Ordinanza ingiunzione o revoca n. 576 del 17/07/2024

Iliad Italia S.p.A.: email promozionali, soft spam e recupero carrello

Il provvedimento riguarda Iliad Italia S.p.A. e trae origine dal reclamo di un cliente che aveva ricevuto email promozionali nonostante il diniego espresso per le finalità di marketing nella propria area personale. L’istruttoria ha riguardato anche una comunicazione inviata dopo un tentativo di acquisto online non concluso, qualificata dalla società come attività di "basket recovery".

Origine del procedimento e attività istruttoria

Il reclamante ha rappresentato di non aver mai prestato consenso per finalità promozionali e di aver negato tutti i consensi nell’area cliente relativa alle proprie utenze. Ha inoltre osservato che nelle email era presente un link per opporsi a ulteriori messaggi.

Iliad, rispondendo all’Ufficio, ha spiegato di trattare i dati per finalità di marketing solo previo consenso e di inviare email di prodotti o servizi analoghi sulla base dell’art. 130, comma 4, del Codice, qualificando tale trattamento come soft spam. Ha anche dichiarato che l’opposizione del reclamante era stata registrata dopo l’uso del link di disiscrizione e che non erano più state inviate email promozionali di quel tipo.

Successivamente l’Ufficio ha richiesto documentazione sui consensi e sulle opposizioni registrate nei sistemi della società. Iliad ha prodotto evidenze che distingueva, nei propri sistemi, il consenso al marketing (consent_marketing) dall’opposizione al soft spam (consent_legitimate) e ha confermato che il reclamante aveva negato il marketing sin dall’origine e poi opposto il soft spam in date specifiche.

Quadro normativo richiamato

Il Garante ha esaminato i fatti alla luce di:

• art. 6, par. 1, lett. a), GDPR;
• art. 5, par. 1, lett. a), GDPR;
• art. 13, par. 1, lett. c), GDPR;
• art. 58, par. 2, lett. b), d) e i), GDPR;
• art. 83, par. 1, 2, 3 e 5, GDPR;
• art. 130, commi 2, 3, 3-bis e 4, del Codice.

È stato inoltre richiamato il precedente provvedimento del Garante del 15 maggio 2013 in materia di consenso per il marketing diretto e la più recente pronuncia di Cassazione del 15 marzo 2023, n. 7555, sul concetto di "vendita" ai fini dell’eccezione del soft spam.

Email promozionali via email: consenso, opposizione e trasparenza

Il punto centrale del provvedimento riguarda la sovrapposizione, nella percezione dell’interessato, tra le email promozionali basate sul consenso e quelle inviate come soft spam. Il Garante ha ritenuto che, pur essendo tecnicamente distinti nei sistemi interni della società, i due flussi non fossero sufficientemente distinguibili per il cliente, anche per effetto della formulazione utilizzata nell’area personale e nell’informativa.

In particolare, la richiesta di consenso per marketing era formulata in modo ampio, riferita a comunicazioni promozionali tramite mezzi automatizzati e tradizionali, inclusa l’email. Per l’Autorità, ciò induceva l’interessato a ritenere che il proprio diniego coprisse tutte le email promozionali, incluse quelle che Iliad intendeva ricondurre al soft spam. Ne è derivato un trattamento contrario alla volontà espressa dal reclamante.

Il Garante ha quindi confermato la violazione:

• dell’art. 6, par. 1, lett. a), GDPR, per mancanza di consenso valido rispetto alle email inviate;
• dell’art. 130, commi 2 e 4, del Codice, poiché la deroga del soft spam non poteva essere utilizzata per superare un diniego già espresso in modo comprensibile dall’interessato;
• dell’art. 5, par. 1, lett. a), GDPR, perché la struttura informativa e la gestione dei consensi non consentivano di rispettare in modo trasparente la volontà dell’utente.

Soft spam e corretta informativa

L’Autorità ha inoltre rilevato che l’informativa privacy allora vigente descriveva il trattamento di email promozionali analoghe sotto la voce del "legittimo interesse". Il Garante ha chiarito che l’art. 130, comma 4, del Codice non è una base giuridica assimilabile al legittimo interesse, ma una deroga speciale all’obbligo del consenso prevista dalla disciplina sulle comunicazioni elettroniche.

La società, nel corso del procedimento, ha aggiornato l’informativa e ha sostituito il richiamo al legittimo interesse con l’art. 130, comma 4. Tuttavia, l’aggiornamento conservava un riferimento alla posta cartacea, che non rientra nel perimetro del soft spam. Per questo profilo il Garante ha ritenuto sussistente un errore informativo e ha adottato:

• un ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• un’ingiunzione a correggere l’informativa, ai sensi dell’art. 58, par. 2, lett. d), GDPR.

Non è stata applicata una sanzione pecuniaria per questo specifico profilo, sia per la successiva correzione dell’informativa, sia perché il caso è stato qualificato come violazione minore ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR.

Email di recupero carrello: natura e limiti

Un ulteriore profilo ha riguardato l’email inviata al reclamante dopo l’interruzione del processo di acquisto online. Iliad ha sostenuto che si trattasse di un messaggio di recupero carrello, inviato per facilitare la conclusione della procedura e non per finalità promozionali.

Il Garante non ha escluso che una simile comunicazione possa avere una funzione di supporto per l’utente, ma ha osservato che, nel caso concreto, il messaggio era accompagnato da un disclaimer che lo ricondiceva al legittimo interesse a promuovere prodotti o servizi analoghi. Inoltre, l’informativa prevedeva l’invio di più comunicazioni di promemoria, fino a tre, entro sette giorni.

Secondo l’Autorità, se la finalità è unicamente quella di recuperare il carrello, deve essere inviata una sola email con il link per riprendere il percorso; se invece l’operazione serve anche a fare marketing, occorre il consenso dell’interessato. In ogni caso, tale attività non può essere ricondotta al soft spam, perché non presuppone una vendita già conclusa.

È stata quindi accertata la violazione:

• dell’art. 6, par. 1, lett. a), GDPR;
• dell’art. 130, comma 2, del Codice.

Anche per questo profilo il Garante ha preferito l’ammonimento e l’ingiunzione correttiva, senza sanzione pecuniaria, tenendo conto della novità della questione e della circostanza che la condotta non aveva arrecato un danno concreto al reclamante.

Sanzione amministrativa pecuniaria

Per le violazioni relative all’invio di email promozionali via email, il Garante ha applicato l’art. 83, par. 3, GDPR, rilevando che le violazioni riguardavano trattamenti collegati e che, in caso di pluralità di violazioni, l’importo totale non può superare quello previsto per la violazione più grave.

Ai fini della quantificazione, l’Autorità ha considerato il massimo edittale pari a 40.556.271 euro, sulla base dei dati di bilancio disponibili al 31 dicembre 2022, e ha valutato i criteri di cui all’art. 83, par. 2, GDPR. Tra gli elementi valorizzati:

• il numero degli interessati potenzialmente coinvolti;
• l’assenza di un danno concreto per il reclamante;
• le misure tecniche e organizzative adottate dalla società;
• la cooperazione con l’Autorità;
• il fatto che fossero coinvolti solo dati comuni;
• le perdite economiche riportate a bilancio.

In esito a tale valutazione, è stata irrogata a Iliad Italia S.p.A. la sanzione amministrativa pecuniaria di euro 50.000,00, pari allo 0,12% del massimo edittale considerato.

Dispositivo e adempimenti imposti

Il Garante ha quindi:

• dichiarato illecito il trattamento descritto in motivazione;
• rivolto due ammonimenti relativi alla posta cartacea impropriamente ricondotta all’art. 130, comma 4, e alle comunicazioni multiple di recupero carrello;
• ingiunto la correzione dell’informativa privacy;
• ingiunto l’adeguamento della disciplina del recupero carrello, prevedendo che:
  • in assenza di intento promozionale, sia inviata una sola email;
  • in presenza di finalità di marketing, sia rispettata la volontà espressa dall’interessato in fase di attivazione;
  • informativa e avvisi in calce alle email siano modificati di conseguenza;
• ordinato il pagamento della sanzione di euro 50.000,00;
• disposto la pubblicazione del provvedimento sul sito del Garante;
• disposto l’annotazione nel registro interno dell’Autorità.

È stato inoltre imposto a Iliad di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure correttive. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.