Ordinanza ingiunzione o revoca n. 561 del 30/11/2023

Limit Call S.r.l.s.: telemarketing illecito, mancata informativa e sanzione pecuniaria

Il Garante per la protezione dei dati personali interviene nei confronti di Limit Call S.r.l.s., call center attivo nel teleselling per contratti di energia elettrica, a seguito di un reclamo per telefonate promozionali indesiderate. L’istruttoria è stata preceduta da un precedente provvedimento sanzionatorio per mancato riscontro a una richiesta di informazioni dell’Autorità e si è sviluppata anche mediante accertamento ispettivo presso la sede della Società.

Origine dei dati e ricostruzione della filiera

La Società ha dichiarato di aver acquisito il contatto del reclamante da un list provider con sede in Moldavia, dal quale sarebbero state ricevute tre liste anagrafiche per un totale di 100.000 contatti. Il materiale esaminato ha mostrato l’esistenza di un rapporto commerciale documentato da fatture e da un allegato denominato "Terms and conditions", ma non di un contratto specifico idoneo a chiarire con precisione la titolarità effettiva della banca dati e le garanzie sul trattamento.

Il Garante rileva che Limit Call non ha fornito documentazione idonea a dimostrare la liceità dell’acquisizione delle liste da terzi, né ha svolto verifiche sostanziali sull’origine dei dati, sull’informativa resa agli interessati e sui consensi raccolti a monte. La Società si è limitata a controllare l’iscrizione delle utenze nel Registro Pubblico delle Opposizioni, peraltro senza che risulti il riscontro dell’utenza del reclamante già al primo contatto.

Informativa, consenso e telemarketing

L’Autorità conferma la violazione degli artt. 12, 13 e 14 GDPR, ritenendo che non sia stata resa un’informativa idonea nel corso dei contatti promozionali. Lo script utilizzato nelle chiamate, prodotto sia prima dell’accertamento sia in sede ispettiva, risultava privo delle informazioni obbligatorie dell’art. 13 GDPR e limitato a richiedere un ricontatto per servizi di consulenza energetica, senza neppure menzionare chiaramente la Società.

È stata inoltre confermata la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), e 7 GDPR, nonché dell’art. 130 del Codice, perché le telefonate promozionali sono state effettuate senza prova del consenso informato e documentato degli interessati. Il Garante sottolinea che, indipendentemente dal ruolo formale ricoperto nella filiera, Limit Call era comunque tenuta a verificare i presupposti di liceità del trattamento dei dati acquisiti da terzi.

Esercizio dei diritti e canali di contatto

La Società aveva indicato un indirizzo PEC per la gestione delle richieste degli interessati, ma le verifiche ispettive hanno evidenziato che il canale non era più attivo. Ciò integra la violazione degli artt. 12, parr. 2 e 3, e 15 GDPR e contrasta con l’obbligo del titolare di agevolare l’esercizio dei diritti e riscontrare senza ritardo le istanze degli interessati.

Cooperazione con l’Autorità e Registro Pubblico delle Opposizioni

Il Garante contesta anche la violazione dell’art. 31 GDPR per insufficiente cooperazione con l’Autorità: l’inerzia della Società ha reso necessario un accertamento ispettivo per ottenere informazioni che avrebbero dovuto essere fornite in risposta alla richiesta istruttoria. Inoltre, viene confermata la violazione dell’art. 1, comma 11, della legge n. 5/2018, in relazione al successivo comma 12 e all’art. 130, comma 3, del Codice, per non aver consultato correttamente il Registro Pubblico delle Opposizioni prima della campagna promozionale.

Misure correttive e divieto del trattamento

Accertata l’illiceità delle condotte, il Garante dispone:

• il divieto di trattare dati personali per i quali non sia stato comprovato il rilascio di un’idonea informativa e l’acquisizione di un consenso valido;
• l’ingiunzione di cancellare senza ritardo tali dati, salvo conservazione necessaria per obblighi di legge o ragioni contrattuali;
• per eventuali future attività promozionali verso numeri forniti da terzi, l’obbligo di rendere un’informativa trasparente e idonea, di adottare procedure di verifica costante e controlli a campione, di garantire il corretto presidio dei canali per l’esercizio dei diritti e di tenere traccia della filiera del trattamento.

Il provvedimento richiama, a tal fine, gli artt. 6, 7, 12, 13, 14, 15, 24 e 5, par. 2, GDPR, nonché l’art. 130 del Codice.

Sanzione amministrativa e criteri di quantificazione

Poiché le violazioni riguardano trattamenti collegati, il Garante applica l’art. 83, par. 3, GDPR, individuando la violazione più grave tra quelle contestate. Ai fini della quantificazione della sanzione, vengono richiamati gli elementi dell’art. 83, par. 2, GDPR: la gravità del trattamento su un numero elevatissimo di contatti, la colpevolezza della condotta, l’assenza di misure di attenuazione del danno e la difformità rispetto alla consolidata attività provvedimentale dell’Autorità in materia di marketing.

Come unico elemento attenuante viene considerata la capacità economica della Società, sulla base dell’ultimo fatturato disponibile. Viene quindi irrogata una sanzione amministrativa pecuniaria di euro 60.000, pari allo 0,3% del massimo edittale di 20 milioni di euro.

Pubblicazione, annotazione e tutela giurisdizionale

Il Garante dispone anche la pubblicazione integrale del provvedimento sul proprio sito, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento n. 1/2019, nonché l’annotazione delle violazioni nel registro interno dell’Autorità. È infine richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e delle norme nazionali richiamate nel provvedimento.