Ordinanza ingiunzione o revoca n. 350 del 20/10/2022

Limit Call S.r.l.s. - omesso riscontro a richiesta del Garante in materia di telefonate promozionali

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti di Limit Call S.r.l.s., in relazione al mancato riscontro a una richiesta di informazioni e documenti formulata nell’ambito di un procedimento avviato a seguito di reclamo per telefonate promozionali indesiderate. Il provvedimento si concentra sulla violazione dell’art. 157 del Codice privacy, senza giungere a un accertamento definitivo sulla liceità del trattamento sostanziale, rimasto non chiaribile per effetto della mancata cooperazione della società.

Origine del procedimento e reclamo

Il procedimento trae origine da un reclamo presentato il 28 gennaio 2022 da un interessato che segnalava numerose telefonate indesiderate ascrivibili alla società e lamentava anche l’insoddisfacente riscontro alle proprie istanze di esercizio dei diritti ai sensi degli artt. 15 e seguenti del GDPR. Dalla documentazione prodotta dal reclamante emergeva che Limit Call aveva riconosciuto solo tre dei contatti segnalati, sostenendo che essi fossero giustificati dall’"interesse" dimostrato dall’interessato a essere ricontattato, e dichiarando di avere recepito la richiesta di cancellazione dell’utenza telefonica.

Trattamento contestato e base giuridica dedotta dalla società

Limit Call ha dichiarato di aver operato in forza di un consenso alla comunicazione a terzi per finalità promozionali che sarebbe stato rilasciato dall’interessato il 17 agosto 2021, in fase di registrazione a un sito internet di proprietà di una società spagnola, producendo anche il relativo timestamp. L’interessato ha però disconosciuto il portale e ha negato di avere prestato il consenso. In seguito, il reclamante si è rivolto alla società titolare del sito per chiarire la circostanza; da tali interlocuzioni è emerso che il consenso risultava riferito a una data diversa, l’11 ottobre 2021 alle ore 20.24.25, e che tale società ha negato di avere rapporti contrattuali con Limit Call.

Istruttoria del Garante e mancata collaborazione

L’Ufficio ha quindi inviato, il 10 febbraio 2022, una richiesta di informazioni ed esibizione di documenti ai sensi dell’art. 157 del Codice privacy, chiedendo espressamente elementi utili a verificare l’effettivo rilascio del consenso per finalità promozionali alla luce delle evidenze acquisite. Poiché non è pervenuto alcun riscontro, il Garante ha successivamente comunicato l’avvio del procedimento amministrativo finalizzato all’adozione dei provvedimenti correttivi e sanzionatori previsti dall’art. 58, par. 2, GDPR, con invito a presentare scritti difensivi o a chiedere audizione. Anche tale atto, notificato l’11 maggio 2022 tramite Guardia di Finanza, è rimasto privo di riscontro.

Violazione accertata

Il Garante ha accertato la violazione dell’art. 157 del Codice privacy, rilevando che il mancato riscontro alle richieste dell’Autorità ha ostacolato l’istruttoria, rallentato l’azione amministrativa e impedito di acquisire un quadro completo sui fatti e sulla base giuridica del trattamento. L’Autorità ha sottolineato che la PEC della società risultava pienamente funzionante e che le notifiche si erano perfezionate con le attestazioni di accettazione e consegna, escludendo quindi problemi di recapito.

Valutazioni del Garante e criteri sanzionatori

Il Garante ha osservato che, allo stato degli atti, non era possibile imputare con certezza una responsabilità soggettiva per la condotta sostanziale lamentata nel reclamo con riferimento ai profili di liceità del trattamento. Tuttavia, ha ritenuto necessario ingiungere alla società il riscontro alla richiesta istruttoria rimasta inevasa, in applicazione dell’art. 58, par. 1, lett. a), GDPR, proprio per consentire una compiuta valutazione degli aspetti legati alla liceità dei trattamenti.

Ai fini della sanzione, il Garante ha richiamato l’art. 83, par. 5, GDPR, che prevede per la violazione considerata una sanzione fino a 20.000.000 euro o, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente se superiore. Nella determinazione dell’importo sono stati considerati:

• la gravità della violazione, per il reiterato mancato riscontro sia alla richiesta del 10 febbraio 2022 sia alla comunicazione di avvio del procedimento;
• il carattere gravemente negligente e apparentemente anche doloso della condotta;
• la mancata cooperazione con l’Autorità;
• le condizioni economiche del contravventore, desunte dal bilancio abbreviato 2020.

Sanzione, ingiunzioni e pubblicazione

Alla società è stata irrogata la sanzione amministrativa pecuniaria di 10.000 euro, pari allo 0,05% della sanzione massima edittale. È stata inoltre prevista la possibilità, ai sensi dell’art. 166, comma 8, del Codice, di definire la controversia mediante pagamento in misura ridotta entro trenta giorni. In caso di mancata definizione, il pagamento dell’intera somma dovrà avvenire entro 30 giorni dalla notificazione del provvedimento, con conseguente possibile attivazione degli atti esecutivi.

Oltre alla sanzione, il Garante ha:

• ingiunto a Limit Call di rispondere alla richiesta di informazioni trasmessa il 10 febbraio 2022;
• disposto l’annotazione nel registro interno dell’Autorità;
• ordinato la pubblicazione integrale del provvedimento sul sito web del Garante, valorizzando la rilevanza del fenomeno del marketing indesiderato e l’esigenza di trasparenza e deterrenza.

Opposizione

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.