Ordinanza ingiunzione o revoca n. 204 del 11/04/2024

Olimpia S.r.l. - telemarketing illecito e controlli insufficienti sulla filiera commerciale

Il provvedimento riguarda Olimpia S.r.l., operatore del settore energetico, destinataria di un procedimento avviato dal Garante a seguito di numerose segnalazioni e reclami per chiamate promozionali indesiderate. L’istruttoria ha riguardato sia la correttezza dei contatti di telemarketing sia l’adeguatezza dei controlli lungo la filiera commerciale e sui partner esterni.

Origine del procedimento e attività istruttoria

L’Autorità ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, dopo aver ricevuto 18 segnalazioni e 2 reclami relativi a contatti promozionali indesiderati, effettuati in alcuni casi senza consenso e in altri verso numerazioni iscritte al Registro pubblico delle opposizioni (RPO).

Nel corso dell’istruttoria:

• è stata inviata a Olimpia una richiesta di informazioni ex art. 157 del Codice;
• la società ha prodotto dati sulle proposte contrattuali relative alla c.d. "settimana campione" (6-13 marzo 2023);
• il Garante ha chiesto un riscontro alla Fondazione Ugo Bordoni per verificare l’eventuale iscrizione delle numerazioni al RPO;
• sono pervenute ulteriori segnalazioni analoghe durante il procedimento.

Posizione difensiva di Olimpia

La società ha negato la riconducibilità alla propria rete di gran parte delle chiamate segnalate, sostenendo che:

• le numerazioni chiamanti non sarebbero di pertinenza propria né dei partner;
• in molti casi non avrebbe trattato i dati personali dei segnalanti;
• talune chiamate sarebbero ascrivibili a soggetti terzi che sfruttavano indebitamente il marchio della società;
• per contrastare tali fenomeni avrebbe attivato diffide, segnalazioni all’AGCM e iniziative di sensibilizzazione.

Olimpia ha inoltre illustrato alcune misure organizzative e tecniche: check-call bloccante, firma OTP, black-list interna, controlli sulle agenzie, audit, tracciamento dei log, accessi profilati al CRM, oltre a una progressiva riorganizzazione del business verso la vendita fisica.

Valutazioni del Garante sulla settimana campione

Il Garante ha esaminato la documentazione relativa alle 4.223 proposte contrattuali generate nella settimana campione e ha accolto parzialmente le difese della società, escludendo dal computo:

• i contratti conclusi porta a porta;
• le duplicazioni;
• un numero di test;
• un caso di cliente già attivo su altro punto di distribuzione;
• i contatti per i quali il consenso era stato prestato successivamente all’iscrizione al RPO.

All’esito di tali verifiche, l’Autorità ha ritenuto che 34 contatti telefonici residui fossero stati effettuati senza idonea base giuridica. I due contatti verso ex clienti non sono stati considerati leciti, perché l’eventuale consenso pregresso risultava superato dall’iscrizione delle numerazioni nel RPO, in assenza di elementi sulla cessazione del contratto.

Violazioni accertate e contestazioni archiviate

Il Garante ha ritenuto accertata la violazione:

• dell’art. 130, commi 3 e 3-bis, del Codice privacy;
• degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. a), GDPR.

La violazione riguarda l’effettuazione di chiamate promozionali verso utenze iscritte al RPO, in assenza di una valida base giuridica e in contrasto con il meccanismo di opt-out previsto dalla normativa.

È stata invece archiviata, ai sensi dell’art. 11, comma 1, lett. b), del regolamento interno n. 1/2019, la contestazione relativa agli artt. 5, par. 1, lett. f), 25 e 32 GDPR, poiché il Garante ha valorizzato le misure tecniche e organizzative già adottate dalla società e lo sforzo di adeguamento in corso.

Prescrizioni e misure correttive

Ai sensi dell’art. 58, par. 2, GDPR, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento dei dati dei segnalanti e dei reclamanti;
• l’ordine di comunicare ai 34 interessati l’esito del procedimento, secondo un testo da concordare con l’Autorità;
• l’ordine di predisporre adeguati controlli presso la rete di vendita e implementazioni dei sistemi, per evitare l’ingresso nel patrimonio aziendale di contratti generati da contatti illeciti;
• l’obbligo di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure imposte.

Sanzione amministrativa pecuniaria

Il Garante ha applicato l’ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, irrogando a Olimpia S.r.l. una sanzione amministrativa pecuniaria di 100.000 euro.

Nella quantificazione sono stati considerati, ex art. 83, par. 2, GDPR:

• la gravità delle violazioni, in un contesto di telemarketing già oggetto di numerosi interventi dell’Autorità;
• il grado di responsabilità del titolare, mitigato dalle misure già implementate;
• l’assenza di precedenti provvedimenti correttivi o sanzionatori;
• la collaborazione con il Garante e le iniziative di sensibilizzazione adottate;
• le dimensioni aziendali e la capacità economica della società.

Ulteriori effetti del provvedimento

È stata disposta anche:

• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione nel registro interno dell’Autorità.

È stata infine richiamata la facoltà di definizione agevolata della controversia mediante pagamento della metà della sanzione entro 30 giorni, nonché la possibilità di proporre opposizione all’autorità giudiziaria ordinaria nei termini di legge.