Ordinanza ingiunzione o revoca n. 12 del 11/01/2023

Commify Italia S.r.l. - gestione della piattaforma Skebby, conservazione dei contenuti sms e misure di sicurezza

Il provvedimento riguarda Commify Italia S.r.l., fornitore del servizio Skebby per l’invio di sms via web e API. Il Garante è intervenuto a seguito di attività ispettiva e di una richiesta presentata dal DPO di un cliente della piattaforma, che aveva contestato la conservazione del contenuto dei messaggi inviati.

Contesto istruttorio e origini del procedimento

L’Autorità aveva già svolto precedenti ispezioni nel 2018 e nel 2019 su società del gruppo poi confluite in Commify. La nuova attività ispettiva dell’8 e 9 novembre 2021 è stata disposta per verificare le modalità attuali del servizio, anche in ragione del tempo trascorso, delle modifiche societarie intervenute e delle criticità segnalate dal cliente utilizzatore. Con nota del 4 aprile 2022 è stato avviato il procedimento per l’adozione di provvedimenti correttivi e sanzionatori.

Qualificazione del servizio e disciplina applicabile

Il Garante ha qualificato la Società come fornitore di servizi di comunicazione elettronica accessibili al pubblico, con conseguente applicazione della disciplina speciale del Codice privacy in materia di dati di traffico telefonico e telematico. Ha ritenuto che il servizio reso tramite Skebby integri un servizio “telematico” e che, oltre ai clienti business, il trattamento possa riguardare anche persone fisiche in rappresentanza di imprese individuali o nella fase di prova gratuita, nonché i destinatari degli sms.

Conservazione dei dati di traffico telematico e sicurezza del trattamento

Dall’istruttoria è emerso che i dati di traffico, compreso quanto la Società considerava il contenuto degli sms, erano conservati in sistemi diversi ma non separati per finalità, utilizzati anche per fatturazione e consultazione da parte dei clienti. Non risultavano tempi di retention differenziati in base alle finalità di legge, né una separazione fisica o logica dei dati trattati per finalità di giustizia.

Il Garante ha ritenuto inadeguate le misure tecniche e organizzative adottate, poiché:

• l’accesso ai sistemi avveniva con autenticazione a un solo fattore;
• i dati non erano protetti con tecniche crittografiche;
• le operazioni sui dati non erano tracciate in audit log completi;
• la trasmissione tra sistemi avveniva anche mediante protocollo http non sicuro;
• i dati di traffico per finalità di giustizia erano disponibili ai clienti dietro richiesta, in contrasto con la disciplina che richiede l’autorizzazione del giudice.

Sono stati ritenuti violati gli artt. 5, par. 1, lett. f), e 32 GDPR, nonché gli artt. 123, 132 e 132-ter del Codice.

Conservazione del contenuto degli sms

Uno dei profili centrali del provvedimento riguarda la conservazione del testo degli sms inviati dai clienti. Commify sosteneva che il contenuto fosse un dato di traffico e che dovesse essere conservato ai sensi degli artt. 121, 123 e 132 del Codice. Il Garante ha escluso questa interpretazione, evidenziando che i dati di traffico non comprendono il contenuto delle comunicazioni e che l’art. 132 esclude espressamente i contenuti dal regime di conservazione per finalità di giustizia.

L’Autorità ha inoltre chiarito che il contenuto degli sms non può essere conservato per la verifica della fatturazione, poiché tale attività può essere effettuata con strumenti automatici senza visualizzare il messaggio. La conservazione del contenuto era quindi ammissibile solo, in astratto, come servizio a valore aggiunto richiesto liberamente dall’utente e con consenso specifico; nel caso concreto, però, il consenso non era libero, poiché la clausola contrattuale imponeva la conservazione, e i messaggi venivano comunque conservati anche in assenza di consenso. Il Garante ha ravvisato la violazione degli artt. 5, par. 1, lett. a), b) e c), e 6 GDPR, nonché degli artt. 123 e 132 del Codice.

Controlli automatizzati antifrode sui messaggi

La Società effettuava una scansione preventiva degli sms e dell’alias del mittente per rilevare URL, domini, parole chiave o contenuti ritenuti fraudolenti, con blocco automatico dell’invio. Il Garante ha ritenuto che non esistesse uno specifico obbligo di legge che imponesse tali controlli e che la base del legittimo interesse non fosse stata adeguatamente dimostrata, in assenza di un balancing test documentato, di una base giuridica chiara e di misure meno invasive.

L’Autorità ha ammesso che un’attività antifrode può essere lecita solo se sorretta da un concreto legittimo interesse e da valutazioni di necessità e proporzionalità, ma nel caso esaminato la scansione del contenuto delle comunicazioni è stata considerata eccessivamente invasiva e idonea a incidere sulla libertà e riservatezza delle comunicazioni. È stata quindi ravvisata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR. Tuttavia, per questo profilo il Garante ha ritenuto sufficiente un ammonimento, considerata la buona fede della Società e l’assenza di vantaggio economico.

Principio di protezione dei dati fin dalla progettazione e per impostazione predefinita

Alla luce delle criticità riscontrate nei sistemi, nelle procedure e nella configurazione dei trattamenti, il Garante ha accertato anche la violazione dell’art. 25, parr. 1 e 2, GDPR. La Società non aveva infatti integrato fin dalla progettazione misure idonee a rendere effettivi i principi di liceità, limitazione della finalità, minimizzazione e integrità/riservatezza, né aveva impostato i trattamenti in modo da limitare per default l’accesso e la conservazione ai soli dati strettamente necessari.

Per tale violazione è stato comunque ritenuto sufficiente un ammonimento, poiché gli effetti della carenza progettuale erano già stati considerati nella sanzione relativa agli altri profili e la Società aveva nel frattempo adottato misure correttive.

Difese della Società e misure correttive

Commify ha contestato la tempestività dell’avvio del procedimento e ha rappresentato di aver adottato, già prima e durante l’istruttoria, una serie di correttivi: autenticazione a due fattori, dismissione del protocollo http, disattivazione della visualizzazione del contenuto dei messaggi da parte degli incaricati, cessazione dei controlli antifrode, implementazione di sistemi di logging più robusti, separazione dei database per finalità di giustizia, cifratura dei dati, revisione delle retention e cancellazione dei contenuti non più consentiti. In audizione del 26 maggio 2022 ha dichiarato completate le ultime misure ancora in corso.

Il Garante ha ritenuto tempestiva la contestazione e ha valorizzato l’intervento correttivo della Società, escludendo l’adozione di ulteriori misure correttive, ma confermando l’intervento sanzionatorio e gli ammonimenti.

Sanzione, criteri di quantificazione e pubblicazione

Poiché le violazioni erano collegate e riconducibili allo stesso complesso di trattamenti, il Garante ha applicato l’art. 83, par. 3, GDPR. Tenuto conto del massimo edittale di 20 milioni di euro ex art. 83, par. 5, GDPR, ha comminato una sanzione di 80.000 euro.

Nella quantificazione sono stati considerati come aggravanti:

• l’ampiezza del trattamento, riferito a circa 7.250 clienti;
• la gravità delle violazioni e la delicatezza dei dati coinvolti, inclusi contenuti potenzialmente relativi a salute e appartenenza politica;
• l’inadeguatezza delle misure rispetto allo stato dell’arte;
• la modalità di emersione delle violazioni tramite ispezione.

Sono stati valorizzati come attenuanti:

• la mancanza di dolo e la natura più negligente che consapevole delle condotte;
• la buona fede e l’assenza di vantaggio economico;
• la tempestiva adozione di misure correttive;
• l’elevata cooperazione con l’Autorità;
• le perdite economiche rappresentate dalla Società.

Infine, il Garante ha disposto la pubblicazione integrale del provvedimento sul sito istituzionale e ha richiamato la possibilità di opposizione innanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e dell’art. 152 Codice privacy.