Ordinanza ingiunzione o revoca n. 212 del 10/04/2025

Immobiliare Valdalpone S.r.l. - telemarketing illecito con liste acquisite da terzi

Il provvedimento riguarda Immobiliare Valdalpone S.r.l. e l’uso di liste telefoniche fornite da Realmaps S.r.l. per attività promozionali. L’istruttoria è nata da una segnalazione individuale ed è stata poi estesa dall’Autorità all’intero trattamento riferito alle anagrafiche acquisite dal fornitore.

Origine del procedimento e attività istruttoria

Il 10 novembre 2023 il Garante ha ricevuto la segnalazione di un interessato che lamentava una telefonata indesiderata da parte della società. In riscontro ai chiarimenti richiesti dall’interessato, la società aveva dichiarato di aver ottenuto i dati di contatto da Realmaps S.r.l.

L’Ufficio ha quindi avviato approfondimenti, anche in considerazione di una precedente istruttoria su Realmaps relativa a criticità nei trattamenti di dati per finalità di marketing destinati ad agenzie immobiliari. Il 14 maggio 2024 è stata inviata una richiesta di informazioni ex art. 157 del Codice, focalizzata su:

• verifica dell’originario consenso per scopi commerciali;
• informativa resa durante le telefonate e script di chiamata;
• riscontro nel Registro Pubblico delle Opposizioni;
• gestione delle opposizioni e delle altre istanze degli interessati.

La società ha attribuito ogni responsabilità a Realmaps, sostenendo che le garanzie contrattuali ricevute fossero sufficienti e che i controlli su consenso e RPO spettassero al fornitore.

Contestazione delle violazioni

Con nota del 13 giugno 2024 l’Autorità ha contestato alla società la violazione di diverse disposizioni del GDPR e del Codice privacy, in particolare:

• artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7, 14 GDPR e art. 130, commi 3 e 3-bis, Codice, per mancata verifica e documentazione di informativa, consenso e consultazione del RPO;
• artt. 5, par. 1, lett. a) e 13 GDPR, per mancata informativa agli interessati;
• artt. 12, 15, 17, 21, par. 2, GDPR, per gestione inadeguata delle richieste di esercizio dei diritti;
• artt. 5, par. 2, 24 e 25 GDPR, per mancata prova degli adempimenti e carenza di accountability.

Difese della società e riscontro in audizione

La società, in sede difensiva, ha ribadito di aver agito in buona fede e di aver affidato a Realmaps la verifica della legittimità delle liste. In audizione, l’8 luglio 2024, ha prodotto lo script di chiamata e ha dichiarato che circa 10.000 numerazioni acquisite dal fornitore erano state contattate, con un 40% di risposte al primo contatto e un successivo ricontatto del restante 60%.

Ha inoltre affermato di conservare i dati su supporto cartaceo e digitale, precisando che le liste oggetto di contestazione erano state cancellate dopo l’intervento del Garante. La società ha dichiarato di acquistare liste mediamente due volte l’anno, per un totale complessivo di circa 25.000 clienti fino a ottobre 2023.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha qualificato Immobiliare Valdalpone come titolare del trattamento, poiché determinava finalità e mezzi del marketing telefonico. Ha quindi ribadito che, per il telemarketing mediante strumenti elettronici, l’art. 130 del Codice costituisce lex specialis e richiede il consenso dell’interessato come unica base giuridica ammessa.

L’Autorità ha sottolineato che non è sufficiente che i dati provengano da fonti pubbliche o liberamente consultabili: senza consenso valido non possono essere svolte comunicazioni promozionali. La società non ha fornito prove dell’informativa originaria resa agli interessati dal precedente titolare né del consenso alla comunicazione dei dati a terzi, compresa la stessa Immobiliare Valdalpone. Non è stata neppure dimostrata la verifica dell’iscrizione delle utenze nel Registro Pubblico delle Opposizioni, che il Garante considera condizione preliminare per l’avvio di campagne telefoniche.

Informativa agli interessati e script di chiamata

Lo script di chiamata, prodotto solo in audizione, è stato ritenuto insufficiente ai fini dell’art. 13 GDPR. Secondo il Garante, esso non conteneva tutte le informazioni essenziali sul trattamento, in particolare:

• natura del trattamento;
• origine dei dati;
• base giuridica;
• diritti degli interessati ex artt. 15-22 GDPR.

Le informazioni sull’origine dei dati venivano fornite solo a richiesta dell’interessato, e comunque in modo parziale, limitandosi agli estremi del fornitore. Ciò non ha sanato la violazione del principio di trasparenza.

Gestione dei diritti degli interessati

Il Garante ha ritenuto illegittima la procedura con cui la società reindirizzava gli interessati a Realmaps per esercitare i diritti. Tale impostazione trasferiva impropriamente a un terzo la gestione delle istanze e impediva una risposta tempestiva e diretta da parte del titolare.

Per questo l’Autorità ha confermato la violazione degli artt. 12, 15, 17 e 21, par. 2, GDPR, osservando che il diritto di opposizione può essere esercitato in qualsiasi momento e deve essere gestito senza ingiustificato ritardo.

Accountability, controllo della filiera e privacy by design

Il provvedimento insiste sul fatto che il titolare non può limitarsi a clausole contrattuali di manleva. In assenza di controlli sull’intera filiera del trattamento, sin dalla raccolta dei dati, il trattamento promozionale è risultato contrario agli artt. 5, par. 2, 24 e 25 GDPR.

Il Garante ha quindi richiamato il principio di responsabilizzazione e l’esigenza di verificare e documentare gli adempimenti privacy, anche in chiave di privacy by design.

Misure correttive e divieto

All’esito dell’istruttoria, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento promozionale e commerciale mediante le liste acquisite da Realmaps per le quali la società non disponga di consenso libero, specifico e informato;
• l’ingiunzione di cancellare senza ritardo i dati, salvo quelli necessari per obblighi di legge, difesa in giudizio o altre finalità lecite;
• l’obbligo, per eventuali future campagne con liste di terzi, di adottare procedure idonee a verificare costantemente la presenza di un consenso valido e documentato;
• l’obbligo di fornire agli interessati tutte le informazioni previste dall’art. 13 GDPR;
• l’obbligo di adottare misure tecniche e organizzative adeguate per facilitare l’esercizio dei diritti e rispondere senza ingiustificato ritardo.

La società è inoltre tenuta a comunicare al Garante, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alla misura imposta.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 3, GDPR, considerando le violazioni come connesse a trattamenti collegati. Ai fini della quantificazione ha valutato, tra gli aggravanti:

• l’elevato numero di interessati coinvolti, circa 25.000 utenze acquisite e 10.000 contattate;
• la gravità delle violazioni, soprattutto per la mancanza di controlli, la gestione inadeguata dell’opposizione e l’informativa insufficiente;
• la negligenza della condotta;
• la difformità rispetto alla consolidata attività provvedimentale del Garante in materia di marketing.

Tra gli attenuanti sono stati considerati:

• l’assenza di precedenti procedimenti;
• l’intenzione di adottare misure correttive;
• la cooperazione con l’Autorità;
• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto.

La sanzione amministrativa è stata fissata in euro 15.000,00. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Esiti finali

In conclusione, il Garante ha dichiarato illecito il trattamento, vietato ulteriori campagne promozionali basate sulle liste prive di consenso valido, imposto la cancellazione dei dati e applicato una sanzione pecuniaria. Il provvedimento richiama anche la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.