Ordinanza ingiunzione o revoca n. 553 del 12/09/2024

Sky Italia S.r.l. - telemarketing illecito, RPO e sms promozionali senza consenso

Il Garante per la protezione dei dati personali ha adottato nei confronti di Sky Italia S.r.l. un provvedimento sanzionatorio e inibitorio relativo a campagne promozionali effettuate tramite telefonate e sms. Il procedimento trae origine da numerose segnalazioni degli interessati e da verifiche dell'Autorità sul rispetto del Registro Pubblico delle Opposizioni e sulla validità dei consensi utilizzati per le attività di marketing.

Origine del procedimento e attività istruttoria

L'istruttoria è stata avviata il 31 marzo 2023 con richiesta di informazioni ex art. 157 del Codice, nell'ambito della valutazione di 275 segnalazioni pervenute tra il 1° aprile 2022 e il 28 marzo 2023, in larga parte riguardanti telemarketing. Sky ha risposto sostenendo che solo una parte dei contatti fosse lecito, richiamando consensi pregressi, richieste di ricontatto, servizi come "Call Me Now" e l'esclusione di molte chiamate ritenute non attribuibili alla società.

Per verificare la correttezza dei contatti promozionali, l'Ufficio ha interpellato la Fondazione Ugo Bordoni, gestore del Registro Pubblico delle Opposizioni, chiedendo di accertare l'eventuale iscrizione delle utenze contattate non successiva al 31 gennaio 2023. Dal riscontro del 2 ottobre 2023 è emerso che 644 utenze erano iscritte al RPO al momento delle chiamate, su un totale di 5.844 numerazioni contattate nel periodo febbraio-marzo 2023.

Profili di illiceità relativi al telemarketing

Il Garante ha ritenuto che i contatti verso numeri iscritti al RPO configurassero la violazione dell'art. 130, commi 3 e 3-bis, del Codice, oltre che dei principi di liceità di cui agli artt. 5, par. 1, lett. a), e 6, par. 1, lett. a), GDPR. L'iscrizione al Registro opera infatti come meccanismo di opt-out che impedisce il trattamento per finalità promozionali, salvo i casi e le condizioni previste dalla disciplina applicabile.

Nella valutazione dell'Autorità, Sky non ha fornito elementi idonei a dimostrare in modo completo e coerente la liceità di tutti i contatti. In particolare, diverse ricostruzioni offerte dalla società non hanno trovato riscontro negli atti istruttori oppure sono risultate insufficientemente documentate.

Contatti verso prospect, clienti e numerazioni da terzi

La società ha distinto le utenze contattate in diversi gruppi, sostenendo per molte di esse l'esistenza di consensi, richieste di ricontatto o altre basi giuridiche. Il Garante ha però rilevato criticità rilevanti:

• in alcuni casi i contatti sono risultati avvenuti prima delle attività web o inbound richiamate dalla società;
• in altri, i documenti prodotti erano privi di data certa o comunque non idonei a provare il consenso;
• i file Excel utilizzati per riepilogare i consensi erano modificabili e quindi non presentavano caratteristiche di oggettività, integrità e immodificabilità;
• la mera indicazione dell'indirizzo IP o di altri dati tecnici non è stata ritenuta sufficiente a provare una volontà inequivoca dell'interessato.

Il Garante ha richiamato, a questo proposito, i principi di accountability e la necessità che il titolare sia in grado di dimostrare la liceità dei trattamenti, compresa l'effettiva acquisizione di un consenso libero, specifico, informato e documentato.

Valutazioni su fornitori, comparatori e servizi di ricontatto

Una parte significativa dell'istruttoria ha riguardato i contatti originati da fornitori e comparatori che avevano raccolto dati di potenziali clienti mediante form online, concorsi, siti promozionali o servizi di lead generation. Il Garante ha osservato che Sky, quale titolare del trattamento, avrebbe dovuto controllare in modo adeguato e continuo tutti gli anelli della catena del trattamento, dalla selezione dei dati fino alla conclusione del contatto e dell'eventuale contratto.

L'Autorità ha riscontrato criticità nelle informative e nei consensi raccolti da terzi, tra cui:

• consensi accorpati per finalità distinte di marketing e comunicazione a terzi;
• formulari che subordinavano la partecipazione a servizi o concorsi a consensi ulteriori e non liberi;
• informative incomplete, ad esempio prive dei recapiti del rappresentante nell'Unione europea per titolari extra-UE;
• tempi di conservazione dei dati non definiti o troppo generici;
• utilizzo, da parte di Sky, di dati acquisiti da terzi in assenza di prova sufficiente della correttezza della raccolta originaria.

Inoltre, per i contatti realizzati tramite telefono o sms, il Garante ha escluso che possa essere invocato un legittimo interesse in alternativa al consenso, trattandosi di canali disciplinati in modo speciale dall'art. 130 del Codice. È stata richiamata la disciplina del cosiddetto "soft spam" solo per ribadire che essa si applica esclusivamente alle e-mail e a condizioni specifiche.

Sms NOW e qualificazione come comunicazione promozionale

Un ulteriore profilo di illecito ha riguardato un sms inviato nell'ambito del servizio NOW. Sky aveva sostenuto che si trattasse di una comunicazione di servizio legata all'account dell'interessato; il Garante ha invece qualificato il messaggio come promozionale, poiché invitava a riattivarsi con un click e a sottoscrivere un nuovo abbonamento.

L'Autorità ha quindi ritenuto che l'invio fosse avvenuto in assenza di uno specifico consenso marketing e in violazione dell'art. 6, par. 1, lett. a), GDPR e dell'art. 130, commi 1 e 2, del Codice. È stato inoltre osservato che il semplice mantenimento di un account non equivale ad autorizzazione all'invio di messaggi promozionali.

Difese della società e termini del procedimento

Sky ha eccepito, tra l'altro, la tardività della contestazione, sostenendo il superamento del termine di 120 giorni previsto dall'art. 166, comma 5, del Codice. Il Garante ha respinto tale eccezione, chiarendo che il termine decorre dal completamento dell'attività di accertamento e dalla piena conoscenza della condotta illecita, non dalla mera acquisizione del fatto materiale. Nel caso concreto, il dies a quo è stato individuato quanto meno nel 2 ottobre 2023, data del riscontro della Fondazione Ugo Bordoni, con contestazione notificata il 19 gennaio 2024, dunque tempestivamente.

Misure inibitorie e prescrittive

Accertate le violazioni, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento con finalità commerciali in assenza di adeguate verifiche su informativa, consenso e consultazione del RPO;
• l'ingiunzione di adottare procedure idonee a verificare costantemente, anche tramite controlli a campione, la legittimità dei trattamenti e la presenza di consensi liberi, specifici, inequivocabili, documentati e informati;
• l'ingiunzione di adottare misure che consentano di contestualizzare la volontà dell'interessato nei servizi Call Me Now, registrando nei sistemi modalità e tempi di acquisizione dei dati e dell'eventuale autorizzazione al contatto;
• il divieto di ulteriori trattamenti promozionali relativi ai dati collegati ad account aperti sulla piattaforma NOW in assenza di uno specifico consenso marketing.

Sanzione pecuniaria e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria di euro 842.062,00, pari all'1% del massimo edittale, richiamando l'art. 83, parr. 1, 2, 3 e 5, GDPR e l'art. 166 del Codice. La quantificazione ha tenuto conto, in aggravamento, della natura sistemica delle violazioni e della precedente sanzione irrogata alla società nel 2021; in attenuazione, della tempestiva iscrizione in black list delle utenze segnalate, della limitazione ai soli dati anagrafici e di contatto, dell'elevata cooperazione con l'Autorità e del fatto che la precedente definizione sanzionatoria non consentiva di applicare l'aggravante della recidiva nei termini richiamati.

Il provvedimento prevede anche la pubblicazione sul sito del Garante quale sanzione accessoria e l'annotazione nel registro interno dell'Autorità.

Adempimenti successivi e tutela giurisdizionale

Sky è stata inoltre ingiunta a comunicare al Garante, entro 30 giorni dalla notifica, le iniziative adottate per dare esecuzione alle misure prescritte. È stata infine ricordata la possibilità di proporre opposizione dinanzi all'autorità giudiziaria ordinaria nei termini previsti dall'art. 78 GDPR, dagli artt. 152 del Codice e 10 del d.lgs. 150/2011.