Ordinanza ingiunzione o revoca n. 271 del 09/05/2024

Azzurro Club Hotels S.r.l. - invio di email promozionale senza consenso e mancato riscontro a istanza di accesso

Il provvedimento riguarda Azzurro Club Hotels S.r.l. e origina dal reclamo di un interessato che aveva ricevuto una comunicazione email promozionale senza avere rapporti con la società e senza aver ottenuto riscontro a una richiesta di accesso ai dati personali.

Origine del procedimento e attività istruttoria

L’interessato ha segnalato al Garante due profili: l’invio di una email promozionale e l’omessa risposta alla richiesta presentata l’8 maggio 2023 ai sensi dell’art. 15 GDPR, con particolare riferimento all’origine dei dati e alla copia degli stessi. Nel corso dell’istruttoria, la società ha fornito spiegazioni tra loro non coerenti: dapprima ha affermato che i dati derivavano da un pregresso rapporto con una struttura alberghiera; poi ha ipotizzato che fossero stati rilasciati a un gruppo societario diverso; infine ha dichiarato di aver cancellato i dati del reclamante, senza però produrre elementi documentali a supporto.

Violazioni contestate

L’Ufficio ha contestato alla società:

• la violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, comma 2, Codice privacy, per aver inviato una email promozionale senza dimostrare l’esistenza di un consenso valido;
• la violazione degli artt. 12, par. 3, e 15 GDPR, per non aver dato riscontro alla richiesta di accesso dell’interessato, neppure dopo l’avvio dell’istruttoria.

Valutazioni del Garante sull’email promozionale

Il Garante ha ritenuto infondata la difesa della società, secondo cui il messaggio non avrebbe avuto natura promozionale ma sarebbe servito solo a ottenere il consenso per future comunicazioni commerciali. Dall’esame del contenuto dell’email è emersa, invece, una finalità chiaramente promozionale, essendo il messaggio volto a sollecitare l’acquisto di servizi mediante bonus e sconti.

L’Autorità ha escluso che possa operare un’esimente fondata sul mero intento di raccogliere il consenso, richiamando il principio secondo cui una comunicazione inviata per ottenere il consenso al marketing è essa stessa una comunicazione promozionale e, in assenza di un precedente consenso, costituisce un’interferenza illecita. È stata inoltre osservata l’incoerenza della difesa della società rispetto alle precedenti dichiarazioni rese in istruttoria, nelle quali la stessa aveva qualificato il messaggio come email promozionale e aveva richiamato la deroga del c.d. soft spam ex art. 130, comma 4, Codice privacy.

Valutazioni del Garante sul diritto di accesso

Quanto alla richiesta ex art. 15 GDPR, il Garante ha rilevato che la società non ha mai fornito un riscontro concreto e documentato sull’origine dei dati. Le risposte rese sono state considerate generiche, contraddittorie e non supportate da documentazione. In particolare, la successiva affermazione secondo cui la società avrebbe soddisfatto i diritti di opposizione e cancellazione ex artt. 21 e 17 GDPR è stata giudicata inconferente, poiché l’interessato aveva esercitato il solo diritto di accesso.

Inoltre, la cancellazione dei dati dichiarata dalla società ha reso, di fatto, impossibile fornire in seguito il riscontro richiesto sull’origine dei dati stessi. Per questo il Garante ha ritenuto integrata anche la violazione degli artt. 12, par. 3, e 15 GDPR.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 3, GDPR, considerando le violazioni come riferite a trattamenti collegati, e ha individuato il massimo edittale applicabile nell’importo di 20 milioni di euro ex art. 83, par. 5, GDPR, verificando che il 4% del fatturato risultava inferiore.

Nella determinazione dell’importo sono stati valorizzati come elementi aggravanti:

• il carattere gravemente colposo della violazione;
• l’assenza di documentazione sull’origine dei dati;
• l’insufficiente cooperazione con l’Autorità.

Sono stati invece considerati come elementi attenuanti:

• il coinvolgimento di un solo interessato;
• il danno limitato, consistente nel ricevere un’email indesiderata e nel non conoscere l’origine dei dati;
• l’assenza di precedenti violazioni pertinenti.

All’esito del bilanciamento, la sanzione è stata fissata in euro 10.000, pari allo 0,05% del massimo edittale ipotizzato.

Dispositivo e adempimenti conseguenti

Il Garante ha dichiarato illecito il trattamento effettuato dalla società e ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 10.000. È stata inoltre ricordata la facoltà di definizione agevolata, ai sensi dell’art. 166, comma 8, Codice privacy, mediante pagamento entro 30 giorni della metà della sanzione.

Il provvedimento dispone altresì:

• la pubblicazione integrale sul sito web del Garante, quale sanzione accessoria;
• l’annotazione delle violazioni nel registro interno dell’Autorità.

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.