Ordinanza ingiunzione o revoca n. 247 del 29/04/2025

Versilmagra Immobiliare: marketing telefonico illecito e gestione inadeguata dei diritti

Il Garante ha accertato che Versilmagra Immobiliare di Robertelli Davide & C. S.a.s. ha effettuato contatti promozionali via telefono/WhatsApp utilizzando liste di utenze fornite da un soggetto terzo, senza dimostrare la sussistenza di un’idonea base giuridica, in particolare il consenso informato degli interessati. Il procedimento è scaturito dal reclamo di un interessato che aveva ricevuto una comunicazione indesiderata e aveva chiesto cancellazione, informativa e prova del consenso.

Origine del procedimento e accertamenti istruttori

A seguito del reclamo pervenuto il 4 aprile 2024, l’Ufficio ha richiesto informazioni alla società ai sensi dell’art. 157 del Codice privacy per chiarire i rapporti con il fornitore Realmaps S.r.l. e gli adempimenti privacy relativi alle liste acquisite. La società ha dichiarato di aver stipulato con Realmaps un contratto di fornitura di numerazioni telefoniche intestate a proprietari di immobili e di aver confidato nelle garanzie contrattuali circa la liceità dei dati e il consenso al trattamento. Nel corso dell’istruttoria è emerso che Realmaps era già stata oggetto di separato accertamento da parte dell’Autorità per criticità nei trattamenti destinati alle agenzie immobiliari per finalità di marketing.

Qualificazione del trattamento e responsabilità del titolare

Il Garante ha ritenuto che il contatto indirizzato all’interessato avesse finalità inequivocabilmente promozionale, perché volto a proporre i servizi di intermediazione immobiliare della società. Tale attività è stata ricondotta ai trattamenti disciplinati dall’art. 130 del Codice privacy, per i quali è necessario il preventivo consenso degli interessati. Versilmagra è stata qualificata come titolare del trattamento ai sensi dell’art. 4, punto 7, GDPR, avendo determinato lo scopo del trattamento e il canale utilizzato.

Violazioni relative a informativa, consenso e liceità del trattamento

L’Autorità ha rilevato che la società non ha prodotto documentazione idonea a dimostrare:

• l’avvenuta consegna dell’informativa da parte dell’originario titolare che aveva raccolto i dati, ai sensi dell’art. 14 GDPR;
• il rilascio di un consenso libero e specifico alla comunicazione dei dati a terzi e all’uso per marketing;
• il rispetto dei requisiti di libertà e specificità del consenso, richiamati dall’art. 4, punto 11, GDPR.

Di conseguenza, il trattamento è stato giudicato privo dei presupposti di liceità e ha integrato la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 e 14 GDPR, nonché dell’art. 130, commi 1 e 2, del Codice privacy. Il Garante ha precisato che la violazione non riguarda soltanto il caso del reclamante, ma l’insieme dei trattamenti effettuati dalla società sulle anagrafiche acquisite da Realmaps.

Gestione dei diritti degli interessati

Un ulteriore profilo critico ha riguardato la gestione delle istanze di esercizio dei diritti. La società ha affermato di indirizzare gli interessati al fornitore, fornendo un recapito e-mail e rimettendo a quest’ultimo ogni verifica. Il Garante ha ritenuto che tale meccanismo non sia conforme agli artt. 12, 15, 17 e 21, par. 2, GDPR, perché il titolare deve rispondere direttamente alle richieste e garantire una gestione tempestiva, senza ingiustificato ritardo.

Violazione dei principi di responsabilizzazione e privacy by design

L’Autorità ha ritenuto che i trattamenti descrivano un quadro di insufficiente controllo sull’intera filiera, dalla raccolta dei dati alla campagna promozionale. La società non ha fornito elementi per dimostrare gli adempimenti posti in essere, con conseguente violazione degli artt. 5, par. 2, 24 e 25 GDPR. È stato richiamato il principio di accountability, evidenziando che clausole contrattuali di manleva non esonerano il titolare dall’obbligo di verificare la liceità dei dati utilizzati.

Misure correttive ordinate

Pur prendendo atto delle iniziative successive alla contestazione, tra cui l’inserimento del reclamante in black list e la cancellazione delle liste acquisite, il Garante ha ingiunto alla società, qualora intenda in futuro svolgere attività promozionale su numerazioni fornite da terzi, di:

• adottare procedure idonee a verificare costantemente, anche mediante controlli a campione, che i dati siano stati trattati nel rispetto della normativa, con preventiva acquisizione di un consenso libero, specifico, inequivocabile, documentato e informato;
• adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti degli interessati e a riscontrare le istanze senza ingiustificato ritardo, incluso il diritto di opposizione.

La società deve inoltre comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione alla misura impartita.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni già commesse è stata applicata una sanzione amministrativa pecuniaria di euro 2.000,00. Nella quantificazione il Garante ha richiamato l’art. 83 GDPR, considerando:

• il numero delle utenze coinvolte, pari a 4.501;
• la gravità delle violazioni e l’assenza di controlli a campione;
• il carattere negligente della condotta;
• la difformità rispetto alla consolidata attività provvedimentale dell’Autorità in materia di marketing.

Tra le attenuanti sono state considerate l’assenza di precedenti, la cancellazione delle liste, la natura dei dati trattati, la cooperazione con l’Autorità e la situazione economica della società. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16 del Regolamento n. 1/2019.

Esiti finali

Il Garante ha dichiarato illecito il trattamento effettuato da Versilmagra, ha imposto misure correttive per il futuro, ha ordinato il pagamento della sanzione pecuniaria e ha disposto la pubblicazione del provvedimento e l’annotazione nel registro interno dell’Autorità.