Ordinanza ingiunzione o revoca n. 430 del 15/12/2022

Assiteca S.p.A. - sanzione per gestione illecita dei consensi nei portali assicurativi

Il provvedimento riguarda Assiteca S.p.A., a seguito di un accertamento ispettivo sui trattamenti effettuati tramite i siti www.6sicuro.it e www.chiarezza.it, utilizzati per la raccolta di dati finalizzati alla comparazione di preventivi assicurativi e alle attività promozionali collegate. L’istruttoria ha evidenziato criticità nella gestione dei consensi, nella chiarezza dell’informativa, nella conservazione dei dati e nell’utilizzo dei dati per marketing e telemarketing.

Origine dell’istruttoria e svolgimento degli accertamenti

L’attività ispettiva è stata svolta nei giorni 28 febbraio, 1° e 2 marzo 2022. Il Garante ha verificato, anche tramite simulazioni di compilazione dei moduli online e successivi accessi ai sistemi interni, il funzionamento dei siti e la corrispondenza tra le scelte effettuate dagli utenti e le registrazioni presenti nei database.

L’accertamento era stato avviato d’ufficio nell’ambito della pianificazione ispettiva per il primo semestre 2022 e teneva conto anche di alcune segnalazioni e di un reclamo. La società ha chiarito che i servizi dei due portali erano stati realizzati da 6Sicuro S.p.A., incorporata in Assiteca nel luglio 2021, con sistemi informativi ancora separati al momento della verifica.

Trattamenti esaminati

Dal provvedimento emerge che i trattamenti riguardavano:

• l’elaborazione di preventivi assicurativi;
• l’invio di comunicazioni promozionali via e-mail, SMS e telefono;
• la comunicazione/cessione dei dati a terzi per loro autonome finalità promozionali;
• attività di profilazione e di ricerca;
• la gestione delle richieste e dei consensi degli interessati.

Il registro dei trattamenti allegato dalla società distingue infatti tra elaborazione preventivi e iniziative di marketing, cessione dati a terzi, profilazione e newsletter, con base giuridica indicata nel consenso e conservazione “fino a revoca del consenso”.

Criticità tecniche e gestione dei consensi

L’Autorità ha rilevato diverse anomalie:

• in fase di compilazione dei moduli online erano richiesti consensi distinti, alcuni dei quali qualificati come “obbligatori”, anche per la presa visione dell’informativa e per la comunicazione dei dati alle compagnie assicurative;
• in uno dei portali i consensi facoltativi risultavano già pre-selezionati all’accesso, perché il sistema recuperava lo stato dei consensi già registrati;
• nel sito chiarezza.it compariva un pop-up con la domanda “Possiamo contattarti in merito a questo preventivo? SI/NO”; la società ha spiegato che serviva a consentire un contatto anche se il preventivo non veniva completato;
• dopo l’invio della e-mail di conferma con il link “vai al preventivo”, il clic sul link produceva, per un bug di sistema, la valorizzazione automatica a “sì” di consensi facoltativi anche non prestati.

La società ha poi riconosciuto il malfunzionamento, attribuendolo a un bug che ha riguardato circa 9.700 anagrafiche, e ha successivamente corretto il sistema, precisando che solo 2.155 utenti avevano subito una vera variazione del consenso, mentre negli altri casi vi era sovrascrittura di un consenso già espresso.

Utilizzo dei dati per marketing e telemarketing

Assiteca ha dichiarato di utilizzare i dati per comunicazioni promozionali e di cederli a terzi solo quando risultava uno specifico consenso. Tuttavia, l’istruttoria ha evidenziato che per un interessato segnalante non risultava acquisito alcun consenso, eppure i suoi dati erano stati ceduti per campagne di telemarketing nel 2020 e nel 2021. Inoltre, lo stesso interessato era stato contattato anche dopo aver manifestato opposizione il 28 gennaio 2021.

Il Garante ha quindi ritenuto integrata la violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130 del Codice privacy, in relazione all’attività promozionale svolta senza un valido consenso.

Informativa privacy, profilazione e chiarezza delle finalità

Nel corso del procedimento è stato contestato anche il contenuto dell’informativa privacy. L’Autorità ha osservato che alcune formulazioni erano poco chiare e potevano generare confusione sulle finalità effettive del trattamento, soprattutto per quanto riguardava:

• le finalità di comunicazione e commerciali;
• la comunicazione a terzi;
• la profilazione.

Il Garante ha rilevato che l’informativa presentava una descrizione eterogenea e non sufficientemente univoca delle finalità, tanto da non consentire all’interessato di comprendere con chiarezza se la profilazione fosse finalizzata a customer satisfaction, statistiche, ricerche di mercato oppure a invio di offerte personalizzate. La società ha poi chiarito di non aver svolto profilazione per marketing, ma solo per determinare il profilo di rischio in qualità di intermediario assicurativo, e ha successivamente modificato il testo dell’informativa.

Conservazione dei dati

Un ulteriore profilo di violazione ha riguardato i tempi di conservazione. Dalle verifiche è emerso che la società non aveva definito preventivamente termini specifici per le diverse finalità, limitandosi a indicare nei documenti interni una conservazione “fino a revoca del consenso”. In sede difensiva Assiteca ha affermato di aver poi fissato i tempi di conservazione.

Il Garante ha però ribadito che il consenso non esonera il titolare dall’obbligo di stabilire a priori tempi di conservazione e di indicarli nell’informativa. Ne ha quindi confermato la violazione dell’art. 5, par. 1, lett. e), GDPR.

Qualificazione giuridica delle violazioni

Il Garante ha ritenuto sussistenti, complessivamente, violazioni degli artt. 5, par. 1, lett. a), d) ed e), 6, par. 1, lett. a), 7, 13 e 24 GDPR, nonché dell’art. 130 del Codice privacy.

In particolare, ha ritenuto che:

• i trattamenti non fossero sempre supportati da consensi validamente acquisiti;
• le anomalie tecniche avessero alterato la volontà espressa dagli interessati;
• l’informativa non fosse sufficientemente chiara;
• i tempi di conservazione non fossero stati stabiliti preventivamente;
• l’organizzazione dei sistemi, centrata sul preventivo e non sull’utente, non garantisse adeguatamente la corretta gestione nel tempo delle scelte degli interessati.

Misure correttive già adottate

La società ha prodotto una memoria difensiva e ha rappresentato di aver intrapreso una riorganizzazione complessiva dei sistemi, anche per effetto della fusione con 6Sicuro S.p.A. In particolare ha dichiarato di:

• aver acquistato un nuovo sistema CRM;
• aver ingegnerizzato i portali in una nuova versione, ultimata a settembre 2022;
• aver riformulato l’informativa privacy;
• aver eliminato la funzionalità dei consensi pre-flaggati;
• aver distinto chiaramente consenso, presa visione e altre dichiarazioni;
• aver definito i tempi di conservazione;
• aver pianificato audit almeno annuali.

L’Autorità ha preso atto delle correzioni e ha ritenuto non necessario adottare ulteriori prescrizioni.

Valutazioni del Garante e sanzione

Ai fini della sanzione, il Garante ha applicato l’art. 83, par. 3, GDPR, considerando che le violazioni riguardavano trattamenti collegati e che, quindi, la sanzione complessiva non poteva superare il massimo previsto per la violazione più grave. Poiché, sulla base dell’ultimo bilancio disponibile, il 4% del fatturato risultava inferiore a 20 milioni di euro, è stato assunto come massimo edittale quello di 20 milioni.

Tra le circostanze aggravanti sono state valorizzate:

• l’ampia portata dei trattamenti, che hanno coinvolto 9.700 interessati per alcuni mesi;
• la gravità della lesione della volontà espressa dagli utenti;
• il fatto che le violazioni fossero emerse nel corso di un’attività ispettiva avviata d’ufficio.

Tra le circostanze attenuanti sono state considerate:

• l’assenza di intenzionalità dolosa;
• la recente integrazione societaria e il conseguente disallineamento dei sistemi;
• la tempestiva adozione di misure correttive, in parte già avviate prima dell’ispezione;
• gli investimenti effettuati per la conformità dei trattamenti;
• la tempestiva gestione delle richieste di esercizio dei diritti;
• l’assenza di precedenti violazioni pertinenti;
• l’elevato grado di cooperazione con l’Autorità.

All’esito, il Garante ha determinato la sanzione in euro 120.000, pari allo 0,6% del massimo edittale considerato.

Dispositivo e rimedi

Il provvedimento ha ordinato ad Assiteca S.p.A. di pagare la sanzione amministrativa pecuniaria di euro 120.000, con facoltà di definizione agevolata mediante pagamento della metà entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy. In caso di mancata definizione, la somma va pagata entro 30 giorni dalla notificazione, con le conseguenze esecutive previste dalla legge n. 689/1981.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante, come sanzione accessoria ai sensi dell’art. 166, comma 7, del Codice privacy.

Implicazioni operative

Il provvedimento conferma alcuni punti di attenzione rilevanti per i titolari che operano con portali online e raccolta massiva di dati:

• il consenso deve essere effettivamente libero, specifico e correttamente gestito nei sistemi;
• i bug o disallineamenti tecnici possono integrare violazioni se alterano la volontà dell’interessato;
• l’informativa deve descrivere in modo chiaro e univoco le finalità, soprattutto quando vi siano marketing, profilazione e cessione a terzi;
• i tempi di conservazione devono essere definiti ex ante e non possono essere rimessi alla sola revoca del consenso;
• la correzione successiva delle criticità non elimina la responsabilità, ma può incidere sulla quantificazione della sanzione.