Ordinanza ingiunzione o revoca n. 349 del 20/10/2022

Occhiali24.it S.r.l. - marketing indesiderato e mancato riscontro ai diritti dell’interessato

Il Garante ha adottato un’ordinanza ingiunzione nei confronti di Occhiali24.it S.r.l. in relazione a una campagna promozionale via e-mail ritenuta illecita e al mancato tempestivo riscontro all’esercizio dei diritti dell’interessato. Il procedimento origina da un reclamo presentato ai sensi dell’art. 77 GDPR e si è sviluppato anche tramite richieste di informazioni ex art. 157 Codice privacy.

Origine del reclamo e attività istruttoria

L’interessato aveva segnalato la ricezione di una comunicazione promozionale indesiderata, sostenendo di non avere mai prestato il consenso e di avere inviato una richiesta di esercizio dei diritti ex artt. 15, 17 e 21 GDPR senza ottenere risposta nei termini. L’Ufficio ha richiesto chiarimenti alla Società, che inizialmente non ha riscontrato; solo dopo ulteriori solleciti ha negato di essere direttamente responsabile dell’invio, attribuendo la vicenda a soggetti della propria filiera promozionale.

Accertamenti sulla provenienza dei dati e sul consenso

Dagli accertamenti svolti, anche mediante verifica di copie storiche del sito indicato come fonte di acquisizione del consenso, è emerso che nel periodo rilevante il sito non presentava un’informativa privacy né un form idoneo alla raccolta dei dati e dei consensi, né opzioni distinte per le finalità pubblicitarie e per la cessione dei dati a terzi. Il Garante ha inoltre rilevato incongruenze sulla stessa esistenza operativa del soggetto estero indicato come fonte del consenso, che non risultava attivo nel 2018 come invece affermato dalle parti coinvolte.

Qualificazione giuridica dei ruoli e responsabilità della Società

L’Autorità ha ritenuto che Occhiali24 non potesse essere considerata estranea alla filiera, poiché aveva determinato la finalità del trattamento, cioè la veicolazione di messaggi promozionali del proprio marchio, affidando a terzi la realizzazione della campagna. In base alla nozione di titolare ex art. 4 GDPR e alle Linee guida EDPB 7/2020, è stato affermato che il committente di una campagna marketing è titolare quando determina finalità e mezzi essenziali del trattamento, anche se non raccoglie materialmente i dati.

Il Garante ha evidenziato che la Società:

• non ha documentato criteri di selezione del partner;
• non ha provato di avere impartito istruzioni adeguate;
• non ha esibito accordi o direttive idonei a ricostruire il quadro giuridico del trattamento;
• non ha verificato la provenienza dei dati né la base giuridica del loro utilizzo.

Tali carenze sono state ricondotte alla violazione degli artt. 5, par. 2, 24 e 25, par. 1, GDPR, in una prospettiva di accountability e privacy by design.

Illiceità del trattamento per finalità di marketing

Il Garante ha ritenuto non dimostrata l’esistenza di un consenso valido ai sensi degli artt. 6, par. 1, lett. a), 7 e 13 GDPR e dell’art. 130 Codice privacy. L’invio della comunicazione promozionale è stato quindi qualificato come trattamento illecito, non solo con riferimento al singolo episodio oggetto di reclamo ma, più in generale, alla modalità con cui Occhiali24 gestiva le proprie attività promozionali.

Mancato e insufficiente riscontro alle istanze dell’interessato

Quanto alla richiesta di esercizio dei diritti, il Garante ha rilevato che la Società ha risposto solo dopo l’intervento dell’Autorità e senza fornire spiegazioni convincenti sul ritardo. Le risposte sono state giudicate generiche e standardizzate, incapaci di chiarire la dinamica dei trattamenti e la politica aziendale, con violazione degli artt. 5, par. 1, lett. a), 12, parr. 1 e 3, e 15 GDPR. L’Autorità ha quindi evidenziato una grave carenza organizzativa nella gestione delle istanze degli interessati.

Provvedimenti correttivi e prescrizioni

Ai sensi dell’art. 58, par. 2, GDPR, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento per finalità di marketing senza il necessario preventivo consenso informato, libero, specifico, inequivocabile e documentato;
• l’ingiunzione, in caso di futuri affidamenti a terzi, di adottare procedure idonee a verificare costantemente che i dati siano trattati nel rispetto della normativa e sulla base di un consenso valido;
• l’ingiunzione di adottare procedure idonee a garantire un pieno ed effettivo riscontro alle richieste degli interessati ex artt. 15-22 GDPR;
• l’invito a comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle prescrizioni impartite.

Sanzione amministrativa e criteri di quantificazione

Ritenuti integrati i presupposti per la sanzione ai sensi degli artt. 58, par. 2, lett. i), e 83, parr. 4 e 5, GDPR, il Garante ha determinato il massimo edittale applicabile in 20 milioni di euro e ha comminato a Occhiali24 una sanzione di 20.000 euro, pari allo 0,1% del massimo edittale. Nella quantificazione sono stati considerati, tra gli aggravanti, l’aumento dei reclami, la gravità della colpa, il limitato grado di cooperazione e la non conformità rispetto alla consolidata attività provvedimentale in materia di marketing; tra gli attenuanti, la natura comune dei dati trattati e l’assenza di precedenti.

Pubblicazione, annotazione e rimedi

È stata disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. È stato inoltre ricordato che l’inosservanza del divieto può integrare rilevanza penale ai sensi dell’art. 170 Codice privacy e comportare anche la sanzione amministrativa ex art. 83, par. 5, lett. e), GDPR. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.