Ordinanza ingiunzione o revoca n. 61 del 02/03/2023

Ordinanza ingiunzione nei confronti di Razmataz Live S.r.l. per invio di email promozionali senza adeguate verifiche

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti di Razmataz Live S.r.l. in relazione a campagne di email promozionali collegate alla promozione di iniziative culturali. Il procedimento trae origine da reclami presentati dall’interessato e da un’istruttoria avviata anche nei confronti di un’altra società coinvolta nella filiera promozionale.

Origine del procedimento e attività istruttoria

Nel corso dell’istruttoria, l’Autorità ha accertato che Razmataz avrebbe curato la promozione di eventi per conto di committenti, avvalendosi di un soggetto terzo indicato come Flowers R per l’invio materiale delle email contestate. Il Garante ha quindi richiesto, il 5 febbraio 2022, informazioni e documenti ai sensi dell’art. 157 del Codice, con particolare riguardo alla documentazione del consenso e all’origine dei dati personali utilizzati.

La richiesta è rimasta senza riscontro. Per tale ragione è stato notificato l’avvio del procedimento sanzionatorio per la violazione dell’art. 157 del Codice.

Difese della Società e ricostruzione dei ruoli

Razmataz ha sostenuto di non aver avuto un ruolo qualificabile come titolare o responsabile del trattamento, affermando di non disporre dei dati dei destinatari e di limitarsi a un’attività di consulenza e assistenza nell’organizzazione della campagna. Secondo la Società, le finalità e i mezzi del trattamento sarebbero stati determinati dai committenti e l’invio sarebbe stato gestito da Flowers R.

Il Garante non ha accolto tale impostazione. Ha ricordato che, ai sensi dell’art. 4 GDPR, il titolare è chi determina finalità e mezzi del trattamento, mentre il responsabile tratta dati per conto del titolare; ha inoltre richiamato l’art. 26 GDPR sulla contitolarità. In concreto, l’Autorità ha ritenuto che Razmataz avesse svolto un ruolo determinante nella scelta del fornitore e nella trasmissione delle istruzioni operative, risultando quindi, di fatto, responsabile del trattamento.

Violazioni accertate

L’Autorità ha confermato le contestazioni formulate in sede di avvio del procedimento:

• violazione dell’art. 5, par. 1, lett. a) GDPR, per carenza di liceità, correttezza e trasparenza del trattamento;
• violazione dell’art. 28 GDPR, per non aver selezionato un fornitore con adeguate garanzie e per non aver effettuato controlli preventivi sulla liceità del trattamento affidato a Flowers R;
• violazione dell’art. 6, par. 1, lett. a) GDPR e dell’art. 130 del Codice, per l’invio di comunicazioni promozionali in assenza di un consenso documentato degli interessati.

Sul punto, il Garante ha evidenziato che Razmataz non ha dimostrato di aver verificato l’origine dei dati, l’informativa resa agli interessati o l’acquisizione del consenso, né di aver richiesto documentazione idonea al fornitore. La condotta ha dunque reso illecito il trattamento.

Mancato riscontro alla richiesta di informazioni

Il provvedimento valorizza anche il mancato riscontro alla richiesta di informazioni ex art. 157 del Codice. L’Autorità ha ritenuto che tale omissione abbia aggravato il procedimento, impedendo accertamenti istruttori completi e costringendo a rinviare molte valutazioni alla fase difensiva successiva. È stato altresì rilevato che l’indirizzo PEC della Società risultava funzionante, poiché gli atti inviati hanno prodotto regolare attestazione di accettazione e consegna.

Sanzione amministrativa: criteri e importo

Per la quantificazione della sanzione il Garante ha richiamato l’art. 83, par. 3 e 5, GDPR. Poiché le violazioni riguardavano trattamenti collegati, è stata applicata la disciplina della violazione più grave. Il massimo edittale è stato individuato in 20 milioni di euro, ritenendo che il 4% del fatturato annuo della Società fosse inferiore a tale importo.

Sono state considerate aggravanti:

• la numerosità potenziale dei destinatari della campagna, stimata in circa 7/800 mila email;
• il carattere gravemente negligente della condotta;
• la mancata adozione di misure per attenuare o eliminare le conseguenze della violazione.

Sono state considerate attenuanti:

• l’assenza di precedenti procedimenti a carico della Società;
• la natura comune dei dati trattati;
• la congiuntura socio-economica legata all’emergenza pandemica;
• il bilancio della Società.

All’esito del bilanciamento, la sanzione amministrativa pecuniaria è stata determinata in euro 1.000,00.

Prescrizioni, pubblicazione e rimedi

Accanto alla sanzione pecuniaria, il Garante ha ingiunto alla Società, per il futuro, di adottare procedure idonee a verificare costantemente il rispetto della normativa quando si avvalga di terzi per attività promozionali, con particolare attenzione alla previa verifica dell’acquisizione di un consenso informato, libero, specifico, inequivocabile e documentato per l’invio di comunicazioni commerciali.

È stata inoltre disposta:

• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate.

Il provvedimento ricorda infine la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione.