Ordinanza ingiunzione o revoca n. 393 del 18/07/2023

Università Telematica e-Campus: sms promozionali illeciti, mancato riscontro ai diritti e sanzione

Il provvedimento riguarda l’Università Telematica e-Campus, destinataria di reclami e segnalazioni per l’invio di comunicazioni promozionali via sms e telefono e per il reiterato mancato riscontro alle richieste di cancellazione, opposizione e accesso presentate dagli interessati. Il Garante ha inoltre contestato il mancato riscontro a due richieste di informazioni formulate dall’Autorità ai sensi dell’art. 157 del Codice privacy.

Origine del procedimento e istruttoria

Il procedimento trae origine dal reclamo del 4 gennaio 2022 di una interessata, che lamentava la ricezione di sms promozionali e il mancato riscontro a ripetute richieste di cancellazione dei dati inviate all’indirizzo privacy indicato nell’informativa e al Responsabile della protezione dei dati. Un secondo reclamo del 30 marzo 2022, proposto da un altro interessato, descriveva la medesima situazione: sms indesiderati e richieste di cancellazione rimaste senza esito.

L’Ufficio ha chiesto informazioni all’Università il 15 marzo 2022 e il 27 maggio 2022; entrambe le richieste sono rimaste inevase, nonostante i solleciti e la notifica degli atti di avvio del procedimento tramite Nucleo speciale privacy della Guardia di Finanza. L’Università ha poi depositato memorie difensive e chiesto audizioni, ma le difese non hanno chiarito le ragioni dei mancati riscontri e, in un caso, l’audizione è stata rinviata più volte fino a risultare deserta.

Mancato riscontro ai diritti degli interessati

Il Garante ha rilevato una carenza sistemica nelle procedure interne deputate a gestire le richieste di esercizio dei diritti. Le istanze, inoltrate ai recapiti indicati nell’informativa privacy e talvolta anche al DPO, risultavano ignorate o evase solo tardivamente e in modo inidoneo.

In particolare:

• la risposta della contitolare richiamata dall’Università non era sufficiente, perché non spiegava il rapporto di contitolarità né chiariva di rispondere per conto dell’Università;
• dopo la presunta cancellazione dei dati, l’interessata continuava comunque a ricevere sms promozionali;
• altri segnalanti avevano chiesto ripetutamente cancellazione, origine dei dati e opposizione, senza ottenere riscontri adeguati.

Il Garante ha quindi ravvisato la violazione degli artt. 5, par. 1, lett. a), 12, 15, 17 e 21 GDPR, nonché degli artt. 5, par. 2, e 24 GDPR, ritenendo necessario imporre un adeguamento delle misure tecniche e organizzative e delle istruzioni agli incaricati per garantire risposte tempestive e idonee.

Invio di comunicazioni promozionali senza idoneo consenso

Tutte le doglianze riguardavano comunicazioni promozionali indesiderate su servizi dell’Università, veicolate via sms e, in un caso, tramite telefonata con operatore. L’Università ha tentato di giustificare il trattamento richiamando un presunto consenso originario oppure, in via alternativa, il legittimo interesse.

Il Garante ha escluso tale impostazione. Ha ricordato che l’invio di comunicazioni promozionali tramite canali elettronici è disciplinato dall’art. 130 del Codice privacy, che consente il trattamento solo in presenza di idoneo consenso, salvo limitate eccezioni non ricorrenti nel caso di specie. La mera invocazione del legittimo interesse non è sufficiente per sms e telemarketing, in quanto la disciplina speciale del marketing elettronico prevale.

Inoltre, l’Università non ha documentato in modo valido il consenso:

• la documentazione prodotta in un caso consisteva in una lista incomprensibile di parole e numeri, non idonea a provare un consenso specifico;
• per gli altri segnalanti non è stata fornita prova dell’origine lecita dei dati né della base giuridica del trattamento;
• le richieste di opposizione e cancellazione non hanno impedito la prosecuzione delle comunicazioni.

Il Garante ha quindi dichiarato la violazione degli artt. 6, par. 1, lett. a), e 7, par. 1, GDPR, nonché dell’art. 130 Codice privacy. È stato disposto il divieto di trattare per finalità promozionali i dati di cui l’Università non sia in grado di documentare un idoneo consenso.

Conservazione dei dati e trasparenza informativa

Il provvedimento affronta anche il tema dei tempi di conservazione dei dati per finalità promozionali. L’informativa resa disponibile sul sito dell’Università indicava in modo generico che i dati sarebbero stati conservati per il tempo necessario al perseguimento dell’interesse del titolare e, in particolare, fino al perfezionamento dell’immatricolazione, senza distinguere chiaramente i tempi relativi al marketing.

Secondo il Garante, tale formulazione non soddisfa i requisiti di trasparenza dell’art. 13, par. 2, lett. a), GDPR. Inoltre, la durata concreta del trattamento, protrattosi per anni, è stata ritenuta eccessiva e potenzialmente sine die, in assenza di una previa valutazione del titolare che definisse in modo puntuale durata e decorrenza del termine di conservazione.

È stata pertanto accertata anche la violazione dell’art. 5, par. 1, lett. e), GDPR, con ingiunzione di stabilire tempi di conservazione appropriati e di comunicarli agli interessati nell’informativa privacy.

Mancato riscontro alle richieste del Garante

L’Università non ha risposto alle due richieste di informazioni formulate dal Garante ai sensi dell’art. 157 del Codice privacy, costringendo l’Autorità a ricorrere alla notifica tramite Guardia di Finanza. Non sono state fornite giustificazioni convincenti né in memoria né in audizione.

Il Garante ha ritenuto tale condotta violativa dell’art. 157 del Codice e l’ha valorizzata anche ai fini sanzionatori, quale indice di scarsa cooperazione con l’Autorità.

Valutazione complessiva e sanzione

Ai fini della quantificazione della sanzione, il Garante ha applicato i criteri dell’art. 83 GDPR, evidenziando come aggravanti:

• la durata e gravità delle violazioni, protratte per anni;
• il carattere gravemente colposo delle condotte;
• l’assenza di misure tecniche e organizzative adeguate;
• la scarsa cooperazione con l’Autorità.

Come attenuanti sono stati considerati:

• il numero limitato di interessati coinvolti;
• l’assenza di precedenti analoghi;
• la natura non sensibile dei dati trattati.

La sanzione amministrativa pecuniaria è stata determinata in euro 75.000,00, ritenuta effettiva, proporzionata e dissuasiva anche in relazione alle capacità economiche del titolare.

Dispositivo

Il Garante ha:

• dichiarato illecito il trattamento nei termini descritti in motivazione;
• ingiunto di rivedere misure tecniche e organizzative e di impartire istruzioni agli incaricati;
• ingiunto di verificare la documentazione del consenso per i trattamenti promozionali, anche se affidati a terzi;
• imposto il divieto di trattamento per finalità promozionali dei dati privi di consenso documentabile;
• ingiunto di stabilire appropriati tempi di conservazione e di darne informazione nell’informativa;
• ordinato di comunicare entro 30 giorni le iniziative adottate;
• irrogato la sanzione di euro 75.000,00;
• disposto la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

È stata inoltre richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.