Ordinanza ingiunzione o revoca n. 379 del 10/11/2022

Vodafone Italia S.p.A. - telemarketing, consenso e vocal order nella vendita telefonica

Il provvedimento riguarda Vodafone Italia S.p.A. e trae origine da un reclamo presentato per conto di una interessata anziana, contattata da un call center della rete di vendita per l’attivazione di servizi di linea fissa e portabilità del numero. L’Autorità ha esaminato sia la fase del contatto promozionale sia la successiva registrazione vocale della vendita, nonché i riscontri forniti dalla società all’interessata e al Garante.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice, per l’adozione di misure ex art. 58, par. 2, GDPR. Il reclamo riferiva che l’interessata, di 85 anni, sarebbe stata contattata nei primi giorni di dicembre 2020 e avrebbe concluso, a suo dire inconsapevolmente, un contratto per servizi telefonici con portabilità. Dopo il recesso richiesto il 3 dicembre 2020, era seguita una richiesta di recupero spese per 173,49 euro, poi stornata.

Nella fase istruttoria Vodafone ha sostenuto che la chiamata promozionale fosse stata preceduta da un contatto spontaneo dell’interessata verso un IVR, con successiva acquisizione del consenso al ricontatto e perfezionamento della vendita tramite vocal recording. Su richiesta dell’Ufficio, la società ha poi trasmesso la registrazione telefonica della vendita, dalla quale emergeva tuttavia una data di esecuzione della registrazione indicata al 4 novembre 2020, mentre la chiamata di consenso era stata collocata al 5 novembre 2020.

Contestazioni iniziali formulate dall’Ufficio

All’esito dell’istruttoria l’Ufficio ha contestato a Vodafone:

• la violazione degli artt. 12, par. 1, e 13 GDPR, per avere effettuato un contatto promozionale senza rendere la necessaria informativa;
• la violazione degli artt. 5, par. 1, 6 e 7 GDPR e dell’art. 130, comma 3, Codice, per aver effettuato il contatto senza valido consenso;
• la violazione degli artt. 5, par. 1, lett. a), 6 e 7 GDPR e dell’art. 130, commi 1, 2 e 3, Codice, per aver acquisito un consenso unico e indifferenziato per diverse finalità e modalità di contatto;
• la violazione dell’art. 5, par. 1, lett. a), GDPR, per aver trattato i dati in modo non corretto e non trasparente nella conclusione del contratto;
• la violazione dell’art. 15, par. 3, GDPR, per il riscontro ritenuto inidoneo alla richiesta di accesso;
• la violazione dell’art. 157 Codice, per riscontri inesatti all’Autorità.

Difese di Vodafone

Nel corso dell’audizione del 7 ottobre 2022, Vodafone ha affermato che il vocal order era, all’epoca, una pratica diffusa e che veniva utilizzato soprattutto per clienti meno avvezzi a strumenti digitali. La società ha sostenuto che l’operatore avesse illustrato le offerte e poi registrato il contratto solo dopo aver acquisito i dati necessari, compresi gli estremi del documento d’identità.

Vodafone ha anche evidenziato che la formula di consenso nel vocal order sarebbe stata sostanzialmente corretta, pur ammettendo l’uso di modalità di contatto ormai obsolete e dichiarando di voler semplificare la procedura. Quanto ai riscontri all’interessata e al Garante, la società ha sostenuto di aver agito in buona fede, offrendo la massima collaborazione istruttoria.

Valutazioni del Garante sulle contestazioni relative a informativa e consenso al contatto

L’Autorità ha ritenuto non provata la ricostruzione difensiva di Vodafone secondo cui l’interessata avrebbe contattato spontaneamente il call center per prestare il consenso al ricontatto. Le incongruenze tra data della presunta chiamata inbound, data della registrazione vocale e classificazione della campagna come "outbound" hanno indebolito la versione societaria.

Il Garante ha osservato che, ai sensi dell’art. 5, par. 2, GDPR e del considerando 42, spetta al titolare dimostrare di aver reso l’informativa e acquisito il consenso prima del contatto promozionale. Nel caso concreto, la prova non è stata ritenuta sufficiente. Anche ipotizzando la chiamata inbound, il contenuto del messaggio automatico e la mera digitazione di una combinazione di tasti non sono stati considerati idonei a garantire un’informativa minima adeguata né un consenso realmente inequivocabile.

Valutazioni sulla formula di consenso nel vocal order

Il Garante ha ritenuto che la formula di consenso inserita nel vocal order fosse problematica sotto più profili. In primo luogo, essa cumulava trattamenti con finalità differenti, mescolando i dati necessari all’esecuzione contrattuale con quelli per finalità di marketing, creando confusione nell’interessata. In secondo luogo, il consenso era espresso in modo indifferenziato rispetto alle diverse modalità di contatto, senza un richiamo chiaro alla possibilità di distinguere tra canali automatizzati e tradizionali.

Richiamando il provvedimento generale n. 242 del 15 maggio 2013, il Garante ha ribadito che la semplificazione del consenso nel marketing diretto non può sacrificare la consapevolezza dell’interessato e la possibilità di controllare l’uso dei propri dati. La formula utilizzata da Vodafone è stata quindi ritenuta inefficace e il consenso prestato generico e indifferenziato, in contrasto con gli artt. 4, n. 11, e 7 GDPR e con il considerando 32.

Valutazioni sulla correttezza e trasparenza della vendita telefonica

Per quanto riguarda la conclusione del contratto tramite vocal order, l’Autorità ha sottolineato che la registrazione vocale costituiva l’unico elemento capace di cristallizzare il momento decisionale dell’interessata. La lettura del contratto a una velocità stimata di circa 200 parole al minuto per oltre sei minuti, con oltre 60 parole pronunciate in circa 16 secondi per la sola formula di consenso, è stata ritenuta tale da rendere il contenuto sostanzialmente incomprensibile e invalutabile.

Secondo il Garante, non rilevano le capacità personali dell’interessata, ma l’oggettiva modalità di presentazione dell’offerta, che non garantisce correttezza e trasparenza. La condotta di Vodafone è stata pertanto ritenuta lesiva dell’art. 5, par. 1, lett. a), GDPR.

Esito delle contestazioni su accesso e riscontri al Garante

Diversamente, l’Autorità ha ritenuto sufficienti le difese di Vodafone in ordine alle contestazioni riguardanti il riscontro alla richiesta di accesso dell’interessata e i riscontri forniti all’Autorità. In particolare, non è stata ritenuta provata la mancata produzione del documento d’identità né un intento fuorviante nella trasmissione del vocal order della vendita invece della registrazione richiesta. Su tali capi, quindi, la responsabilità della società è stata esclusa.

Misure adottate: divieto di trattamento

Accertata l’illiceità dei trattamenti relativi al contatto promozionale e alla vendita, il Garante ha imposto a Vodafone, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto di ogni ulteriore trattamento dei dati della reclamante.

Sanzione amministrativa pecuniaria

L’Autorità ha ritenuto applicabile l’ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, con sanzione ex art. 83, parr. 3 e 5, GDPR. Il massimo edittale è stato determinato, sulla base del fatturato risultante dall’ultimo bilancio disponibile, in euro 220.154.181,56.

Nel quantificare la sanzione, il Garante ha valorizzato:

• la gravità delle violazioni, nel contesto del telemarketing;
• la precedente ordinanza correttiva e sanzionatoria nei confronti di Vodafone in materia di telemarketing, quale aggravante;
• il tempestivo ripristino della situazione precedente e lo storno degli addebiti, quale attenuante;
• il contesto socio-economico generale e l’isolamento del caso, quale ulteriore attenuante.

Sulla base di tali elementi, nel rispetto dei principi di effettività, proporzionalità e dissuasività, è stata irrogata la sanzione amministrativa pecuniaria di euro 500.000,00.

Ulteriori conseguenze e rimedi

Il provvedimento dispone inoltre:

• la pubblicazione sul sito del Garante, quale sanzione accessoria;
• l’annotazione nel registro interno dell’Autorità;
• l’ingiunzione a comunicare, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione al divieto di trattamento;
• la possibilità di definizione agevolata della controversia ai sensi dell’art. 166, comma 8, Codice, con pagamento della metà della sanzione entro 30 giorni.

È prevista infine l’opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento.