Prescrizioni del Garante n. 623 del 17/10/2024

Barò Cosmetics S.p.A. - ammonimento per sms promozionali inviati dopo la richiesta di cancellazione

Il provvedimento riguarda Barò Cosmetics S.p.A. e trae origine da un reclamo di un interessato che aveva ricevuto sms promozionali dopo aver chiesto la cancellazione dei propri dati e l'interruzione delle comunicazioni. Il Garante ha ritenuto la condotta illecita, ma ha applicato un ammonimento in luogo della sanzione pecuniaria, qualificando la violazione come minore.

Origine del procedimento

Il procedimento è stato avviato a seguito del reclamo pervenuto l'8 ottobre 2023. Il reclamante lamentava di aver continuato a ricevere messaggi promozionali nonostante la richiesta di cancellazione. La Società aveva già risposto all'interessato sostenendo di aver recepito l'opposizione; tale circostanza è stata poi confermata anche nei riscontri forniti al Garante.

Ricostruzione dei fatti

Nella nota del 5 febbraio 2024, Barò ha precisato che la mancata cancellazione immediata del numero derivava da un errore umano verificatosi mentre erano in corso rilevanti modifiche dei sistemi informativi aziendali. La trasformazione era finalizzata a una gestione centralizzata delle anagrafiche dei clienti e dei consensi per finalità promozionali. Secondo quanto dichiarato, il reparto informatico non avrebbe recepito la richiesta inoltrata dal servizio clienti.

Il Garante ha dato atto che, in base alla documentazione in atti, la Società aveva inviato un numero esiguo di sms nel periodo compreso tra la richiesta di cancellazione e il successivo recepimento dell'istanza.

Norme contestate

Con l'atto di avvio del 23 aprile 2024, il Garante ha contestato la violazione:

• dell'art. 6, par. 1, lett. a), GDPR;
• dell'art. 17 GDPR;
• dell'art. 130, comma 2, del Codice privacy.

La contestazione riguardava il mancato rispetto del diritto di cancellazione e il fatto che l'invio di comunicazioni promozionali dopo l'opposizione non fosse più sorretto da un valido consenso.

Difese della società

Nella memoria del 17 maggio 2024, Barò ha ribadito che l'episodio era riconducibile a un errore umano non prevedibile, inserito in una fase di mutamenti infrastrutturali. Ha inoltre evidenziato di avere preso in carico la richiesta e di avere risposto al reclamante entro 24 ore, a dimostrazione dell'attenzione verso i diritti degli interessati e dell'efficacia delle procedure interne.

La Società ha anche sottolineato la propria dimensione di piccola impresa, attiva da nove anni, e l'assenza di analoghi casi precedenti.

Valutazioni del Garante

L'Autorità ha ribadito che, ai sensi dell'art. 130, comma 2, del Codice, l'invio di sms promozionali è lecito solo in presenza di un idoneo consenso, salvo la deroga prevista dall'art. 130, comma 4. Quando il consenso viene revocato e l'interessato chiede la cancellazione, la prosecuzione dell'invio non è più giustificata da alcuna base giuridica.

Nel caso concreto, il Garante ha ritenuto decisive le circostanze attenuanti, in particolare:

• il carattere episodico dell'evento, legato a una fase di trasformazione tecnico-organizzativa;
• l'assenza di pregiudizio per l'interessato;
• l'assenza di precedenti violazioni pertinenti;
• l'elevato grado di cooperazione con l'Autorità;
• il miglioramento dei processi descritto dalla Società, orientato a rafforzare il controllo centralizzato delle anagrafiche e a consentire agli interessati la modifica autonoma dei consensi.

Sono stati considerati anche la natura di piccola impresa del titolare e i dati di bilancio.

Esito e qualificazione della violazione

Il Garante ha qualificato le infrazioni come "violazione minore" ai sensi dell'art. 83, par. 2, GDPR e del considerando 148. Ha quindi ritenuto non necessario applicare una sanzione amministrativa pecuniaria, reputando sufficiente, proporzionato e dissuasivo un ammonimento ai sensi degli artt. 57, par. 1, lett. f), e 58, par. 2, lett. b), GDPR.

Dispositivo

Nel dispositivo, il Garante:

• ha dichiarato illecita la condotta di Barò Cosmetics S.p.A. per la violazione degli artt. 6, par. 1, lett. a), e 17 GDPR, nonché dell'art. 130, comma 2, del Codice privacy;
• ha rivolto alla Società un ammonimento;
• ha ritenuto sussistenti i presupposti di cui all'art. 17 del Regolamento n. 1/2019 sulle procedure interne del Garante.

È stato infine ricordato che avverso il provvedimento è proponibile opposizione davanti all'autorità giudiziaria ordinaria nei termini previsti dall'art. 78 GDPR e dalla normativa nazionale richiamata.