Prescrizioni del Garante n. 42 del 30/01/2025

Intesa Sanpaolo S.p.A. - reclamo su modulo con consensi preflaggati in occasione dell'incasso di un assegno

Il provvedimento riguarda il reclamo presentato nei confronti di Intesa Sanpaolo S.p.A. in relazione alle modalità con cui, presso una filiale, sarebbero stati raccolti i consensi privacy nell'ambito delle operazioni propedeutiche al ritiro/incasso di un assegno. L'Autorità ha esaminato sia la possibile illegittimità del consenso richiesto per finalità promozionali e di profilazione, sia l'eventuale trattamento di dati di contatto per marketing automatizzato.

Il reclamo e i fatti contestati

La reclamante ha riferito che, per procedere all'operazione di assegno, le sarebbe stato chiesto di censirsi nei sistemi della banca e di firmare un modulo privacy già compilato con i consensi prestati. Ha affermato che i consensi riguardavano marketing diretto e indiretto nonché profilazione e che la filiale avrebbe rappresentato tali consensi come necessari per completare l'operazione.

I riscontri della banca e l'istruttoria

Nel riscontro del 9 aprile 2024 la banca ha sostenuto che si era trattato di un episodio unico e isolato. Ha ammesso che un dipendente aveva erroneamente sottoposto all'interessata anche il modulo per la raccolta dei consensi, pur non necessario per l'operazione in corso, e che nella procedura interna alcune caselle risultavano selezionate manualmente. Ha però escluso che fossero stati effettivamente raccolti consensi validi o censiti dati di contatto dell'interessata, e ha precisato che nessuna attività di marketing o profilazione era stata in concreto svolta nei suoi confronti.

Norme richiamate e rilievi iniziali del Garante

Il Garante aveva contestato alla banca la possibile violazione:

• dell'art. 6, par. 1, GDPR, per assenza di idoneo presupposto giuridico del trattamento;
• dell'art. 7, par. 4, GDPR, per possibile condizionamento della prestazione del servizio al consenso per trattamenti non necessari;
• dell'art. 130, commi 1 e 2, del Codice privacy, in relazione a comunicazioni promozionali tramite strumenti automatizzati.

L'Autorità ha richiamato anche le Linee guida del 4 luglio 2013 in materia di attività promozionale e contrasto allo spam, ribadendo che il consenso non può essere validamente acquisito mediante check-box precompilate e che per il marketing automatizzato è richiesto il previo consenso opt-in.

Le difese della banca

Con memoria del 5 giugno 2024 la banca ha chiarito che il secondo dipendente aveva inteso ottenere un'autorizzazione esplicita al trattamento necessario per l'operazione, ma aveva erroneamente interpretato il modulo dei consensi. Ha precisato che nessun consenso C2, C3, C4 e C6 risultava censito nei sistemi, che non erano stati raccolti dati di contatto come e-mail o numero di telefono e che, pertanto, non vi era stata alcuna attività di marketing o profilazione.

La banca ha anche rappresentato di aver disposto un nuovo intervento formativo per i dipendenti coinvolti e di avere, più in generale, un programma di formazione obbligatoria in materia di protezione dei dati personali, con effetti anche sul sistema premiale interno.

Valutazione finale del Garante

L'Autorità ha ritenuto che, alla luce delle precisazioni documentate, i rilievi iniziali potessero essere superati. In particolare:

• non risultava che i consensi per marketing e profilazione fossero stati effettivamente acquisiti o censiti;
• non risultava che fossero stati raccolti dati di contatto per finalità promozionali;
• la reclamante non aveva sottoscritto il modulo con i consensi preimpostati, sicché la sua volontà di non prestare consenso non risultava in concreto compressa.

Esito del procedimento

Il Garante ha quindi dichiarato che non erano emersi, allo stato degli atti, estremi di violazioni della disciplina rilevante in materia di protezione dei dati personali e ha disposto l'archiviazione del procedimento ai sensi dell'art. 57, par. 1, lett. f), GDPR.

Pubblicazione del provvedimento e tutela giurisdizionale

Il provvedimento dispone la pubblicazione, richiamando gli obblighi di trasparenza previsti dal Codice privacy e dal regolamento interno del Garante. È inoltre indicata la possibilità di opposizione dinanzi all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all'estero.