Ordinanza ingiunzione o revoca n. 73 del 13/02/2025

MDE – trattamento illecito di dati di azionisti per comunicazioni informativo-promozionali

Il provvedimento riguarda MDE – Movimento Diritti Europei s.r.l.s., destinataria di un procedimento avviato dal Garante a seguito di un esposto e di ulteriori segnalazioni di azionisti della XX. L'Autorità ha esaminato l'invio di circa 15.000 comunicazioni cartacee con finalità informativo-promozionali e il mancato riscontro a richieste di esercizio dei diritti.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato ai sensi dell'art. 166, comma 5, del Codice, con contestazione notificata il 25 marzo 2024. Le associazioni esponenti lamentavano che alcuni azionisti, aderenti a una class action contro XX, avevano ricevuto inviti di MDE a partecipare a incontri dedicati agli azionisti, nei quali si prospettava la possibilità di recuperare la svalutazione delle azioni.

Nel corso dell'istruttoria, MDE ha chiarito di essere una società che offre assistenza stragiudiziale in materia di investimenti mobiliari e di aver operato come titolare del trattamento per le comunicazioni inviate agli azionisti. Ha inoltre spiegato che l'XX, associazione senza scopo di lucro, si era limitata a mettere a disposizione la modulistica delle iniziative di MDE.

Trattamenti contestati

Secondo gli atti, MDE ha acquisito da un elenco fornito da un azionista della banca i dati di nome, cognome e indirizzo postale di circa 15.000 azionisti della XX, associandoli allo status di socio della banca e inviando a ciascuno una comunicazione cartacea. Le missive avevano contenuto informativo-promozionale e invitavano a incontri pubblici finalizzati a raccogliere adesioni all'azione collettiva.

La società ha sostenuto che, per la fase successiva all'eventuale adesione, la base giuridica fosse l'art. 6, par. 1, lett. b), GDPR, mentre per la fase di invio delle comunicazioni ha invocato il legittimo interesse.

Violazioni accertate dal Garante

Il Garante ha confermato tre profili di illecito:

• violazione dei principi di liceità, correttezza, trasparenza e responsabilizzazione, per assenza di un'idonea base giuridica e trattamento non conforme agli artt. 5, par. 1, lett. a), 5, par. 2, 6 e 24 GDPR;
• violazione degli obblighi informativi, perché non è stata resa un'informativa adeguata agli interessati ai sensi dell'art. 14 GDPR e l'informativa presente sul sito non era sufficiente;
• violazione dell'art. 12 GDPR, in relazione agli artt. 15-22, per il mancato o inidoneo riscontro alle richieste di esercizio dei diritti.

Valutazione sul legittimo interesse

L'Autorità ha ritenuto che il legittimo interesse non potesse giustificare il trattamento. In particolare, ha escluso:

• la concretezza e attualità dell'interesse invocato da MDE;
• la corretta esplicitazione del bilanciamento con i diritti e le libertà fondamentali degli interessati;
• l'esistenza di una relazione pertinente e appropriata tra titolare e interessati, tale da rendere ragionevolmente atteso il trattamento.

Il Garante ha osservato che tale relazione non può essere ricostruita ex post sulla base dell'assenza di reazioni da parte della maggioranza dei destinatari. Ha inoltre ribadito che, trattandosi di comunicazioni informativo-promozionali, la base giuridica idonea sarebbe stata il consenso specifico degli interessati ai sensi dell'art. 130, comma 3, del Codice, non essendo applicabile l'eccezione prevista per i dati tratti da elenchi telefonici pubblici.

Informativa e trasparenza

È stata ritenuta non idonea l'informativa richiamata da MDE sul proprio sito internet, perché:

• non era espressamente richiamata nelle comunicazioni inviate, ma solo mediante l'indicazione del sito web;
• riguardava i trattamenti connessi alla navigazione del sito, non quelli relativi all'invio delle comunicazioni cartacee;
• non indicava base giuridica, finalità e modalità di esercizio dei diritti con riferimento ai trattamenti contestati.

L'informativa avrebbe dovuto essere resa quantomeno contestualmente alla prima comunicazione, secondo l'art. 14 GDPR.

Riscontro alle richieste degli interessati

MDE ha dichiarato di aver ricevuto otto richieste di esercizio dei diritti e di aver risposto, per sette casi, verbalmente o telefonicamente. Il Garante ha ritenuto questa modalità insufficiente, poiché a una richiesta formulata per iscritto deve corrispondere un riscontro di pari forma, anche ai fini della prova dell'adempimento degli obblighi di accountability previsti dall'art. 12 GDPR.

Misure correttive e valutazione sulla necessità di ulteriori prescrizioni

Pur rilevando la gravità delle violazioni e il numero elevato di interessati coinvolti, l'Autorità ha valorizzato la condotta successiva di MDE, che ha riferito di aver:

• revisionato integralmente l'informativa e le procedure interne;
• individuato il supporto di un DPO;
• avviato formazione specifica del personale;
• procedimentalizzato la gestione delle richieste di esercizio dei diritti;
• rafforzato le misure di sicurezza;
• interrotto l'invio delle missive contestate.

La società ha inoltre dichiarato che le iniziative future sarebbero state pubblicizzate tramite social media marketing, landing page e materiali cartacei muniti di QR code o link all'informativa. Per tale ragione il Garante ha ritenuto non necessarie ulteriori misure correttive, salvo il divieto di usare ulteriormente l'elenco degli azionisti acquisito da un socio della banca.

Sanzione amministrativa pecuniaria

Il provvedimento ha applicato l'art. 83, parr. 3 e 5, GDPR, richiamando il massimo edittale di 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo, se superiore. Tenuto conto del bilancio 2023 di MDE, il massimo è stato individuato in 20 milioni di euro.

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• la gravità delle violazioni, per la natura informativo-promozionale del trattamento e il numero dei destinatari;
• la negligenza significativa della società;
• le misure adottate per rimuovere gli effetti illeciti;
• l'assenza di precedenti provvedimenti correttivi o sanzionatori;
• la cooperazione con l'Autorità.

Sulla base di tali elementi è stata irrogata una sanzione di 15.000 euro.

Dispositivo finale

Il Garante ha:

• imposto a MDE, ai sensi dell'art. 58, par. 2, lett. f), GDPR, il divieto di ulteriori trattamenti dei dati contenuti nell'elenco degli azionisti della XX acquisito da un socio della banca;
• ingiunto alla società di comunicare entro 30 giorni le iniziative adottate per dare attuazione al divieto, con avviso che l'inadempimento può comportare l'applicazione della sanzione di cui all'art. 83, par. 5, GDPR;
• ordinato il pagamento di 15.000 euro, con facoltà di definizione agevolata ai sensi dell'art. 166, comma 8, del Codice;
• disposto la pubblicazione del provvedimento sul sito del Garante;
• disposto l'annotazione nel registro interno dell'Autorità.

Avverso il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria nei termini previsti dall'art. 78 GDPR e dagli artt. 152 del Codice e 10 del d.lgs. 150/2011.