Ordinanza ingiunzione o revoca n. 321 del 18/07/2023

Tiscali Italia S.p.A. - marketing, conservazione dei dati e soft spam

Il provvedimento riguarda Tiscali Italia S.p.A. ed è stato adottato all’esito di un accertamento ispettivo svolto nel maggio 2022 sui trattamenti di dati personali connessi ad attività di marketing, call-back, gestione delle opposizioni e conservazione dei dati. L’Autorità ha esaminato anche gli effetti dell’operazione societaria connessa a Linkem e le misure correttive nel frattempo adottate dalla società.

Origine del procedimento e perimetro dell’istruttoria

L’istruttoria è stata avviata nell’ambito delle verifiche sulle pratiche di marketing e profilazione delle società di telecomunicazioni. Dopo l’ispezione presso la sede societaria, il Garante ha richiesto ulteriori chiarimenti e documenti, anche in relazione alla fusione/incorporazione con il ramo retail di Linkem e all’aggiornamento delle informative, dei consensi e delle policy di conservazione.

Sono stati analizzati, in particolare:

• informative privacy e banner/consensi sul sito e nei negozi;
• servizio di call-back tramite pop-up su comparatori;
• utilizzo di SMS promozionali in regime di c.d. soft spam;
• gestione dei dinieghi e delle revoche del consenso;
• tempi di conservazione per clienti attivi, clienti cessati, prospect e lead.

Informative privacy e tempi di conservazione

L’Autorità ha rilevato che la privacy policy e l’informativa rese da Tiscali non indicavano termini temporali di conservazione differenziati per le diverse finalità di trattamento, in particolare per marketing e profilazione, né per le diverse categorie di interessati. Le formule utilizzate erano generiche e non consentivano agli interessati di comprendere con sufficiente precisione per quanto tempo i dati sarebbero stati conservati.

Secondo il Garante, ciò integra una violazione dei principi di correttezza e trasparenza di cui agli artt. 5, par. 1, lett. a), e 12, par. 1, GDPR, nonché dell’art. 13 GDPR, in contrasto anche con le indicazioni delle linee guida europee sulla chiarezza e intelligibilità delle informative.

Base giuridica e qualificazione dell’attività di profilazione

Nella fase contestativa il Garante aveva ipotizzato anche un problema di base giuridica per la profilazione. Tuttavia, in sede difensiva Tiscali ha precisato che il trattamento descritto come “profilazione aggregata” era in realtà una mera analisi statistica e di business intelligence, senza effetti personalizzati sui singoli clienti.

L’Autorità ha condiviso questa ricostruzione e ha escluso che si trattasse, in concreto, di profilazione ai sensi dell’art. 4 GDPR. Su questo punto la violazione è stata archiviata.

Call-back tramite pop-up

Nel caso di un comparatore, il testo del consenso richiesto per il ricontatto commerciale non era allineato con l’informativa resa agli interessati. Il Garante ha ritenuto che l’incongruenza potesse incidere sulla comprensibilità del consenso prestato e, in fase di contestazione, l’ha ricondotta a una possibile violazione degli artt. 5, par. 1, lett. a), e 12, par. 1, GDPR.

Tuttavia, tenuto conto delle spiegazioni fornite e delle correzioni apportate dalla società, il profilo è stato poi archiviato come irregolarità meramente formale, priva di effettivo pregiudizio per gli interessati.

Soft spam e utilizzo degli SMS promozionali

Uno dei profili centrali del provvedimento è l’uso del c.d. soft spam. Tiscali aveva inviato due campagne promozionali via SMS a clienti già acquisiti che non avevano espresso consenso al marketing, ritenendo che l’SMS fosse assimilabile all’e-mail ai fini dell’art. 130, comma 4, del Codice privacy.

Il Garante ha escluso questa estensione interpretativa, ricordando che la norma ha natura eccezionale e si riferisce alla posta elettronica, non potendo essere applicata in via analogica agli SMS. Per questa ragione la violazione dell’art. 130, comma 4, del Codice è stata confermata.

Gestione dei dinieghi, delle revoche e della black list

L’Autorità ha censurato l’assenza di una procedura capace di ricostruire nel tempo le diverse manifestazioni di volontà degli interessati, cioè le date, i canali e le circostanze delle revoche o opposizioni al trattamento. La società disponeva di una black list, ma non di uno strumento che conservasse la storia completa delle variazioni del consenso.

Secondo il Garante, il titolare deve poter documentare e circostanziare le manifestazioni di consenso e diniego, anche per rispondere alle richieste degli interessati e alle verifiche dell’Autorità. È stata quindi confermata la violazione degli artt. 5, par. 2, e 24 GDPR ed è stata ingiunta l’adozione di una procedura idonea a tracciare in modo completo le variazioni dei consensi nel tempo.

Conservazione dei dati per marketing e classificazione

Il profilo più rilevante ai fini sanzionatori riguarda i tempi di conservazione. Dalla policy esaminata risultava che:

• per marketing e profilazione i dati dei clienti venivano conservati per 10 anni;
• per i prospect la conservazione era di 5 anni;
• per i lead del servizio di call-back era previsto un termine di 2 anni;
• dopo la fusione con Linkem, per alcuni trattamenti il termine era indicato fino all’eventuale revoca del consenso.

Il Garante ha ritenuto questi termini eccessivi e non coerenti con i principi di limitazione della finalità, minimizzazione e limitazione della conservazione di cui all’art. 5, par. 1, lett. b), c) ed e), GDPR. È stato richiamato il provvedimento generale del 24 febbraio 2005, che prevede, come regola generale, 24 mesi per il marketing e 12 mesi per la profilazione. Il richiamo a precedenti relativi al settore del lusso è stato ritenuto non pertinente.

Valutazione delle difese della società

Nella memoria e in audizione Tiscali ha sostenuto di aver già corretto diverse criticità, di non effettuare più telemarketing e di aver aggiornato le informative, separato i consensi e avviato l’allineamento della blacklist con il CRM. Ha inoltre rappresentato di trovarsi in grave difficoltà economico-finanziaria.

Il Garante ha valorizzato in parte tali elementi come circostanze attenuanti, ma ha ritenuto che non fossero sufficienti a superare le violazioni relative al soft spam, alla conservazione eccessiva e alla gestione non adeguata delle opposizioni.

Esito del procedimento e misure ingiunte

Il Garante ha dichiarato illecito il trattamento nei limiti indicati in motivazione e ha ingiunto a Tiscali di:

• stabilire e applicare tempi differenziati di conservazione per clienti attivi, clienti cessati e lead, distinguendo tra marketing e classificazione;
• cancellare o anonimizzare i dati conservati oltre i termini stabiliti;
• implementare una procedura capace di restituire le date, i canali e le altre circostanze relative alle variazioni dei consensi privacy nel tempo.

È stato inoltre imposto alla società di comunicare entro 30 giorni le iniziative adottate per dare esecuzione alle misure prescritte.

Sanzione amministrativa e pubblicazione

Poiché le violazioni erano riferite a trattamenti collegati, il Garante ha applicato l’art. 83, par. 3, GDPR, ricondotto il caso alla violazione più grave e irrogato la sanzione amministrativa pecuniaria di 100.000 euro, ritenuta proporzionata, effettiva e dissuasiva. È stata disposta anche la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno del Garante.

La decisione è stata adottata con facoltà per il contravventore di definire la controversia con pagamento in misura ridotta nei termini di legge e con indicazione dei rimedi giurisdizionali avverso il provvedimento.