Ordinanza ingiunzione o revoca n. 294 del 06/07/2023

Ad Maiora Distribuzioni S.a.s. - marketing telefonico illecito e mancato riscontro ai diritti dell'interessato

Il Garante per la protezione dei dati personali ha accertato nei confronti di Ad Maiora Distribuzioni S.a.s. di Editrice Ad Maiora S.r.l.s. & C. una serie di violazioni connesse a attività di telemarketing telefonico e alla gestione inadeguata delle richieste dell’interessato. Il procedimento è stato avviato a seguito di un reclamo del 17 settembre 2022 e si è sviluppato anche sulla base di precedenti segnalazioni analoghe, ritenute indice di un problema strutturale nella gestione dei contatti promozionali.

Origine dell’istruttoria e precedenti analoghi

L’interessato aveva lamentato di aver ricevuto chiamate promozionali indesiderate e di non aver ottenuto riscontro alle istanze del 6 aprile e del 6 maggio 2022, con cui aveva esercitato il diritto di accesso, di cancellazione e di opposizione all’ulteriore trattamento per finalità di marketing. Dopo tali richieste, rimaste inevase, l’interessato riferiva di essere stato nuovamente contattato il 13 settembre 2022.

Nel corso dell’istruttoria, il Garante ha richiamato altre segnalazioni e reclami già pervenuti negli anni, tutti riconducibili alla medesima società e caratterizzati da telefonate promozionali effettuate attingendo dati da internet o da elenchi pubblici, nonché da difficoltà nel far valere il diritto di opposizione e nel ottenere la cancellazione dei dati.

Esito della verifica sulle istanze dell’interessato

Il Garante ha ritenuto che la società non abbia riscontrato nei termini di legge le istanze ex artt. 15 e 21 GDPR, in violazione anche dell’art. 12, parr. 2 e 3, GDPR. Il riscontro è arrivato solo dopo ripetuti solleciti dell’Autorità e, in ogni caso, la gestione interna delle opposizioni è risultata inadeguata.

Dall’estratto del registro delle chiamate è emerso che, pur a fronte delle diffide dell’interessato, risultavano ulteriori tentativi di contatto, compresi contatti segnati come "perse" il 17 maggio 2022, il 13 settembre 2022 e il 2 novembre 2022. Il Garante ha osservato che la registrazione dell’opposizione solo l’11 aprile 2022, con contatti ancora in stato "In Lavorazione", non soddisfa il requisito di immediata attuazione del diritto di opposizione.

Illiceità del marketing telefonico e base giuridica mancante

Sul versante del marketing, l’Autorità ha rilevato che la società avrebbe utilizzato dati raccolti sul web o in elenchi pubblici per finalità promozionali, in assenza di uno specifico consenso informato. Tale uso è stato considerato incompatibile con la finalità originaria della pubblicazione dei dati e non conforme alle legittime aspettative degli interessati.

Il Garante ha quindi confermato la violazione degli artt. 6, par. 1, lett. a), e 7 GDPR, nonché dell’art. 130 del Codice privacy. È stato chiarito che il legittimo interesse non può fungere da base giuridica generale per il telemarketing telefonico e che la deroga del cosiddetto soft spam ex art. 130, comma 4, del Codice si riferisce solo alla posta elettronica e non alle chiamate telefoniche.

Inoltre, è stato evidenziato che l’eventuale consenso originariamente prestato non potrebbe comunque prevalere sull’opposizione successivamente espressa dall’interessato.

Carenze organizzative, registrazione dei consensi e accountability

Il Garante ha ritenuto che i fatti non fossero episodici, ma espressivi di una carenza sistemica di misure organizzative e di controllo. Per questo sono state confermate le violazioni degli artt. 5, par. 2, 24, parr. 1 e 2, e 25 GDPR, in relazione all’obbligo del titolare di dimostrare la conformità del trattamento e di adottare misure tecniche e organizzative adeguate.

La società non ha fornito elementi sufficienti a dimostrare una corretta governance dei trattamenti, né procedure idonee a tracciare tempestivamente le opposizioni e a impedire contatti promozionali in assenza dei presupposti di liceità.

Provvedimenti correttivi adottati

Alla luce delle violazioni accertate, il Garante ha disposto:

• il divieto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, del trattamento dei dati personali raccolti senza il necessario consenso per finalità di marketing;
• l’ingiunzione, ai sensi dell’art. 58, par. 2, lett. d), GDPR, alla cancellazione senza ritardo dei dati illecitamente trattati, salvo quelli che debbano essere conservati per obblighi di legge, difesa in giudizio o altre finalità lecite;
• l’ordine di adottare procedure idonee a verificare costantemente la conformità dei trattamenti, in particolare con riguardo all’acquisizione preventiva del consenso;
• l’ingiunzione a garantire un pieno ed effettivo riscontro alle istanze degli interessati e a registrare immediatamente nei sistemi aziendali il diritto di opposizione.

La società è stata inoltre tenuta a comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure imposte.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni accertate, il Garante ha applicato l’art. 83, par. 3, GDPR, ritenendo che le varie infrazioni fossero collegate e dovesse quindi essere presa in considerazione la sola sanzione prevista per la violazione più grave. Il massimo edittale è stato ricondotto all’art. 83, par. 5, GDPR.

Nella quantificazione della sanzione sono state considerate come aggravanti:

• il non adeguato grado di cooperazione della società con l’Autorità;
• la difformità della condotta rispetto alla consolidata attività provvedimentale del Garante in materia di marketing.

Come attenuante è stato valorizzato il carattere circoscritto del trattamento e il limitato numero di interessati coinvolti.

In esito a tale bilanciamento, è stata irrogata una sanzione amministrativa pecuniaria di euro 15.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Sanzione accessoria e ulteriori conseguenze

Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito istituzionale ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019. È stata inoltre disposta l’annotazione nel registro interno dell’Autorità.

Il provvedimento richiama infine le conseguenze penali e amministrative previste in caso di inosservanza del divieto e informa della possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.