Ordinanza ingiunzione o revoca n. 12 del 16/01/2025

Zena s.r.l.s. - trattamento promozionale tramite gruppo WhatsApp senza consenso né informativa

Il Garante ha esaminato il caso di una società attiva nella vendita di articoli per il padel che aveva inserito clienti in un gruppo WhatsApp denominato "Zena Padel" per inviare messaggi promozionali e offerte. Il procedimento è nato da un reclamo e ha riguardato l'uso di numeri di telefono acquisiti in occasione di acquisti effettuati su Amazon.

Origine del procedimento e trattamenti contestati

L'Autorità ha avviato il procedimento ai sensi dell'art. 166, comma 5, del Codice privacy, a seguito della segnalazione di un interessato che risultava inserito nel gruppo insieme ad altri membri, con numeri cellulari visibili a tutti i partecipanti. Dalla documentazione esibita è emerso che la chat era utilizzata dalla società per veicolare messaggi del tipo "ci sono attivi molti sconti" e per indirizzare i clienti verso il sito della società.

Violazioni contestate

L'Ufficio ha contestato a Zena s.r.l.s.:

• la violazione degli artt. 5, par. 1, lett. a), 6 e 7 GDPR e 130, commi 1 e 2, Codice privacy, per aver trattato i dati personali del reclamante e di altri 45 clienti senza il prescritto consenso;
• la violazione degli artt. 5, par. 1, lett. a) e 13 GDPR, per omessa preventiva informativa agli interessati.

Secondo il Garante, la scelta di utilizzare una chat di gruppo WhatsApp comportava anche un ulteriore trattamento, consistente nella comunicazione dei numeri telefonici di ciascun partecipante agli altri membri del gruppo.

Difese della società

Nella memoria difensiva Zena ha sostenuto che i dati provenivano da acquisti su Amazon e che il gruppo era stato creato per offrire supporto post-vendita e opportunità di sconto. La società ha riconosciuto che l'informativa resa agli interessati non era sufficientemente dettagliata e ha annunciato una revisione delle proprie informative, nonché l'introduzione di un consenso più specifico e di una possibilità di opt-out. La società non si è poi presentata all'audizione richiesta dall'Autorità.

Valutazioni del Garante

Il Garante ha respinto le difese, osservando che la società aveva agito come autonomo titolare del trattamento e aveva utilizzato dati acquisiti nell'ambito di una vendita tramite Amazon per finalità promozionali estranee al rapporto con la piattaforma. Il trattamento, essendo finalizzato al marketing con strumenti elettronici, richiedeva uno specifico consenso ai sensi degli artt. 6 e 7 GDPR e 130, commi 1 e 2, Codice privacy, consenso che non era mai stato acquisito.

L'Autorità ha inoltre precisato che:

• il mancato esercizio dell'opzione di esclusione dalla chat non può valere come consenso;
• l'assistenza post-vendita non può essere veicolata mediante una chat di gruppo, ma semmai con comunicazioni one-to-one che preservino la riservatezza;
• l'informativa di Amazon non copriva l'uso del numero telefonico per queste finalità da parte della società.

Provvedimenti adottati

Accertata l'illiceità del trattamento, il Garante ha disposto:

• il divieto, ai sensi dell'art. 58, par. 2, lett. f), GDPR, di ogni ulteriore trattamento dei dati del reclamante e degli altri clienti inseriti nella chat WhatsApp "Zena Padel";
• l'ingiunzione a comunicare entro 30 giorni le iniziative adottate per dare attuazione al divieto, con l'avvertimento che l'eventuale inadempimento può comportare ulteriori sanzioni.

Sanzione amministrativa pecuniaria e criteri di quantificazione

L'ordinanza-ingiunzione è stata adottata ai sensi degli artt. 166, comma 7, del Codice privacy e 18 della legge n. 689/1981, con applicazione della sanzione prevista dall'art. 83, parr. 3 e 5, GDPR. Il massimo edittale è stato individuato in 20.000.000 euro, ma la sanzione concretamente irrogata è stata pari a 10.000 euro.

Nella quantificazione il Garante ha considerato:

• la gravità della violazione, in ragione di un marketing effettuato con modalità invasive e idonee anche a rendere visibili i numeri telefonici agli altri membri;
• il numero dei soggetti coinvolti, pari a 46 interessati complessivi;
• la significativa negligenza della società nella predisposizione del sistema di comunicazione;
• la natura dei dati trattati, ossia utenze telefoniche mobili;
• l'assenza di precedenti provvedimenti correttivi o sanzionatori a carico della società.

Ulteriori disposizioni

È stata disposta anche la pubblicazione del provvedimento sul sito del Garante, ai sensi degli artt. 166, comma 7, del Codice privacy e 16 del Regolamento n. 1/2019, oltre all'annotazione nel registro interno dell'Autorità. Contro il provvedimento è ammessa opposizione dinanzi all'autorità giudiziaria ordinaria nei termini di legge.