Ordinanza ingiunzione o revoca n. 71 del 09/03/2023

Aesse S.r.l.s. - telemarketing illecito, mancato consenso, informativa e accesso

Il provvedimento riguarda Aesse S.r.l.s., destinataria di un reclamo per una telefonata promozionale indesiderata relativa alla manutenzione di caldaie. Il Garante ha esaminato l’intera filiera del trattamento, dalla raccolta delle liste di contatti alla gestione del riscontro all’interessato, accertando varie violazioni del GDPR e del Codice privacy.

Origine del procedimento e attività istruttoria

Il procedimento prende avvio dal reclamo del 5 aprile 2022 presentato dall’interessato ai sensi dell’art. 77 GDPR, a seguito di una telefonata ricevuta l’8 marzo 2022. L’interessato lamentava di non aver mai prestato il consenso a ricevere comunicazioni promozionali e di aver ricevuto dalla Società un riscontro generico e non esaustivo sull’origine dei propri dati personali.

L’Ufficio ha quindi richiesto informazioni ad Aesse ai sensi dell’art. 157 del Codice privacy, in particolare sulla documentazione attestante il consenso e sulla provenienza dei dati. La Società ha risposto tardivamente, dopo un sollecito telefonico, e ha dichiarato di aver acquistato da una terza società liste di anagrafiche e numerazioni per marketing, sostenendo che i nominativi fossero già "consensati". Ha trasmesso un file Excel denominato "Aesse 15_03_2021", contenente numerosi dati personali di soggetti terzi.

Trattamenti esaminati

Il Garante ha ricostruito tre distinti profili di trattamento:

• l’acquisizione da terzi di liste di numeri telefonici e anagrafiche per campagne di marketing;
• l’uso di tali dati per contatti promozionali telefonici;
• l’invio al reclamante del file Excel contenente 5.776 anagrafiche "contattabili", che ha comportato la comunicazione a terzi di dati personali di soggetti estranei alla richiesta.

Il file conteneva, tra gli altri, numero di cellulare, nominativo, indirizzo, CAP, comune, provincia, sesso e anno di nascita.

Violazioni contestate

Con la comunicazione di avvio del procedimento del 28 ottobre 2022, il Garante ha contestato ad Aesse le seguenti violazioni:

• artt. 5, par. 1, lett. a), 6, par. 1, lett. a), e 7 GDPR, nonché art. 130 Codice privacy, per aver acquisito liste di anagrafiche da terzi per finalità di marketing in assenza di prova del consenso;
• artt. 13 e 14 GDPR, per mancata resa di un’idonea informativa agli interessati;
• artt. 12 e 15 GDPR, per mancato o incompleto riscontro alla richiesta di accesso del reclamante;
• artt. 5, par. 1, lett. a), 6, par. 1, lett. a), e 7 GDPR, per aver comunicato al reclamante dati di soggetti terzi senza idoneo consenso.

Valutazioni del Garante sulla liceità del telemarketing

L’Autorità ha ritenuto che Aesse, quale titolare del trattamento, non avesse adottato alcuna precauzione nell’acquisizione dei dati da terzi né avesse richiesto documentazione idonea a dimostrare la liceità della filiera. Non risultava che la Società avesse verificato l’origine dei dati, l’informativa resa agli interessati o il consenso raccolto dal fornitore.

Il Garante ha evidenziato che l’eventuale consenso dichiarato dal partner commerciale non era sufficiente in assenza di verifiche adeguate da parte di Aesse e che il diniego espresso dall’interessato durante la telefonata non poteva sanare la mancanza di un consenso preventivo, libero, specifico, informato e documentato. È stata quindi ribadita la centralità del principio di autodeterminazione dell’interessato nei trattamenti per finalità commerciali.

Informativa e diritti dell’interessato

L’Autorità ha ritenuto che Aesse non avesse fornito una corretta informativa agli interessati, né al momento del contatto telefonico né successivamente nel riscontro all’istanza dell’interessato. La denominazione del soggetto fornitore dei dati è stata comunicata solo dopo l’intervento del Garante.

Inoltre, il riscontro fornito alla richiesta di informazioni dell’Ufficio non chiariva i presupposti di liceità che avrebbero legittimato la disponibilità dei dati in capo al fornitore. Il Garante ha quindi confermato la violazione degli artt. 12 e 15 GDPR, sottolineando che l’interessato è stato privato di un effettivo controllo sui trattamenti che lo riguardavano.

Comunicazione indebita del file contenente anagrafiche di terzi

Particolarmente rilevante è stata la valutazione sulla trasmissione al reclamante del file Excel contenente 5.776 anagrafiche. Il Garante ha ritenuto che tale invio abbia comportato una comunicazione indebita di dati personali a un terzo estraneo, poiché il riscontro avrebbe dovuto riguardare solo i dati dell’interessato.

La lista risultava, inoltre, priva di elementi che consentissero di ricostruire la volontà degli interessati di essere contattati per marketing o eventuali opposizioni al trattamento. Dal nome del file, "Aesse 15_03_2021", il Garante ha desunto che i dati fossero stati conservati per almeno un anno senza giustificazione giuridica, in assenza di una base valida per la conservazione.

Provvedimenti correttivi e divieto di trattamento

Alla luce delle violazioni accertate, il Garante ha dichiarato illecito il trattamento effettuato da Aesse e ha accolto il reclamo. Ha poi adottato i seguenti provvedimenti:

• divieto di ogni ulteriore trattamento per finalità promozionali dei dati acquisiti da XX, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• ordine di eliminare dai sistemi il file Excel "Aesse 15_03_2021";
• ingiunzione, per il futuro, di adottare procedure idonee a definire i ruoli dei partner contrattuali, verificare la liceità dei dati e dei consensi, fornire l’informativa e garantire il pieno esercizio dei diritti;
• obbligo di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure imposte, ai sensi dell’art. 157 Codice privacy.

Sanzione amministrativa pecuniaria

Il Garante ha applicato la sanzione amministrativa pecuniaria di euro 3.000,00 ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR. Ha richiamato l’art. 83, par. 3, rilevando che le varie violazioni riguardavano trattamenti collegati e che, pertanto, si applicava la sanzione riferita alla violazione più grave.

Nella quantificazione sono stati considerati come aggravanti:

• l’elevato numero dei soggetti coinvolti;
• la gravità colposa della condotta e l’inadeguato controllo sulla filiera;
• la tardiva e insufficiente cooperazione con l’Autorità;
• la difformità rispetto alla consolidata attività provvedimentale del Garante in materia di marketing.

Come attenuanti sono stati valorizzati:

• l’assenza di precedenti procedimenti a carico della Società;
• l’interruzione dell’attività di telemarketing dopo la contestazione;
• la capacità economica della Società, valutata anche sulla base dell’ultimo bilancio disponibile.

Il provvedimento dispone inoltre la pubblicazione sul sito del Garante e l’annotazione nel registro interno dell’Autorità. È infine richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.