Un cittadino, saturo di ricevere telefonate promozionali indesiderate da parte di una società del settore immobiliare, interpella la società che spiega di aver acquistato i contatti da un fornitore esterno, indicando proprio quest’ultimo come soggetto in grado di fornire chiarimenti, dichiarando di non poter fornire informazioni precise.
La risposta oltremodo generica porta il cittadino a presentare reclamo.
Il Garante decide allora di approfondire ed alla società viene chiesto:
- come fossero regolati i rapporti contrattuali con il fornitore;
- se fosse stato verificato l’esistenza di un consenso valido per l’utilizzo dei dati a fini commerciali;
- quali informative venissero fornite durante le chiamate e quale script fosse utilizzato dagli operatori;
- se le utenze contattate fossero state verificate nel Registro Pubblico delle Opposizioni (RPO);
- come venissero gestite le eventuali richieste di opposizione degli interessati.
Emerge che proprio quel fornitore era già stato oggetto di un’altra istruttoria del Garante, che aveva fatto emergere diverse criticità nella raccolta e gestione dei consensi per finalità di marketing.
Le stesse liste erano state cedute a più agenzie, alimentando una catena di contatti commerciali non trasparenti.
La società non fornisce risposte, non chiarisce i dubbi, anzi.
Ammette di non sapere in che modo il fornitore avesse raccolto i consensi, riferisce di aver contattato circa un centinaio di persone dalle liste ricevute e dichiara di non avere certezze né sull’informativa resa, né sulla gestione delle opposizioni.
E soprattutto, non si era curata di consultare il Registro delle Opposizioni prima di effettuare le chiamate.
La valutazione del Garante
Al termine dell’istruttoria, l’Autorità ha deciso di avviare un procedimento formale, essendo emersa la piena responsabilità della società.
Il modo in cui aveva gestito i dati dei contatti sollevava più di una criticità (rectius: violazione) rispetto al GDPR e alla normativa di settore.
In particolare, tra i profili rilevati:
- Mancata verifica della liceità del trattamento La società non aveva controllato né documentato i presupposti per utilizzare quei dati: mancava la certezza dell’informativa resa agli interessati e del consenso valido, e non veniva effettuato alcun riscontro nel Registro Pubblico delle Opposizioni (violazione artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7, 13, 14 del Regolamento e art. 130, commi 3 e 3-bis, del Codice).
- Risposte incomplete agli interessati Quando un utente chiedeva chiarimenti sull’origine o l’uso dei propri dati, la società rinviava al fornitore delle liste. Una scelta che comportava inevitabili ritardi e, di fatto, non garantiva un’informazione piena e tempestiva (violazione artt. 12 e 15 del Regolamento).
- Nessun adempimento data protection Emergeva che non erano stati effettuati adempimenti in materia di protezione dei dati personali (violazione artt. 5, par. 2, 24 e 25 del Regolamento).
Il Garante, nel ricostruire le responsabilità, ha chiarito alcuni punti essenziali che è bene rivedere:
- l’agenzia immobiliare era titolare del trattamento, poiché decideva finalità e mezzi del contatto promozionale;
- l’aver delegato al fornitore la gestione del consenso non sollevava il titolare in ogni caso dalle proprie responsabilità;
- l’attività di telemarketing era condotta senza idonea base giuridica e senza un’adeguata informativa agli interessati;
- la mancata consultazione del RPO rendeva illegittime tutte le campagne promozionali condotte.
Il quadro complessivo evidenziava quindi un deficit di accountability, ossia di responsabilizzazione del titolare, in violazione dei principi cardine del GDPR.
Un altro aspetto critico riguardava la gestione dei diritti degli interessati: le richieste venivano reindirizzate al fornitore, con il risultato di allungare i tempi e rendere incerto il riscontro, in violazione degli obblighi di tempestività e completezza previsti dal GDPR.
Il Garante infine ribadiva un ulteriore punto fermo: nessuna clausola contrattuale di manleva con i fornitori può sollevare il titolare dal dovere di verificare la liceità dei trattamenti e di rispettare i principi di correttezza, trasparenza e legittimità.
Risultato inevitabile
Il Garante, confermando le violazioni contestate, ha applicato l’art. 83 GDPR valutando aggravanti e attenuanti, che meritano anch’esse una riflessione.
Aggravanti principali:
- Gravità delle violazioni: assenza di verifiche sui numeri contattati, gestione inadeguata delle richieste degli interessati, informativa carente nelle chiamate promozionali;
- Condotta negligente: totale mancanza di attenzione alla normativa fino all’intervento dell’Autorità;
- Difformità rispetto a prassi note: inosservanza nonostante numerosi provvedimenti del Garante già emessi in materia di marketing;
- Scarsa cooperazione: risposte sintetiche e generiche, indice di noncuranza verso i doveri di collaborazione.
Attenuanti considerate:
- assenza di precedenti procedimenti a carico della società;
- natura dei dati trattati (anagrafici e di contatto, non dati particolari);
- capacità economica ridotta, valutata sull’ultimo bilancio di esercizio.
La decisione
In una logica di proporzionalità, l’Autorità ha irrogato:
- una sanzione pecuniaria di 40.000 euro, pari allo 0,2% del massimo edittale;
- la pubblicazione del provvedimento sul sito del Garante, come sanzione accessoria, in considerazione della gravità e della scarsa collaborazione mostrata.
