Ordinanza ingiunzione o revoca n. 11 del 16/01/2025

Realmaps S.r.l. – trattamento illecito di dati per marketing immobiliare, accessi non autorizzati, diritti degli interessati e sanzione

Il provvedimento riguarda Realmaps S.r.l., società operante nella raccolta, incrocio e commercializzazione di dati di proprietari di immobili a favore di agenzie immobiliari, nell’ambito di un’istruttoria avviata a seguito di segnalazioni e reclami per comunicazioni promozionali indesiderate. L’Autorità ha esaminato sia la filiera di acquisizione delle liste da soggetti terzi, sia la gestione del database, dei ruoli interni, delle richieste di opposizione/cancellazione e del sito internet della società.

Origine del procedimento e accertamenti ispettivi

Tra maggio 2022 e aprile 2024 sono pervenute all’Autorità diverse doglianze di interessati che ricevevano contatti commerciali da agenzie immobiliari. In tali riscontri le agenzie indicavano Realmaps come fonte dei dati, compresa l’utenza telefonica mobile, e spesso fornivano un indirizzo e-mail riconducibile alla società per l’esercizio dei diritti.

Per verificare le modalità di trattamento, il Garante ha svolto un accertamento ispettivo presso la sede della società nei giorni 9 e 10 aprile 2024.

Trattamenti esaminati: database, liste e attività promozionali

L’attività di Realmaps consisteva nel fornire alle agenzie immobiliari elenchi di proprietari di immobili ubicati in specifiche zone, completi di numeri telefonici e dati catastali. La società acquisiva i dati catastali dai registri pubblici (SISTER e archivi dell’Agenzia del territorio) e li incrociava con anagrafiche provenienti da list provider, tramite il software "Automatch", per produrre liste finali da utilizzare in attività di marketing.

Sono emersi volumi molto consistenti di anagrafiche: 32.510 da un fornitore, 2.052.933 da un altro, 112.117 da un terzo e 10.049 da un quarto. In un caso, i dati provenivano da un soggetto terzo che li aveva raccolti in occasione di un concorso a premi, con un consenso formulato in modo cumulativo e non specifico per le distinte finalità di marketing del titolare e di comunicazione a terzi.

Qualificazione giuridica di Realmaps e basi giuridiche del trattamento

La società si qualificava come intermediario o, in alcuni casi, come contitolare con i list provider. Il Garante ha respinto tale impostazione e ha ritenuto Realmaps titolare autonomo del trattamento, ai sensi degli artt. 4, n. 7, e 24 GDPR, poiché stabiliva in autonomia finalità e modalità del trattamento.

È stata accertata l’assenza di un consenso valido per la successiva comunicazione dei dati alle agenzie immobiliari/clienti. Il Garante ha ribadito che il consenso raccolto a monte da un soggetto non può produrre effetti a catena su successivi passaggi di dati tra titolari autonomi. È stato inoltre rilevato che non risultava provata né l’informativa resa dai list provider, né quella di Realmaps, con conseguente violazione degli artt. 6, 7, 13 e 14 GDPR, oltre agli artt. 5, par. 2, e 24 GDPR.

Ruoli interni, accessi al database e misure di sicurezza

Sul piano organizzativo, l’Autorità ha rilevato gravi carenze nella gestione degli accessi al database. Oltre al fornitore ICT, potevano accedere dipendenti e collaboratori di Realmaps, inclusi ex dipendenti e soggetti non chiaramente identificati, anche tramite account generici come "operatore_it" e "develop". Per un periodo la collaborazione con il fornitore ICT era stata persino priva di formale contratto; in seguito, la società ha riconosciuto di non avere designato formalmente tutti i soggetti autorizzati.

Il Garante ha ritenuto violati gli artt. 28 e 29 GDPR e l’art. 2-quaterdecies Codice privacy per l’assenza di designazioni formalizzate, nonché gli artt. 25 e 32 GDPR per carenze di privacy by design e di sicurezza, con particolare riferimento alla riservatezza, integrità e verifica periodica dell’efficacia delle misure tecniche e organizzative. È stata inoltre contestata la mancata predisposizione del registro dei trattamenti, la mancata nomina iniziale del DPO e l’assenza di una valutazione d’impatto, in violazione degli artt. 30, 35 e 37 GDPR.

Esercizio dei diritti degli interessati

Le istanze di opposizione e cancellazione non risultavano gestite in modo adeguato. In molti casi le utenze degli interessati continuavano a risultare nella tabella delle numerazioni contattabili, nonostante le opposizioni formalmente comunicate. La soluzione adottata dalla società, consistente nell’inserimento nella tabella "numeri_esclusi", è stata giudicata insufficiente perché priva di elementi idonei a contestualizzare la volontà espressa dall’interessato.

Il Garante ha quindi ravvisato la violazione dell’art. 12, parr. 2 e 3, e dell’art. 21, par. 2, GDPR, per mancato agevole esercizio dei diritti e mancato riscontro tempestivo delle istanze.

Tempi di conservazione dei dati

La società conservava nel database una notevole quantità di dati senza disporre di riferimenti temporali chiari sull’acquisizione e sul caricamento. Ciò impediva di ricostruire la decorrenza dei termini di conservazione e rendeva possibile una conservazione indefinita. Il Garante ha quindi accertato la violazione del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR.

Trattamenti tramite sito internet e informativa online

Il sito web di Realmaps prevedeva un form online per richiedere preventivi e informazioni, subordinando l’invio della richiesta a un consenso generico al trattamento dei dati personali. Inoltre, al momento dell’accertamento, il link all’informativa privacy risultava vuoto; solo successivamente la società ha reso disponibile una privacy policy aggiornata.

Anche dopo la correzione, il Garante ha rilevato che il consenso richiesto nel form continuava a cumulare finalità differenti, in particolare erogazione del servizio e marketing, senza garantire una scelta libera e specifica. È stata inoltre riscontrata l’indicazione di un vecchio indirizzo PEC non più utilizzato, con possibile pregiudizio per l’esercizio dei diritti. Ne è derivata la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a), 7 e 12, par. 1, GDPR, nonché dell’art. 130 Codice privacy per il marketing via strumenti elettronici.

Valutazioni difensive della società e risposta del Garante

Realmaps ha depositato memorie difensive e ha rappresentato alcune misure correttive, tra cui la sospensione del trattamento e la futura adozione di DPIA, registro, credenziali nominative e nomina formale del DPO. Ha anche sostenuto l’esistenza di una contitolarità con i list provider e la correttezza dei consensi raccolti da questi ultimi.

Il Garante ha respinto tali argomentazioni, ribadendo che la società agiva come titolare autonomo e che le criticità riscontrate non riguardavano solo la gestione dei diritti, ma l’intera struttura del trattamento. Le misure successive non hanno eliminato le violazioni già consumate, pur essendo state considerate nella valutazione finale della sanzione.

Provvedimenti correttivi e divieti

L’Autorità ha disposto:

• il divieto di ogni ulteriore trattamento commerciale mediante liste, anche provenienti da terzi, prive di consenso libero, specifico e informato alla comunicazione a terzi per finalità promozionali;
• l’ingiunzione di adottare procedure di verifica costante, anche a campione, sulla liceità delle liste acquistate e sul consenso;
• l’ingiunzione di adottare misure tecniche e organizzative per facilitare l’esercizio dei diritti degli interessati e riscontrare senza ritardo le istanze, compreso l’uso del diritto di opposizione;
• l’ingiunzione di designare formalmente responsabili e incaricati/autorizzati per i soggetti partner, dipendenti e collaboratori che accedono al database;
• il divieto di trattare dati raccolti tramite il sito internet in assenza di consenso informato, libero e specifico per il marketing;
• l’ordine di indicare nell’informativa il corretto recapito e-mail per l’esercizio dei diritti.

È stato inoltre imposto a Realmaps di comunicare entro 30 giorni le iniziative adottate per conformarsi alle prescrizioni.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Per le violazioni accertate, considerate tra loro collegate, il Garante ha applicato l’art. 83, par. 3, GDPR, limitando la sanzione alla soglia prevista per la violazione più grave. La sanzione amministrativa pecuniaria è stata determinata in euro 100.000,00.

Nel quantificarla, l’Autorità ha valorizzato come aggravanti:

• l’elevatissimo numero di interessati coinvolti;
• la gravità delle violazioni e il carattere “di sistema” delle carenze;
• la durata pluriennale dei trattamenti;
• la colpa grave;
• la capacità economica della società.

Sono stati considerati attenuanti:

• l’adozione di alcune misure correttive dopo l’ispezione;
• l’assenza di precedenti procedimenti;
• la cooperazione con l’Autorità.

È stata disposta anche la pubblicazione integrale del provvedimento sul sito del Garante e la sua annotazione nel registro interno dell’Autorità.

Esito finale

Il Garante ha dichiarato illecito il trattamento effettuato da Realmaps S.r.l., ha vietato ulteriori trattamenti illeciti, ha imposto una serie di misure correttive e ha ordinato il pagamento della sanzione pecuniaria di 100.000 euro, con facoltà di definizione in misura ridotta nei termini di legge.