Avviso del KVKK ai negozi sugli SMS: è necessario fornire informazioni e ottenere il consenso esplicito

Ultimamente, è emerso che nei negozi, durante le operazioni alla cassa, ai clienti viene inviato un codice di verifica via SMS con la giustificazione di completare il pagamento ed emettere la fattura, ma che successivamente i negozi inviano SMS promozionali ai clienti. Il KVKK ha ammonito i negozi per la seconda volta in merito a questa pratica che ha suscitato polemiche.

I dati personali hanno smesso di essere personali. Le nostre informazioni vengono sottratte tramite l'hacking dei sistemi delle istituzioni presso cui siamo registrati, oppure le forniamo noi stessi ai negozi durante gli acquisti. Recentemente, la richiesta da parte dei negozi del numero di telefono con la scusa di inviare un codice di verifica via SMS per il pagamento e la fatturazione, seguita dall'invio di pubblicità e annunci, ha sollevato proteste. L'Autorità per la Protezione dei Dati Personali (KVKK) ha richiamato l'attenzione su questa situazione in una dichiarazione pubblicata sul proprio sito.

Nella nota del KVKK, è stato ricordato che in passato era già stato pubblicato un annuncio pubblico a causa di reclami simili riguardanti lo stesso argomento. È stato dichiarato che, poiché la pratica attuale persiste, "si è reso necessario un aggiornamento dell'annuncio pubblico".

La dichiarazione, che sottolinea la necessità per i negozi di informare i consumatori e di ottenere il loro consenso esplicito, è la seguente:

L'articolo 5 della Legge sulla Protezione dei Dati Personali n. 6698 (Legge) disciplina le condizioni per il trattamento dei dati personali. Di conseguenza, dopo aver stabilito al comma (1) dell'articolo 5 della Legge che i dati personali non possono essere trattati senza il consenso esplicito dell'interessato, il comma (2) elenca le condizioni in cui è possibile trattare i dati personali senza richiedere tale consenso.

Nell'articolo 3 della Legge, il consenso esplicito è definito come "un consenso relativo a una questione specifica, basato sull'informazione e dichiarato con libera volontà"; da tale definizione si evince che il consenso esplicito deve possedere tre elementi. Innanzitutto, il consenso esplicito ottenuto deve essere relativo a una questione specifica e limitato a tale questione; in altre parole, il titolare del trattamento deve dichiarare chiaramente per quale questione viene richiesto il consenso. Se deve essere fornita una dichiarazione di consenso esplicito per il trattamento di dati relativi a più categorie, è obbligatorio che il consenso copra anche i diversi aspetti del trattamento, come quali dati saranno trattati e per quali scopi. Il consenso esplicito è una dichiarazione di volontà e, affinché la persona possa acconsentire liberamente, deve sapere a cosa sta acconsentendo; in questo senso, la persona deve essere pienamente informata non solo sull'oggetto, ma anche sulle conseguenze del proprio consenso. Infine, il consenso esplicito, essendo una dichiarazione di volontà, acquisisce validità solo se la persona è consapevole del proprio atto e agisce di propria iniziativa. Qualsiasi situazione che possa invalidare la volontà della persona, come coercizione, minaccia, errore o inganno, invaliderà anche il consenso esplicito fornito per il trattamento dei dati personali; in tali casi, non si può parlare di una dichiarazione di libera volontà. Inoltre, se l'ottenimento del consenso esplicito dell'interessato viene presentato come condizione preliminare per la fornitura di un prodotto o servizio, o per beneficiare di un prodotto o servizio, non si può parlare di un consenso esplicito valido poiché l'elemento della libera volontà viene compromesso.

D'altra parte, ai sensi dell'articolo 10 della Legge, al momento dell'acquisizione dei dati personali, il titolare del trattamento o la persona da lui autorizzata deve adempiere all'obbligo di informativa fornendo informazioni all'interessato in merito all'identità del titolare del trattamento e del suo eventuale rappresentante, allo scopo del trattamento dei dati personali, a chi e per quali scopi i dati personali trattati possono essere trasferiti, al metodo e alla base giuridica della raccolta dei dati personali, nonché agli altri diritti elencati nell'articolo 11 della Legge. In questo contesto, l'obbligo di informativa è un obbligo che deve essere adempiuto indipendentemente dall'ottenimento del consenso esplicito o dalla soddisfazione delle altre condizioni di trattamento dei dati personali previste dalla Legge. Tuttavia, nel caso in cui l'attività di trattamento dei dati personali venga effettuata sulla base del consenso esplicito dell'interessato, il titolare del trattamento deve adempiere separatamente all'obbligo di informativa e all'ottenimento del consenso esplicito.

In questo contesto, a seguito delle valutazioni effettuate dall'Autorità per la Protezione dei Dati Personali;

• È importante che, come requisito di un'informativa stratificata, lo scopo dell'SMS che verrà inviato al telefono delle persone durante le operazioni di cassa dopo l'acquisto in negozio, e le conseguenze derivanti dalla fornitura del codice trasmesso con tale SMS, siano comunicati in modo chiaro e comprensibile alle persone interessate dalle persone autorizzate dal titolare del trattamento nei negozi nella fase iniziale; inoltre, al fine di adempiere all'obbligo di informativa, è necessario fornire i canali di informazione necessari anche nei contenuti di tali SMS,
• È necessario porre fine alle pratiche che prevedono l'esecuzione di attività di trattamento diverse tra loro, come l'approvazione del contratto di adesione, l'ottenimento del permesso di trattamento dei dati personali, l'ottenimento del consenso per comunicazioni commerciali elettroniche, ecc., tramite l'invio di un codice di verifica via SMS durante le operazioni di pagamento nei negozi, e ottenere invece un consenso esplicito separato offrendo opzioni per le attività di trattamento che devono essere effettuate con il consenso esplicito,
• Oltre a ciò, è necessario che i titolari del trattamento effettuino separatamente le operazioni di ottenimento del consenso esplicito e di adempimento dell'obbligo di informativa,
• Nel caso in cui si ricorra a una pratica di invio di un codice di verifica SMS per ottenere il consenso esplicito per l'invio di comunicazioni commerciali elettroniche, il consenso esplicito ottenuto in tale operazione deve coprire tutti gli elementi specificati nella Legge,
• Il consenso esplicito al trattamento dei dati personali per l'invio di comunicazioni commerciali non deve essere presentato agli interessati come un elemento obbligatorio per completare l'acquisto; in caso contrario, poiché tale pratica potrebbe compromettere gli elementi del consenso esplicito, ovvero "basarsi sull'informazione e essere dichiarato con libera volontà", tali pratiche devono essere eseguite in conformità con la Legge,
• In questo contesto, è importante che il consenso esplicito al trattamento dei dati personali per l'invio di comunicazioni commerciali elettroniche venga richiesto dopo il completamento dell'acquisto, evitando così che il consenso esplicito per l'autorizzazione alle comunicazioni commerciali elettroniche venga percepito come un elemento necessario dell'acquisto

Si comunica rispettosamente al pubblico.

 e si osserva che vengono riportate accuse secondo cui il suddetto codice viene richiesto al cassiere con la giustificazione che è necessario per completare i pagamenti, creare la fattura, trasmettere la fattura all'indirizzo di contatto o aggiornare le informazioni, ma che in seguito a tale operazione vengono inviate agli interessati comunicazioni commerciali elettroniche relative alle attività del negozio in questione.

Fonte della notizia: 12punto