Ordinanza ingiunzione o revoca n. 758 del 13/11/2024

Spinacqua S.r.l.: telemarketing illecito, mancato riscontro agli interessati e al Garante

Il Garante ha esaminato un reclamo relativo a due contatti promozionali effettuati da Spinacqua S.r.l. verso un’utenza mobile iscritta al Registro Pubblico delle Opposizioni, oltre all’omessa risposta alle richieste dell’interessato e dell’Autorità. Il procedimento è stato avviato a seguito dell’istruttoria aperta sul reclamo e si è concluso con un’ordinanza-ingiunzione e con misure correttive e interdittive.

Fatti e svolgimento dell’istruttoria

L’interessato ha lamentato di aver ricevuto una telefonata promozionale il 27 febbraio 2024 e di aver inviato, nella stessa data, una richiesta via PEC alla Società per ottenere informazioni sull’origine dei propri dati, sulla mancata considerazione dell’iscrizione al RPO e sulla cancellazione dei dati e opposizione al trattamento per finalità promozionali. La Società non ha risposto. L’Ufficio, il 4 aprile 2024, ha chiesto informazioni e documenti ai sensi dell’art. 157 del Codice, invitando Spinacqua a chiarire, in particolare, le misure adottate per garantire la conformità delle attività di telemarketing e teleselling. Anche tale richiesta è rimasta senza riscontro.

Successivamente, con nota di contestazione del 10 maggio 2024, è stata contestata la violazione dell’art. 157 del Codice. Con successivo atto del 20 giugno 2024, l’Ufficio ha contestato anche le violazioni sostanziali relative al marketing e ai diritti dell’interessato. Solo dopo la contestazione la Società ha presentato una memoria difensiva il 26 giugno 2024, attribuendo i fatti a un "mero errore" nella gestione dei dati.

Trattamenti esaminati

Il provvedimento riguarda:

• l’invio di contatti telefonici promozionali;
• l’acquisizione di dati personali da un list provider;
• il mancato riscontro a richieste di accesso, cancellazione e opposizione;
• il mancato riscontro alla richiesta di informazioni del Garante.

Il Garante ha evidenziato che Spinacqua non ha provato di aver adottato adeguate cautele nell’acquisizione dei dati da terzi, né di aver verificato la liceità della raccolta originaria, l’esistenza di un idoneo consenso per la comunicazione a terzi a fini commerciali, né la previa consultazione del RPO prima di ciascuna campagna promozionale.

Violazioni accertate e basi normative

Il Garante ha confermato la violazione di:

• artt. 6, par. 1, lett. a), e 7 GDPR, per l’assenza di un valido consenso al marketing;
• artt. 15, 17 e 21 GDPR, per il mancato riscontro alle richieste di accesso, cancellazione e opposizione;
• art. 130, commi 3 e 3-bis, Codice privacy, per i contatti promozionali verso un numero iscritto al RPO senza previa verifica;
• art. 157 Codice privacy, per il mancato riscontro alla richiesta di informazioni dell’Autorità.

Il Garante ha sottolineato che il comportamento della Società ha reso impossibile all’interessato esercitare i propri diritti e ha mostrato una gestione inadeguata dei canali di contatto, in particolare della PEC dedicata ai riscontri.

Valutazioni sul list provider e sui presupposti di liceità

Spinacqua ha dichiarato di aver reperito i dati da una società estera operante nel web marketing, che curerebbe anche la verifica nel Registro delle Opposizioni. Tuttavia, il Garante ha rilevato che tale spiegazione non è stata supportata da documenti idonei e non chiarisce:

• i termini del rapporto commerciale;
• l’eventuale formalizzazione di un accordo;
• le responsabilità dei soggetti coinvolti;
• la verifica, in capo a Spinacqua, della liceità della cessione dei dati.

L’Autorità ha inoltre osservato che il sito del list provider appariva privo di informativa privacy e non consentiva di verificare la nomina di un rappresentante nell’Unione europea, requisito rilevante ai sensi dell’art. 27 GDPR.

Misure correttive e interdittive

Accertata l’illiceità del trattamento, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento della stessa specie, comprese le ulteriori anagrafiche provenienti dalle liste del fornitore, in assenza di consenso e senza consultazione preventiva del RPO;
• l’ingiunzione di cancellare senza ritardo i dati acquisiti illecitamente;
• l’ingiunzione di adottare misure tecniche e organizzative idonee a garantire un corretto e tempestivo riscontro alle richieste degli interessati, con particolare attenzione alla PEC e ai canali di comunicazione ex artt. 12 e 15 GDPR;
• la comunicazione al Garante, entro 30 giorni dalla notifica, delle iniziative intraprese per dare attuazione alle misure imposte.

Il provvedimento richiama anche le conseguenze penali e amministrative previste in caso di inosservanza del divieto.

Sanzione amministrativa pecuniaria e criteri ex art. 83 GDPR

Per le violazioni già commesse, il Garante ha applicato una sanzione di euro 10.000,00 ai sensi dell’art. 83, par. 5, GDPR, ritenendola effettiva, proporzionata e dissuasiva. Nella quantificazione ha considerato, tra le aggravanti:

• la gravità e la reiterazione delle condotte omissive;
• la colpa grave della Società;
• la scarsa cooperazione con l’Autorità.

Tra le attenuanti ha valorizzato:

• la natura isolata del caso, scaturito da un solo reclamo;
• la cancellazione tardiva dei dati del reclamante;
• l’assenza di precedenti procedimenti;
• il carattere di dati comuni delle informazioni trattate.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.