Ordinanza ingiunzione o revoca n. 503 del 26/10/2023

A.C. Group S.r.l.s. - telemarketing senza consenso, RPO non consultato e informativa inidonea

Il provvedimento riguarda A.C. Group S.r.l.s., società attiva nel telemarketing per la promozione di impianti fotovoltaici, e trae origine da un reclamo per una telefonata commerciale indesiderata ricevuta da un utente iscritto al Registro Pubblico delle Opposizioni. L’Autorità ha esaminato anche il riscontro alla richiesta di esercizio dei diritti e la documentazione fornita dalla società nel corso dell’istruttoria.

Fatti e svolgimento dell’istruttoria

Il reclamante ha segnalato di aver ricevuto, il 30 dicembre 2022, una telefonata promozionale senza aver prestato un preventivo consenso informato. Ha inoltre contestato l’insufficienza del riscontro alla richiesta, formulata il 4 gennaio 2023, di accesso, cancellazione e opposizione.

A seguito della richiesta di informazioni ex art. 157 Codice privacy, la società ha descritto il proprio modus operandi: contatti telefonici verso potenziali clienti residenti in specifiche aree geografiche, utilizzando liste acquisite da diversi soggetti che sarebbero state, secondo quanto affermato, non iscritte al RPO. Nel caso oggetto di reclamo, la lista sarebbe stata ricevuta da un soggetto terzo operante nel settore energetico e trasmessa via WhatsApp da un fornitore estero. La società ha dichiarato di aver poi cancellato i dati del reclamante e di aver intrapreso iniziative per rivedere i propri processi.

Violazioni accertate: consenso, RPO e liceità del telemarketing

Il Garante ha ritenuto non dimostrato che A.C. Group avesse verificato la presenza di un valido consenso al marketing per le anagrafiche utilizzate, né per la specifica utenza del reclamante né per le liste fornite dai partner. La società non ha prodotto elementi probatori idonei a documentare l’acquisizione del consenso preventivo, libero, specifico, documentato e inequivocabile richiesto dagli artt. 6, par. 1, lett. a), 7 GDPR e 130 Codice privacy.

È stata inoltre accertata la violazione della disciplina sul Registro Pubblico delle Opposizioni: la società non avrebbe consultato il RPO prima della telefonata al reclamante né per le ulteriori numerazioni utilizzate nelle campagne promozionali. Il Garante ha osservato che l’abilitazione ai servizi del Registro risultava successiva alla chiamata contestata e, comunque, non dimostrava l’avvenuta consultazione delle singole utenze prima delle campagne.

Informativa resa ai contatti e principio di trasparenza

Lo script di chiamata prodotto dalla società riportava soltanto l’identità del titolare del trattamento e un rinvio generico all’informativa disponibile sul sito web. Secondo l’Autorità, tale modalità non soddisfa gli obblighi informativi di cui agli artt. 12, 13 e 14 GDPR, perché non consente all’interessato di conoscere in modo immediato e completo l’origine dei dati e gli elementi essenziali del trattamento.

Il Garante ha escluso che la mera possibilità di reperire le informazioni altrove o tramite il sito internet possa sanare la carenza informativa, richiamando il requisito di facile accessibilità delle informazioni e il principio di trasparenza. È stato inoltre evidenziato che non risultava dimostrata neppure l’informativa resa dai list provider ai soggetti i cui dati erano stati poi ceduti ad A.C. Group.

Accountability, tracciabilità e filiera dei fornitori

Il provvedimento attribuisce particolare rilievo alla mancanza di adeguate misure organizzative e di controllo sull’intera filiera dei trattamenti. La società non ha fornito elementi idonei a ricostruire il contesto giuridico della raccolta e della successiva comunicazione dei dati, né a dimostrare di aver verificato la correttezza e l’aggiornamento delle liste ricevute.

Il Garante ha ritenuto che, in assenza di controlli effettivi sulla liceità dei dati e sui ruoli dei soggetti coinvolti, il trattamento fosse in contrasto con i principi di liceità, correttezza e trasparenza di cui all’art. 5 GDPR, nonché con gli obblighi di responsabilizzazione del titolare ex artt. 5, par. 2, e 24 GDPR e con il principio di privacy by design di cui all’art. 25 GDPR.

Misure correttive, divieto e cancellazione

Alla luce delle violazioni accertate, il Garante ha disposto:

• il divieto di trattare dati personali raccolti in assenza di un consenso informato, libero, specifico, documentato e inequivocabile per finalità di marketing;
• l’ingiunzione a cancellare senza ritardo tali dati, salvo quelli da conservare per obblighi di legge o ragioni contrattuali;
• l’obbligo, per eventuali attività future basate su dati forniti da terzi, di adottare procedure idonee a verificare costantemente la liceità dei dati e l’esistenza dei consensi, anche tramite controlli a campione;
• l’obbligo di predisporre procedure adeguate per tracciare le attività di trattamento e documentare il rispetto della normativa lungo la filiera.

Sanzione amministrativa e criteri di quantificazione

Trattandosi di violazioni collegate, il Garante ha applicato l’art. 83, par. 3 GDPR, irrogando la sola sanzione prevista per la violazione più grave. Nel quantificare l’importo, ha considerato le aggravanti, tra cui la gravità delle violazioni, l’elevato numero di dati trattati e la difformità rispetto alla precedente attività provvedimentale in materia di marketing; e le attenuanti, tra cui l’assenza di precedenti sanzionatori, la natura dei dati trattati, il pregiudizio limitato al caso concreto, la cooperazione con l’Autorità e la natura di microimpresa della società.

È stata quindi applicata una sanzione amministrativa pecuniaria di 10.000 euro, ritenuta proporzionata, effettiva e dissuasiva rispetto al massimo edittale di 20 milioni di euro.

Ulteriori conseguenze e mezzi di tutela

Il provvedimento dispone la pubblicazione sul sito del Garante, ai sensi dell’art. 166, comma 7, Codice privacy e del Regolamento n. 1/2019, nonché l’annotazione nel registro interno dell’Autorità. È inoltre richiamata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro i termini di legge.