Ordinanza ingiunzione o revoca n. 774 del 12/12/2024

Wind Tre S.p.A. – telemarketing illecito, consensi, data breach e sanzione

Il provvedimento riguarda Wind Tre S.p.A. ed è scaturito dalla trattazione congiunta di tre procedimenti distinti: un accertamento d’ufficio sulle attività promozionali, un reclamo per un sms promozionale indesiderato e un reclamo per una violazione di dati personali con mancata notifica al Garante. L’Autorità ha esaminato sia la liceità dei consensi utilizzati per il telemarketing sia l’adeguatezza delle misure tecniche e organizzative adottate dalla società.

Origine del procedimento e attività istruttoria

Il primo procedimento (fasc. 178557) deriva da un’istruttoria d’ufficio avviata nell’ambito del contrasto al telemarketing illecito, in continuità con il provvedimento del 9 luglio 2020 che aveva già impartito prescrizioni alla Società. L’istruttoria ha incluso un’ispezione presso Wind Tre nei giorni 10 e 11 ottobre 2022, l’esame di contratti attivati dai partner, la verifica di numerazioni segnalate al Garante e successivi approfondimenti documentali.

Gli altri due procedimenti originano da reclami: il fasc. 173400 riguarda l’invio di sms promozionali senza consenso, mentre il fasc. 262138 concerne una violazione di dati personali emersa dall’accesso di un cliente all’area personale con visualizzazione dei dati di un altro utente.

Liceità del telemarketing e prova dei consensi

Nel merito delle campagne promozionali, il Garante ha distinto diverse situazioni. Per un primo profilo relativo all’uso di numerazioni non iscritte al ROC, le spiegazioni e la documentazione fornite in fase difensiva hanno superato i rilievi, con conseguente esclusione della violazione.

Diversa la valutazione per i casi in cui Wind Tre non è riuscita a dimostrare adeguatamente la liceità dei consensi e l’adeguatezza dei controlli sui partner. Il provvedimento evidenzia che il titolare ha acquisito liste da terzi senza riuscire a comprovare in modo convincente:

• l’originaria validità dei consensi raccolti;
• la correttezza delle informative rese agli interessati;
• l’adeguatezza dei tempi di conservazione indicati dai partner;
• l’effettiva presenza, al momento dell’accreditamento, dei requisiti richiesti ai fornitori.

Il Garante richiama in particolare gli artt. 5, par. 2, 24 e 28 GDPR, sottolineando la carenza di accountability e il controllo non adeguato sui responsabili o sui soggetti della filiera promozionale. Per tali condotte sono state confermate anche le violazioni degli artt. 6, par. 1 e 7 GDPR e dell’art. 130 del Codice privacy, poiché i consensi utilizzati per il marketing non potevano considerarsi leciti.

Profili specifici relativi ai partner e alle liste fredde

Nel dettaglio, il provvedimento esamina più partner e più liste di contatti. In alcuni casi il Garante ha rilevato che:

• le numerazioni erano state contattate oltre il periodo di conservazione dichiarato nell’informativa;
• l’informativa del sito di raccolta non indicava in modo chiaro e coerente i termini di conservazione;
• mancavano elementi idonei a dimostrare che il partner disponesse, al momento dell’accreditamento, del requisito del rappresentante nell’Unione europea;
• i documenti prodotti da Wind Tre consistevano spesso in estrazioni statiche o in timestamp non sufficienti a provare la data esatta del consenso.

In un caso relativo a un partner che utilizzava il sito listeprofilate.com, l’Autorità ha rilevato anche la mancata nomina del rappresentante in UE ex art. 27 GDPR, oltre a criticità nella documentazione dei consensi e nella durata della conservazione. In altri casi, l’informativa richiamava un periodo di conservazione molto ampio o comunque ambiguo, incompatibile con una corretta informazione all’interessato.

Chiamata promozionale a soggetto che aveva negato il consenso

Un reclamo ha riguardato una chiamata promozionale effettuata nonostante l’interessata avesse negato i consensi facoltativi sin dall’attivazione dell’utenza e avesse successivamente espresso opposizione per contatti indesiderati. Wind Tre ha sostenuto che il contatto provenisse da un partner munito di consenso rilasciato a un fornitore terzo; il Garante ha però chiarito che il consenso eventualmente prestato a un terzo non può prevalere sul diniego espresso verso il titolare.

Ne è derivata la conferma della violazione degli artt. 5, par. 1, lett. a), 6, par. 1 e 7 GDPR, nonché dell’art. 130 del Codice, poiché il trattamento promozionale è stato effettuato in assenza di una valida base giuridica rispetto alla volontà manifestata dall’interessata.

Esito su una diversa contestazione relativa alle liste autorizzate

Per un ulteriore profilo, relativo al raffronto tra numerazioni chiamate e numerazioni autorizzate, il Garante ha preso atto delle chiarificazioni fornite dalla Società, secondo cui i numeri autorizzati rappresentavano solo una parte delle campagne svolte e i 3402 contratti esaminati costituivano l’intera produzione di una specifica settimana. Tale profilo è stato quindi archiviato.

Misure organizzative e tecniche adottate da Wind Tre

Il provvedimento dà atto di una serie di interventi correttivi e preventivi messi in campo dalla Società, tra cui:

• centralizzazione delle attività di telemarketing tramite il sistema Campaign Management;
• integrazione dei sistemi dei partner via API per ridurre l’inserimento autonomo di liste;
• registrazione in black list delle revoche di consenso raccolte durante le chiamate;
• formazione del personale e dei partner;
• pagina web dedicata alle segnalazioni di chiamate moleste;
• misure di contrasto al CLI spoofing, incluso il blocco delle chiamate internazionali con CLI non conforme;
• implementazione di controlli sulla filiera e di verifiche di quality check su tutti i contratti attivati;
• sospensione dell’acquisto di liste fredde per il mercato consumer dal 1° dicembre 2022 e passaggio a logiche lead con double opt-in.

Il Garante riconosce tali interventi come rilevanti, ma osserva che non eliminano la responsabilità per le violazioni già commesse.

Data breach e accesso non autorizzato all’area clienti

Nel procedimento relativo alla violazione di dati personali, Wind Tre ha spiegato che l’evento era stato causato dall’eliminazione di un controllo di sicurezza nella procedura di login, adottata per semplificare l’accesso e ridurre i dati richiesti in fase di autenticazione. Tale scelta, tuttavia, ha consentito l’associazione errata tra codice cliente e anagrafica CRM, con conseguente visualizzazione di dati di un altro cliente.

Il Garante ha ritenuto inadeguate le misure tecniche adottate all’epoca dei fatti, con violazione degli artt. 5, par. 1, lett. f) e 32 GDPR. Ha inoltre confermato la violazione dell’art. 33 GDPR, poiché la notificazione al Garante era dovuta: il fatto che l’evento fosse stato tempestivamente sanato o che il pregiudizio non fosse ritenuto grave non esonerava dall’obbligo di notifica della violazione di dati personali.

Valutazione finale, sanzione e criteri di quantificazione

L’Autorità ha ritenuto che tutte le violazioni accertate fossero già state sanate nel corso dell’istruttoria e ha quindi escluso l’adozione di ulteriori misure correttive. Ha invece disposto l’ordinanza ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 58, par. 2, lett. i), GDPR.

Ai fini della quantificazione della sanzione, il Garante ha applicato l’art. 83, par. 3 e 5, GDPR, prendendo come riferimento il massimo edittale calcolato sul fatturato annuo della società. Sono state considerate come aggravanti la colpa, la mancata diligenza nella selezione dei fornitori di liste e nella modifica del sistema di registrazione, mentre tra gli elementi attenuanti sono stati valorizzati:

• il basso livello di danno per gli interessati;
• le misure adottate dalla Società;
• la cooperazione con l’Autorità;
• la natura di dati comuni dei trattamenti.

La sanzione amministrativa pecuniaria è stata fissata in euro 347.520,00, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice entro 30 giorni, e con disposizione di pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante.