Ordinanza ingiunzione o revoca n. 352 del 03/08/2023

Sdam s.r.l. - invio di e-mail promozionali dopo opposizione e gestione dei consensi in ambito gara podistica

Il provvedimento riguarda un procedimento avviato a seguito di più reclami di un interessato che aveva partecipato all’iscrizione a una gara podistica e continuava a ricevere comunicazioni promozionali nonostante la revoca del consenso e l’opposizione al trattamento. L’istruttoria ha coinvolto Infront, titolare del trattamento, e Sdam s.r.l., responsabile del trattamento, oltre ad altri soggetti della filiera organizzativa.

Origine del procedimento e reclami

L’interessato ha presentato tre reclami: il primo nell’aprile 2022, il secondo nello stesso mese e il terzo nel febbraio 2023. Ha lamentato di aver ricevuto numerose e-mail promozionali collegate alla gara, tali da rendere difficile individuare le comunicazioni amministrative importanti, e di aver continuato a ricevere messaggi pubblicitari anche dopo aver revocato il consenso e manifestato opposizione. Ha riferito, in particolare, di aver inviato il 10 marzo 2022 una comunicazione di revoca del consenso con un preavviso di 15 giorni per l’aggiornamento dei sistemi.

Istruttoria preliminare e riscontri acquisiti

L’Ufficio ha inizialmente comunicato che, per il primo reclamo, era ancora pendente il termine di 30 giorni di cui all’art. 12, par. 3, GDPR. Per i reclami successivi sono state formulate richieste di informazioni nei confronti di Engagico ed Infront, poi ulteriormente integrate a seguito del terzo reclamo. Sono stati acquisiti quattro riscontri complessivi, due nel maggio 2022 e due nel marzo 2023.

Engagico ha dichiarato di avere previsto più canali per la revoca del consenso, tra cui il link di disiscrizione nel footer delle e-mail, l’area personale e l’indirizzo info@endu.net; ha inoltre sostenuto di aver preso in carico la richiesta e di aver cancellato i dati dell’utente, conservando solo le informazioni necessarie per obblighi amministrativi, fiscali e contrattuali. Ha precisato che non risultavano ulteriori invii dopo l’opposizione.

Infront ha invece sostenuto di aver trattato i dati dell’interessato sulla base del consenso prestato, di aver inviato complessivamente 45 comunicazioni in 26 mesi e che le cinque e-mail contestate erano dovute a un errore materiale di Sdam, la quale avrebbe trasmesso un database contenente ancora i dati del reclamante. Infront ha affermato di aver immediatamente cancellato i dati dell’interessato e di aver chiesto analoga cancellazione agli altri soggetti della filiera.

Valutazioni del Garante su Infront

Il Garante ha ritenuto non confermata la violazione nei confronti di Infront. Ha valorizzato il fatto che la società avesse ripetutamente avvertito i soggetti coinvolti della necessità di evitare ulteriori invii promozionali all’interessato e avesse adottato strumenti tecnici, tra cui la cifratura, per limitare la circolazione dei dati. Secondo l’Autorità, tali misure organizzative e tecniche risultavano idonee a garantire la conformità del trattamento, escludendo così la responsabilità di Infront.

Valutazioni del Garante su Sdam

Per Sdam, il Garante ha affrontato sia il profilo procedurale sia quello sostanziale. Quanto alla doglianza sulla mancata interlocuzione nella fase istruttoria, ha precisato che la richiesta di informazioni non costituisce una fase necessaria del procedimento e che il diritto di difesa è stato comunque garantito dalla possibilità di presentare memorie e chiedere audizione.

Nel merito, il Garante ha ritenuto che Sdam, pur avendo legittimamente conservato i dati per finalità contrattuali e amministrative, non avesse adottato la necessaria diligenza nel gestire il database storico e avesse quindi comunicato dati ancora riferibili all’interessato ai soggetti incaricati della campagna promozionale. Ha osservato che tale attività di bonifica rientra nella diligenza esigibile da chi tratta dati personali e, a maggior ragione, da un responsabile del trattamento.

L’Autorità ha quindi confermato la violazione dell’art. 130, commi 1 e 2, del Codice privacy, degli artt. 6 e 7 GDPR e, per il tramite dell’art. 21 GDPR, del diritto di opposizione dell’interessato al marketing diretto. Ha ribadito che la violazione sussiste anche per una sola comunicazione promozionale indesiderata e che il link di disiscrizione non elide l’illiceità dell’invio in assenza di previo consenso.

Misure correttive e sanzione

Accertata l’illiceità del trattamento, il Garante ha ingiunto a Sdam, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di adottare misure organizzative e tecniche idonee a garantire il diritto di opposizione degli interessati. Ha inoltre ordinato, ai sensi dell’art. 157 del Codice, di comunicare entro 30 giorni dalla notifica le iniziative intraprese per dare attuazione alle misure imposte.

Sul piano sanzionatorio, l’Autorità ha applicato a Sdam una sanzione amministrativa pecuniaria di 5.000 euro ai sensi dell’art. 83, par. 5, GDPR, ritenendo la condotta colposa, episodica e di portata limitata. Ai fini della quantificazione ha considerato, in senso attenuante, il carattere individuale della segnalazione, l’assenza di precedenti, la cooperazione con l’Autorità, la natura comune dei dati trattati e la crisi socio-economica in atto. Ha infine disposto la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno delle violazioni.