Ordinanza ingiunzione o revoca n. 138 del 13/03/2025

Casatua S.r.l. - telemarketing via WhatsApp e telefonate con liste di terzi prive di adeguata verifica

Il Garante per la protezione dei dati personali ha esaminato l’attività promozionale svolta da Casatua S.r.l. nei confronti di utenze telefoniche acquisite da un fornitore terzo, in seguito a una segnalazione relativa alla ricezione di un messaggio indesiderato via WhatsApp. Il procedimento ha riguardato, in particolare, la liceità della raccolta e dell’utilizzo dei dati per finalità di marketing, la corretta informativa agli interessati, il consenso, la verifica del Registro pubblico delle opposizioni e l’adeguatezza delle procedure interne di gestione dei diritti.

Origine del procedimento e attività istruttoria

La segnalazione del 30 dicembre 2022 ha portato a verificare che Casatua aveva contattato l’interessata dopo aver ottenuto i dati da Realmaps S.r.l., indicata come fornitore in base a un contratto di fornitura di dati del 30 settembre 2022. La società ha dichiarato che i dati provenivano da fonti pubbliche e che era stato prestato un consenso al ricevimento di informazioni pubblicitarie; ha inoltre confermato di aver contattato 2.000 utenze su un totale di 5.000 anagrafiche ricevute. In sede istruttoria ha prodotto anche lo script di chiamata utilizzato e ha ammesso di non aver effettuato il riscontro nel Registro pubblico delle opposizioni.

Violazioni contestate

Con nota di avvio del 13 giugno 2024, il Garante ha contestato alla società la possibile violazione di:

• artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7, 13 e 14 GDPR e art. 130 Codice privacy, per non aver verificato né documentato i presupposti di liceità dei dati acquisiti dal fornitore, in particolare informativa e consenso;
• art. 130, commi 3 e 3-bis, Codice privacy, per il mancato riscontro delle utenze nel Registro pubblico delle opposizioni;
• artt. 12 e 15 GDPR, per una gestione delle richieste degli interessati subordinata al confronto con Realmaps, con possibile ritardo e incompleta soddisfazione delle istanze;
• artt. 5, par. 2, 24 e 25 GDPR, per non aver comprovato gli adempimenti in materia di protezione dei dati personali.

Qualificazione della società come titolare e illiceità del trattamento

Il Garante ha qualificato Casatua come titolare del trattamento ai sensi dell’art. 4 GDPR, poiché aveva determinato lo scopo del trattamento, cioè la promozione dei propri servizi, e il canale utilizzato, cioè le comunicazioni via WhatsApp e telefoniche. L’Autorità ha rilevato che l’invio di messaggi promozionali tramite WhatsApp richiede il preventivo consenso informato degli interessati; per le telefonate, in assenza di espresso diniego, opera il regime dell’opt-out collegato al Registro pubblico delle opposizioni. In mancanza di tali presupposti, il trattamento promozionale è illecito anche se i dati provengono da registri pubblici o altre fonti conoscibili da chiunque.

Mancata verifica della filiera e informativa inadeguata

Dagli atti è emerso che Casatua non aveva verificato, e quindi non aveva documentato, che gli interessati avessero ricevuto l’informativa dall’originario titolare né che avessero rilasciato un consenso valido alla comunicazione dei dati a terzi per finalità di marketing. Anche lo script di chiamata risultava insufficiente, perché indicava soltanto il motivo del contatto e non permetteva agli interessati di conoscere origine dei dati, base giuridica, natura del trattamento e modalità per esercitare i diritti previsti dagli artt. 15-22 GDPR. Il Garante ha quindi ritenuto integrata la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7, 13 e 14 GDPR e dell’art. 130 Codice privacy, con riferimento non solo al singolo contatto oggetto di segnalazione ma all’intero insieme dei trattamenti relativi alle 5.000 anagrafiche acquisite.

Registro pubblico delle opposizioni e diritti degli interessati

È stata inoltre accertata la violazione dell’art. 130, commi 3 e 3-bis, del Codice privacy, in relazione all’art. 1, comma 12, della legge n. 5/2018, perché la società aveva svolto attività di telemarketing senza consultare il Registro pubblico delle opposizioni con cadenza mensile o comunque prima di ogni campagna promozionale. Sul piano dei diritti degli interessati, il Garante ha rilevato che la procedura adottata non era idonea a garantire un’evasione tempestiva e senza ingiustificato ritardo delle richieste, poiché Casatua doveva confrontarsi con Realmaps per ottenere informazioni essenziali sull’origine dei dati e sul consenso, con conseguente potenziale ritardo nella risposta.

Accountability, controlli e misure successive

L’Autorità ha ritenuto che la successiva cancellazione delle liste e le misure organizzative introdotte dalla società non fossero sufficienti a superare i rilievi, poiché adottate solo dopo l’avvio dell’istruttoria. In assenza di controlli adeguati sull’intera filiera del trattamento, il comportamento è stato considerato contrario ai principi di responsabilizzazione di cui agli artt. 5, par. 2, e 24 GDPR, nonché al principio di privacy by design dell’art. 25 GDPR. È stato anche ribadito che una clausola contrattuale di manleva non esonera il titolare dall’obbligo di verificare la liceità del trattamento.

Misure correttive e ingiunzioni

Il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. d) e f), GDPR:

• il divieto di ogni ulteriore trattamento promozionale e commerciale effettuato mediante liste di terzi prive di un consenso libero, specifico e informato;
• la cancellazione senza ritardo dei dati, salvo quelli da conservare per obblighi di legge, difesa in giudizio o altre finalità non richiedenti consenso;
• l’obbligo di adottare procedure idonee a verificare costantemente, anche a campione, la liceità dei dati ricevuti da terzi;
• l’obbligo di aggiornare lo script di chiamata per fornire tutte le informazioni previste dall’art. 13 GDPR;
• l’obbligo di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti e a rispondere senza ingiustificato ritardo, compreso il diritto di opposizione.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Ritenuta applicabile la disciplina dell’art. 83, par. 3 e 5, GDPR, il Garante ha valutato, tra gli elementi aggravanti, il numero dei soggetti coinvolti, la gravità delle violazioni, la negligenza della condotta e la difformità rispetto alla consolidata attività provvedimentale dell’Autorità in materia di marketing. Tra gli attenuanti ha considerato l’assenza di precedenti, la tempestiva cancellazione delle liste, l’elevata cooperazione e la natura non sensibile dei dati trattati. Tenuto conto anche della capacità economica della società, è stata irrogata una sanzione amministrativa pecuniaria di 10.000 euro, pari allo 0,05% del massimo edittale di 20 milioni di euro.

Pubblicazione del provvedimento e adempimenti successivi

È stata disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione delle violazioni nel registro interno dell’Autorità. La società è stata inoltre ingiunta di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure imposte. Il provvedimento richiama infine le conseguenze dell’eventuale inosservanza, sia sul piano amministrativo sia, nei casi previsti, su quello penale.