Ordinanza ingiunzione o revoca n. 210 del 10/04/2025

Telemarketing illecito di Undici S.r.l.s. con dati acquisiti da terzi

Il provvedimento riguarda Undici S.r.l.s., destinataria di reclamo e segnalazione per telefonate promozionali relative a servizi di intermediazione immobiliare. L’istruttoria ha riguardato l’utilizzo di anagrafiche e numeri telefonici acquistati da Realmaps S.r.l., con accertamento di numerose criticità sotto il profilo della liceità del trattamento, dell’informativa e della gestione delle richieste degli interessati.

Origine del procedimento e sviluppo istruttorio

Il Garante ha ricevuto un reclamo e una segnalazione per chiamate indesiderate. In riscontro, è stato riferito che i dati di contatto provenivano da Realmaps, fornitore già destinatario di una separata istruttoria conclusa con provvedimento n. 11 del 16 gennaio 2025. Nel procedimento in esame, Undici è stata considerata titolare del trattamento in quanto aveva determinato finalità e mezzi delle comunicazioni promozionali.

Il 19 agosto 2024 l’Ufficio ha chiesto chiarimenti sui rapporti con il fornitore e sugli adempimenti privacy posti in essere, con particolare riguardo a:

• verifica dell’esistenza di un consenso originario al marketing;
• informativa e script di chiamata;
• riscontro nel Registro pubblico delle opposizioni;
• gestione delle istanze di opposizione.

La Società ha risposto il 13 settembre 2024, precisando che all’epoca dei fatti il legale rappresentante era diverso da quello attuale. Dopo confronto con il precedente rappresentante, ha riferito di aver stipulato il contratto con Realmaps il 25 ottobre 2022, affidandosi alle garanzie verbali del fornitore e alle informazioni presenti sul sito e in rete.

Trattamenti esaminati e rapporti con il fornitore

Secondo quanto dichiarato da Undici, Realmaps avrebbe fornito 81.185 record complessivi, includendo dati catastali e anagrafici dei proprietari, nonché 13.265 numeri di cellulare e 7.616 numeri fissi. La Società ha affermato che il fornitore garantiva la provenienza dei dati da elenchi e registri pubblici e l’avvenuto consenso al marketing.

Il contratto stipulato prevedeva anche che, in caso di richieste sull’origine dei dati, Undici potesse indirizzare gli interessati a un recapito di Realmaps. In effetti, in risposta a una richiesta del 15 febbraio 2023, la Società aveva fornito un indirizzo e-mail del fornitore, ritenendo di agire secondo quanto concordato.

Undici ha inoltre affermato di aver interrotto i rapporti con Realmaps e di aver cancellato i dati personali degli interessati. Ha però stimato in modo approssimativo che il 10/15% delle anagrafiche ricevute sarebbe stato effettivamente contattato, senza poter quantificare con precisione i destinatari delle telefonate.

Valutazioni del Garante sulla liceità del telemarketing

L’Autorità ha ribadito che il marketing telefonico è disciplinato dall’art. 130 del Codice privacy, quale norma speciale che richiede il consenso preventivo dell’interessato come unica base giuridica ammissibile. In assenza di tale consenso, non è lecito contattare i destinatari neppure quando i dati provengono da registri pubblici, elenchi o fonti conoscibili da chiunque.

Nel caso concreto, non è stata prodotta documentazione idonea a dimostrare:

• l’avvenuta informativa originaria ai sensi dell’art. 14 GDPR;
• l’esistenza di un consenso libero, specifico e inequivocabile alla comunicazione a terzi e al marketing;
• il rispetto dei requisiti di documentazione richiesti dagli artt. 5, 6 e 7 GDPR.

Il Garante ha escluso che le dichiarazioni del fornitore o la clausola contrattuale potessero sostituire la verifica autonoma che incombe sul titolare.

Registro pubblico delle opposizioni e informativa telefonica

È stata accertata la violazione dell’art. 130, commi 3 e 3-bis, del Codice, in relazione alla mancata consultazione del Registro pubblico delle opposizioni prima o durante l’attività di telemarketing. Secondo il provvedimento, tale consultazione costituisce una condizione preliminare per l’avvio di campagne promozionali telefoniche.

È stata inoltre rilevata la mancata produzione dello script di chiamata e l’insufficienza dell’informativa resa agli interessati. Le informazioni su origine dei dati e consenso sarebbero state comunicate solo in seguito a specifica richiesta del reclamante, quindi non al momento del contatto iniziale. Da ciò il Garante ha tratto la violazione dell’art. 13 GDPR e dei principi di liceità e trasparenza ex art. 5, par. 1, lett. a), GDPR.

Gestione delle richieste di accesso e opposizione

La Società non ha chiarito in modo adeguato le modalità adottate per garantire il diritto di opposizione. Il Garante ha osservato che la procedura seguita, basata sul necessario confronto con Realmaps, era idonea a ritardare la risposta e a non soddisfare compiutamente le istanze degli interessati.

È stata quindi ravvisata la violazione degli artt. 12 e 15 GDPR, poiché il titolare deve rispondere senza ingiustificato ritardo e mettere l’interessato in condizione di conoscere tutti gli elementi essenziali del trattamento, incluse l’identità del titolare originario, i destinatari e le basi giuridiche. La sola cancellazione dei dati non è stata considerata sufficiente, soprattutto in assenza di misure come l’inserimento in black list per prevenire ulteriori contatti.

Accountability, controlli e responsabilità del titolare

Il Garante ha sottolineato che le condotte emerse denotano un controllo non adeguato sulla filiera del trattamento e una violazione del principio di responsabilizzazione di cui all’art. 5, par. 2, GDPR, nonché degli artt. 24 e 25 GDPR. Le azioni intraprese solo dopo l’avvio dell’istruttoria non sono state ritenute idonee a escludere la responsabilità del titolare.

La Autorità ha evidenziato che l’azienda avrebbe dovuto adottare verifiche preventive e controlli anche a campione sui dati acquistati da terzi, specialmente in presenza di trattamenti destinati a finalità promozionali.

Misure correttive ingiunte

Pur prendendo atto dell’interruzione dei rapporti con Realmaps e della cancellazione dei dati, il Garante ha ingiunto alla Società, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di:

• adottare procedure per verificare costantemente, anche con controlli a campione, che i dati usati per marketing telefonico siano accompagnati da consenso libero, specifico, inequivocabile, documentato e informato;
• fornire agli interessati tutte le informazioni richieste dall’art. 13 GDPR;
• adottare misure tecniche e organizzative per facilitare l’esercizio dei diritti e rispondere senza ingiustificato ritardo, compreso il diritto di opposizione esercitabile in qualsiasi momento.

È stato inoltre imposto di comunicare all’Autorità, entro trenta giorni dalla notifica, le iniziative adottate per dare attuazione alla misura.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83 GDPR, richiamando il meccanismo del cumulo giuridico di cui al par. 3, poiché le violazioni riguardavano trattamenti collegati. La sanzione è stata determinata in 8.000 euro.

Tra le aggravanti considerate:

• il numero elevato di interessati coinvolti, pari a 20.881 utenze fornite da Realmaps, di cui circa 2-3 mila effettivamente contattate;
• la gravità delle violazioni, in particolare assenza di verifiche, gestione inadeguata delle istanze e informativa carente;
• la negligenza della condotta, proseguita fino all’intervento del Garante;
• il contrasto con la consolidata attività provvedimentale in materia di marketing.

Tra le attenuanti:

• assenza di precedenti procedimenti a carico della Società;
• interruzione dei rapporti con il fornitore e cancellazione dei dati;
• natura non particolare dei dati trattati, limitati a dati anagrafici e di contatto;
• valutazione della capacità economica dell’impresa.

Pubblicazione e rimedi

Oltre alla sanzione pecuniaria, il Garante ha disposto la pubblicazione del provvedimento sul sito istituzionale, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019. È stata anche disposta l’annotazione delle violazioni nel registro interno dell’Autorità.

Contro il provvedimento è possibile proporre opposizione davanti all’autorità giudiziaria ordinaria entro i termini di legge.