Ordinanza ingiunzione o revoca n. 182 del 14/04/2023

Green Network S.p.A. - telemarketing illecito, accountability e controlli sulla rete vendita

Il provvedimento riguarda Green Network S.p.A. ed è stato adottato all’esito di un’istruttoria avviata a seguito di reclami e segnalazioni su contatti telefonici promozionali indesiderati effettuati in nome della Società nel settore energetico. L’Autorità ha ritenuto che la Società non avesse adeguatamente dimostrato, con misure tecniche e organizzative effettive, il rispetto degli obblighi di responsabilizzazione e di protezione dei dati nella filiera commerciale e contrattuale.

Origine del procedimento e svolgimento dell’istruttoria

Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice privacy, nell’ambito dell’attività del Garante volta al contrasto del telemarketing illegale. L’istruttoria ha riguardato cinque fascicoli, originati da due reclami e da ulteriori segnalazioni, nei quali gli interessati lamentavano chiamate promozionali non richieste, talora su utenze riservate e talora su numeri iscritti al Registro pubblico delle opposizioni.

A seguito di una richiesta di informazioni e documenti ai sensi dell’art. 157 del Codice e dell’art. 58, par. 1, lett. a), GDPR, Green Network ha fornito riscontro il 26 ottobre 2020, sostenendo tra l’altro che le numerazioni utilizzate non fossero autorizzate e che i dati degli interessati non risultassero presenti nelle sue banche dati, salvo quelli trasmessi con i reclami stessi.

Contestazioni formulate dall’Autorità

Con l’atto di avvio del procedimento del 23 febbraio 2021, il Garante ha contestato alla Società la violazione degli artt. 5, par. 2, e 25, par. 1, GDPR, ritenendo che:

• non fosse stata svolta un’efficace azione di contrasto ai contatti promozionali indebitamente effettuati in nome della Società;
• la mera non riferibilità delle numerazioni chiamanti a quelle in uso alla Società e ai partner commerciali non fosse sufficiente a escludere la responsabilità del titolare;
• mancassero evidenze di misure tecniche e organizzative idonee a prevenire e monitorare il fenomeno, anche con riferimento a personale, rete di vendita e sistemi per l’attivazione di offerte e servizi.

L’Autorità ha insistito sul fatto che, in un contesto di chiamate effettuate in nome e per conto del titolare, questi debba esercitare un controllo pieno e consapevole sulla propria filiera commerciale, in un’ottica di accountability e privacy by design.

Difese della società e misure dichiarate

Green Network, con memoria dell’8 aprile 2021 e nel corso dell’audizione del 13 aprile 2021, ha chiesto l’archiviazione del procedimento. Ha sostenuto di essere estranea alle chiamate illecite, di subire un pregiudizio reputazionale da condotte di terzi e di aver già introdotto diverse misure di controllo.

Tra le misure descritte, la Società ha richiamato:

• il modello contrattuale con agenti e il relativo codice di comportamento;
• l’obbligo per gli agenti di verificare l’assenza di iscrizione dei contatti nel Registro pubblico delle opposizioni e nelle blacklist interne;
• l’uso di numerazioni iscritte al ROC;
• la comunicazione a Green Network delle numerazioni usate tramite apposito tool;
• il divieto di ricorrere a soggetti partner o subagenti senza autorizzazione;
• controlli periodici sui contratti caricati e verifiche a campione da parte del Sales Quality Control;
• visite periodiche presso le agenzie;
• un servizio di assistenza al consumatore e strumenti online per verificare la liceità del numero chiamante e segnalare problemi.

La Società ha inoltre rappresentato che in futuro il controllo tra numerazione chiamante e inserimento della proposta contrattuale sarebbe stato automatizzato, con blocco delle attivazioni non conformi.

Valutazioni del Garante sulle difese

Il Garante ha ritenuto che le difese non escludessero la responsabilità della Società. In particolare ha osservato che:

• le affermazioni sull’estraneità della Società e sul danno subito erano prive di adeguati elementi probatori;
• i pochi episodi segnalati non erano sufficienti a superare i rilievi, soprattutto in assenza di riscontri documentali sul fenomeno complessivo;
• l’affidamento esclusivo allo strumento contrattuale verso agenti e sub-agenzie era insufficiente, perché non bastano vincoli civilistici se non accompagnati da controlli effettivi e verificabili sulla protezione dei dati.

L’Autorità ha sottolineato che l’accountability impone al titolare di dimostrare concretamente, con elementi rilevabili a sistema e costantemente monitorabili, la conformità dei trattamenti svolti direttamente o da terzi per suo conto. In questa prospettiva, un semplice controllo della regolarità contrattuale o della volontà a contrarre non equivale a un controllo sulla liceità dell’origine del dato e del primo contatto.

Elementi ritenuti insufficienti e criticità organizzative

Secondo il Garante, dalle memorie e dagli allegati non emergeva una dimostrazione chiara di controlli specifici sulla liceità del primo contatto o dell’acquisizione originaria del dato. Inoltre, il materiale prodotto mostrava incoerenze circa le modalità di accesso ai sistemi di caricamento delle proposte contrattuali e il livello di controllo effettivo esercitato dalla Società sulle agenzie.

L’Autorità ha rilevato che la documentazione sembrava delegare alle agenzie il controllo e la prevenzione dell’uso improprio dei sistemi informativi messi a disposizione da Green Network, senza un adeguato presidio diretto del titolare. Sono stati ritenuti non dimostrati, in modo univoco, i meccanismi di tracciabilità e identificazione degli operatori autorizzati e dei soggetti che avevano raccolto l’adesione del cliente.

Violazioni accertate

Il Garante ha concluso per la responsabilità di Green Network per la violazione di:

• art. 5, par. 2, GDPR, in relazione al principio di responsabilizzazione;
• art. 25, par. 1, GDPR, in relazione alla protezione dei dati fin dalla progettazione e per impostazione predefinita.

La decisione sottolinea che, in un sistema di telemarketing e vendita esterna, il titolare deve predisporre controlli preventivi e successivi lungo tutta la filiera, anche sugli anelli intermedi come agenzie e sub-agenzie, e non limitarsi a clausole contrattuali o a verifiche solo formali.

Prescrizioni impartite

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Green Network di:

• adeguare ogni trattamento svolto dalla propria rete di vendita in modo da garantire e documentare che l’attivazione di offerte e servizi e la registrazione dei contratti avvengano solo a seguito di contatti promozionali telefonici effettuati con numerazioni censite e iscritte al ROC e nel rispetto dell’art. 130 del Codice privacy;
• adottare misure tecnico-organizzative idonee e univoche per stabilire meccanismi chiari e costanti di controllo sulle modalità di utilizzo e di accesso alla piattaforma informatica usata dalle agenzie per l’attivazione dei contratti, nonché per bloccare o sospendere le proposte contrattuali frutto di contatti promozionali illeciti.

È stato inoltre richiesto di comunicare, entro 40 giorni dalla notifica, le iniziative intraprese per dare attuazione alle prescrizioni, con riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice.

Sanzione amministrativa pecuniaria

Il Garante ha adottato ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981. Per la determinazione del massimo edittale, è stato preso a riferimento il fatturato della Società risultante dall’ultimo bilancio pubblicato, quantificandolo in euro 47.561.905,00.

Ai fini della quantificazione della sanzione, sono stati considerati i criteri dell’art. 83, par. 2, GDPR, tra cui:

• la gravità delle violazioni, per la pervasività dei contatti illeciti e la lesione di più diritti fondamentali;
• la durata e la ripetizione delle violazioni;
• il numero non elevato degli interessati coinvolti;
• il carattere colposo delle condotte;
• le misure adottate, seppur parziali, per mitigare le conseguenze;
• la collaborazione prestata dalla Società;
• il lungo tempo concesso per l’adeguamento alla normativa europea e l’attenzione del legislatore al telemarketing.

All’esito di tale bilanciamento, la sanzione è stata fissata in euro 237.800,00, pari allo 0,5% del massimo edittale individuato.

Pubblicazione e rimedi

È stata disposta la pubblicazione del provvedimento sul sito del Garante, quale sanzione accessoria ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019.

La Società ha facoltà di definire la controversia, ai sensi dell’art. 166, comma 8, del Codice, adempiendo alle prescrizioni e pagando entro 30 giorni un importo pari alla metà della sanzione irrogata. Avverso il provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria nei termini di legge.