Prescrizioni del Garante n. 9 del 11/01/2023

Bakeca S.r.l. - marketing tramite sito di annunci, informativa e ruoli dei terzi

Il provvedimento riguarda Bakeca S.r.l., titolare del sito di annunci economici www.bakeca.it, a seguito di accertamenti ispettivi svolti nel marzo 2022 sulle modalità di raccolta e utilizzo dei dati personali per finalità promozionali e per la cessione a terzi. Il Garante valuta sia la base giuridica delle comunicazioni di marketing sia la correttezza dell’informativa, dei consensi richiesti agli utenti e della qualificazione dei rapporti con i partner commerciali.

Origine del procedimento e attività istruttoria

L’attività è stata avviata d’ufficio nell’ambito della pianificazione ispettiva del Garante per il primo semestre 2022. Nei giorni 7 e 8 marzo 2022 sono stati effettuati accertamenti presso la Società, anche mediante simulazione di registrazioni ed esame dei contratti, con successiva integrazione documentale trasmessa da Bakeca il 18 marzo 2022.

Gli accertamenti hanno evidenziato che:

• il core business della Società consiste nella vendita di servizi connessi agli annunci economici, in parte gratuiti e in parte a pagamento;
• in misura residuale, i dati degli iscritti e degli utenti non iscritti sono utilizzati per attività di marketing di Bakeca o ceduti a terzi per autonome finalità promozionali;
• la Società ha predisposto procedure per confermare la registrazione, informare gli utenti non registrati, gestire il noleggio o trasferimento di liste e recepire richieste di esercizio dei diritti e revoca dei consensi.

Contestazioni formulate dall’Ufficio

Con nota del 22 settembre 2022 è stato avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice. L’Ufficio ha individuato quattro principali criticità:

• uso del legittimo interesse come base giuridica per comunicazioni promozionali relative a servizi analoghi, in possibile contrasto con l’art. 130 del Codice e con l’art. 6, par. 1, lett. a) GDPR;
• informativa incompleta o inesatta, sia per la base giuridica indicata sia per l’omessa menzione di alcuni destinatari dei dati, con richiamo all’art. 13, par. 1, lett. c) ed e) GDPR;
• possibile errata qualificazione dei partner come responsabili del trattamento, con conseguente violazione dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a) GDPR;
• formulazione poco chiara della richiesta di consenso nel sito, con rischio di confusione tra presa visione dell’informativa e consenso al trattamento.

Difese e correttivi della Società

Bakeca, con memoria del 20 ottobre 2022, ha chiarito che il richiamo al legittimo interesse era stato utilizzato solo per invii via e-mail di comunicazioni relative in gran parte alle funzionalità del servizio acquistato e, in alcuni casi, a servizi aggiuntivi. Ha inoltre spiegato che i partner non menzionati nominalmente nell’informativa erano stati considerati intermediari, e che per uno di essi non erano previste contrattualmente numerazioni telefoniche.

La Società ha altresì sostenuto di aver inserito istruzioni contrattuali puntuali per controllare il trattamento svolto dai partner e ha dichiarato di aver già modificato le formule di consenso sul sito per renderle più chiare.

Valutazioni del Garante sulla base giuridica del marketing

Il Garante ha accolto la ricostruzione secondo cui i dati erano stati trattati, di fatto, solo per invii promozionali via e-mail relativi a servizi analoghi a quelli acquistati. In tale quadro non ha confermato la violazione contestata sul punto della base giuridica, osservando che l’art. 130, comma 4, del Codice consente, a determinate condizioni, il c.d. soft spam via e-mail senza consenso.

Resta però ferma l’esigenza di correttezza dell’informazione resa agli utenti: il richiamo al legittimo interesse nell’informativa non era la base giuridica appropriata per quel tipo di trattamento, dovendo essere riferito all’art. 130, comma 4, del Codice.

Informativa: omessa indicazione di destinatari e base giuridica errata

Sul piano dell’informativa, il Garante ha ritenuto fondata la contestazione relativa alla mancata indicazione di tutti i destinatari dei dati. L’art. 13, par. 1, lett. e) GDPR richiede infatti di indicare gli eventuali destinatari o le categorie di destinatari dei dati personali. Inoltre, se i dati vengono trasferiti per finalità promozionali tramite canale telefonico, l’art. 1, comma 8, della l. 11 gennaio 2018, n. 5 impone l’indicazione nominativa del soggetto a cui i dati relativi alle numerazioni telefoniche sono trasferiti.

Il Garante ha quindi rilevato che l’informativa doveva essere aggiornata:

• quanto alla base giuridica, richiamando l’art. 130, comma 4, del Codice;
• quanto ai destinatari, includendo tutti i soggetti che ricevono i dati per finalità promozionali.

Per questo profilo è stato adottato un ammonimento, ritenendo non necessario irrogare una sanzione pecuniaria anche in ragione dell’assenza di dolo e dell’avvenuto aggiornamento dell’informativa.

Rapporti con i partner: autonomi titolari e non responsabili del trattamento

Un punto centrale del provvedimento riguarda la qualificazione dei partner commerciali. Il Garante ha ritenuto non corretto considerare responsabili del trattamento i soggetti che ricevono le banche dati per utilizzare i dati a fini promozionali propri o dei propri committenti. Secondo l’Autorità, tali soggetti determinano autonomamente finalità e mezzi del trattamento e devono quindi essere qualificati come autonomi titolari, secondo i criteri richiamati anche dalle Linee guida EDPB 7/2020.

Il Garante ha chiarito che la scelta contrattuale di attribuire il ruolo di responsabile non può essere usata per assicurare un controllo sostanziale sul trattamento quando, in realtà, il terzo opera per finalità proprie. Ha quindi ingiunto a Bakeca di conformare i rapporti contrattuali a tale impostazione, qualificando come rapporti tra autonomi titolari quelli in cui il destinatario della banca dati decide autonomamente finalità e modalità del trattamento.

Consenso e chiarezza della raccolta sul sito

Quanto alla modalità di acquisizione del consenso tramite le caselle di spunta sul sito, il Garante ha osservato che la formulazione della prima richiesta era potenzialmente fuorviante, perché la frase relativa alla presa visione dell’informativa e al trattamento per il servizio obbligatorio poteva essere letta come una richiesta di consenso non necessaria. Tuttavia, poiché Bakeca ha dichiarato di aver già corretto la formulazione, non sono state adottate ulteriori misure su questo aspetto.

Esito finale e misure adottate

Il provvedimento si conclude con le seguenti misure nei confronti di Bakeca S.r.l.:

• ingiunzione, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di modificare l’informativa indicando che il trattamento per finalità promozionali è effettuato in conformità all’art. 130, comma 4, del Codice, purché l’interessato non rifiuti tale uso;
• ammonimento, ai sensi dell’art. 58, par. 2, lett. b) GDPR, per la mancata indicazione nell’informativa dei soggetti che ricevono i dati;
• ingiunzione, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di adeguare i rapporti con i terzi, qualificandoli come rapporti tra autonomi titolari quando il ricevente decide autonomamente finalità e mezzi del trattamento.

Il Garante dispone inoltre l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u) GDPR.

Impugnazione

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.