per il titolare. È pertanto il principio di proporzionalità a fungere da metro per la valutazione dell’obbligo di fornire all’interessato le informazioni previste dall’art. 14, parr. 1 e 2 GDPR. Stante la menzionata deroga, come sottolinea l’autorità Garante, il titolare è comunque tenuto ad adottare le misure idonee alla tutela dei diritti, libertà e legittimi interessi dell’interessato anche, laddove risultasse utile in tal senso, rendendo pubbliche le informazioni. Si tratta di una espressione del principio di accountability che rimette al titolare, nell’ottica di una sua responsabilizzazione, l’adozione di adeguate misure tecniche ed organizzative al fine di risultare sempre compliant con la normativa vigente. È infatti con l’entrata in vigore del GDPR che, giova ribadirlo, grava sul titolare la valutazione in merito all’eventuale sproporzione (in rapporto ai diritti tutelati) dello sforzo a lui richiesto per adempiere all’obbligo di informativa e può pertanto risultare di particolare utilità per il titolare stesso fondare le proprie decisioni, sulla base del percorso ben definito dal Garante.

Quindi, come testualmente affermato del provvedimento in commento, «qualora l’adempimento dell’obbligo di cui all’art. 14, par. 1 del Regolamento, come nel caso di dati estratti dalle liste elettorali, risulti impossibile o implichi uno sforzo sproporzionato per gli stessi, in relazione alle specifiche circostanze del caso, è rimessa ai partiti, movimenti politici, comitati di promotori e sostenitori, nonché singoli candidati la scelta di non rendere l’informativa purché siano individuate misure appropriate» (Ibidem, par. 6). Potrebbero in questo senso risultare efficaci misure come l’indicazione di un recapito nel materiale eventualmente inviato così da permettere all’interessato di esercitare i suoi diritti ex art. 15 ss. GDPR o la pubblicazione della informativa sul sito web del titolare o tramite annunci pubblicati su quotidiani a diffusione nazionale o locale.

Nel provvedimento che in tale sede si commenta, emerge pertanto la rilevanza del principio di proporzionalità con riferimento all’informativa da fornire all’interessato, dal momento che al titolare non si può richiedere in primis ed ovviamente il raggiungimento di un fine impossibile, ma, qualora detto fine fosse astrattamente realizzabile, non può parimenti essere richiesto un impiego di mezzi manifestamente sproporzionato. È quindi necessario bilanciare correttamente, secondo proporzionalità, lo sforzo richiesto al titolare con il rispetto del diritto tutelato, stante la forte eco del considerando 4 GDPR che non pone il diritto alla protezione dei dati personali come prerogativa assoluta.

3. Precedenti

Sull’esonero dall’obbligo di informativa, laddove comporti uno sforzo sproporzionato per il titolare, in materia di propaganda elettorale e connessa comunicazione politica, cfr. Garante prot. dati personali, 6 marzo 2014, Docweb n. 3013267; Garante prot. dati personali,12 febbraio 2004, Docweb n. 634369; Garante prot. dati personali, 7 settembre 2005, Docweb n. 1165613; Garante prot. dati personali, 24 aprile 2013, Docweb n. 2404305. In generale sull’esonero dall’obbligo di informativa si vedano poi Garante prot. dati personali, 4 aprile 2001, Docweb n. 40763 e Garante prot. dati personali, 18 gennaio 2007, Docweb n. 1392461 in merito a operazioni di cartolarizzazione dei crediti; e Garante prot. dati personali,19 febbraio 2015, Docweb n. 3864423 sulla possibilità di redigere una informativa in forma semplificata; sull’esonero dall’obbligo di fornire l’informativa individualmente, ma solo tramite sito web o annunci pubblicati su quotidiani a diffusione nazionale cfr. Garante prot. dati personali, 5 luglio 2017, Docweb n. 6845231; Garante prot. dati personali, 9 novembre 2017, Docweb n. 7489156; Garante prot. dati personali, 11 giugno 2015, Docweb n. 4169456.

4. Bibliografia

In commento al Reg. 679/2016 si vedano N. Zorzi Galgano (a cura di), Persona e mercato dei dati. Riflessioni sul GDPR, Padova, 2019; G. Finocchiaro (diretto da), La protezione dei dati personali in Italia. Regolamento UE n. 2016/679 e d.lgs. 10 agosto 2018, n. 101, Bologna, 2019; V. Cuffaro-R. D’Orazio-V. Ricciuto (a cura di), I dati personali nel diritto europeo, Torino, 2019.

Sulle condizioni di liceità del trattamento dei dati personali cfr. F. Bravo, Le condizioni di liceità del trattamento dei dati personali, in G. Finocchiaro (diretto da), La protezione dei dati personali in Italia. Regolamento UE n. 2016/679 e d.lgs. 10 agosto 2018, n. 101, Bologna, 2019, p. 110 ss.; D. Poletti, Art. 6 Liceità del trattamento, in R. D’Orazio-G. Finocchiaro-O. Pollicino-G. Resta (a cura di), Codice della privacy e data protection, Milano, 2021, p. 191 ss.; Id., Le condizioni di liceità del trattamento dei dati personali, in Giur. it., 2019, 12, p. 2783 ss.; con riferimento al ruolo delle condizioni di liceità del trattamento in relazione ai risvolti economici dello sfruttamento dei dati personali v. F. Bravo, Il “diritto” a trattare dati personali nello svolgimento dell’attività economica, Milano, 2018, spec. p. 107 ss.; con particolare riguardo al consenso dell’interessato sia consentito il rinvio a C. Basunti, La (perduta) centralità del consenso nello specchio delle condizioni di liceità del trattamento dei dati personali, in Contr. e impr., 2020, 2, p. 860 ss.

Sul principio di accountability v. G. Finocchiaro, Il principio di “accountability”, in Giur. it., 2019, 12, p. 2778 ss. Con riferimento al principio di proporzionalità in materia di protezione dei dati personali si veda F. Bravo, Il “diritto” a trattare dati personali nello svolgimento dell’attività economica, cit., p. 160 ss. e, spec., p. 188 ss.; nonché F. Bravo, Sul bilanciamento proporzionale dei diritti e delle libertà “fondamentali”, tra mercato e persona: nuovi assetti nell’ordinamento europeo?, in Contr. e impr., 2018, 1, p. 190 ss.