Ordinanza ingiunzione o revoca n. 832 del 27/11/2024

Nextus Telecom S.r.l. - sms promozionali e informativi inviati dopo revoca del consenso e cessazione del contratto

Il Garante ha esaminato il reclamo di un’ex cliente di Nextus Telecom S.r.l. relativo alla persistenza di sms promozionali e di comunicazioni informative dopo la richiesta di cancellazione dei dati e dopo la portabilità del numero verso altro operatore. Il procedimento è stato avviato a seguito di istruttoria ex art. 157 Codice privacy e si è concluso con l’accertamento dell’illiceità del trattamento e con l’ordine di adottare misure correttive.

Fatti oggetto del reclamo

La reclamante ha riferito di aver ricevuto messaggi promozionali anche dopo la cessazione del rapporto con NTMobile/Nextus e nonostante avesse chiesto più volte la cancellazione del numero di telefono e dei propri dati dai database della società. Ha indicato di aver contattato il call center e poi la pagina Facebook del servizio, ricevendo risposte contrastanti ma senza ottenere la cessazione degli sms. Ha chiesto all’Autorità l’adozione di provvedimenti correttivi e/o sanzionatori.

Istruttoria e posizioni della società

A seguito della richiesta di informazioni del 14 maggio 2024, Nextus ha sostenuto che, alla data della portabilità in uscita del 15 maggio 2023, il CRM aveva effettuato la cancellazione automatica della cliente e che non vi era stata alcuna volontà di non procedere alla cancellazione. La società ha poi dichiarato che un reparto tecnico aveva riscontrato un bug nel sistema che non eseguiva la cancellazione fisica dei record nel database, consentendo la prosecuzione dell’invio degli sms; ha inoltre affermato di aver risolto il problema e di aver cancellato manualmente la cliente. Con una successiva risposta, ha prodotto la documentazione relativa al consenso prestato online per le comunicazioni promozionali.

Distinzione tra messaggi promozionali e messaggi informativi

Il Garante ha ritenuto che non tutti i messaggi ricevuti dalla reclamante fossero meramente informativi. In particolare, uno degli sms documentati conteneva un riferimento espresso a una promozione attivabile sul sito o sull’app, ed è stato qualificato come messaggio promozionale. L’Autorità ha richiamato anche le Linee guida del 4 luglio 2013 in materia di attività promozionale e contrasto allo spam, ai fini della nozione ampia di marketing.

Violazioni contestate e norme applicate

Per i messaggi promozionali, l’Autorità ha ritenuto che la richiesta di cancellazione dei dati e dei consensi abbia determinato la revoca del consenso, che avrebbe dovuto essere rispettata in concreto. Da ciò è derivata la violazione dell’art. 7, par. 3, GDPR, del correlato art. 130, commi 1 e 2, Codice privacy, e la mancanza di una base giuridica ai sensi dell’art. 6, par. 1, lett. a), GDPR.

Per i messaggi qualificati come informativi e inviati dopo il 15 maggio 2023, il Garante ha rilevato che il contratto era ormai cessato per effetto della portabilità e che, pertanto, mancava il presupposto giuridico del trattamento. Tali comunicazioni sono state considerate in contrasto con l’art. 6, par. 1, lett. b), GDPR.

Valutazione del bug informatico e responsabilità della società

L’Autorità ha escluso che la generica allegazione di un bug possa valere come esimente. Ha osservato che la società non ha fornito una descrizione tecnica adeguata del malfunzionamento, né ha spiegato perché il problema avesse interessato solo l’interessata e non altri clienti. Questa carenza è stata letta come indice di insufficiente accountability ai sensi degli artt. 5, par. 2, e 24 GDPR. Il bug è stato considerato, al più, rilevante per la qualificazione colposa della violazione.

Valutazioni ulteriori e contesto operativo della società

Il Garante ha rilevato che la società, nel frattempo, aveva avviato la cessazione della vendita e dell’erogazione dei servizi di telefonia e internet a livello nazionale, invitando i clienti alla portabilità verso altri operatori. Tale quadro ha indotto l’Autorità a una valutazione meno rigorosa ai fini della sanzione pecuniaria, ma ha anche rafforzato l’esigenza di garantire in modo tempestivo ed effettivo l’esercizio dei diritti degli interessati nella delicata fase di passaggio ad altro operatore.

Provvedimenti finali

Il Garante ha dichiarato l’illiceità della condotta di Nextus Telecom S.r.l. e ha disposto:

• l’ingiunzione, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare i trattamenti adottando misure tecniche e organizzative adeguate a garantire il tempestivo ed effettivo esercizio delle istanze ex artt. 15-22 GDPR;
• l’ordine, ai sensi dell’art. 157 Codice privacy, di comunicare entro 30 giorni dalla notifica le iniziative intraprese per dare attuazione all’ordine;
• l’annotazione nel registro interno delle violazioni ai sensi del Regolamento del Garante n. 1/2019.

Il provvedimento richiama anche la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.