Ordinanza ingiunzione o revoca n. 699 del 14/11/2024

D’Anna Assicurazioni S.r.l. - opposizione al marketing e informativa online

Il Garante per la protezione dei dati personali ha esaminato il trattamento svolto da D’Anna Assicurazioni S.r.l. in relazione a comunicazioni promozionali inviate via e-mail e ai dati raccolti tramite form presente sul sito internet della Società. Il procedimento trae origine da un reclamo dell’interessato, che lamentava la prosecuzione dell’invio di e-mail commerciali nonostante la propria opposizione e la mancata gestione corretta delle richieste di cancellazione dei dati e di revoca del consenso.

Origine del procedimento e attività istruttoria

L’Autorità ha avviato l’istruttoria il 23 aprile 2024, contestando alla Società la possibile violazione degli artt. 12, 13, 17 e 21 GDPR. In particolare, è stato contestato:

• il mancato recepimento dell’opposizione alla ricezione di comunicazioni promozionali e della revoca del consenso al marketing;
• l’utilizzo di un criterio ritenuto inadeguato per verificare l’identità del richiedente, fondato sulla pretesa necessità di un canale diverso dalla e-mail;
• l’assenza di un’informativa adeguata sul sito internet per i dati raccolti mediante il form online dedicato alla richiesta di preventivo personalizzato.

La Società ha difeso la propria condotta sostenendo, in sintesi, che il reclamante avesse inviato una richiesta priva di sufficiente prova documentale, che il rapporto contrattuale fosse in essere con altro soggetto del gruppo assicurativo e che l’eventuale revoca del consenso dovesse essere indirizzata a tale soggetto. Ha inoltre dichiarato che il form online non sarebbe stato funzionalmente utilizzato, affermando di aver poi inserito l’informativa sul sito.

Qualificazione dei ruoli nel trattamento

Il Garante ha ritenuto che la D’Anna Assicurazioni fosse autonomo titolare del trattamento per le finalità promozionali. La qualificazione è stata desunta non dal solo mandato assicurativo, ma da elementi concreti: le e-mail promozionali provenivano dall’indirizzo della Società, riportavano i suoi recapiti e la sua sede, e presentavano il messaggio come iniziativa direttamente riferibile alla D’Anna.

L’Autorità ha sottolineato che il contratto di mandato con la compagnia assicurativa non disciplinava in modo sufficiente il trattamento dei dati personali, né conteneva evidenza di istruzioni ex art. 28, par. 3, GDPR relative all’attività promozionale. Il richiamo generico alla normativa privacy non è stato ritenuto sufficiente per escludere la titolarità autonoma della Società.

Violazione degli artt. 12, 17 e 21 GDPR: opposizione e revoca del consenso

Sul piano sostanziale, il Garante ha accertato che la Società non ha soddisfatto le richieste di cancellazione dei dati e di opposizione all’ulteriore trattamento avanzate dall’interessato. L’invio di ulteriori e-mail promozionali dopo l’opposizione ha dimostrato la mancata registrazione dell’istanza e l’assenza di un’effettiva interruzione del trattamento.

L’Autorità ha ribadito che:

• il consenso prestato per finalità di marketing resta valido fino a espressa revoca;
• l’opposizione al trattamento, una volta manifestata, prevale sempre su un consenso originariamente prestato;
• l’art. 12, par. 6, GDPR consente al titolare di chiedere ulteriori informazioni per verificare l’identità dell’interessato solo in presenza di ragionevoli dubbi.

Nel caso di specie, la richiesta di usare esclusivamente una modulistica prestabilita è stata considerata sproporzionata, anche perché la richiesta di revoca del marketing presenta un rischio inferiore rispetto ad altri diritti e l’interessato aveva comunque fornito elementi idonei a collegare la propria e-mail alla pratica assicurativa. Il Garante ha quindi confermato la violazione degli artt. 12, 17 e 21 GDPR.

Violazione degli artt. 12 e 13 GDPR: informativa sul sito internet

Con riferimento al sito web, l’Autorità ha effettuato una verifica dell’8 agosto 2024 riscontrando che il form online per ottenere un preventivo personalizzato era effettivamente funzionante: consentiva l’inserimento di nominativo, recapito, e-mail e messaggio, con invio dei dati previa autorizzazione al trattamento.

La tesi della Società, secondo cui il form non avrebbe mai funzionato, è stata smentita dagli accertamenti dell’Ufficio. Il Garante ha rilevato che l’informativa disponibile non descriveva correttamente le operazioni effettivamente svolte, determinando una violazione del principio di trasparenza sancito dagli artt. 12 e 13 GDPR. È stato quindi ordinato di fornire agli interessati un’informativa idonea e coerente con i trattamenti realmente effettuati.

Misure correttive ingiunte

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto alla Società di:

• adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti degli interessati;
• soddisfare senza ingiustificato ritardo le relative istanze, incluso il diritto di opposizione, esercitabile in qualsiasi momento;
• fornire un’informativa privacy che indichi le operazioni di trattamento effettivamente svolte dalla D’Anna.

È stato inoltre richiesto, ai sensi dell’art. 157 del Codice privacy, di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure imposte.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Ritenute confermate le violazioni, il Garante ha applicato l’art. 83, par. 3 e 5, GDPR e ha irrogato una sanzione amministrativa pecuniaria di 5.000 euro. Nella quantificazione ha considerato come aggravante la negligenza della condotta e, come attenuanti, la natura non particolarmente sensibile dei dati trattati, l’assenza di precedenti procedimenti e il successivo aggiornamento dell’informativa sul sito.

L’importo è stato ritenuto proporzionato e dissuasivo rispetto alla violazione accertata, anche in considerazione della limitata incidenza economica del caso e della necessità di bilanciare tutela dei diritti e libertà di impresa.

Pubblicazione e impugnazione

Oltre alla sanzione, il Garante ha disposto la pubblicazione integrale del provvedimento sul sito istituzionale e l’annotazione nel registro interno dell’Autorità. È stata richiamata la possibilità di opposizione all’autorità giudiziaria ordinaria nei termini di legge.