Ordinanza ingiunzione o revoca n. 156 del 13/03/2025

Immosanremo – marketing promozionale via WhatsApp con dati acquisiti da terzi senza prova di consenso

Il provvedimento riguarda un'agenzia immobiliare che ha inviato comunicazioni promozionali tramite WhatsApp utilizzando anagrafiche fornite da un soggetto terzo. Il Garante ha accertato l'assenza di prova dei presupposti di liceità del trattamento e ha disposto misure correttive, sanzione pecuniaria e pubblicazione dell'ordinanza ingiunzione.

Origine del procedimento e attività istruttoria

Il procedimento prende avvio da un reclamo presentato da un interessato che lamentava la ricezione di un messaggio indesiderato via WhatsApp da parte dell'agenzia immobiliare Immosanremo, finalizzato alla promozione dei servizi di intermediazione immobiliare. Nella comunicazione l'agenzia indicava Realmaps S.r.l. quale soggetto da cui sarebbero stati acquisiti i dati, ritenuti dal fornitore "consensati". Il Garante ha quindi avviato l'istruttoria anche per verificare i rapporti con il fornitore e gli adempimenti privacy posti in essere dall'agenzia.

Immosanremo ha dichiarato di essersi affidata alle garanzie pubblicizzate da Realmaps sul proprio sito e di avere sottoscritto tre contratti di fornitura. Ha inoltre affermato che soltanto 500 dei contatti acquisiti erano stati raggiunti da una comunicazione tramite WhatsApp e che, dopo la richiesta dell'Autorità, aveva cancellato i dati della lista dai propri sistemi. Ha infine rappresentato di avere predisposto specifiche procedure per la gestione del diritto di opposizione e delle richieste degli interessati.

Contestazione delle violazioni

Con la comunicazione di avvio del procedimento, l'Ufficio ha contestato a Immosanremo la possibile violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 e 14 GDPR e dell'art. 130, commi 1 e 2, del Codice privacy, per non avere verificato né documentato i presupposti di liceità dei dati acquisiti dal fornitore e poi usati per marketing. Sono stati inoltre contestati gli artt. 12 e 15 GDPR, per la gestione delle istanze degli interessati subordinata al confronto con Realmaps, e gli artt. 5, par. 2, 24 e 25 GDPR, per la mancata prova degli adempimenti in materia di protezione dei dati.

Valutazioni del Garante sulla qualificazione del trattamento

Il Garante ha respinto l'eccezione difensiva relativa all'inapplicabilità del Codice di condotta per telemarketing e teleselling, osservando che tale Codice costituisce uno strumento di accountability e non introduce regole vincolanti in senso retroattivo. Ha tuttavia ritenuto che l'attività promozionale svolta via WhatsApp rientri nel Titolo X del Codice, che disciplina le comunicazioni elettroniche.

L'Autorità ha chiarito che l'invio di messaggi promozionali tramite WhatsApp richiede il preventivo consenso informato degli interessati. In assenza di tale base giuridica, non è possibile effettuare comunicazioni commerciali neppure se i dati provengono da registri pubblici, elenchi, siti internet o altri documenti conoscibili da chiunque.

Mancata prova di informativa e consenso

Secondo il Garante, Immosanremo non ha fornito documentazione idonea a dimostrare che le anagrafiche acquistate da Realmaps fossero state raccolte lecitamente. In particolare, non ha provato:

• il rilascio dell'informativa da parte del soggetto che aveva originariamente raccolto i dati, ai sensi dell'art. 14 GDPR;
• l'esistenza di un consenso alla comunicazione a terzi per finalità di marketing;
• che tale consenso fosse libero, specifico e conforme ai requisiti dell'art. 4, punto 11, GDPR.

Le richieste di chiarimento rivolte successivamente a Realmaps sono state considerate tardive, perché effettuate dopo l'emersione dei reclami e dopo l'acquisizione delle anagrafiche, anziché prima dell'uso promozionale delle liste. Per questo il Garante ha confermato la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 e 14 GDPR e dell'art. 130, commi 1 e 2, del Codice privacy.

Gestione delle istanze degli interessati e diritto di opposizione

Il provvedimento rileva che la cancellazione dei dati e le iniziative interne per gestire i diritti degli interessati sono state adottate solo dopo l'avvio dell'istruttoria. Inoltre, le misure rappresentate dall'agenzia non sono state ritenute sufficienti a dimostrare un'effettiva gestione del diritto di opposizione e a prevenire ulteriori trattamenti futuri, ad esempio mediante black list o regole sui tempi di conservazione.

Con riferimento ai trattamenti già effettuati, il Garante ha ritenuto che la procedura adottata non garantisse una gestione adeguata e tempestiva delle richieste di esercizio dei diritti, in violazione dell'art. 12, par. 3, GDPR. Poiché l'agenzia doveva confrontarsi con Realmaps per ottenere informazioni sull'origine dei dati e sull'eventuale consenso alla comunicazione a terzi, il sistema predisposto è stato considerato fonte di ritardo e di potenziale insoddisfazione delle richieste, con conferma della violazione anche dell'art. 15 GDPR.

Accountability, controllo della filiera e misure organizzative

Il Garante ha richiamato gli artt. 5, par. 2, 24 e 25 GDPR, sottolineando che il titolare deve essere in grado di dimostrare la conformità del trattamento e di adottare misure tecniche e organizzative adeguate sin dalla progettazione. La mera presenza di clausole contrattuali di manleva nei confronti del fornitore non esonera il titolare dal controllo sulla liceità delle liste acquistate e sulla correttezza della filiera del trattamento.

L'Autorità ha quindi evidenziato un quadro di insufficiente vigilanza sull'intero processo, dalla raccolta dei dati alla campagna promozionale, incompatibile con il principio di responsabilizzazione.

Prescrizioni e ingiunzioni per il futuro

In applicazione dell'art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Immosanremo, qualora in futuro intenda indirizzare attività promozionali verso utenze telefoniche fornite da terzi, di:

• adottare procedure idonee a verificare costantemente, anche con controlli a campione, che i dati siano trattati nel rispetto della disciplina applicabile;
• acquisire e documentare preventivamente un consenso libero, specifico, inequivocabile e informato per l'invio di comunicazioni commerciali, ai sensi degli artt. 6, 7 e 14 GDPR.

È stata inoltre imposta l'adozione di misure tecniche e organizzative per tenere traccia dei dinieghi espressi dagli interessati e delle eventuali variazioni di volontà, con richiamo agli artt. 17 e 21 GDPR.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha ritenuto sussistenti i presupposti per l'applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR. Poiché le violazioni riguardano trattamenti collegati, è stato richiamato l'art. 83, par. 3, GDPR, con applicazione della sola sanzione prevista per la violazione più grave.

Ai fini della quantificazione sono stati considerati, tra gli aggravanti:

• il numero dei soggetti coinvolti, pari a 500 utenze contattate;
• la gravità delle violazioni, in particolare l'assenza di controlli a campione e la gestione inadeguata di accesso e opposizione;
• il carattere negligente della condotta, rimasta invariata fino all'intervento del Garante;
• la difformità rispetto alla consolidata attività provvedimentale dell'Autorità in materia di marketing e consenso.

Tra gli elementi attenuanti sono stati valorizzati:

• l'assenza di precedenti procedimenti a carico dell'agenzia;
• la tempestiva cancellazione delle liste e l'adozione di alcune misure correttive;
• il grado di cooperazione con l'Autorità;
• la natura dei dati, limitati a dati comuni anagrafici e di contatto;
• la limitata capacità economica del titolare, qualificato come impresa individuale.

Sulla base di tale bilanciamento, è stata irrogata la sanzione amministrativa di euro 3.000,00, pari allo 0,015% del massimo edittale di 20 milioni di euro. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante, quale sanzione accessoria.

Dispositivo finale e rimedi

Il Garante ha dichiarato illecito il trattamento effettuato da Immosanremo e ha ingiunto l'adozione delle misure correttive sopra descritte, con obbligo di comunicare all'Autorità, entro trenta giorni dalla notifica, le iniziative intraprese per dare attuazione alla misura imposta. Ha poi ordinato il pagamento della sanzione pecuniaria di euro 3.000,00, precisando la facoltà di definizione agevolata entro trenta giorni mediante pagamento della metà della sanzione.

È stata infine disposta la pubblicazione del provvedimento sul sito istituzionale e l'annotazione nel registro interno dell'Autorità. Contro il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria nei termini di legge.