Ordinanza ingiunzione o revoca n. 323 del 18/07/2023

Maximum International Corp. S.r.l. - telemarketing, form online e mancato riscontro ai diritti dell'interessata

Il Garante ha dichiarato illecito il trattamento effettuato da Maximum International Corp. S.r.l. in relazione a contatti promozionali telefonici e all’utilizzo dei dati raccolti tramite il sito internet della Società. Il provvedimento trae origine da un reclamo dell’interessata, che aveva lamentato telefonate indesiderate reiterate, l’assenza di un valido consenso al marketing e il mancato riscontro all’istanza di accesso e cancellazione.

Origine del procedimento e fatti contestati

L’istruttoria è stata avviata a seguito del reclamo presentato il 9 gennaio 2023, con cui l’interessata ha riferito di aver ricevuto, negli anni e da ultimo il 1° dicembre 2022, chiamate promozionali per conto della Società senza aver prestato uno specifico consenso e dopo aver manifestato opposizione nel corso dei contatti indesiderati. L’interessata ha inoltre lamentato l’assenza di riscontro all’istanza del 2 dicembre 2022 con cui aveva chiesto accesso e cancellazione dei propri dati personali ai sensi degli artt. 15 e 17 GDPR. Successivamente ha segnalato un’ulteriore telefonata promozionale del 7 aprile 2023.

Difese della Società

Maximum ha sostenuto di non vendere direttamente ai privati e di avvalersi di agenzie concessionarie indipendenti per l’attività promozionale, affermando di non detenere i dati dell’interessata e di non averla contattata. Quanto al sito web, ha dichiarato che i dati raccolti tramite form online servivano solo per rispondere a segnalazioni e reclami su problemi tecnici e non per finalità commerciali; ha anche negato di svolgere attività di newsletter, sostenendo che i dati raccolti vengono eliminati dopo 90 giorni.

Titolarità del trattamento e accountability

Il Garante ha ricondotto i trattamenti alla titolarità di Maximum, ritenendo che le telefonate fossero effettuate in nome e nell’interesse della Società e che l’utente avesse legittimamente percepito di essere stata contattata dalla stessa. La presenza di call center o soggetti terzi formalmente indipendenti non esonera il titolare, quando l’attività promozionale si inserisce in un disegno economico unitario volto a promuovere prodotti e servizi della Società. L’Autorità ha anche richiamato la possibile adozione di tecniche di mascheramento del CLI e, più in generale, l’assenza di misure tecniche e organizzative adeguate a governare la filiera promozionale.

Violazioni accertate

Il Garante ha confermato la violazione di più disposizioni del GDPR e del Codice privacy, in particolare:

• artt. 5, par. 2, 24 e 25 GDPR, per la mancata adozione di misure organizzative idonee a controllare la filiera e a dimostrare la conformità;
• artt. 12, parr. 2 e 3, 15, 17 e 21, par. 2, GDPR, per il mancato riscontro all’istanza dell’interessata e la mancata gestione tempestiva dell’opposizione;
• artt. 6, par. 1, lett. a), e 7 GDPR, nonché art. 130 Codice privacy, per le telefonate promozionali prive di valido consenso;
• artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 e 25, par. 1, GDPR, per il trattamento dei dati raccolti via sito in assenza di idoneo presupposto giuridico e per la non corretta impostazione dei trattamenti.

Form online e consenso al marketing

L’Autorità ha rilevato che la procedura di richiesta di assistenza/consulenza online era condizionata all’acquisizione di consensi per marketing diretto e profilazione, rendendo di fatto obbligatoria l’accettazione per accedere al servizio. Ciò ha determinato una compressione della libertà di scelta dell’interessato e l’assenza di un consenso realmente libero, specifico e inequivocabile. Inoltre, la documentazione acquisita ha evidenziato uno scarto tra l’informativa privacy, che menzionava l’invio di newsletter, e i consensi concretamente richiesti o non richiesti, sintomo di una impostazione non corretta dei trattamenti.

Misure adottate dal Garante

Alla luce delle violazioni accertate, il Garante ha:

• vietato il trattamento dei dati personali raccolti mediante il sito internet in assenza di idoneo consenso per marketing e profilazione;
• ingiunto la cancellazione di tali dati, salvo quelli da conservare per obblighi di legge, difesa giudiziale o altre finalità lecite non basate sul consenso;
• prescritto, qualora la Società intenda proseguire nei trattamenti, di fornire informativa adeguata, individuare una base giuridica idonea, facilitare l’esercizio dei diritti degli interessati e adottare procedure per tracciare le attività di trattamento e assicurare il rispetto della disciplina sulle comunicazioni commerciali.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni accertate è stata applicata una sanzione amministrativa pecuniaria di euro 5.000,00. Nella quantificazione, il Garante ha richiamato l’art. 83 GDPR e considerato, tra gli elementi aggravanti, la gravità della violazione del diritto di opposizione, la colpa grave connessa all’assenza di controllo sulla filiera e la difformità rispetto alla consolidata prassi provvedimentale in materia di telemarketing. Tra gli elementi attenuanti, sono stati valorizzati la natura comune dei dati, l’assenza di precedenti, la cooperazione con l’Autorità e la capacità economica della Società. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Termine per l’adempimento e rimedi

La Società è stata ingiunta di comunicare al Garante, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure prescritte. È stata richiamata anche la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice e la possibilità di proporre opposizione all’autorità giudiziaria ordinaria nei termini di legge.