Ordinanza ingiunzione o revoca n. 671 del 13/11/2024

Thermogen S.r.l. - telemarketing illecito e gestione inadeguata dei diritti dell’interessato

Il Garante per la protezione dei dati personali ha adottato nei confronti di Thermogen S.r.l. un’ordinanza ingiunzione per violazioni connesse a una telefonata promozionale indesiderata finalizzata alla manutenzione caldaia e alla gestione non conforme dell’istanza dell’interessato. Il procedimento è stato avviato a seguito di reclamo e si è concluso con misure correttive, divieti e sanzione pecuniaria.

Origine del procedimento e svolgimento dell’istruttoria

L’istruttoria trae origine dal reclamo di un interessato che lamentava di aver ricevuto una chiamata promozionale in nome e per conto di Thermogen, pur non avendo mai avuto rapporti con la società né prestato consenso al marketing. L’interessato aveva inoltre esercitato, con PEC, i diritti di cui all’art. 15 GDPR chiedendo conferma del trattamento, accesso e informazioni complete sul trattamento eventualmente svolto. La società aveva risposto solo successivamente, richiamando un’autorizzazione ricevuta da un fornitore estero e indicando un indirizzo email per la cancellazione presso tale soggetto.

Contestazioni formulate dall’Autorità

All’esito dell’istruttoria l’Ufficio ha contestato a Thermogen la violazione degli artt. 5, 6, 7, 12, 13, 14, 15, 17, 24 e 28 GDPR, nonché dell’art. 130 del Codice privacy. Le contestazioni hanno riguardato:

• la mancata e/o tardiva risposta all’istanza dell’interessato;
• la risposta in forma non chiara e non intelligibile, in parte in lingua inglese;
• l’assenza di adeguata individuazione dei ruoli tra soggetti coinvolti nelle operazioni di trattamento;
• l’effettuazione di attività di telemarketing in assenza di idonea base giuridica, di previa informativa e di valido consenso.

Valutazioni del Garante sui diritti dell’interessato

Il Garante ha ritenuto che Thermogen, quale titolare del trattamento ai sensi dell’art. 4, punto 7, GDPR, fosse direttamente responsabile degli adempimenti relativi ai diritti dell’interessato e del rispetto del principio di accountability. Il riscontro fornito è stato giudicato tardivo rispetto al termine di cui all’art. 12 GDPR e comunque inidoneo, perché non consentiva di comprendere la natura dei consensi asseritamente raccolti, né il ruolo dei soggetti coinvolti. L’Autorità ha richiamato anche il dovere del titolare di agevolare l’esercizio dei diritti e di rispondere senza ingiustificato ritardo.

Ruoli, fornitori e accountability

Dalla documentazione è emerso un quadro di insufficiente chiarezza sui ruoli e sulle responsabilità dei soggetti che avevano trattato i dati per conto della società. Thermogen si è riferita a un fornitore estero poi risultato disciolto, senza chiarire la sorte dei dati trattati e senza fornire elementi idonei a dimostrare una corretta selezione e vigilanza dei partner commerciali. Il Garante ha quindi ravvisato violazioni anche sotto il profilo dell’art. 28 GDPR e del principio di responsabilizzazione del titolare.

Illiceità del telemarketing

L’Autorità ha ritenuto che la chiamata promozionale fosse stata effettuata in violazione dei principi di liceità, trasparenza e responsabilizzazione, in assenza di informativa e di idonea base giuridica. È stato evidenziato che dalla documentazione non risultava possibile ricostruire quali consensi fossero stati realmente acquisiti, da chi e per quali finalità, mentre i riferimenti a campagne marketing e a servizi del tutto diversi dalla manutenzione caldaie rafforzavano la non pertinenza del trattamento. È stato inoltre valorizzato il fatto che la chiamata provenisse da una numerazione non iscritta al ROC.

Provvedimenti correttivi e divieti

Accertata l’illiceità dei trattamenti, il Garante ha:

• imposto a Thermogen di conformare i trattamenti alla normativa, con particolare riguardo alla corretta individuazione dei ruoli e alla gestione delle istanze degli interessati;
• imposto la conformità delle attività di telemarketing agli artt. 13 e 14 GDPR e alla necessità di un’idonea base giuridica;
• vietato ogni ulteriore trattamento dei dati del reclamante ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• ordinato la cancellazione senza ritardo dei dati del reclamante ai sensi dell’art. 58, par. 2, lett. g), GDPR;
• ingiunto alla società di comunicare entro trenta giorni le iniziative adottate per dare attuazione alle misure prescritte.

Sanzione amministrativa e criteri di quantificazione

È stata adottata ordinanza ingiunzione ai sensi degli artt. 166, comma 7, del Codice privacy e 18 l. 689/1981, con applicazione della sanzione di cui all’art. 83, parr. 3 e 5, GDPR. Il massimo edittale è stato individuato in 20.000.000 euro; tuttavia, tenuto conto del fatturato, della gravità delle violazioni, del fatto che vi sia stata una sola chiamata indesiderata, dell’assenza di precedenti provvedimenti sanzionatori e del limitato grado di cooperazione, la sanzione è stata determinata in 10.000 euro.

Pubblicazione e mezzi di tutela

Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito, quale sanzione accessoria, e l’annotazione nel registro interno delle violazioni e delle misure adottate. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.