Prescrizioni e divieto del Garante n. 707 del 27/11/2025

Dalessio s.r.l. - divieto di ulteriore trattamento dei dati relativi a un’attivazione SIM e portabilità non autorizzate

Il provvedimento riguarda Dalessio s.r.l., destinataria di un reclamo e di un successivo procedimento istruttorio del Garante in relazione all’attivazione di una SIM e alla gestione di una portabilità telefonica effettuate senza il legittimo coinvolgimento dell’interessata. L’Autorità conclude per l’illiceità del trattamento e adotta una misura di divieto ai sensi dell’art. 58, par. 2, lett. f), GDPR.

Origine del procedimento e ricostruzione dei fatti

Il procedimento prende avvio da un reclamo presentato da una interessata che riferiva di aver ricevuto una comunicazione via e-mail da Ho. Mobile relativa a una richiesta di portabilità a suo nome mai presentata. La documentazione acquisita mostrava l’uso dei suoi dati anagrafici, ma con indirizzo di residenza errato, un documento di identità fotocopiato e una firma che la reclamante disconosceva.

VEI s.r.l., rispondendo alla richiesta di informazioni del Garante, confermava che l’attivazione era stata eseguita dal punto vendita Dalessio s.r.l. e che quest’ultimo aveva accettato un documento d’identità fotocopiato, in violazione delle procedure identificative. La società telefonica evidenziava anche un possibile furto di identità.

Attività istruttoria e riscontri della società

A seguito della richiesta di informazioni ex art. 157 del Codice privacy, Dalessio s.r.l. forniva inizialmente un riscontro parziale, depositando solo parte della documentazione richiesta. Successivamente, nelle difese e in audizione, la società modificava la propria ricostruzione dei fatti: dapprima parlava di un errore di un dipendente che avrebbe utilizzato documenti già presenti in archivio, poi sosteneva che la reclamante si sarebbe presentata fisicamente nel punto vendita, circostanza smentita dalla interessata e ritenuta poco credibile dal Garante.

La società rappresentava inoltre che il negozio effettuava anche attivazioni per Lyca Mobile e descriveva l’operazione come una nuova attivazione con successiva portabilità verso Ho. Mobile, per offrire un miglior piano tariffario. Ammetteva infine che entrambe le SIM erano rimaste sempre nella disponibilità del negozio e non erano mai state ritirate dalla cliente.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ritiene non credibili e contraddittorie le difese della società. In particolare, valorizza:

• la costante versione della reclamante, che ha sempre negato di essersi recata presso il punto vendita;
• la denuncia sporta dall’interessata;
• le prime ammissioni di VEI s.r.l. sull’uso di un documento fotocopiato;
• la circostanza che le SIM siano rimaste nella disponibilità del negozio.

Sulla base di tali elementi, l’Autorità conclude che l’attivazione e la portabilità non siano frutto di un mero errore, ma di una scelta consapevole e funzionale a un vantaggio commerciale. Operando in difformità dalle istruzioni del titolare del trattamento e dalle regole di settore, Dalessio s.r.l. viene qualificata come titolare autonomo del trattamento nel caso concreto, secondo un orientamento già espresso in precedenti provvedimenti richiamati nel testo.

Violazioni accertate

Il Garante accerta le seguenti violazioni:

• articoli 5, par. 1, lett. a), e 6 GDPR, per trattamento in violazione dei principi di liceità e correttezza e in assenza di idonea base giuridica;
• articoli 5, par. 1, lett. a), e 13 GDPR, per mancata fornitura di un’idonea informativa e violazione del principio di trasparenza;
• articolo 157 e articolo 166, comma 2, del Codice privacy, in relazione agli articoli 58, par. 1, lett. a), e 31 GDPR, per riscontro incompleto alla richiesta di informazioni dell’Autorità.

Misure adottate e termini

Accertata l’illiceità del trattamento, il Garante:

• impone a Dalessio s.r.l. il divieto di ogni ulteriore trattamento dei dati della interessata, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• ingiunge alla società, ai sensi dell’art. 157 del Codice privacy, di comunicare entro trenta giorni dalla notifica le iniziative intraprese per dare attuazione alla misura.

Il testo richiama anche l’annotazione del provvedimento nel registro interno dell’Autorità ex art. 57, par. 1, lett. u), GDPR. Non risulta applicata, per la pendenza di un eventuale giudizio di opposizione, la sanzione accessoria della pubblicazione dell’ordinanza ingiunzione.