Ordinanza ingiunzione o revoca n. 4 del 11/01/2024

Findomestic Banca S.p.A. - marketing telefonico senza consenso e informativa da adeguare

Il Garante per la protezione dei dati personali ha esaminato un reclamo e ulteriori segnalazioni relative a comunicazioni promozionali inviate da Findomestic Banca S.p.A. tramite telefono e posta cartacea. Il procedimento ha riguardato la corretta individuazione della base giuridica del trattamento e la conformità delle attività di marketing alla disciplina del GDPR e dell’art. 130 del Codice privacy.

Origine del procedimento e attività istruttoria

Il reclamo dell’interessato contestava la ricezione di un contatto telefonico promozionale e di una successiva comunicazione postale, nonostante l’assenza di consenso per le finalità di marketing e profilazione al momento della sottoscrizione del contratto di finanziamento. In sede istruttoria, Findomestic ha sostenuto che il contatto telefonico fosse stato effettuato da un terzo responsabile del trattamento e che entrambi i canali di marketing fossero fondati sul legittimo interesse, richiamando l’informativa resa ai clienti e l’asserita facoltà di opporsi in ogni momento.

Contestazione mossa dal Garante

Con l’avvio del procedimento, l’Autorità ha contestato la violazione dell’art. 6 GDPR e dell’art. 130 del Codice privacy per avere effettuato marketing tramite telefono e posta cartacea senza un idoneo consenso e sulla base del legittimo interesse ritenuto non correttamente applicato. Nella contestazione è stato chiarito che:

• per le comunicazioni promozionali telefoniche la base giuridica ammissibile è il consenso dell’interessato, in coerenza con la disciplina delle comunicazioni elettroniche;
• per il marketing postale può invece venire in rilievo il legittimo interesse, purché sia effettuato un effettivo bilanciamento e sia verificata la posizione dell’interessato rispetto agli strumenti di opposizione previsti dalla normativa di settore.

Valutazioni sul marketing telefonico

Il Garante ha ricostruito il quadro normativo di riferimento, richiamando l’art. 130 del Codice e l’art. 13 della direttiva 2002/58/CE. Ha ritenuto che il telefono, anche quando utilizzato con operatore, rientri tra i mezzi disciplinati dalla normativa sulle comunicazioni indesiderate. In questa cornice, non è possibile invocare il legittimo interesse quale base alternativa al consenso, perché la disciplina speciale consente solo le soluzioni previste dal legislatore settoriale.

L’Autorità ha inoltre evidenziato che il richiamo al considerando 47 del GDPR non consente di superare la disciplina speciale del Codice privacy e della direttiva ePrivacy. È stata quindi dichiarata l’illiceità del trattamento per marketing telefonico in assenza di consenso, con conseguente applicazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130 del Codice.

Valutazioni sul marketing tramite posta cartacea

Per la posta cartacea, il Garante ha distinto il trattamento dal marketing telefonico, osservando che la corrispondenza tradizionale non è veicolata tramite canale elettronico e non ricade nella disciplina della direttiva ePrivacy. Nel caso concreto, l’utenza del reclamante non risultava iscritta al Registro Pubblico delle Opposizioni per la posta, anche perché non presente negli elenchi telefonici pubblici.

L’Autorità ha ritenuto che Findomestic avesse svolto un bilanciamento sufficientemente adeguato, valorizzando:

• la qualità di cliente dell’interessato;
• la descrizione del trattamento nell’informativa;
• la natura comune dei dati trattati;
• la modalità poco invasiva della posta cartacea;
• la limitata incidenza sulla vita privata;
• la pronta recezione dell’opposizione.

Su tale base, il Garante ha condiviso la scelta del legittimo interesse per il solo marketing postale e non ha adottato misure correttive su questo specifico aspetto.

Misure correttive e sanzione

Accertata la violazione in relazione al marketing telefonico, il Garante ha disposto:

• il divieto di trattamento di dati personali per finalità di marketing mediante canale telefonico in assenza di preventivo consenso, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• l’ingiunzione a modificare l’informativa, in particolare il punto 3.3.1., indicando la corretta base giuridica per i trattamenti effettuati tramite telefono e posta cartacea, ai sensi dell’art. 58, par. 2, lett. d), GDPR;
• l’ordinanza-ingiunzione per il pagamento della sanzione amministrativa pecuniaria.

Quantificazione della sanzione

Nella determinazione dell’importo, il Garante ha applicato i criteri dell’art. 83 GDPR, considerando come aggravanti:

• la gravità della violazione e la natura di prassi consolidata;
• un precedente procedimento del 2015 con sanzione di 20.000 euro per un tema analogo;
• la difformità rispetto alla consolidata attività provvedimentale del Garante in materia di telemarketing.

Come attenuanti, sono stati valorizzati:

• il tentativo, seppur non corretto, di effettuare un bilanciamento degli interessi;
• la natura dei dati trattati, comuni e limitati nel numero;
• la cooperazione prestata dall’Autorità.

All’esito, è stata irrogata una sanzione di 100.000 euro, pari allo 0,01% del fatturato 2022 indicato in 956.327.759 euro. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Adempimenti e rimedi

Findomestic è stata infine tenuta a comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare esecuzione alle misure imposte. È stata richiamata la facoltà di definizione agevolata della controversia mediante pagamento in misura ridotta entro i termini previsti dall’art. 166, comma 8, del Codice, nonché la possibilità di proporre opposizione all’autorità giudiziaria ordinaria nei termini di legge.