Ordinanza ingiunzione o revoca n. 60 del 02/03/2023

Ordinanza ingiunzione a Flowers R di Malalan Mitja per e-mail marketing illecito

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti della ditta individuale Flowers R di Malalan Mitja, a seguito di reclami e segnalazioni relativi all’invio di e-mail promozionali indesiderate. Il provvedimento riguarda trattamenti di dati personali effettuati nell’ambito di campagne di e-mail marketing, con utilizzo di indirizzi reperiti in rete o generati casualmente e con modalità ritenute non trasparenti.

Origine del procedimento e attività istruttoria

Nel corso del 2021 sono pervenuti al Garante diversi reclami di un interessato che lamentava la ricezione di e-mail pubblicitarie non richieste provenienti da diversi soggetti. Dalle verifiche è emerso che tali soggetti avevano incaricato un terzo per lo svolgimento delle campagne di e-mail marketing, terzo non immediatamente identificabile.

La documentazione acquisita ha mostrato che le offerte commerciali erano formulate da "Flowers R – Gruppo Digitech" e sottoscritte o promosse da un soggetto che si presentava come "Claudio Alfieri", indicando dati fiscali inesistenti. In alcuni casi era stata prodotta anche una liberatoria con cui si pretendeva di trasferire sull’acquirente dei servizi ogni responsabilità in materia di privacy e GDPR.

L’Ufficio ha incaricato il Nucleo speciale privacy della Guardia di Finanza di identificare il soggetto e notificargli la richiesta di informazioni. Il soggetto è stato identificato nella ditta individuale Flowers R di Malalan Mitja, alla quale la richiesta è stata notificata il 12 aprile 2022.

Trattamento di dati e modalità operative

Dalle dichiarazioni rese è emerso che l’attività promozionale era svolta autonomamente da Mitja, tramite un computer nella propria abitazione in Croazia, e che l’erogazione del servizio si protraeva da oltre un anno. Dalle fatture registrate presso l’Agenzia delle entrate risultavano ventuno fatture nel 2021 e tre nel 2022, con ultima fattura del 6 aprile 2022.

Quanto alla denominazione commerciale, il soggetto ha spiegato che "Flowers R – Gruppo Digitech" derivava da precedenti attività cessate, mentre "Claudio Alfieri" era un nome di fantasia scelto per facilitare i contatti con i potenziali clienti. Ha inoltre dichiarato di aver inviato e-mail di presentazione a indirizzi reperiti in Internet e, con riferimento alle campagne per conto dei clienti, di aver utilizzato un software che genera casualmente indirizzi e-mail.

Ha riferito anche di aver interrotto tale uso dopo l’avvio dell’istruttoria. Tuttavia, in un riscontro precedente al reclamante aveva affermato di non sapere con esattezza la provenienza dei dati e di presumere che potessero derivare da un database acquistato online.

Contestazione delle violazioni

Con atto di avvio del procedimento del 22 settembre 2022, notificato il 3 novembre 2022, sono state contestate le violazioni degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a) GDPR e dell’art. 130 del Codice privacy. La contestazione si fondava sull’invio di comunicazioni promozionali via e-mail senza consenso degli interessati.

Il destinatario non ha presentato memorie né richiesto audizione dopo la contestazione.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha ritenuto accertato che Mitja avesse inviato numerose e-mail promozionali senza aver raccolto un idoneo e preventivo consenso. Ciò vale sia per i potenziali committenti contattati mediante indirizzi reperiti in rete, sia per i destinatari delle campagne realizzate per i clienti, i cui indirizzi sarebbero stati generati casualmente.

Il Garante ha richiamato il principio di liceità del trattamento di cui all’art. 6 GDPR e la disciplina speciale dell’art. 130 del Codice, secondo cui l’invio di comunicazioni promozionali via e-mail è consentito solo con il consenso del destinatario, preventivo, libero, specifico e adeguatamente informato.

È stato inoltre evidenziato che:

• la generazione casuale degli indirizzi e-mail non può rendere lecito il trattamento;
• l’inserimento in black list dei soggetti che esercitano l’opposizione non sostituisce il consenso;
• le comunicazioni inviate al reclamante, oltre al link di disiscrizione, non indicavano adeguatamente la Flowers né i recapiti per l’esercizio dei diritti;
• l’identità reale del soggetto e l’origine dei dati non erano state rese chiare all’interessato.

Per tali ragioni il trattamento è stato qualificato come privo dei requisiti di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Divieto del trattamento e cancellazione dei dati

Poiché il trattamento è stato ritenuto illecito, il Garante ha esercitato i poteri di cui all’art. 58, par. 2, lett. f) e d), GDPR.

In particolare, ha:

• imposto il divieto di trattare i dati personali inseriti nella banca dati oggetto di istruttoria;
• ingiunto la cancellazione dei dati senza ritardo;
• salvo i dati che debbano essere conservati per obbligo di legge o per la difesa di un diritto in sede giudiziaria;
• precisato che tali dati restano inutilizzabili per ogni altra finalità.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha ritenuto sussistenti i presupposti per l’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 58, par. 2, lett. i), GDPR.

Ai fini della quantificazione ha applicato l’art. 83, par. 3 e 5, GDPR, individuando il massimo edittale nella misura di 20 milioni di euro, ritenendo la fattispecie riconducibile all’ipotesi più grave. La sanzione è stata determinata tenendo conto dei criteri di cui all’art. 83, par. 2, GDPR.

Sono state considerate circostanze aggravanti:

• l’ampia portata dei trattamenti, riguardanti migliaia di interessati e protratti per oltre un anno;
• la gravità delle violazioni, con trattamento per finalità promozionali in assenza di consenso e nella totale inconsapevolezza degli interessati;
• la volontà di camuffare la propria identità mediante false generalità, indice di dolo;
• le modalità di conoscenza delle violazioni, emerse a seguito di reclami e istruttorie sui committenti.

Sono state considerate circostanze attenuanti:

• l’iscrizione in black list dei soggetti che avevano esercitato opposizione;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l’Autorità;
• la natura dei dati trattati, limitati a dati comuni anagrafici e di contatto.

Sulla base di tali elementi, la sanzione è stata fissata in euro 5.000,00, pari allo 0,025% del massimo edittale considerato. Il provvedimento precisa anche che, ai sensi dell’art. 166, comma 8, del Codice, è possibile definire la controversia con il pagamento, entro 30 giorni, di un importo pari alla metà della sanzione comminata.

Pubblicazione, annotazione e rimedi

Il Garante ha disposto la pubblicazione integrale del provvedimento sul proprio sito web, quale sanzione accessoria, e l’annotazione nel registro interno dell’Autorità.

È stata inoltre richiamata la sanzione penale prevista dall’art. 170 del Codice in caso di inosservanza del provvedimento di divieto del trattamento, nonché la sanzione amministrativa di cui all’art. 83, par. 5, lett. e), GDPR.

Avverso il provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.