Ordinanza ingiunzione o revoca n. 278 del 29/04/2025

MA Immobiliare S.r.l.s. - telemarketing tramite liste di terzi prive di adeguata verifica di liceità

Il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato da MA Immobiliare S.r.l.s. nell'ambito di campagne promozionali telefoniche basate su anagrafiche acquisite da un fornitore terzo. Il procedimento è nato da un reclamo per telefonate indesiderate e ha portato a rilevare gravi carenze nella verifica del consenso, dell'informativa e dell'iscrizione al Registro Pubblico delle Opposizioni.

Origine del procedimento e attività istruttoria

Il reclamo presentato dall'interessato ha segnalato la ricezione di chiamate promozionali indesiderate. La società ha dichiarato di aver ottenuto i dati di contatto da Realmaps S.r.l. e di non essere a conoscenza delle modalità con cui il fornitore raccoglieva i consensi. L'Ufficio ha quindi svolto accertamenti ai sensi dell'art. 157 del Codice, chiedendo chiarimenti sui rapporti con il fornitore, sulla base giuridica del trattamento, sull'informativa resa agli interessati, sulla consultazione del Registro Pubblico delle Opposizioni e sulla gestione delle opposizioni.

La società, nel riscontro, ha confermato di aver contattato circa un centinaio di persone tra quelle presenti nelle liste acquisite, ma ha ammesso di non essere in grado di dare risposte certe su informativa e opposizione e di non consultare il Registro Pubblico delle Opposizioni.

Qualificazione del titolare e perimetro delle responsabilità

L'Autorità ha qualificato MA Immobiliare come titolare del trattamento ai sensi dell'art. 4 GDPR, poiché la società determinava in concreto la finalità del trattamento, ossia la promozione dei propri servizi, e il canale utilizzato, ossia il contatto telefonico. Ne deriva che gli obblighi di liceità, trasparenza, informazione e accountability gravavano direttamente sulla società, non potendo essere traslati sul fornitore.

Violazioni accertate: consenso, informativa e Registro Pubblico delle Opposizioni

Il Garante ha rilevato che la società non ha prodotto elementi idonei a dimostrare:

• il rilascio dell'informativa originaria da parte del soggetto che aveva raccolto i dati;
• un consenso libero, specifico, informato e documentato alla comunicazione dei dati a terzi per finalità di marketing;
• la verifica dell'iscrizione delle utenze contattate nel Registro Pubblico delle Opposizioni.

In assenza di tali verifiche, le telefonate promozionali sono state considerate svolte in violazione dei principi di liceità e trasparenza, nonché degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7, 13 e 14 GDPR e dell'art. 130, commi 3 e 3-bis, del Codice.

Il Garante ha anche sottolineato che la consultazione del Registro Pubblico delle Opposizioni costituisce pre-condizione per il telemarketing telefonico; la mancata verifica rende impossibile avviare legittimamente campagne promozionali via telefono.

Gestione delle richieste degli interessati e violazione degli artt. 12 e 15 GDPR

È emerso che le richieste di chiarimento e di esercizio dei diritti venivano sostanzialmente reindirizzate a Realmaps, anziché essere gestite direttamente dal titolare. Questa modalità è stata ritenuta idonea a determinare un ritardo ingiustificato nel riscontro e una risposta non pienamente soddisfacente per l'interessato, in contrasto con gli artt. 12 e 15 GDPR.

L'Autorità ha evidenziato che il titolare deve fornire riscontro tempestivo e completo, senza subordinare l'evasione delle istanze al confronto con un soggetto terzo che detenga informazioni sul trattamento.

Accountability, controllo della filiera e privacy by design

Il provvedimento richiama la responsabilità del titolare di dimostrare la conformità del trattamento ai principi del GDPR. Secondo il Garante, MA Immobiliare non ha fornito elementi a prova di controlli adeguati sull'intera filiera, dalla raccolta delle anagrafiche alla realizzazione della campagna promozionale.

Sono state quindi ritenute integrate anche le violazioni degli artt. 5, par. 2, 24 e 25 GDPR, per mancata dimostrazione degli adempimenti in materia di protezione dei dati e per carente applicazione del principio di privacy by design. È stato inoltre precisato che eventuali clausole di manleva non esonerano il titolare dall'obbligo di verificare la liceità dei trattamenti.

Provvedimenti adottati dal Garante

Ai sensi dell'art. 58, par. 2, lett. f), GDPR, il Garante ha vietato ogni ulteriore trattamento con finalità promozionale e commerciale effettuato mediante le liste acquisite da Realmaps per le quali la società non disponga di un consenso libero, specifico e informato.

Ai sensi dell'art. 58, par. 2, lett. d), GDPR, ha inoltre ingiunto:

• la cancellazione senza ritardo dei dati trattati illecitamente, salvo conservazione necessaria per obblighi di legge, difesa in giudizio o altre finalità lecite;
• l'adozione, in caso di futuro ricorso a utenze telefoniche fornite da soggetti terzi, di procedure idonee a verificare costantemente la liceità delle liste, anche mediante controlli a campione;
• la fornitura agli interessati di tutte le informazioni previste dall'art. 13 GDPR;
• l'adozione di misure tecniche e organizzative adeguate a facilitare l'esercizio dei diritti, incluso il diritto di opposizione esercitabile in qualsiasi momento.

Obbligo di comunicazione al Garante e profili sanzionatori

La società è stata inoltre onerata, ai sensi dell'art. 157 del Codice, di comunicare entro trenta giorni dalla notifica le iniziative intraprese per dare attuazione alle misure impartite. Il provvedimento avverte che l'eventuale mancato adempimento può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, GDPR.

Il testo richiama anche l'art. 170 del Codice per l'inosservanza del divieto di trattamento, con conseguenze penali e amministrative in caso di violazione del provvedimento. Non risulta, nell'estratto fornito, l'irrogazione di una sanzione pecuniaria principale.

Pubblicazione e impugnazione

Il Garante ha disposto la pubblicazione del provvedimento e l'annotazione nel registro interno delle violazioni. Avverso il provvedimento è ammessa opposizione davanti all'autorità giudiziaria ordinaria nei termini di legge.