Prescrizioni del Garante n. 586 del 26/09/2024

Ammonimento e divieto per trattamento promozionale illecito

Il provvedimento riguarda la d.i. Pojer Giordano ed è stato adottato all'esito di un reclamo relativo a una chiamata promozionale indesiderata effettuata a un interessato iscritto nel Registro pubblico delle opposizioni. Il Garante ha accertato violazioni connesse a trattamento di dati per finalità promozionali, nonché a riscontri inadeguati alle istanze dell'interessato.

Fatti e origine del procedimento

Il procedimento trae origine da un reclamo presentato il 18 agosto 2023 per una telefonata del 10 febbraio 2023, ricevuta intorno alle ore 9 da una numerazione non risultata iscritta nel ROC. Durante la chiamata, l'operatrice riferiva di operare per un'agenzia "multibrand" nel settore della telefonia e proponeva la fissazione di un appuntamento con il titolare dell'impresa, in vista di possibili attivazioni di forniture telefoniche.

L'interessato ha poi esercitato i diritti previsti dagli artt. 15-22 GDPR nei confronti della d.i. Pojer Giordano. Il riscontro ricevuto lo stesso giorno dal titolare si limitava ad affermare che l'agenzia non disponeva di suoi dati e non utilizzava strumenti di marketing nei suoi confronti. Ritenendo il riscontro insufficiente, l'interessato ha proposto reclamo al Garante.

Attività istruttoria

L'Ufficio ha richiesto informazioni ai sensi dell'art. 157 del Codice privacy. Dalle risposte rese è emerso che la ditta si era avvalsa di Ste Nabi Call, azienda di diritto tunisino, per attività di ricerca di mercato e procacciamento di appuntamenti. Il titolare ha indicato che la fattura riguardava una ricerca di mercato relativa a circa 30/35 soggetti e ha dichiarato di non conoscere l'intestatario o l'utilizzatore della numerazione da cui era partita la chiamata.

L'Ufficio ha quindi contestato alla d.i. Pojer Giordano la violazione degli artt. 5, 6, 7, 12, 13, 14, 15, 21 e 24 GDPR, oltre all'art. 130 del Codice privacy, con riferimento alla liceità del contatto promozionale, alla mancanza di informativa, alla mancata verifica del Registro delle opposizioni e all'inadeguato riscontro alle richieste dell'interessato.

Valutazioni del Garante sulla titolarità

Il Garante ha ribadito che il soggetto che affida a terzi attività di call center o promozione telefonica mantiene la qualifica di titolare del trattamento. Tale impostazione è stata richiamata sia dal provvedimento generale del 15 giugno 2011 sia dall'art. 1, comma 11, della legge n. 5/2018, che prevede la responsabilità solidale del titolare anche in caso di affidamento a terzi di attività di call center.

Nel caso concreto, l'utilizzo di un'agenzia stabilita in Tunisia, quindi esterna all'Unione europea, ha rafforzato la conclusione che gli obblighi in materia di protezione dei dati ricadessero sulla d.i. Pojer Giordano, presso la quale approdavano i dati raccolti a seguito delle chiamate promozionali commissionate.

Violazioni accertate

Il Garante ha ritenuto accertate le seguenti violazioni:

• art. 5, parr. 1, lett. a), e 2, artt. 6 e 7, art. 24, par. 1, GDPR e art. 130 Codice privacy, per trattamento privo di idonea base giuridica, senza consenso e senza preventiva verifica nel Registro delle opposizioni;
• art. 5, par. 1, lett. a), artt. 13 e 14 GDPR, per carenza di informativa idonea al primo contatto promozionale;
• art. 12, parr. 2 e 3, in relazione agli artt. 15 e 21 GDPR, per riscontro insufficiente alle richieste di accesso e opposizione.

Quanto alla documentazione prodotta in difesa, il Garante ha ritenuto non sufficiente una generica dichiarazione dell'azienda tunisina per dimostrare il rilascio di un'informativa idonea, l'acquisizione del consenso e il rispetto del Registro pubblico delle opposizioni. È stata anche ritenuta poco credibile l'affermazione di rispetto del Registro, poiché né l'azienda tunisina né la d.i. Pojer risultavano iscritte come operatori abilitati alla consultazione.

Riscontri ai diritti dell'interessato

L'Autorità ha evidenziato che il titolare si era limitato a negare di trattare i dati dell'interessato, omettendo di riferire l'esistenza del rapporto con l'agenzia tunisina e di comunicare l'opposizione dell'interessato ai trattamenti promozionali. Ne è derivata la violazione dell'art. 12 GDPR, poiché il riscontro non ha reso effettivi i diritti di accesso e opposizione.

Valutazione della gravità e misure adottate

Pur accertando l'illiceità del trattamento, il Garante ha qualificato il caso come "violazione minore" ai sensi dell'art. 83, par. 2, GDPR e del considerando 148, in ragione del singolo contatto indesiderato e della limitata estensione della campagna promozionale. Ha inoltre considerato la natura personale dell'impresa, rilevando un quadro di disorganizzazione e impreparazione, e ha scelto misure correttive proporzionate.

Sono stati quindi disposti:

• un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR;
• il divieto di ogni ulteriore trattamento dei dati del reclamante e di futuri trattamenti promozionali tramite agenzie esterne in assenza di prova di informativa, consenso e corretta verifica del Registro delle opposizioni, ai sensi dell'art. 58, par. 2, lett. f), GDPR;
• la prescrizione di comunicare senza ritardo a Ste Nabi Call la volontà del reclamante di opporsi a futuri trattamenti promozionali e di informare il reclamante dell'avvenuto adempimento, ai sensi dell'art. 58, par. 2, lett. d), GDPR.

Adempimenti successivi e impugnazione

La d.i. Pojer Giordano è stata inoltre ingiunta, ai sensi dell'art. 157 del Codice, di comunicare al Garante, entro 30 giorni dalla notifica, le iniziative intraprese per dare esecuzione alle misure imposte. Il provvedimento avverte che l'eventuale mancata comunicazione può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, GDPR.

È stata disposta la pubblicazione del provvedimento sul sito del Garante e la sua annotazione nel registro interno dell'Autorità. Contro il provvedimento è ammessa opposizione davanti all'autorità giudiziaria ordinaria ai sensi degli artt. 152 del Codice e 10 del d.lgs. 150/2011.