Ordinanza ingiunzione o revoca n. 322 del 18/07/2023

Compara Facile S.r.l. - telemarketing illecito, mancata informativa, diritti dell'interessato e profilazione

Il provvedimento riguarda Compara Facile S.r.l. ed è stato adottato a seguito del reclamo di un interessato che lamentava telefonate promozionali indesiderate, nonostante l’iscrizione al Registro Pubblico delle Opposizioni e le richieste di opposizione, cancellazione e accesso non riscontrate. L’Autorità ha ritenuto illecito il trattamento connesso a campagne di telemarketing e alla raccolta dati tramite sito/landing page, irrogando anche una sanzione pecuniaria.

Origine del procedimento e ricostruzione dei fatti

Il reclamante ha riferito di aver ricevuto contatti telefonici quasi giornalieri da Compara Facile in assenza di un consenso informato preventivo. Ha inoltre segnalato che, dopo le richieste inviate via e-mail per esercitare i diritti ex artt. 15, 17 e 21 GDPR, avrebbe continuato a ricevere ulteriori telefonate promozionali. La Società ha chiarito di aver acquisito le anagrafiche da un data provider con sede in Moldavia, con una licenza temporanea d’uso di 90 giorni, e di averle utilizzate per contattare gli utenti e inviarli a una landing page, dove venivano raccolti ulteriori dati e consensi. Dalla documentazione prodotta è emerso che le liste acquisite erano numerose e che i contatti telefonici erano finalizzati a promuovere i servizi della Società.

Qualificazione del ruolo del soggetto e rilevanza delle clausole contrattuali

Il Garante ha escluso che Compara Facile operasse come semplice responsabile del trattamento nella fase di contatto telefonico. Secondo l’Autorità, era la Società a determinare lo scopo del trattamento, ossia la promozione dei propri servizi, nonché i mezzi essenziali, selezionando il fornitore delle liste e utilizzando i dati per finalità commerciali proprie. Sono stati ritenuti irrilevanti, nei rapporti con l’interessato, gli accordi contrattuali di manleva invocati dalla Società nei confronti del provider, perché tali pattuizioni non incidono sulle responsabilità verso gli interessati né sulla liceità del trattamento.

Violazioni accertate in tema di informativa, consenso e telemarketing

È stata confermata la violazione degli artt. 12, 13 e 14 GDPR, poiché l’informativa non veniva resa in modo immediato e completo al primo contatto, ma solo dopo un invio di sms e tramite accesso a una landing page subordinato alla manifestazione di interesse. Il Garante ha ritenuto non legittimo un meccanismo che costringa l’utente a mostrare interesse ai servizi per poter conoscere le informazioni obbligatorie.

È stata inoltre confermata la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 GDPR e dell’art. 130 Codice privacy, perché le telefonate promozionali e l’ulteriore trattamento per marketing risultavano svolti senza un consenso validamente acquisito e documentato. L’Autorità ha osservato che la Società non aveva verificato adeguatamente il consenso originariamente raccolto dal provider e che la clausola di manleva non poteva sostituire tale verifica.

Registro Pubblico delle Opposizioni e opposizione dell'interessato

Con riguardo al telemarketing, è stata confermata la violazione dell’art. 1, comma 11, legge n. 5/2018, in relazione al comma 12 e all’art. 130, comma 3, Codice privacy. Il Garante ha rilevato che la numerazione del reclamante risultava iscritta al Registro Pubblico delle Opposizioni già dal 2 agosto 2022 e che, comunque, la lista in possesso della Società avrebbe dovuto essere sottoposta a verifica rispetto al Registro prima di avviare o proseguire le campagne promozionali.

La circostanza che la Società non avesse potuto accedere al Registro per ragioni tecniche non è stata ritenuta idonea a escludere la violazione, poiché la consultazione del Registro è una pre-condizione per il telemarketing telefonico. È stata quindi ribadita l’illiceità dell’attività promozionale svolta senza previa esclusione delle utenze opposte.

Mancato riscontro alle istanze dell'interessato

Il Garante ha ritenuto violati gli artt. 12, parr. 2 e 3, 15, 17 e 21, par. 2, GDPR per la mancata risposta tempestiva alle richieste dell’interessato e per la mancata registrazione tempestiva dell’opposizione. La Società ha risposto solo dopo l’intervento dell’Autorità. L’omissione è stata considerata incompatibile con l’obbligo del titolare di agevolare l’esercizio dei diritti e di fornire un riscontro senza ritardo.

Dati raccolti tramite landing page e consenso alla profilazione

La Società ha sostenuto di non svolgere profilazione, pur avendola indicata nell’informativa del sito. Il Garante ha evidenziato una non piena coerenza tra informativa e trattamenti effettivamente svolti, richiamando il principio di trasparenza. Ha inoltre osservato che la raccolta di dati per una specifica finalità costituisce comunque trattamento e richiede un idoneo consenso anche se la finalità non venga poi concretamente perseguita.

Poiché non è risultato acquisito un consenso specifico per la profilazione, è stata confermata la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 GDPR con riferimento ai dati raccolti tramite la landing page per tale finalità.

Provvedimenti correttivi e divieto di trattamento

Alla luce delle violazioni accertate, il Garante ha:

• vietato il trattamento dei dati personali raccolti mediante sito internet in assenza di idoneo consenso per la profilazione, ai sensi dell’art. 58, par. 2, lett. f) GDPR;
• ingiunto la cancellazione di tali dati, salvo quelli che debbano essere conservati per obblighi di legge, difesa in giudizio o altre finalità lecite, ai sensi dell’art. 58, par. 2, lett. d) GDPR;
• prescritto, per eventuali future campagne verso utenze fornite da soggetti terzi, l’adozione di idonea informativa, di una base giuridica valida, di misure organizzative per l’esercizio dei diritti e di procedure di tracciamento della filiera e delle attività di trattamento.

È stato inoltre ordinato alla Società di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure imposte.

Sanzione pecuniaria e criteri di quantificazione

L’Autorità ha applicato una sanzione amministrativa pecuniaria di euro 40.000,00. Nella quantificazione ha richiamato l’art. 83 GDPR, applicando il criterio del cumulo giuridico ex par. 3, in quanto le violazioni erano collegate a trattamenti connessi e in parte riconducibili alla violazione più grave.

Tra gli elementi aggravanti sono stati considerati:

• l’elevato numero di soggetti coinvolti: 40.000 anagrafiche acquisite, 1.686 contratti sottoscritti e 1.100 anagrafiche raccolte tramite landing page;
• la gravità delle violazioni, inclusa la carenza di verifiche e la gestione inadeguata delle opposizioni;
• il carattere negligente delle condotte;
• la difformità rispetto alla consolidata prassi provvedimentale del Garante in materia di marketing;
• la capacità economica della Società.

Tra gli attenuanti sono stati considerati l’assenza di precedenti e la cooperazione con l’Autorità.

Ulteriori effetti del provvedimento

Il Garante ha disposto anche la pubblicazione del provvedimento sul proprio sito quale sanzione accessoria e l’annotazione nel registro interno dell’Autorità. È stata infine richiamata la possibilità di opposizione all’autorità giudiziaria ordinaria nei termini di legge.