Ordinanza ingiunzione o revoca n. 125 del 22/02/2024

TPER S.p.A. - informativa carente, consensi non validi e conservazione eccessiva dei dati degli abbonati

Il provvedimento riguarda l'uso, da parte di TPER S.p.A., della modulistica per il rilascio della tessera necessaria all'acquisto e alla gestione degli abbonamenti al trasporto pubblico locale. L'istruttoria è stata avviata a seguito di una segnalazione sulla non conformità della raccolta del consenso e dell'informativa privacy utilizzata presso i punti vendita.

Origine del procedimento e trattamenti esaminati

Il caso concerneva tre gruppi di trattamenti: i dati necessari al rilascio della tessera/abbonamento; i dati raccolti per finalità di marketing, ricerche di mercato, sondaggi di gradimento, iniziative promozionali e concorsi a premi; i dati utilizzati per l'invio di SMS relativi al servizio, ad esempio per scioperi o modifiche programmate. L'Azienda ha fornito chiarimenti nel corso dell'istruttoria e ha poi aggiornato la modulistica e l'informativa.

Informativa privacy e principio di trasparenza

Il Garante ha rilevato che l'informativa resa agli interessati non rispettava i requisiti degli artt. 12 e 13 GDPR. In particolare:

• non indicava i dati di contatto del responsabile della protezione dei dati;
• non esplicitava la base giuridica per ciascuna finalità;
• non individuava correttamente destinatari o categorie di destinatari;
• non indicava il periodo di conservazione o i criteri per determinarlo;
• non riportava i diritti di cui agli artt. 15-22 GDPR;
• non evidenziava in modo chiaro il diritto di revoca del consenso;
• non menzionava il diritto di reclamo al Garante.

L'informativa richiamava ancora norme del Codice privacy nella versione anteriore al d.lgs. 101/2018 e descriveva il conferimento come obbligatorio senza chiarire quali dati fossero indispensabili e quali invece facoltativi. La formula secondo cui il mancato consenso avrebbe comportato l'impossibilità di accedere ai servizi è stata giudicata ambigua e fuorviante, perché poteva indurre l'interessato a credere che il consenso fosse necessario per ottenere la tessera o fruire del trasporto.

Consenso per marketing e attività promozionali

Il Garante ha ritenuto invalido il consenso raccolto per finalità di marketing diretto. Il consenso, per essere valido ai sensi degli artt. 4, n. 11, 6 e 7 GDPR, deve essere libero, specifico, informato e inequivocabile; nel caso di specie, tali requisiti non sussistevano.

Le criticità evidenziate sono state le seguenti:

• la formulazione del modulo lasciava intendere che il mancato consenso potesse incidere sull'accesso ai servizi di trasporto;
• il riferimento ai "servizi sopra indicati" era generico e poteva essere riferito proprio al trasporto;
• il consenso era cumulativo e coinvolgeva anche iniziative promozionali e concorsi a premi, che, in caso di adesione, avrebbero richiesto la base giuridica dell'esecuzione di un contratto ai sensi dell'art. 6, par. 1, lett. b), GDPR;
• l'informativa non chiariva la facoltatività del consenso né la possibilità di revoca in qualsiasi momento.

Il Garante ha quindi accertato la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 GDPR e 130, commi 2 e 3, del Codice privacy.

Consenso per SMS relativi al servizio

Un'analoga valutazione negativa è stata espressa con riguardo al consenso per l'invio di SMS informativi sul servizio di trasporto. L'informativa non descriveva con sufficiente precisione le circostanze degli invii e non chiariva adeguatamente che il consenso fosse facoltativo e non condizionasse il rilascio della tessera o dell'abbonamento. Anche per questa finalità il consenso è stato ritenuto non libero e non adeguatamente informato, con violazione degli artt. 5, 6 e 7 GDPR.

Conservazione dei dati e principio di minimizzazione temporale

Il provvedimento contesta anche il tempo di conservazione di 10 anni dalla scadenza dell'ultimo abbonamento applicato ai dati raccolti per le finalità accessorie. Il Garante ha ritenuto tale durata eccessiva e non proporzionata, soprattutto perché non era stata dimostrata una differenziazione per singole finalità o per categorie di interessati.

L'Autorità ha richiamato il principio di limitazione della conservazione di cui all'art. 5, par. 1, lett. e), GDPR e il principio di responsabilizzazione ex art. 5, par. 2, e 24 GDPR, osservando che il titolare avrebbe dovuto definire ex ante tempi congrui e specifici per marketing, customer satisfaction e comunicazioni di servizio. È stata evidenziata la mancanza di un'adeguata verifica preventiva della retention policy.

Valutazioni sulla responsabilizzazione

Il Garante ha sottolineato che TPER, pur operando come servizio pubblico, avrebbe dovuto aggiornare tempestivamente informativa, modulistica e politiche interne con l'entrata in vigore del GDPR. La mancata revisione della documentazione e delle regole di conservazione entro il 25 maggio 2018 è stata considerata indice di carenza di accountability e di sostanziale negligenza nell'adeguamento normativo.

Provvedimenti correttivi e divieti

Ai sensi dell'art. 58, par. 2, GDPR, il Garante ha disposto:

• il divieto di trattare i dati acquisiti con i consensi invalidamente raccolti per finalità di marketing e per l'invio di comunicazioni sullo stato del servizio di trasporto;
• la possibilità di effettuare soltanto le comunicazioni necessarie per obblighi di legge o per l'esecuzione del contratto di abbonamento;
• la cancellazione senza ritardo dei dati non più necessari, fatti salvi quelli che devono essere conservati per legge o per ragioni contrattuali;
• l'obbligo di fornire agli interessati la nuova informativa predisposta dall'Azienda, rendendola disponibile sul sito istituzionale, presso la sede e i punti vendita, oltre che in occasione del primo contatto utile.

TPER deve inoltre comunicare al Garante, entro 30 giorni dalla notifica, le misure adottate per l'attuazione delle prescrizioni.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato una sanzione amministrativa pecuniaria di euro 50.000, ritenuta effettiva, proporzionata e dissuasiva. Nel determinare l'importo sono stati considerati, tra gli altri, i seguenti elementi dell'art. 83, par. 2, GDPR:

• natura, gravità e durata della violazione;
• numero elevato di interessati coinvolti;
• arco temporale esteso di utilizzo della modulistica non conforme;
• assenza di dati appartenenti a categorie particolari o relativi a condanne penali;
• mancanza di precedenti pertinenti;
• collaborazione dell'Azienda durante l'istruttoria;
• assenza di un vantaggio economico derivante dal trattamento contestato.

L'Autorità ha richiamato anche l'art. 83, par. 3, GDPR, ricordando che tutte le violazioni contestate ricadevano nell'ambito dell'art. 83, par. 5, con limite massimo astratto pari a 20 milioni di euro o al 2% del fatturato mondiale annuo, e ha considerato il fatturato 2022 dell'Azienda pari a 219.377.426,00 euro.

Dispositivo finale

Il Garante ha:

• dichiarato l'illiceità del trattamento effettuato da TPER S.p.A. per violazione degli artt. 5, 6, 7, 12, 13 e 21 GDPR e 130, commi 2 e 3, Codice privacy;
• ordinato il pagamento della sanzione di 50.000 euro;
• disposto la pubblicazione del provvedimento sul sito del Garante;
• ordinato l'annotazione nel registro interno delle violazioni.

È stata inoltre richiamata la possibilità di ricorso all'autorità giudiziaria ordinaria entro i termini di legge.