Prescrizioni del Garante n. 365 del 23/06/2025

Purnamh s.r.l. Società Benefit: informativa non trasparente sulla customer satisfaction e ritardo nel riscontro all’accesso

Il provvedimento riguarda Purnamh s.r.l. Società Benefit e trae origine da una segnalazione relativa alla comunicazione di dati personali a una società terza per l’invio di sondaggi sulla soddisfazione dei clienti, oltre che al mancato tempestivo riscontro a una richiesta di accesso. L’Autorità conclude per la violazione degli obblighi di trasparenza e per il ritardo nella gestione dei diritti dell’interessato.

Fatti e istruttoria

La segnalazione riguardava l’invio di un sondaggio al cliente dopo un acquisto sul sito gestito dalla Società e la trasmissione dei dati a Net Reviews, oggi Skeepers SAS. La Società ha sostenuto che il trattamento fosse legittimato dall’art. 6, par. 1, lett. b) e f), GDPR e che la terza parte operasse come responsabile del trattamento ex art. 28 GDPR. Ha inoltre riferito di aver aggiornato l’informativa privacy e rimosso, in via precauzionale, il plugin di trasmissione dei dati alla società terza.

Comunicazione dei dati a terzi e trasparenza informativa

Il Garante accerta la violazione dell’art. 13, par. 1, lett. c) e d), GDPR. Dall’istruttoria emerge che l’informativa pubblicata sul sito riportava basi giuridiche in forma generica, senza indicare in modo chiaro il collegamento tra ciascuna base giuridica e la specifica finalità perseguita. La finalità di raccolta feedback e sondaggi online era menzionata in una sezione diversa dell’informativa, ma non nel paragrafo dedicato alle basi giuridiche. Secondo l’Autorità, il trattamento era in realtà riconducibile al legittimo interesse del titolare al miglioramento dei servizi, ma questa informazione non era esposta in modo conciso, trasparente, intellegibile e facilmente accessibile come richiesto dall’art. 13 GDPR e dalle Linee guida sulla trasparenza del WP29 dell’11 aprile 2018.

Diritto di accesso e tempi di riscontro

È inoltre accertata la violazione degli artt. 12 e 15 GDPR. L’interessato aveva chiesto prima di "sapere perché e quali dati" fossero stati trasmessi e poi, con richiesta più ampia del 10 aprile 2024, aveva domandato anche copia dei dati personali conservati. La Società ha fornito un riscontro pieno solo il 7 ottobre 2024, oltre il termine di un mese previsto dal GDPR. I precedenti riscontri sono stati ritenuti non idonei a soddisfare effettivamente il diritto esercitato.

Valutazioni del Garante

L’Autorità esclude che si tratti di una mera irregolarità formale. Sottolinea che la correttezza e completezza dell’informativa incidono sul principio di trasparenza, essenziale per la legittimità del trattamento. La carenza informativa ha indotto anche l’interessato a ritenere, erroneamente, che fosse necessario il consenso per la comunicazione dei dati alla terza parte per la customer satisfaction.

Misure correttive, ammonimento e divieto

Il Garante:

• rivolge un ammonimento per la comunicazione di dati a terzi per attività di sondaggio e per il trattamento della richiesta di accesso in violazione della disciplina privacy;
• impone il divieto di ogni ulteriore comunicazione di dati per attività di sondaggio, se non accompagnata da un’informativa chiara e completa sulla base giuridica;
• prescrive di integrare l’informativa indicando, nel paragrafo "Base giuridica del trattamento", il collegamento tra ciascuna base giuridica e la relativa finalità, nonché i legittimi interessi perseguiti dalla Società e da eventuali terzi;
• prescrive l’adozione di misure tecniche e organizzative, anche mediante procedure interne, per garantire riscontri tempestivi e idonei all’esercizio dei diritti degli interessati.

Obblighi successivi e rimedi

La Società deve comunicare all’Autorità, entro trenta giorni dalla notifica, le iniziative intraprese per conformarsi alle misure imposte. L’eventuale mancata comunicazione può comportare la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR. È disposta la pubblicazione del provvedimento sul sito web del Garante e la sua annotazione nel registro interno dell’Autorità. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.