Ordinanza ingiunzione o revoca n. 155 del 13/03/2025

Interflora Italia S.p.A. - invio di sms promozionali senza consenso e mancato riscontro all'interessato

Il provvedimento riguarda Interflora Italia S.p.A. ed è stato adottato a seguito di un reclamo di un cliente che lamentava la ricezione continuativa di sms promozionali senza aver prestato un valido consenso e senza poter esercitare efficacemente l’opposizione. Il Garante ha inoltre esaminato la procedura di acquisizione dei dati sul sito e-commerce della Società e il mancato riscontro alle richieste dell’interessato e dell’Autorità.

Origine del procedimento e attività istruttoria

Il reclamo trae origine da una segnalazione del 2 febbraio 2023, regolarizzata il 22 maggio 2023. Il reclamante aveva acquistato sporadicamente sul sito di Interflora come ospite, senza registrare un account, e aveva riferito che, per completare l’ordine, veniva richiesto il consenso a ricevere messaggi promozionali, pena l’impossibilità di proseguire. Aveva anche evidenziato di aver chiesto l’intervento del DPO il 2 dicembre 2022 senza ottenere riscontro e di non aver trovato, negli sms ricevuti, alcuna indicazione sulle modalità di opposizione.

L’Ufficio ha chiesto chiarimenti alla Società il 20 luglio 2023. Poiché non è pervenuto alcun riscontro, è stato inviato un sollecito l’8 settembre 2023 e, successivamente, è stato avviato il procedimento con contestazione delle violazioni ex artt. 157 e 166, comma 2, del Codice. A causa del perdurante silenzio della Società, la notifica è stata affidata alla Guardia di Finanza. Interflora ha poi depositato memorie difensive nel 2024, rappresentando che ristrutturazioni organizzative, chiusura della sede di Roma e riduzione del personale avevano inciso sul presidio della PEC e sulla gestione delle richieste.

Trattamenti esaminati e criticità riscontrate sul sito

L’istruttoria ha compreso un accesso al sito www.interflora.it effettuato l’8 settembre 2023. È emerso che in calce al sito era indicata la sede legale di Roma, mentre nell’informativa privacy compariva la sede di Milano. Il sito conteneva due informative: una ex art. 13 GDPR per gli acquirenti online e una ex art. 14 GDPR per i destinatari degli omaggi floreali.

Nell’informativa ex art. 13 si faceva riferimento a comunicazioni promozionali via email, per alcune finalità basate sul legittimo interesse e per altre sul consenso, ma non vi era alcuna menzione degli sms. Nella procedura di acquisto, invece, il numero di cellulare era richiesto come dato obbligatorio, con la sola indicazione che sarebbe servito al fiorista per una consegna puntuale. Non risultavano informazioni chiare sull’uso promozionale del dato né la raccolta del consenso per tale finalità.

Violazioni contestate e confermate

Con nota del 30 settembre 2024, la Società è stata informata dell’avvio del procedimento per la possibile adozione di misure ex art. 58, par. 2, GDPR. Le violazioni contestate riguardavano:

• art. 6, par. 1, lett. a), GDPR e art. 130, comma 2, Codice, per l’invio di sms promozionali senza consenso;
• art. 5, par. 1, lett. a) e b), GDPR, per la raccolta dei dati tramite una procedura non trasparente e non coerente con la finalità dichiarata;
• artt. 12, par. 3, 15 e 21 GDPR, per il mancato riscontro alla richiesta dell’interessato di ottenere informazioni e di opporsi al marketing.

Il Garante ha confermato le violazioni, rilevando che Interflora effettuava attività promozionale via sms in assenza di idoneo presupposto giuridico, senza gestire tempestivamente la richiesta di opposizione/accesso e senza rispondere alla richiesta istruttoria dell’Autorità.

Valutazioni del Garante e misure adottate dalla Società

Pur riconoscendo l’illiceità dei trattamenti, il Garante ha dato atto che la Società, una volta emersa la vicenda, ha avviato una revisione delle procedure interne e ha adottato misure correttive. In particolare, ha modificato il form di raccolta dati introducendo caselle separate per il consenso all’invio di promozioni via email e via sms, ha aggiornato l’informativa rendendola disponibile online dal 28 ottobre 2024, ha interrotto gli invii promozionali e ha cancellato dalle liste di contatto i numeri telefonici raccolti senza idoneo consenso. Con nota del 21 gennaio 2025 ha inoltre confermato il completamento della formazione privacy per i dipendenti incaricati.

Il Garante ha ritenuto che le violazioni risultassero nelle more sanate e ha quindi escluso l’adozione di ulteriori misure correttive nei confronti del titolare.

Sanzione amministrativa e criteri di quantificazione

In ragione della pluralità delle violazioni relative a trattamenti collegati, il Garante ha richiamato l’art. 83, par. 3, GDPR, applicando il regime sanzionatorio della violazione più grave. Ai fini della quantificazione ha considerato il massimo edittale di 20 milioni di euro ex art. 83, par. 5, GDPR, valorizzando:

• la gravità e la durata della violazione, estesa potenzialmente a tutti gli utenti del portale;
• il carattere colposo della condotta e la grave negligenza nell’organizzazione dei trattamenti.

Sono stati invece considerati attenuanti:

• le misure adottate per attenuare il danno;
• l’assenza di precedenti procedimenti a carico della Società;
• le misure correttive adottate nel corso dell’istruttoria;
• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto.

All’esito del bilanciamento, è stata irrogata una sanzione amministrativa pecuniaria di euro 40.000, pari allo 0,2% del massimo edittale ipotizzato. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e delle disposizioni regolamentari interne richiamate.

Dispositivo finale e rimedi

Il Garante ha dichiarato illecito il trattamento effettuato da Interflora Italia S.p.A. e ha ordinato il pagamento della sanzione di euro 40.000 entro 30 giorni dalla notificazione, con facoltà di definizione agevolata entro 30 giorni mediante pagamento della metà della sanzione ai sensi dell’art. 166, comma 8, del Codice. È stata inoltre disposta la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione delle violazioni nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR. Contro il provvedimento è stata richiamata l’opposizione all’autorità giudiziaria ordinaria nei termini di legge.