Ordinanza ingiunzione o revoca n. 672 del 13/11/2024

Illumia S.p.A. - telemarketing, selezione dei responsabili e misure di sicurezza

Il provvedimento riguarda Illumia S.p.A. e nasce da due reclami relativi a contatti promozionali effettuati in nome e per conto della società nel settore energetico. Il Garante ha esaminato in modo congiunto i reclami e ha contestato violazioni in materia di liceità del trattamento, accountability, rapporti con responsabili del trattamento, vigilanza sulla filiera del teleselling e sicurezza dei sistemi.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata ai sensi dell’art. 166, comma 5, del Codice, dopo la ricezione di due reclami per telemarketing. Nel primo, l’interessato lamentava una chiamata promozionale ricevuta sul proprio numero mobile pur essendo iscritto al Registro Pubblico delle Opposizioni. Nel secondo, l’interessata riferiva di essere stata contattata su un’utenza abitualmente utilizzata come recapito di riferimento familiare, da un operatore che conosceva già la richiesta di switch verso altro fornitore e altri dettagli della posizione contrattuale.

L’Ufficio ha chiesto informazioni a Illumia ai sensi dell’art. 157 del Codice. La società ha rappresentato di affidarsi a una rete di agenzie e sub-agenzie, sottoposte a check-list, disciplinare tecnico, formazione periodica e controlli di monitoraggio. Ha dichiarato inoltre di avere introdotto dal 1° gennaio 2024 una check-list GDPR, di nominare le agenzie responsabili del trattamento ai sensi dell’art. 28 GDPR e di prevedere clausole risolutive, audit, black-list e confirmation call.

Difese della società e documentazione prodotta

Illumia ha chiesto una proroga del termine per le difese e ha domandato copia delle segnalazioni menzionate dall’Autorità. Il Garante ha concesso una proroga limitata a 15 giorni e ha rigettato l’accesso alle segnalazioni per carenza di interesse diretto, concreto e attuale, precisando che esse non erano oggetto dell’istruttoria congiunta.

Nelle memorie difensive la società ha insistito sulla complessità della propria organizzazione commerciale, sulla rete composta da molte agenzie, sui controlli preliminari e successivi, sulle attività formative e sui sistemi informatici utilizzati per caricare i contratti. Ha anche rappresentato che i contratti di teleselling prevedono verifiche formali, riascolto del vocal order e, per il canale web, l’uso di OTP e confirmation call. Per il monitoraggio della rete ha illustrato un comitato interno dedicato alla qualità della vendita, procedure di gestione dei reclami e audit risk based.

Valutazioni del Garante sulla liceità dei contatti e sull’RPO

L’Autorità ha respinto le eccezioni della società. Quanto al primo reclamo, non è stato possibile ritenere dimostrata la tesi secondo cui l’iscrizione al RPO fosse successiva al contatto o comunque irrilevante: dalla documentazione non era chiaro se si trattasse di prima iscrizione o rinnovo, e le dichiarazioni dell’interessato non consentivano di escludere la tutela invocata.

Quanto al secondo reclamo, il Garante ha ritenuto infondata l’eccezione sulla legittimazione del reclamante, chiarendo che la telefonata era riferibile alla reclamante stessa, in quanto l’operatore disponeva di una pluralità di informazioni idonee a identificarla univocamente. L’essere intestatario formale dell’utenza non è stato ritenuto decisivo, poiché il dato personale si definisce in base alla sua capacità identificativa e non alla mera intestazione tecnica del numero.

È stata inoltre esclusa ogni rilevanza della mancata replica degli interessati alle risposte della società, trattandosi di una mera facoltà. Il Garante ha quindi confermato la violazione degli artt. 5, 6 e 7 GDPR e dell’art. 130 del Codice per contatti promozionali effettuati in assenza di idonea base giuridica.

Accountability e selezione dei responsabili del trattamento

Una parte centrale del provvedimento riguarda la violazione del principio di accountability, ai sensi degli artt. 5, par. 2, e 24 GDPR. Il Garante ha osservato che Illumia non ha fornito prova adeguata della documentazione e delle misure dichiarate, né un quadro coerente e completo della propria governance privacy.

Sul piano dell’art. 28 GDPR, l’Autorità ha ritenuto non conforme il processo di selezione delle agenzie. La società avrebbe contrattualizzato partner anche in presenza di carenze in materia di protezione dei dati, rimandando l’adeguamento al periodo di prova e a successive remediation. Secondo il Garante, ciò contrasta con l’obbligo di avvalersi solo di responsabili in grado di offrire garanzie sufficienti fin dall’inizio, con misure tecniche e organizzative adeguate.

Il fatto che la check-list privacy sia stata introdotta solo dal 1° gennaio 2024 è stato considerato un indice di ritardo significativo. Inoltre, alcune agenzie avevano continuato a operare senza una previa e attenta valutazione dei requisiti privacy. Il periodo di prova e le clausole di recesso o risoluzione non sono stati ritenuti idonei a sanare l’iniziale inadeguatezza della selezione.

Vigilanza sull’operato delle agenzie e criticità delle procedure di controllo

Il Garante ha contestato anche la culpa in vigilando. Le verifiche dichiarate dalla società, basate su campionamenti, soglie di criticità e attivazione di controlli in presenza di anomalie o reclami, sono state giudicate insufficienti. L’Autorità ha sottolineato che, nel contesto del telemarketing, il rischio è strutturalmente elevato e che il titolare deve monitorare in modo effettivo e continuo la propria filiera, anche in presenza di singoli episodi.

Sono state ritenute non pienamente conformi anche le istruzioni fornite alle agenzie sull’uso del Registro Pubblico delle Opposizioni, poiché la società indicava una consultazione mensile o precedente a ogni campagna, senza tener conto della diversa durata di efficacia prevista dalla disciplina applicabile in base al mezzo utilizzato. Inoltre, le procedure sulle fonti anagrafiche non distingueva adeguatamente tra diverse categorie di dati e non consideravano compiutamente i dati provenienti da pubblici registri.

Misure di sicurezza e prevenzione dei contratti illeciti

Sotto il profilo degli artt. 5, 25 e 32 GDPR, il Garante ha ritenuto insufficiente la sicurezza organizzativa e tecnica del sistema. Pur apprezzando l’uso di account personali protetti da password, l’Autorità ha ritenuto che mancassero misure idonee a impedire a monte l’ingresso di contratti originati da contatti illeciti e ad evitare accessi non autorizzati ai sistemi.

È stato osservato che la società sembrava in grado di risalire a posteriori all’operatore che ha caricato il contratto, ma non aveva adottato presidi preventivi efficaci, quali tracciamento degli accessi, controllo degli accessi contestuali o rilevazione di anomalie di utilizzo. La semplice dichiarazione che erano in corso valutazioni di fattibilità su un sistema di tracciamento è stata considerata insufficiente, soprattutto alla luce della delicatezza della filiera di vendita e del rischio di alimentare il fenomeno del telemarketing illecito.

Violazioni accertate e misure adottate

Il Garante ha accertato la responsabilità di Illumia per:

• violazione degli artt. 5, par. 2, e 24 GDPR, per mancata dimostrazione della conformità dei trattamenti;
• violazione degli artt. 5, 6 e 7 GDPR e dell’art. 130 del Codice, per contatti promozionali privi di idonea base giuridica;
• violazione degli artt. 5, par. 2, 24 e 28 GDPR, per inadeguata selezione dei responsabili del trattamento;
• violazione degli artt. 5, par. 2, 24 e 28 GDPR, per inadeguata vigilanza sui responsabili;
• violazione degli artt. 5, 25 e 32 GDPR, per carenze nelle misure di sicurezza tecniche e organizzative.

Alla società è stato rivolto un ammonimento ex art. 58, par. 2, lett. b), GDPR; è stato imposto il divieto di ogni ulteriore trattamento dei dati dei reclamanti; e sono state ingiunte misure correttive ex art. 58, par. 2, lett. d), GDPR per adeguare l’intera filiera di selezione e controllo dei responsabili e per prevenire l’attivazione di contratti derivanti da contatti illeciti e l’accesso non autorizzato ai sistemi.

È stato inoltre imposto a Illumia di comunicare entro trenta giorni le iniziative adottate per dare esecuzione al provvedimento.

Sanzione amministrativa pecuniaria e sanzioni accessorie

Per la quantificazione della sanzione, il Garante ha richiamato l’art. 83, parr. 3, 5 e 2, GDPR. Il massimo edittale è stato determinato in euro 27.155.872,00, sulla base del fatturato risultante dall’ultimo bilancio disponibile. Tra i fattori valutati vi sono la gravità delle violazioni, la durata delle condotte e l’ampiezza della platea coinvolta, nonché, in senso attenuante, alcune misure già introdotte dalla società, come la check-list privacy, i controlli campionari e gli account personali protetti.

La sanzione è stata fissata in euro 678.897,00, pari al 2,5% del massimo edittale. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Il provvedimento richiama infine la facoltà di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice e i termini per l’eventuale opposizione all’autorità giudiziaria ordinaria.