Prescrizioni del Garante n. 735 del 27/11/2024

Sintesi Evolution s.r.l. – attivazione indebita di contratti telefonici e omessa informativa

Il provvedimento riguarda Sintesi Evolution s.r.l., dealer Vodafone, per l’attivazione di cinque contratti di telefonia fissa e dati intestati a una cliente senza sua richiesta e senza il rispetto delle procedure di identificazione previste. Il procedimento origina da una segnalazione dell’interessata, che aveva scoperto gli addebiti e i contratti non riconosciuti tramite il proprio conto corrente e il cassetto fiscale.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy e dell’art. 58, par. 2, GDPR. Dopo aver acquisito i riscontri di Vodafone Italia S.p.A. e di Sintesi Evolution, è emerso che tutti i contratti provenivano dal medesimo punto vendita di Casale Monferrato. Vodafone ha riferito che nessuno dei contratti aveva completato l’attivazione della rete fissa, ma che le SIM di backup erano state attivate al momento della vendita; due di esse avevano generato traffico. La compagnia ha anche comunicato di aver disattivato le SIM, rimborsato la cliente, evaso le richieste di accesso e adottato iniziative di controllo nei confronti del dealer.

Ruolo del dealer e qualificazione come titolare autonomo

Il Garante ha richiamato il provvedimento generale del 16 febbraio 2006 sui servizi telefonici non richiesti, nonché precedenti specifici e l’ordinanza della Cassazione n. 21234/2021, per ribadire che agenti e rivenditori possono essere titolari autonomi quando operano con potere decisionale reale e svincolato dalle istruzioni del gestore. Nel caso esaminato, Sintesi Evolution ha attivato i contratti senza seguire le procedure di identificazione previste dal contratto di franchising con Vodafone; per questo è stata qualificata come titolare autonomo del trattamento dei dati personali della segnalante.

Violazioni accertate

Il Garante ha accertato due violazioni principali:

• violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, per trattamento illecito dei dati personali in assenza di idonea base giuridica;
• violazione dell’art. 13 GDPR, per omessa informativa all’interessata.

La condotta contestata consiste nell’utilizzo dei dati identificativi e della documentazione personale della cliente per perfezionare contratti mai richiesti, senza che la stessa fosse consapevole dell’operazione né avesse manifestato volontà contrattuale.

Difese della società e valutazioni dell’Autorità

Sintesi Evolution ha sostenuto che le attivazioni indebite fossero frutto dell’iniziativa autonoma e dolosa di un proprio dipendente, poi licenziato, e che i sistemi di controllo sarebbero stati quelli predisposti da Vodafone. Ha inoltre richiamato la propria assenza di precedenti, la collaborazione nel procedimento e la situazione finanziaria difficoltosa.

Il Garante ha ritenuto tali argomentazioni non idonee ad escludere la responsabilità della società. In particolare, ha osservato che:

• non sono state chiarite le circostanze concrete delle indebite attivazioni;
• non sono state descritte misure interne di controllo e verifica della documentazione;
• non è stato dimostrato che siano state svolte indagini approfondite per verificare se le condotte del dipendente fossero episodiche o espressione di una prassi più ampia.

Misure correttive e sanzione

Accertata l’illiceità del trattamento, il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto di ogni ulteriore trattamento dei dati della segnalante da parte di Sintesi Evolution.

Ha quindi adottato ordinanza-ingiunzione ex art. 166, comma 7, del Codice e art. 18 l. n. 689/1981, applicando la sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, GDPR. Il massimo edittale è stato individuato in 20.000.000 euro; tenuti conto i criteri dell’art. 83, par. 2, GDPR, il Garante ha irrogato una sanzione di 20.000 euro, pari allo 0,1% del massimo edittale.

Tra gli elementi considerati hanno rilievo:

• la gravità delle violazioni, in un contesto di attivazioni illecite di servizi telefonici potenzialmente idonee a creare ulteriori illiceità e danni economici;
• il numero limitato degli interessati, essendo emersa al momento la sola segnalazione della cliente;
• la significativa negligenza della società, che non ha attivato verifiche efficaci;
• le categorie di dati trattati, comprese informazioni relative ai metodi di pagamento;
• l’assenza di precedenti provvedimenti correttivi o sanzionatori.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante, ai sensi degli artt. 166, comma 7, del Codice e 16 del Regolamento del Garante n. 1/2019, e l’annotazione nel registro interno dell’Autorità. La società è stata anche ingiunta a comunicare entro trenta giorni le iniziative intraprese per dare attuazione al divieto di trattamento.