Ordinanza ingiunzione o revoca n. 622 del 17/10/2024

Immobiliare Pianezza S.r.l.s. - marketing telefonico illecito e mancato riscontro ai diritti dell’interessata

Il provvedimento riguarda una società di intermediazione immobiliare affiliata in franchising, destinataria di una sanzione e di misure correttive per l’uso di dati personali in attività di marketing telefonico in assenza di un valido consenso, nonché per la gestione inadeguata di una richiesta di accesso e cancellazione dei dati. Il procedimento è stato avviato a seguito di reclamo dell’interessata e di istruttoria ex art. 157 Codice privacy.

Origine del reclamo e attività istruttoria

La reclamante ha riferito di aver ricevuto il 19 febbraio 2024 una telefonata promozionale indesiderata e di non aver ottenuto, nonostante più solleciti, un riscontro completo sulla provenienza dei suoi dati e sulla loro cancellazione. In un primo momento la vicenda era stata ricondotta da XX S.p.A. a un’iniziativa promozionale di Studio Immobiliare Pianezza S.r.l.s., qualificata come autonomo titolare del trattamento.

L’Ufficio ha quindi richiesto informazioni alle società coinvolte ai sensi dell’art. 157 del Codice. XX S.p.A. ha confermato la propria estraneità; Immobiliare Pianezza ha sostenuto che l’utenza fosse stata acquisita anni prima da un list provider e poi impropriamente usata da un collaboratore, in violazione delle direttive aziendali. Ha inoltre affermato di aver comunicato telefonicamente la cancellazione dei dati, senza però inviare un riscontro scritto prima dell’intervento dell’Autorità.

Qualificazione del titolare e responsabilità

Il Garante ha chiarito che, nel rapporto di franchising, le agenzie affiliate restano giuridicamente ed economicamente indipendenti rispetto al franchisor. Perciò la responsabilità per le condotte contestate è stata imputata solo a Immobiliare Pianezza, in quanto titolare autonomo del trattamento ai sensi dell’art. 4 GDPR.

Illiceità del trattamento e carenze organizzative

La Società non ha prodotto elementi idonei a dimostrare che le anagrafiche acquisite dal list provider fossero state raccolte in modo lecito, con informativa adeguata e consenso valido degli interessati. Non è stato neppure chiarito se vi fosse un accordo formalizzato con il fornitore che definisse i ruoli privacy.

I dati risultavano conservati senza cautela, per un tempo indeterminato, su supporti cartacei incustoditi e accessibili ai dipendenti. Il Garante ha ritenuto che ciò evidenziasse la mancata adozione di misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, oltre all’assenza di una formale attribuzione di funzioni ai soggetti designati ex art. 2-quaterdecies del Codice.

È stata quindi confermata la violazione dei principi di cui all’art. 5, parr. 1, lett. f), e 2 GDPR, nonché dell’art. 24 GDPR, per mancata dimostrazione dell’accountability e insufficiente controllo sulle operazioni di trattamento.

Diritti dell’interessato e base giuridica del marketing

Il Garante ha ritenuto insoddisfacente il riscontro alla richiesta di accesso ex art. 15 GDPR, sia perché tardivo rispetto al termine di cui all’art. 12, par. 3, GDPR, sia perché parziale: la Società si è limitata a confermare la cancellazione dei dati senza fornire spiegazioni sulla loro origine, sui presupposti di liceità e sulle modalità del trattamento.

Parimenti, il trattamento a fini promozionali è risultato privo di base giuridica, non essendo stato acquisito alcun consenso valido ai sensi degli artt. 6 e 7 GDPR e dell’art. 130 del Codice privacy.

Provvedimenti correttivi

Ai sensi dell’art. 58, par. 2, lett. f), GDPR, è stato vietato il trattamento dei dati personali acquisiti dal list provider in assenza di idoneo consenso per finalità di marketing. Ai sensi dell’art. 58, par. 2, lett. d), GDPR, è stata ingiunta la cancellazione dei dati, con le sole eccezioni relative a obblighi di legge, difesa in giudizio o altre finalità lecite non soggette a consenso.

Inoltre, ai sensi dell’art. 157 del Codice privacy, la Società deve comunicare al Garante, entro trenta giorni dalla notifica, le iniziative adottate per dare esecuzione alla cancellazione.

Sanzione amministrativa e criteri ex art. 83 GDPR

Nel quantificare la sanzione, il Garante ha richiamato l’art. 83, par. 3, GDPR, trattandosi di violazioni collegate nello stesso contesto di trattamento, e ha considerato il massimo edittale di 20 milioni di euro previsto dall’art. 83, par. 5, GDPR. Sono state valorizzate come aggravanti la natura negligente della condotta, la durata e la potenziale ampiezza del pregiudizio, la mancata adozione di misure correttive e il limitato livello di cooperazione con l’Autorità.

Come elementi attenuanti sono stati considerati il numero concreto di interessati coinvolti, l’assenza di precedenti pertinenti e le ridotte dimensioni economiche della Società, qualificata come micro-impresa. La sanzione è stata determinata in euro 5.000, pari allo 0,025% del massimo edittale.

Ulteriori conseguenze

Il Garante ha disposto la pubblicazione integrale del provvedimento sul proprio sito, nonché l’annotazione nel registro interno dell’Autorità. È stata richiamata anche la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.