Ordinanza ingiunzione o revoca n. 401 del 20/06/2024

Fastweb S.p.A. – telemarketing illecito, RPO, informativa e diritti degli interessati

Il provvedimento riguarda Fastweb S.p.A. ed è il risultato di due procedimenti avviati dal Garante a seguito di plurime segnalazioni e reclami su contatti promozionali indesiderati, gestione dei consensi, conservazione dei dati di clienti ed ex clienti e mancato riscontro alle istanze degli interessati. L’Autorità ha riunito i procedimenti e ha concluso per diverse violazioni del GDPR e del Codice privacy.

Attività istruttoria e fatti contestati

L’istruttoria ha preso le mosse da una richiesta di informazioni del 2 dicembre 2022, relativa a 58 fascicoli, e da ulteriori approfondimenti su campagne promozionali, contatti outbound, websales, utilizzo del Registro pubblico delle opposizioni e gestione delle istanze di esercizio dei diritti. Successivamente, con un secondo atto del 29 febbraio 2024, il Garante ha ampliato la contestazione a ulteriori profili, tra cui l’uso di una base giuridica inidonea per trattamenti promozionali sui clienti e sugli ex clienti, la carenza dell’informativa e il ritardo nel riscontro ad alcuni interpelli.

Telemarketing, websales e RPO

Dalle verifiche effettuate è emerso che, nel periodo campione considerato, Fastweb aveva effettuato contatti telefonici su numerazioni che avrebbero richiesto una preventiva verifica del Registro pubblico delle opposizioni. In particolare, il Garante ha accertato 82 numeri contattati dopo il giorno di acquisizione del consenso in modalità websales senza adeguata consultazione preventiva del RPO. L’Autorità ha richiamato la disciplina dell’art. 130 del Codice, il d.P.R. n. 26/2022 e la legge n. 5/2018, ribadendo che la verifica del RPO è obbligatoria quando il ricontatto non avvenga contestualmente alla raccolta del consenso.

Base giuridica dei trattamenti promozionali

Il Garante ha ritenuto illegittimo l’impianto complessivo di Fastweb nella parte in cui considerava sufficiente il legittimo interesse per contattare telefonicamente i clienti in essere e gli ex clienti fino a 24 mesi dalla cessazione del rapporto. Secondo l’Autorità, per le comunicazioni promozionali via telefono verso numerazioni riservate la base giuridica è il consenso, mentre la disciplina del cosiddetto soft spam di cui all’art. 130, comma 4, Codice riguarda solo l’e-mail e non è estensibile in via analogica al telefono.

Il Garante ha quindi escluso che il richiamo al considerando 47 GDPR o al legittimo interesse possa derogare alla disciplina speciale sulle comunicazioni elettroniche commerciali. Ha inoltre osservato che il trattamento dei numeri di telefono per finalità promozionali, in assenza di consenso valido, contrasta con gli artt. 6, 7 GDPR e 130 Codice.

Informativa privacy e modulo consensi

L’Autorità ha ritenuto non conforme l’informativa privacy, perché non chiariva in modo adeguato le distinzioni tra trattamenti contrattuali e trattamenti promozionali né indicava correttamente le diverse basi giuridiche applicabili ai diversi canali di contatto. In particolare, i trattamenti di "aggiornamento dell’offerta" erano stati inseriti in modo equivoco e non separato rispetto alla fornitura del servizio.

Anche il modulo "consensi e preferenze di contatto" è stato giudicato inadeguato. Secondo il Garante, nei casi in cui il consenso è l’unica base giuridica, l’interessato deve poterlo prestare in modo espresso, preventivo, specifico e inequivocabile; non è sufficiente un sistema costruito come mancata opposizione o semplice preferenza sul canale di contatto.

Riscontro alle istanze degli interessati

Il Garante ha esaminato anche alcune istanze di cancellazione, rettifica e opposizione presentate dagli interessati. Ha ritenuto fondati solo alcuni rilievi difensivi della società, mentre per altri fascicoli ha accertato il ritardo nel riscontro oltre il termine di cui all’art. 12, par. 3 GDPR.

In particolare, sono stati valorizzati i ritardi relativi ai fascicoli n. 325741, 317883, 292562 e 331661. In questi casi Fastweb ha risposto da uno a diversi mesi dopo la richiesta, senza fornire una giustificazione idonea. L’Autorità ha quindi confermato la violazione degli artt. 12, 15-22 GDPR.

Valutazioni del Garante e violazioni accertate

Il Garante ha ritenuto accertate, in sintesi, le seguenti violazioni:

• mancata consultazione del RPO nei casi di websales successivi alla raccolta del consenso;
• uso del legittimo interesse al posto del consenso per le telefonate promozionali ai clienti e agli ex clienti;
• trattamenti non conformi ai principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della finalità e responsabilizzazione;
• informativa carente;
• ritardo nel riscontro alle istanze di esercizio dei diritti.

Misure correttive e prescrizioni

Il Garante ha ordinato a Fastweb di:

• vietare il trattamento di tutti i numeri il cui consenso marketing è stato raccolto in modalità websales;
• informare massivamente i titolari di tali numerazioni della violazione subita;
• adottare una procedura di consultazione del RPO per i numeri ricontattati dal giorno successivo alla raccolta del consenso websales;
• introdurre un sistema di double opt-in per i consensi raccolti online;
• riformulare l’informativa separando i trattamenti di "aggiornamento dell’offerta" e indicando le basi giuridiche corrette per ciascun canale;
• adeguare il modulo consensi affinché il consenso, quando necessario, sia espresso, specifico e preventivo;
• informare gli istanti dei ritardi con cui sono stati riscontrati;
• concludere gli interpelli sui diritti degli interessati entro i termini di legge e con provvedimento espresso e motivato.

Sanzione amministrativa e pubblicazione

Per le violazioni accertate è stata irrogata una sanzione amministrativa pecuniaria di 1.000.000,00 euro. Il Garante ha determinato il massimo edittale in 106.444.795,00 euro, pari al 4% del fatturato 2023 di Fastweb, e ha applicato la sanzione tenendo conto della gravità delle violazioni, della cooperazione prestata dalla società e del rispetto di precedenti provvedimenti.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Fastweb è stata infine avvertita della possibilità di definire la controversia con il pagamento in misura ridotta ai sensi dell’art. 166, comma 8, del Codice.