Ordinanza ingiunzione o revoca n. 74 del 13/02/2025

ADVFAST s.r.l.s. - ordinanza ingiunzione per omesso riscontro alle richieste del Garante in un reclamo su telefonate promozionali

Il Garante per la protezione dei dati personali ha adottato nei confronti di ADVFAST s.r.l.s. un provvedimento correttivo e sanzionatorio nell’ambito di un procedimento avviato a seguito di un reclamo relativo a telefonate promozionali asseritamente effettuate da operatori riconducibili al portale "Bollette.net". Il fulcro del provvedimento non riguarda la liceità sostanziale del telemarketing, che resta oggetto di ulteriori approfondimenti, ma l’omesso riscontro della società alle richieste istruttorie dell’Autorità.

Origine del procedimento e fatti all’origine del reclamo

Un interessato ha segnalato di aver ricevuto ripetute chiamate sulle proprie utenze telefoniche fissa e mobile da operatori di "Bollette.net", finalizzate a sollecitare l’esame di bollette relative a servizi di luce e gas. L’interessato riferiva di aver già manifestato opposizione al trattamento dei propri dati per finalità promo-pubblicitarie, senza che le chiamate cessassero.

L’Autorità ha verificato che le chiamate risultavano effettuate mediante le numerazioni 3783046391 e 3783046388, numeri che, in base ai controlli svolti sul sito dell’AGCOM, non risultavano iscritti al Registro degli Operatori di Comunicazione (R.O.C.). Dagli accertamenti è emerso inoltre che "Bollette.net" è un portale gestito da ADVFAST s.r.l.s., come indicato sul sito della società. Sempre dalle verifiche web è risultato che la pagina dedicata alla privacy policy restituiva il messaggio "File not found.".

Attività istruttoria e mancata collaborazione

L’Ufficio ha inviato alla società un primo invito a fornire osservazioni e ad aderire eventualmente alle richieste del reclamante, notificato il 28 novembre 2023 via PEC, senza ricevere risposta. Successivamente ha reiterato la richiesta, ai sensi dell’art. 157 del Codice privacy, con PEC dell’8 maggio 2024, avvertendo espressamente che il mancato riscontro avrebbe potuto comportare sanzioni amministrative. Anche a tale sollecito la società non ha dato seguito.

Con nota notificata il 22 agosto 2024, il Garante ha quindi comunicato l’avvio del procedimento amministrativo finalizzato all’adozione dei provvedimenti correttivi e sanzionatori di cui all’art. 58, par. 2, GDPR, invitando la società a presentare scritti difensivi o a chiedere audizione entro 30 giorni. ADVFAST s.r.l.s. non ha presentato difese né ha chiesto di essere ascoltata.

Violazioni accertate e quadro normativo

Il Garante ha ritenuto integrata la violazione degli obblighi di riscontro e cooperazione sanciti dagli artt. 157 e 166, comma 2, del Codice privacy, disposizioni che attuano nell’ordinamento nazionale il generale obbligo di cooperazione del titolare del trattamento previsto dall’art. 31 GDPR.

La condotta omissiva è stata ritenuta particolarmente rilevante perché:

• ha impedito di acquisire un quadro informativo completo sui trattamenti contestati nel reclamo;
• ha appesantito gli adempimenti istruttori e rallentato l’attività amministrativa;
• si è protratta per un periodo significativo, dal primo mancato riscontro del 28 novembre 2023 sino all’avvio del procedimento del 22 agosto 2024.

Ordine di riscontro alle richieste del Garante

Ai sensi dell’art. 58, par. 1, lett. a), GDPR e dell’art. 157 del Codice privacy, il Garante ha ingiunto ad ADVFAST s.r.l.s. di fornire, entro 30 giorni dalla notifica del provvedimento, le informazioni richieste con la nota dell’8 maggio 2024. Il provvedimento precisa che l’eventuale ulteriore inadempimento potrà determinare l’applicazione di una nuova sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, GDPR.

Sanzione amministrativa pecuniaria

Ritenuta la violazione dell’obbligo di cooperazione, il Garante ha adottato ordinanza ingiunzione ai sensi degli artt. 166, comma 7, del Codice privacy e 18 della legge n. 689/1981, irrogando a ADVFAST s.r.l.s. una sanzione pecuniaria di 2.000 euro.

Nella quantificazione dell’importo sono stati valorizzati i criteri di cui all’art. 83, par. 2, GDPR, in particolare:

• la gravità della violazione, per il reiterato mancato riscontro alle richieste dell’Autorità;
• la durata della violazione, dalla prima comunicazione del 28 novembre 2023 fino all’avvio del procedimento del 22 agosto 2024;
• il carattere gravemente negligente della condotta;
• la mancata cooperazione con l’Autorità;
• le condizioni economiche del contravventore, sulla base del bilancio 2023.

Il provvedimento richiama anche il massimo sanzionatorio di cui all’art. 83, par. 5, GDPR, pari fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore.

Misure accessorie, pubblicazione e rimedi

Oltre alla sanzione pecuniaria, il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale, ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16 del Regolamento del Garante n. 1/2019. Ha inoltre disposto l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento n. 1/2019, nonché la pubblicazione del provvedimento ai sensi degli artt. 154-bis del Codice e 37 del medesimo regolamento.

È infine indicata la possibilità di proporre opposizione davanti all’autorità giudiziaria ordinaria, ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento.