Ordinanza ingiunzione o revoca n. 823 del 19/12/2024

Altroconsumo Edizioni S.r.l. - e-mail marketing tramite network di affiliazione e gestione dei diritti

Il provvedimento riguarda Altroconsumo Edizioni S.r.l. ed è stato adottato a seguito di un reclamo per la ricezione reiterata di e-mail promozionali indesiderate. Il Garante ha ricostruito la filiera di marketing basata su partner e affiliati e ha ritenuto la Società titolare del trattamento, con conseguente responsabilità per le violazioni accertate.

Origine del procedimento e svolgimento dell’istruttoria

Il reclamo è pervenuto il 18 luglio 2023 e il reclamante ha allegato successive integrazioni, documentando la persistenza degli invii promozionali nonostante l’opposizione già formulata il 16 marzo 2020. L’Autorità ha richiesto informazioni ad Altroconsumo ai sensi dell’art. 157 del Codice e ha poi contestato formalmente le presunte violazioni con nota del 29 maggio 2024, avviando il procedimento per l’adozione di misure correttive e per l’eventuale sanzione pecuniaria.

Ricostruzione del modello di trattamento e qualificazione dei ruoli

Altroconsumo ha descritto il proprio sistema di e-mail marketing come una campagna commissionata a partner, i quali avrebbero coinvolto affiliati titolari delle liste di destinatari. Il Garante ha però ritenuto che la Società determinasse in concreto finalità e mezzi del trattamento: la promozione dei propri prodotti e servizi, il contenuto del messaggio commerciale e i criteri operativi formalizzati nei cosiddetti "protocolli di qualità".

In questa cornice:

• Altroconsumo è stata qualificata come titolare del trattamento;
• i partner sono stati ritenuti responsabili del trattamento;
• gli affiliati sono stati considerati autonomi titolari solo per la raccolta e conservazione dei dati effettuate in una fase precedente e distinta rispetto alla campagna di Altroconsumo.

Il Garante ha escluso che la mera mancanza di detenzione materiale dei dati escludesse la titolarità della Società, valorizzando invece il controllo sostanziale sull’iniziativa promozionale.

Profili di illiceità del trattamento e accountability

L’Autorità ha rilevato un quadro di controllo insufficiente sulla filiera, poiché la selezione degli affiliati, la verifica delle liste e la prova dei consensi risultavano sostanzialmente demandate ai partner, con controlli diretti della Società limitati a un esame annuale degli audit. Tale assetto è stato considerato incompatibile con il principio di accountability e con l’obbligo del titolare di adottare misure tecniche e organizzative adeguate.

Le violazioni confermate sono state ricondotte in particolare a:

• art. 5, par. 1, lett. a) GDPR, per il venir meno dei principi di liceità, correttezza e trasparenza;
• art. 5, par. 2 GDPR e art. 24 GDPR, per la mancata dimostrazione della conformità del trattamento;
• art. 25 GDPR, per l’assenza di adeguata protezione by design e by default rispetto alla struttura del trattamento.

Il Garante ha sottolineato che le clausole contrattuali di manleva non incidono sulle garanzie dovute agli interessati e non sostituiscono i controlli sostanziali che il titolare deve esercitare.

Esercizio dei diritti e gestione dell’opposizione

Il reclamante aveva chiesto la cancellazione dei dati e l’opposizione a ulteriori trattamenti. Altroconsumo aveva inoltrato l’istanza al partner, ma il riscontro formale è pervenuto solo l’8 maggio 2020, oltre il termine di un mese previsto dall’art. 12, par. 3 GDPR.

Il Garante ha evidenziato che il riscontro non era comunque idoneo a soddisfare i diritti esercitati, perché la Società si era limitata ad affermare di non essere titolare del trattamento e ad attribuire la richiesta a non meglio precisati soggetti terzi. L’Autorità ha richiamato il principio secondo cui l’opposizione dell’interessato non può essere vanificata e il titolare deve predisporre procedure che consentano di tracciare e bloccare gli interessati che abbiano revocato il consenso o esercitato il diniego.

Sono state quindi confermate le violazioni degli artt. 12, parr. 1, 2 e 3, 21, par. 2, 24 e 25 GDPR, oltre all’art. 5, par. 2.

Invio di comunicazioni promozionali senza valida base giuridica

L’Autorità ha ritenuto che le comunicazioni promozionali inviate al reclamante non fossero supportate da un consenso valido e documentato. Il provvedimento osserva che il reclamante aveva ricevuto e-mail già nel 2019 e nel marzo 2020, e che gli invii erano proseguiti sino a marzo 2024.

Quanto ai consensi prodotti dalla Società, il Garante ha ritenuto non sufficientemente provata l’acquisizione del consenso al marketing, in assenza di documentazione puntuale su informativa, data e ora di raccolta, identità del titolare, indirizzo IP e formule dei consensi. Per le comunicazioni successive al 2020, i consensi esibiti da Altroconsumo sono stati sottoposti a vaglio critico e giudicati non idonei a dimostrarne la specificità e la validità.

Sono state richiamate anche le Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013, con il principio per cui la comunicazione a terzi per finalità di marketing richiede un consenso specifico e distinto rispetto a quello per il marketing del titolare che raccoglie i dati.

Le violazioni confermate sono quelle dell’art. 6, par. 1, lett. a) GDPR e dell’art. 130, commi 1 e 2, del Codice.

Valutazione dei consensi raccolti dagli affiliati

Il provvedimento dedica un’analisi specifica ai consensi asseritamente raccolti da due affiliati.

Per il primo affiliato, il Garante ha osservato che il form di partecipazione al concorso a premi conteneva autorizzazioni cumulative e non abbastanza specifiche, perché accorpavano finalità di marketing del titolare, comunicazione a terzi e, in parte, profilazione. È stato richiamato il requisito di specificità del consenso ex art. 4, punto 11, GDPR e il principio secondo cui la comunicazione o cessione a terzi per marketing necessita di un consenso distinto.

Per il secondo affiliato, l’Autorità ha ritenuto inidonea la documentazione prodotta, perché non proveniente in modo oggettivo e immodificabile dai sistemi aziendali, e ha inoltre rilevato che il sito e la relativa informativa conducevano a una società terza diversa dall’affiliato indicato, con conseguente mancanza di prova certa del consenso e del ruolo del soggetto coinvolto.

In entrambi i casi, il Garante ha concluso che i consensi non erano adeguatamente documentati e che, di conseguenza, le e-mail promozionali erano state inviate senza valida base giuridica.

Misure correttive e divieto

Accertata l’illiceità del trattamento, il Garante ha adottato i seguenti interventi:

• divieto di ogni ulteriore trattamento promozionale e commerciale effettuato, per conto di Altroconsumo, da soggetti terzi mediante network di affiliazione, se non previa verifica che le anagrafiche siano supportate da un consenso libero, specifico e informato;
• ingiunzione ad Altroconsumo, qualora intenda in futuro utilizzare network di affiliazione, di predisporre procedure idonee a controllare costantemente, anche con verifiche a campione, la regolarità dei trattamenti e la documentazione dei consensi;
• ingiunzione di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti degli interessati e a dare riscontro senza ingiustificato ritardo alle istanze, incluso il diritto di opposizione.

È stato inoltre ordinato di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 60.000,00, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, oltre che dell’art. 166 del Codice e della legge n. 689/1981. La sanzione è stata ritenuta proporzionata, effettiva e dissuasiva alla luce dei criteri dell’art. 83, par. 2 GDPR.

Tra le aggravanti sono state valorizzate:

• la natura sistemica delle violazioni;
• la durata pluriennale degli invii illeciti;
• la negligenza della Società, anche alla luce di un precedente provvedimento sanzionatorio del 2022;
• la capacità economica della Società.

Tra gli elementi attenuanti sono stati considerati:

• la limitatezza delle categorie di dati coinvolte;
• la cooperazione con l’Autorità;
• il fatto che nel precedente provvedimento sanzionatorio Altroconsumo aveva definito la controversia con pagamento in misura ridotta.

È stata disposta anche la pubblicazione integrale del provvedimento sul sito del Garante e la relativa annotazione nel registro interno.

Implicazioni operative

Per i titolari che utilizzano campagne di e-mail marketing affidate a partner o affiliate network, il provvedimento ribadisce che non è sufficiente una frammentazione contrattuale dei ruoli per sottrarsi alla titolarità sostanziale. Occorre invece:

• verificare in concreto finalità e mezzi del trattamento;
• controllare la provenienza e la qualità dei consensi;
• predisporre procedure efficaci per la gestione delle opposizioni;
• documentare in modo rigoroso la base giuridica di ogni invio promozionale.

Il caso conferma inoltre che la responsabilità del committente può essere affermata anche quando i dati siano materialmente detenuti da terzi, se il committente determina l’iniziativa pubblicitaria e ne beneficia direttamente.