Ordinanza ingiunzione o revoca n. 405 del 14/09/2023

GFB One s.r.l. - attivazione illecita di SIM, omessa informativa e mancato riscontro al Garante

Il provvedimento riguarda GFB One s.r.l., dealer/agente di vendita di una compagnia telefonica, nei cui confronti il Garante accerta il trattamento illecito dei dati personali di un interessato in occasione dell’attivazione di due SIM a suo nome, oltre alla mancata informativa e all’omesso riscontro a una richiesta di informazioni dell’Autorità. L’istruttoria prende avvio da una segnalazione dell’interessato, che aveva disconosciuto le attivazioni e denunciato l’accaduto all’autorità di pubblica sicurezza.

Origine del procedimento e attività istruttoria

La vicenda nasce dalla segnalazione di un utente che lamentava l’illecita attivazione di due schede SIM, comunicatagli via e-mail e SMS, da parte della rete di vendita di Vodafone. L’interessato riferiva di aver verificato che le attivazioni risultavano effettuate presso un esercizio commerciale di Marano di Napoli e che, per gli addebiti, era stato indicato un IBAN inesistente riconducibile a una filiale bancaria della zona di residenza del segnalante.

Il Garante ha avviato un procedimento d’ufficio ai sensi dell’art. 166, comma 5, del Codice privacy e ha richiesto informazioni ex art. 157 del Codice sia a Vodafone sia a GFB. Vodafone ha risposto fornendo chiarimenti sulle procedure di attivazione, sulla verifica dei dealer e sulle misure adottate dopo la scoperta dell’illecito. GFB, invece, non ha fornito alcun riscontro alla richiesta dell’Autorità.

Valutazioni sulla posizione di Vodafone

L’Autorità esclude responsabilità di Vodafone nel caso concreto. La compagnia telefonica, infatti, avrebbe bloccato tempestivamente le SIM una volta appreso dell’attivazione non autorizzata, le avrebbe poi definitivamente disattivate e avrebbe avviato le procedure interne per accertare e sanzionare il dealer. Inoltre, su richiesta dell’interessato, avrebbe trasmesso i moduli di attivazione, le copie dei documenti utilizzati e disposto l’oscuramento dei dati personali presenti nei propri sistemi.

Il Garante osserva che non emergono anomalie di sistema o elementi idonei a fondare una responsabilità del gestore per culpa in vigilando rispetto all’operato dei dealer.

Condotta di GFB e qualificazione giuridica

Per GFB, invece, l’istruttoria evidenzia che la Società ha attivato le SIM senza accertare correttamente l’identità del richiedente, limitandosi ad acquisire una semplice copia del documento di identità e omettendo ulteriori verifiche sulla reale identità dell’interessato. Dagli atti emerge anche che il segnalante non aveva mai perso la disponibilità del documento e non si era mai recato nei luoghi in cui il dealer operava.

Il Garante richiama il provvedimento generale del 16 febbraio 2006 in materia di servizi telefonici non richiesti, nonché un precedente del 2015 e l’ordinanza della Cassazione n. 21234/2021, per ribadire che gli agenti e rivenditori possono assumere la qualità di titolari autonomi del trattamento quando svolgono in autonomia reale le attività di trattamento. In tale prospettiva, GFB è qualificata come titolare del trattamento per le operazioni esaminate.

Violazioni accertate

L’Autorità ritiene accertate tre violazioni:

• art. 5, par. 1, lett. a), e art. 6 GDPR, per trattamento non lecito e privo di idonea base giuridica;
• art. 13 GDPR, per mancata informativa all’interessato;
• art. 157 del Codice privacy, per omesso riscontro alla richiesta di informazioni e documenti del Garante.

Secondo il provvedimento, l’attivazione delle SIM è avvenuta senza che il segnalante ne fosse consapevole e senza che avesse manifestato la volontà di concludere il contratto, con uso indebito dei suoi dati identificativi e della copia del documento di identità.

Memoria difensiva e valutazione del Garante

GFB aveva depositato una memoria difensiva, ma in ritardo rispetto al termine previsto. La Società sosteneva, in sintesi, di non aver ricevuto la richiesta del Garante e che l’errore sarebbe stato imputabile a un addetto del punto vendita che si era discostato dalle procedure interne.

Il Garante non ritiene persuasive tali difese: le circostanze fattuali confermano la violazione delle procedure di identificazione e l’assenza di verifiche ulteriori, mentre la genericità delle allegazioni non consente di escludere la responsabilità della Società. Quanto al mancato riscontro alla richiesta istruttoria, l’Autorità valorizza le ricevute di accettazione e consegna inviate al domicilio digitale della Società e richiama la disciplina sul valore legale della PEC per le imprese.

Sanzione amministrativa pecuniaria

Per le violazioni accertate viene irrogata a GFB una sanzione amministrativa pecuniaria di 90.000 euro, ai sensi degli artt. 166, comma 7, del Codice e 83, paragrafi 3 e 5, GDPR. Il provvedimento richiama i criteri di cui all’art. 83, par. 2, GDPR, valorizzando in particolare:

• la gravità delle violazioni, anche in relazione al fenomeno delle attivazioni illecite di carte telefoniche;
• il carattere doloso della condotta;
• l’assenza di iniziative per attenuare il danno;
• la mancata collaborazione con l’Autorità;
• la capacità economica della Società, desunta dall’ultimo bilancio disponibile.

Il Garante richiama i principi di effettività, proporzionalità e dissuasività e precisa che il contravventore può definire la controversia con il pagamento, entro 30 giorni, di un importo pari alla metà della sanzione irrogata, ai sensi dell’art. 166, comma 8, del Codice.

Misure ulteriori e termini

Oltre alla sanzione pecuniaria, il Garante dispone:

• il divieto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, di ogni ulteriore trattamento dei dati del segnalante;
• l’ingiunzione a comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alla misura;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione nel registro interno dell’Autorità relativo alle violazioni e alle misure adottate.

È inoltre indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento.