Ordinanza ingiunzione o revoca n. 479 del 12/10/2023

Scionti Selezioni Superiori S.r.l.: telemarketing illecito e trattamenti promozionali senza base giuridica

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da Scionti Selezioni Superiori S.r.l. per la promozione del marchio "Caffè Scionti", in particolare attraverso contatti telefonici e acquisizione di dati via web e tramite terzi. Il procedimento trae origine da numerose segnalazioni e reclami relativi a telefonate indesiderate, spesso verso numeri iscritti al Registro Pubblico delle Opposizioni.

Origine del procedimento e attività istruttoria

Nel 2022 l’Autorità ha ricevuto diverse doglianze per telefonate promozionali indesiderate. Con richiesta di informazioni del 22 novembre 2022, la Società ha sostenuto di aver contattato gli interessati per mero errore di digitazione delle numerazioni. Poiché le segnalazioni sono aumentate anche nel 2023, è stata inviata una seconda richiesta di informazioni il 24 febbraio 2023, con contestuale approfondimento sulle numerazioni chiamanti, sulle modalità di raccolta dei dati, sui consensi e sulle informative, sulla gestione delle opposizioni e sull’eventuale uso di liste di esclusione.

Condotte esaminate e canali di raccolta dei dati

Nel corso dell’istruttoria e dell’audizione dell’8 giugno 2023, la Società ha descritto una struttura interna dedicata alle vendite telefoniche e all’assistenza, non un call center esterno. Ha indicato come canali di acquisizione della clientela il passaparola, il form online, l’inbound e i c.d. list provider o inserzionisti che raccoglierebbero anagrafiche tramite Internet e le trasferirebbero alla Società previo compenso. Ha inoltre rappresentato di registrare le opposizioni in una black-list e di aver incontrato problemi tecnici nell’adesione al Registro Pubblico delle Opposizioni.

Valutazioni del Garante su informativa e consenso

L’Autorità ha ritenuto che le telefonate promozionali siano state svolte in assenza del previo consenso e dell’informativa richiesti dagli artt. 5, 6, 7, 12 e 13 GDPR e dall’art. 130 Codice privacy. Il numero telefonico, anche se composto casualmente, è considerato dato personale; pertanto l’attività promozionale richiede comunque una base giuridica valida. Il passaparola non può sostituire il consenso dell’interessato, né il modulo di ordine compilato in occasione dell’inbound può valere come consenso al marketing, trattandosi di documento volto solo alla conclusione del contratto di acquisto.

Dati provenienti da terzi e sito internet

Con riguardo ai list provider, il Garante ha osservato che la Società si è affidata a mere garanzie contrattuali senza chiedere o verificare prove documentali della liceità delle liste e del consenso originario degli interessati. Anche per i trattamenti online è stata rilevata una violazione: l’informativa del sito non indicava chiaramente il marketing diretto, pur essendo tale attività parte centrale del modello di business, e non risultava acquisito uno specifico consenso per questa finalità.

Diritti degli interessati, liste di esclusione e Registro Pubblico delle Opposizioni

Il provvedimento evidenzia che la Società non ha fornito un riscontro completo alle richieste di accesso e opposizione presentate da alcuni interessati e non ha dimostrato l’effettiva esistenza o il corretto utilizzo di una "wrong list" o di una black-list. Inoltre, non ha consultato il Registro Pubblico delle Opposizioni prima di avviare le campagne telefoniche, circostanza non giustificabile con le difficoltà tecniche addotte, poiché l’iscrizione al Registro è presupposto necessario per svolgere telemarketing telefonico.

Accountability, organizzazione e prova del rispetto delle norme

Il Garante ha qualificato i fatti come indice di una carenza sistematica di misure organizzative e di controllo, tale da integrare la violazione degli artt. 5, par. 2, 24 e 25 GDPR. Non risultano procedure efficaci per verificare la provenienza lecita dei dati, tracciare i trattamenti, documentare i consensi, gestire le liste di esclusione e dimostrare la conformità alle norme lungo la filiera.

Provvedimenti finali, divieti e prescrizioni

L’Autorità ha dichiarato illecito il trattamento e ha adottato i seguenti provvedimenti:

• divieto del trattamento dei dati raccolti senza un consenso informato, libero, specifico, documentato e inequivocabile per finalità di marketing, ai sensi degli artt. 58, par. 2, lett. f), GDPR e 130 Codice privacy;
• ingiunzione di cancellare senza ritardo i dati illecitamente raccolti, salvo conservazione per obblighi di legge o ragioni contrattuali;
• prescrizione, per eventuali futuri trattamenti verso utenze ottenute da terzi, di procedure di verifica costante della liceità dei dati, di misure per facilitare l’esercizio dei diritti, di un’informativa completa e di adeguate procedure di tracciamento dei trattamenti.

Sanzione amministrativa e criteri di quantificazione

È stata applicata una sanzione amministrativa pecuniaria di euro 70.000,00. Il Garante ha richiamato l’art. 83, par. 3, GDPR per il concorso di più violazioni connesse allo stesso trattamento e ha considerato, ai fini della quantificazione, la gravità delle condotte, l’elevato numero di interessati coinvolti, la natura invasiva del telemarketing illecito, la non adeguata cooperazione con l’Autorità e la difformità rispetto alla costante prassi sanzionatoria in materia di marketing. Come attenuanti sono state valorizzate l’assenza di precedenti e il fatto che i dati trattati fossero comuni anagrafici e di contatto.

Ulteriori conseguenze

È stata disposta anche la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Il provvedimento indica inoltre l’obbligo di comunicare entro 30 giorni le iniziative intraprese per dare attuazione alle misure imposte.