Ordinanza ingiunzione o revoca n. 574 del 09/05/2024

Vodafone Italia S.p.A. - telemarketing, teleselling e attivazioni di servizi telefonici non pienamente conformi

Il provvedimento riguarda Vodafone Italia S.p.A. e trae origine da un’attività istruttoria d’ufficio collegata al precedente provvedimento n. 224 del 12 novembre 2020, con cui erano già state impartite prescrizioni in materia di telemarketing. L’Autorità ha esaminato l’evoluzione delle misure adottate dalla società e ha verificato la liceità dei trattamenti connessi alle attività di telemarketing e teleselling, con particolare attenzione ai contatti che avevano condotto all’attivazione di servizi telefonici nel periodo 6-13 marzo 2023.

Origine del procedimento e attività istruttoria

L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy e dell’art. 58, par. 2, GDPR. L’istruttoria si è sviluppata attraverso:

• richieste di informazioni cumulative su numerosi fascicoli relativi a contatti indesiderati;
• acquisizione di documentazione e successive integrazioni fornite da Vodafone;
• verifiche sulle numerazioni contattate, anche tramite consultazione del Registro pubblico delle opposizioni;
• esame delle procedure interne di controllo dei partner e di gestione dei lead e delle vendite a distanza.

L’Autorità ha preso atto che Vodafone aveva già comunicato, a seguito del precedente intervento del 2020, l’implementazione di sistemi di controllo basati su cartellini di traffico, metadati e verifiche di coerenza tra numerazioni chiamate, consenso e dati di vendita.

Misure dichiarate da Vodafone

Nel corso dell’istruttoria, Vodafone ha illustrato un articolato sistema di accountability per il teleselling e il telemarketing. In sintesi, la società ha rappresentato:

• il controllo sistematico delle vendite a distanza tramite centralizzazione dei dati su un sistema interno;
• la verifica delle numerazioni autorizzate ai contatti e dei cartellini di traffico inviati dai partner;
• l’uso di metadati provenienti dai sistemi di provisioning e firma digitale;
• l’applicazione di diffide e penali ai partner in caso di incongruenze;
• la razionalizzazione della rete di vendita, con riduzione dei partner esterni;
• l’impiego di una piattaforma in house per i Vodafone Store, denominata DIGI.

Vodafone ha inoltre descritto ulteriori interventi, tra cui la revisione delle formule di raccolta del consenso, l’eliminazione di modalità di contatto obsolete, l’introduzione di SMS informativi con opt-out per alcune lead generation e la modifica dei contratti con i partner per recepire il nuovo Codice di condotta per le attività di telemarketing e teleselling.

Esiti istruttori sui contatti contestati

Dalla verifica effettuata dall’Autorità sono emersi elementi ritenuti significativi di criticità. In particolare:

• su 5515 numerazioni esaminate per il periodo 6-13 marzo 2023, 442 risultavano iscritte al Registro pubblico delle opposizioni tra il 27 luglio 2022 e il 31 gennaio 2023, con conseguente annullamento dei consensi pregressi per telemarketing, teleselling e ricerche di mercato;
• in relazione ai 94 fascicoli oggetto di richiesta cumulativa, Vodafone ha indicato che in 70 casi i contatti indesiderati erano stati realizzati da numerazioni estranee alla rete di vendita, non iscritte al ROC o con identificativo oscurato;
• solo in un caso la chiamata indesiderata è stata attribuita alla rete ufficiale Vodafone, con applicazione di un provvedimento sanzionatorio interno.

L’Autorità ha ritenuto che, nonostante l’impegno della società nel contrastare il telemarketing illecito, il quadro complessivo mostrasse una non piena conformità alla normativa di riferimento.

Contestazione delle violazioni

Nell’atto di contestazione l’Ufficio ha ritenuto che Vodafone avesse effettuato trattamenti di dati personali in violazione di:

• art. 5, parr. 1, lett. a), e 2, GDPR;
• artt. 6 e 7, GDPR;
• art. 24, par. 1, GDPR;
• art. 25, par. 1, GDPR;
• art. 130, commi 3 e 3-bis, Codice privacy.

La contestazione si riferiva ai trattamenti di dati personali di utenti e contraenti del settore della telefonia fissa e mobile e, in particolare, alle 442 attivazioni di servizi nel periodo 6-13 marzo 2023. Secondo l’Autorità, mancava un’idonea base giuridica e le misure tecniche e organizzative adottate non erano sufficienti a garantire, fin dalla progettazione, la conformità del trattamento e la relativa dimostrabilità.

Difese di Vodafone

Vodafone ha contestato la ricostruzione dell’Autorità, sostenendo che molte segnalazioni fossero incomplete e che, in diversi casi, i contatti non fossero a essa riferibili oppure fossero coperti da una base di legittimità. Ha inoltre affermato che non tutte le tipologie di contatto richiedono il riscontro con l’RPO, richiamando varie categorie di chiamate:

• richieste di ricontatto immediato;
• chiamate entranti al numero 180;
• contatti verso clienti attivi con consenso commerciale;
• richieste di ricontatto tramite IVR;
• attività di gestione del cliente;
• contatti generati da attività di prossimità per offerte business.

Nel corso dell’audizione del 9 aprile 2024, Vodafone ha illustrato anche il meccanismo di SMS per consentire il ripensamento del cliente, il controllo dei contratti introdotti nei sistemi e la procedura di informazione al cliente in caso di contatto non regolare, con possibilità di recesso gratuito o conferma del rapporto.

Valutazioni del Garante

Il Garante ha riconosciuto che Vodafone aveva adottato interventi e procedure idonei a produrre un significativo incremento delle garanzie per interessati, utenti e contraenti rispetto alla situazione emersa nel 2020. Ha altresì valorizzato la collaborazione della società e la chiarezza dei riscontri forniti.

Tuttavia, ha ritenuto persistenti alcune criticità:

• la procedura di SMS di revoca del ricontatto non è stata considerata idonea a prevenire inserimenti massivi da parte di bot;
• la soluzione adottata non appariva sufficiente a impedire che numerazioni fossero inserite all’insaputa degli interessati;
• per i contatti della settimana 6-13 marzo 2023 la documentazione prodotta non era ritenuta adeguata a superare la contestazione sul principio di responsabilizzazione;
• la fase informativa successiva al contatto illecito risultava ancora carente, nonostante le prescrizioni già impartite nel 2020.

L’Autorità ha quindi concluso per una violazione attenuata ma ancora sussistente dei principi di liceità e accountability.

Misure ingiunte

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Vodafone di introdurre correttivi nella procedura di ricontatto del cliente veicolata tramite le pagine web della società o dei partner, al fine di impedire l’introduzione massiva di numerazioni da sottoporre a ricontatto.

È stato inoltre disposto che Vodafone comunichi all’Autorità, entro 30 giorni dalla notifica del provvedimento, le iniziative adottate per dare attuazione alla misura ingiunta.

Sanzione amministrativa pecuniaria

L’Autorità ha ritenuto necessario adottare ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice privacy e 18 della legge n. 689/1981. La sanzione è stata quantificata in 500.000 euro, in applicazione dell’art. 83, parr. 3 e 5, GDPR.

Per la determinazione del massimo edittale è stato preso a riferimento il fatturato dell’ultimo bilancio disponibile, con un massimo individuato in 191.037.160 euro. Nella quantificazione sono stati considerati:

• la non significativa gravità delle violazioni, anche alla luce del contesto e dei miglioramenti organizzativi introdotti;
• l’elevato grado di cooperazione della società, che ha fornito riscontri chiari e approfonditi;
• il fatto che nei precedenti provvedimenti sanzionatori la controversia era stata definita con pagamento in misura ridotta, con esclusione dell’aggravante per recidiva.

La sanzione è stata ritenuta conforme ai principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Misure accessorie e impugnazione

Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito e l’annotazione nel registro interno delle violazioni e delle misure adottate. È stato inoltre ricordato che avverso il provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, ai sensi degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione.