Ordinanza ingiunzione o revoca n. 737 del 27/11/2024

Maximum International Corp. S.r.l. - sanzione per mancato riscontro a richiesta di informazioni del Garante

Il provvedimento riguarda Maximum International Corp. S.r.l. ed è stato adottato a seguito del mancato riscontro a una richiesta di informazioni formulata dal Garante ai sensi dell’art. 157 del Codice privacy. Il procedimento si colloca nel contesto di una precedente attività istruttoria sul telemarketing e sulle prescrizioni impartite nel 2023 alla medesima Società.

Origine del procedimento e contesto istruttorio

Con provvedimento n. 323 del 18 luglio 2023 l’Autorità aveva già irrogato a Maximum una sanzione di 5.000 euro per criticità emerse nell’ambito di attività promozionali telefoniche, anche con riferimento a:

• informativa e consensi raccolti tramite form online;
• gestione dell’opposizione dell’interessata al marketing;
• mancato riscontro a istanze di accesso e cancellazione;
• assenza di adeguati controlli sui partner della filiera promozionale.

Dopo quel provvedimento, fino all’inizio del 2024, sono pervenute ulteriori segnalazioni relative a telefonate promozionali indesiderate effettuate nell’interesse di Maximum, anche verso utenze riservate o iscritte nel Registro pubblico delle opposizioni e comunque senza un consenso specifico degli interessati.

Richiesta di informazioni e mancato riscontro

Con nota del 12 marzo 2024 il Garante ha chiesto alla Società di fornire osservazioni sulle nuove segnalazioni e di comunicare le iniziative adottate per dare attuazione alle prescrizioni del provvedimento del 18 luglio 2023, precisando che in caso di inottemperanza sarebbe stata applicabile la sanzione di cui all’art. 166, comma 2, Codice privacy.

Poiché la Società non ha risposto, l’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, Codice privacy per l’adozione dei provvedimenti ex art. 58, par. 2, GDPR, contestando la violazione dell’art. 157 Codice privacy.

Difese della Società

Nel corso dell’audizione, Maximum ha sostenuto che:

• non svolgerebbe più attività di vendita ai privati dal 2003-2005, limitandosi alla produzione di impianti da commercializzare ai distributori;
• i contatti promozionali contestati sarebbero imputabili alle concessionarie, che agirebbero come autonomi titolari del trattamento;
• il mancato riscontro alla richiesta dell’Autorità deriverebbe da un errore interno di protocollazione della corrispondenza PEC.

La Società ha anche rappresentato di aver adottato misure correttive, tra cui la sostituzione dell’addetta alla protocollazione e il richiamo ai dipendenti sull’importanza di evadere tempestivamente le richieste delle Autorità.

Valutazioni del Garante sulla responsabilità

Il Garante ha ritenuto, sulla base delle evidenze acquisite, che le nuove telefonate promozionali fossero imputabili alle agenzie concessionarie, agite in qualità di autonomi titolari del trattamento, e ha rilevato che nei loro confronti era stata avviata una separata istruttoria.

Tuttavia, questa ricostruzione non escludeva la responsabilità di Maximum per il mancato riscontro alla richiesta di informazioni del 12 marzo 2024. L’Autorità ha osservato che la richiesta era indirizzata esclusivamente alla Società e che l’obbligo di rispondere sussisteva in ogni caso, in forza dei doveri di collaborazione previsti dall’art. 31 GDPR e dall’art. 157 Codice privacy. La mancata risposta, anche se riconducibile a un errore interno, resta imputabile alla struttura organizzativa del titolare.

Il Garante ha inoltre valorizzato il fatto che la Società non avesse comunicato tempestivamente le iniziative adottate dopo il provvedimento del 2023, ritenendo che ciò confermasse un atteggiamento complessivamente negligente nei rapporti con l’Autorità. In particolare, è stato osservato che la notifica del precedente provvedimento alla PEC aziendale, quale domicilio digitale, era idonea a farne conoscere il contenuto alla Società.

Accertamento della violazione e base normativa

L’Autorità ha quindi confermato la violazione dell’art. 157 Codice privacy per il mancato riscontro alla richiesta di informazioni del 12 marzo 2024. La condotta è stata qualificata come illecito amministrativo e ha costituito il presupposto per l’adozione di un’ordinanza ingiunzione ai sensi degli artt. 166, comma 7, Codice privacy e 18 l. 689/1981, con applicazione della sanzione ex art. 83, par. 5, GDPR.

Quantificazione della sanzione

Nel determinare l’importo, il Garante ha richiamato i criteri dell’art. 83, par. 1 e 2, GDPR, evidenziando come aggravanti:

• la gravità della violazione, anche per la reiterazione delle omissioni nei confronti dell’Autorità;
• la negligenza organizzativa, sintomatica di insufficiente formazione e di misure interne non adeguate;
• la precedente sanzione già irrogata a Maximum in materia di telemarketing.

Come attenuante sono state considerate le misure adottate, sebbene tardivamente, per evitare futuri disservizi nella ricezione delle richieste dell’Autorità e per conformare i trattamenti alle prescrizioni del 2023.

Sulla base di tali elementi, è stata irrogata una sanzione amministrativa pecuniaria di 10.000 euro, indicata come pari allo 0,05% della sanzione edittale massima di 20 milioni di euro.

Misure accessorie e impugnazione

Il Garante ha disposto anche:

• la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito dell’Autorità, ai sensi degli artt. 154-bis e 166, comma 7, Codice privacy e dell’art. 16 del Regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

È stata infine richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.