Ordinanza ingiunzione o revoca n. 429 del 15/12/2022

Altroconsumo Edizioni S.r.l. - trattamento illecito di dati per campagne promozionali telefoniche

Il Garante ha esaminato un procedimento avviato a seguito del reclamo di un interessato che aveva ricevuto una telefonata promozionale indesiderata effettuata per conto di Altroconsumo Edizioni S.r.l. L’istruttoria ha riguardato, oltre al caso concreto, la generale prassi della società nell’acquisizione e utilizzo di liste di contatti provenienti da soggetti terzi per finalità di marketing telefonico.

Origine del procedimento e ricostruzione dei fatti

La segnalazione traeva origine da un contatto telefonico effettuato il 25 settembre 2020 da un’utenza intestata a un soggetto incaricato da Altroconsumo. In seguito alle richieste dell’interessata, è emerso che i dati erano stati forniti da Toleadoo GmbH, partner estero che, secondo la società, reperiva liste di utenti da indirizzare alle promozioni. Toleadoo ha riferito di aver acquisito i dati nel 2016, in occasione della registrazione dell’interessata a un concorso online, sostenendo che in quella sede fosse stato prestato il consenso per finalità di marketing e per la comunicazione dei dati a terzi.

Istruttoria e posizione della società

Su richiesta dell’Ufficio, Altroconsumo ha descritto il proprio modello operativo, dichiarando di effettuare controlli a campione sulle utenze fornite dal partner e di deduplicare le liste per escludere numeri non contattabili, inclusi quelli già utilizzati nei sei mesi precedenti o oggetto di opposizione. La società ha inoltre indicato di aver gestito nel 2020 circa 2.698.000 contatti telefonici, dai quali sarebbero derivati 22.317 soci. In sede difensiva ha sostenuto che lo script di chiamata contenesse gli elementi essenziali dell’informativa e che il consenso fosse provato dalla combinazione tra indirizzo IP, data e ora di registrazione; ha anche rappresentato alcuni correttivi organizzativi già adottati o in corso di adozione.

Violazioni contestate e valutazioni del Garante

L’Autorità ha contestato la violazione degli artt. 12, 13 e 14 GDPR per l’inadeguatezza dell’informativa resa agli interessati, degli artt. 6, par. 1, lett. a), e 7 GDPR per l’assenza di prova di un consenso specifico, informato e valido, nonché dell’art. 5 GDPR per la mancanza delle condizioni di liceità e della relativa prova. Nella valutazione finale il Garante ha ritenuto che Altroconsumo, quale titolare autonomo del trattamento, fosse tenuta ad adottare procedure idonee a comprovare la liceità dell’intera filiera dei dati, in ossequio al principio di accountability.

Il controllo svolto sui fornitori è stato giudicato palesemente insufficiente: verificare solo cinque numerazioni rispetto a milioni di contatti non consente di garantire una tutela adeguata né di escludere anomalie sistemiche. Quanto al consenso, il Garante ha ribadito che l’indirizzo IP e i dati di registrazione non bastano a dimostrare una volontà inequivoca e ha osservato che, in assenza di tempi di conservazione determinati nell’informativa originaria, il trattamento rischiava di protrarsi per un tempo indeterminato. Anche per tale ragione, i dati già acquisiti senza idonea informativa sono stati ritenuti non ulteriormente utilizzabili.

Misure correttive e divieto di ulteriore trattamento

Il provvedimento ha ingiunto ad Altroconsumo di integrare l’informativa resa nei contatti promozionali con tutti gli elementi richiesti dagli artt. 12, 13 e 14 GDPR. Per il futuro, qualora la società intenda avvalersi di terzi per reperire anagrafiche da contattare, dovrà adottare procedure idonee e verifiche costanti su campioni congrui rispetto alla mole dei dati acquisiti, così da assicurare il rispetto della disciplina privacy. Inoltre, è stato disposto il divieto di trattamento dei dati acquisiti da Toleadoo e dagli altri fornitori terzi quando non sia stata rilasciata un’informativa idonea e non sia stato acquisito un consenso valido e privo di vizi.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni accertate il Garante ha applicato una sanzione amministrativa pecuniaria di euro 100.000. Nella quantificazione sono stati considerati, in aggravamento, la gravità della violazione e l’enorme numero di contatti trattati, nonché la natura colposa della condotta; in attenuazione, la natura comune dei dati, la tempestiva attivazione della società per sanare le criticità, la cooperazione con l’Autorità, l’assenza di precedenti e la valutazione della capacità economica del titolare.

Ulteriori effetti del provvedimento

L’Autorità ha disposto la pubblicazione integrale del provvedimento sul proprio sito web e l’annotazione delle violazioni nel registro interno. Ha inoltre chiesto alla società di comunicare entro 30 giorni le iniziative adottate per dare attuazione alle misure prescritte, avvertendo che il mancato riscontro può comportare ulteriori sanzioni ai sensi dell’art. 83, par. 5, lett. e), GDPR.