Ordinanza ingiunzione o revoca n. 775 del 12/12/2024

Start To Fly S.r.l. - invio reiterato di comunicazioni promozionali senza consenso e mancata cancellazione dei dati

Il Garante ha esaminato un reclamo relativo a email e sms promozionali inviati dal servizio www.docenti.it di Start To Fly S.r.l. nonostante i ripetuti tentativi dell'interessato di disiscriversi e di ottenere la cancellazione definitiva dai contatti commerciali. Il procedimento ha portato all'accertamento di trattamenti illeciti in ambito marketing e alla irrogazione di una sanzione amministrativa, oltre a un divieto di ulteriore trattamento promozionale in assenza di prova del consenso.

Origine del procedimento e attività istruttoria

Il reclamo è stato presentato il 18 agosto 2023. L'interessato ha riferito di essersi iscritto alla newsletter nel 2019 e di non essere riuscito, dal 2020 in poi, a interrompere la ricezione di messaggi promozionali, nonostante numerosi tentativi di disiscrizione tramite il sito e tramite il link presente nelle email. Ha inoltre prodotto evidenze di comunicazioni ricevute in più annualità, sia via email sia via sms.

La società, rispondendo alla richiesta di informazioni dell'Ufficio, ha sostenuto che l'interessato fosse stato disiscritto dalla newsletter già nel 2020 e che le comunicazioni successive fossero dovute a un errore materiale, con nuovo inserimento nella mailing list. Ha inoltre affermato che i messaggi potessero essere giustificati dal legittimo interesse e assimilati al cosiddetto soft spam.

Contestazione delle violazioni

Con atto di avvio del procedimento del 12 marzo 2024, il Garante ha contestato a Start To Fly:

• la violazione dell'art. 6, par. 1, lett. a), GDPR e dell'art. 130, comma 2, Codice, per l'invio di comunicazioni promozionali senza consenso valido;
• la violazione dell'art. 17 GDPR, per non aver dato seguito alla richiesta di cancellazione dalla mailing list.

Valutazioni giuridiche sul marketing elettronico

L'Autorità ha richiamato il principio per cui l'invio di comunicazioni promozionali tramite strumenti elettronici è disciplinato dall'art. 130 del Codice, che costituisce norma speciale rispetto al GDPR. La regola generale è il consenso; la deroga dell'art. 130, comma 4, Codice è limitata alle sole email, a servizi analoghi a quelli già acquistati e purché l'interessato non si sia opposto.

Nel caso concreto, tale deroga non era applicabile perché:

• le comunicazioni erano state inviate anche via sms, non solo via email;
• l'interessato si era ripetutamente opposto all'ulteriore ricezione;
• non era documentata alcuna base giuridica idonea dopo la revoca del consenso.

Il Garante ha quindi escluso che il legittimo interesse potesse fungere da base giuridica per gli invii promozionali e ha ritenuto integrata la violazione dell'art. 6, par. 1, lett. a), GDPR e dell'art. 130, comma 2, Codice.

Mancato riscontro alla revoca del consenso e diritto alla cancellazione

La società ha cercato di qualificare la richiesta dell'interessato come esercizio del solo diritto di opposizione. Il Garante ha chiarito che tale impostazione non era corretta, perché il trattamento promozionale in questione richiedeva il consenso quale unica base giuridica: la richiesta dell'interessato andava dunque intesa come revoca del consenso. In ogni caso, l'interessato aveva anche espresso in modo chiaro la volontà di essere cancellato dalla mailing list, chiedendo al titolare di eliminarlo in modo definitivo.

Secondo l'Autorità, una volta revocato il consenso e venuto meno il presupposto del trattamento, il titolare avrebbe dovuto cancellare i dati da tutte le sedi in cui non fosse più necessaria la conservazione. La mancata cancellazione ha consentito, secondo la ricostruzione emersa in istruttoria, persino la ripresa accidentale degli invii in anni successivi, anche a causa della presenza dei dati in una vecchia mailing list salvata localmente. È stata inoltre rilevata l'assenza di spiegazioni adeguate per gli sms inviati.

Per queste ragioni è stata accertata anche la violazione dell'art. 17 GDPR.

Illiceità delle condotte e misure adottate

Il Garante ha dichiarato illecito il trattamento effettuato da Start To Fly S.r.l. in relazione agli invii promozionali e ha ritenuto necessario:

• imporre, ai sensi dell'art. 58, par. 2, lett. f), GDPR, il divieto di ogni trattamento per finalità promozionali dei dati presenti nelle liste della società, salvo prova di un idoneo consenso espresso;
• ingiungere alla società di comunicare entro 30 giorni le iniziative adottate per dare esecuzione alla misura.

L'Autorità ha sottolineato anche la presenza di dichiarazioni contraddittorie e non documentate del titolare, che avevano dapprima confermato la cancellazione, poi ipotizzato una disiscrizione manuale successiva e infine attribuito gli invii a un errore tecnico-organizzativo non adeguatamente prevenuto.

Sanzione amministrativa pecuniaria

Per le violazioni accertate, il Garante ha applicato l'art. 83, par. 3, GDPR, ritenendo che si trattasse di violazioni connesse a trattamenti collegati e sanzionabili nel limite previsto per la violazione più grave. La base edittale è stata individuata nell'art. 83, par. 5, GDPR, con massimo di 20 milioni di euro, considerato superiore al 4% del fatturato dell'impresa sulla base dell'ultimo bilancio disponibile.

Nella quantificazione della sanzione sono stati considerati, tra gli elementi aggravanti:

• la durata e la gravità della violazione, protrattasi per anni;
• la grave negligenza del titolare;
• l'insufficienza delle misure adottate;
• l'elevato grado di responsabilità;
• la scarsa cooperazione con l'Autorità.

Tra gli elementi attenuanti sono stati valorizzati:

• il fatto che la condotta riguardasse, per quanto emerso, un solo interessato;
• l'assenza di precedenti violazioni pertinenti;
• il coinvolgimento di soli dati comuni.

All'esito del bilanciamento, è stata irrogata la sanzione amministrativa pecuniaria di euro 10.000,00.

Pubblicazione, annotazione e tutela giurisdizionale

Il provvedimento dispone la pubblicazione sul sito del Garante e l'annotazione nel registro interno dell'Autorità. È inoltre richiamata la possibilità di proporre opposizione davanti all'autorità giudiziaria ordinaria, nel termine di 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.