Ordinanza ingiunzione o revoca n. 154 del 13/03/2025

G@S Telecomunicazioni: trattamento illecito dei dati per contatto telefonico e nuova attivazione non autorizzata di servizi fissi

Il provvedimento riguarda l’impresa individuale G@S Telecomunicazioni di Losito Lucia, destinataria di un procedimento avviato d’ufficio dal Garante a seguito della segnalazione di un interessato. La vicenda concerne il contatto telefonico dell’interessato, l’acquisizione del suo documento d’identità e la registrazione di una nuova attivazione di servizi di telefonia fissa in assenza di adeguata base giuridica e senza corretta informativa.

Origine della segnalazione e attività istruttoria

L’istruttoria prende avvio da una segnalazione presentata il 14 marzo 2024. L’interessato riferiva di aver iniziato online una proposta per una linea telefonica fissa Vodafone, interrompendola prima della conclusione. Il giorno seguente sarebbe stato contattato telefonicamente da una persona che si qualificava come operatrice Vodafone e che gli chiedeva di inviare via WhatsApp un documento di identità per completare l’attivazione. Dopo tale invio, l’interessato scopriva che la procedura online non risultava andata a buon fine e che, al contrario, era stata completata un’attivazione presso un punto vendita; la compagnia gli comunicava inoltre il blocco di ulteriori due contratti a sua insaputa.

Il Garante richiedeva informazioni a Vodafone Italia S.p.A., che confermava la ricostruzione sostanziale dei fatti: la procedura online era rimasta sospesa come "carrello abbandonato" e l’attivazione era stata eseguita da un punto vendita multi-brand riconducibile a G@S Telecomunicazioni, non autorizzato alle vendite a distanza. L’Autorità effettuava poi un’ulteriore richiesta a G@S, la quale sosteneva di avere agito in buona fede, affermando che il cliente si era recato nel negozio e che le verifiche e l’acquisizione della documentazione erano state svolte regolarmente.

Qualificazione di G@S come titolare autonomo

Il Garante non ha ritenuto credibili né documentate le difese di G@S. Ha osservato che il punto vendita si trovava in provincia di Napoli, mentre l’attivazione della linea riguardava l’abitazione dell’interessato in provincia di Pesaro, e che dai sistemi Vodafone emergeva invece un contatto telefonico e una successiva visita dell’interessato in un punto vendita Vodafone a Fano per verificare l’accaduto.

L’Autorità ha quindi ritenuto che G@S avesse acquisito informazioni sulla pratica online interrotta, avesse contattato l’interessato sul numero mobile, avesse indotto l’invio del documento d’identità e avesse registrato una nuova attivazione nei sistemi Vodafone, in modo difforme dalle istruzioni contrattuali e dalle regole di identificazione previste per l’attivazione delle linee telefoniche. In ragione di tale autonomia operativa, G@S è stata considerata titolare autonomo del trattamento, non semplice responsabile ai sensi dell’art. 28 GDPR.

Violazioni contestate e norme richiamate

Il Garante ha accertato che il trattamento dei dati dell’interessato era avvenuto:

• in violazione dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• in assenza di una valida base giuridica e del necessario consenso, in violazione degli artt. 6 e 7 GDPR;
• senza informativa adeguata, in violazione degli artt. 13 e 14 GDPR;
• in contrasto con l’art. 130 del Codice privacy, relativo ai contatti telefonici promozionali.

Le condotte contestate comprendevano il contatto telefonico non autorizzato, l’acquisizione e l’uso del documento di identità, la registrazione di un’attivazione diversa da quella inizialmente avviata online e il trattamento di dati ulteriori, compresi quelli collegati ai metodi di pagamento.

Valutazioni del Garante

Nel respingere le difese, l’Autorità ha valorizzato il riscontro esterno fornito da Vodafone e la natura intenzionale della condotta, finalizzata a dirottare una procedura di attivazione online verso l’alveo operativo del punto vendita. Ha inoltre richiamato la giurisprudenza della Cassazione sulla possibilità che il responsabile del trattamento diventi titolare autonomo quando agisce con autonomia decisionale disattendendo le istruzioni ricevute.

Il Garante ha evidenziato anche la scarsa collaborazione fornita da G@S, la genericità delle giustificazioni e il fatto che l’interessato abbia dovuto contattare più volte il servizio clienti e recarsi presso un punto vendita per comprendere quanto stesse accadendo.

Sanzione, divieto e pubblicazione

Accertata l’illiceità del trattamento, il Garante ha adottato un’ordinanza ingiunzione ai sensi degli artt. 166 del Codice privacy e 18 della legge n. 689/1981. Il massimo edittale è stato individuato in 20.000.000 euro, con riferimento all’art. 83, parr. 3 e 5, GDPR.

Nel determinare la sanzione, l’Autorità ha considerato:

• la gravità delle violazioni, anche in relazione al fenomeno delle attivazioni illecite di servizi telefonici;
• il numero limitato degli interessati coinvolti;
• il carattere intenzionale della condotta;
• l’assenza di precedenti provvedimenti sanzionatori a carico della destinataria;
• la scarsa collaborazione con l’Autorità;
• la natura dei dati trattati.

La sanzione è stata fissata in 15.000 euro, pari allo 0,075% del massimo edittale. È stato inoltre disposto il divieto di ogni ulteriore trattamento dei dati del segnalante, con obbligo di comunicare entro 30 giorni le iniziative assunte per dare esecuzione alla misura. Il Garante ha anche ordinato la pubblicazione del provvedimento sul proprio sito e l’annotazione nel registro interno delle violazioni e delle misure adottate.