Ordinanza ingiunzione o revoca n. 51 del 23/02/2023

Ediscom S.p.A. - trattamento dati per marketing, dark pattern e liste di terzi

Il provvedimento riguarda Ediscom S.p.A., operatore del settore marketing che utilizza un ampio database di contatti per campagne promozionali via e-mail, sms e chiamate automatizzate, nonché per il noleggio e la gestione di liste provenienti da terzi. Il procedimento è stato avviato a seguito di reclami e di un’attività ispettiva svolta nel novembre 2021, integrata da verifiche d’ufficio sui portali della società e sulla documentazione contrattuale.

Origine dell’istruttoria e trattamenti esaminati

L’Autorità ha analizzato:

• la raccolta diretta di dati tramite portali web di proprietà di Ediscom;
• l’acquisizione di liste da terzi, sia come autonomi titolari sia nell’ambito di rapporti descritti come gestione database o affiliazione;
• la gestione delle richieste di cancellazione, opposizione e revoca del consenso;
• l’idoneità dei controlli sulle banche dati acquisite;
• l’invio di comunicazioni promozionali a soggetti che avevano contestato o revocato il consenso.

La banca dati esaminata risultava composta da circa 21 milioni di interessati.

Raccolta tramite i portali Ediscom e utilizzo di dark pattern

Dalle verifiche sui siti gestiti da Ediscom è emersa una progettazione delle interfacce considerata idonea a orientare indebitamente l’utente verso il consenso. In particolare, in alcuni percorsi di iscrizione:

• il rifiuto era graficamente meno evidente dell’accettazione;
• comparivano pop-up ulteriori e non necessari che sollecitavano nuovamente il consenso;
• venivano usate schermate che rendevano poco visibile l’opzione per proseguire senza aderire;
• in alcuni casi non era prevista una conferma via e-mail, mentre in altri il processo terminava con un messaggio di conferma.

Il Garante ha ritenuto che tali modalità integrassero un uso di modelli oscuri incompatibile con la libertà e consapevolezza del consenso, in violazione degli artt. 5, par. 1, lett. a), 7, par. 2, e 25 GDPR.

Raccolta di dati eccedenti e finalità di profilazione

In molti portali era richiesto l’inserimento obbligatorio di numerose informazioni, anche non strettamente necessarie per il servizio: reddito, abitudini di acquisto, composizione del nucleo familiare, attività lavorativa, presenza di bambini o animali domestici e altri dati analoghi. L’Autorità ha ritenuto che tale raccolta fosse eccedente rispetto alla finalità dichiarata e potesse servire a costruire profili e preferenze degli utenti.

Il trattamento è stato quindi valutato come contrario ai principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della finalità, con richiamo agli artt. 5, par. 1, lett. a), b) e c), 6 e 7 GDPR.

Informativa non resa prima della raccolta in www.testadiquiz.it

Per il portale www.testadiquiz.it il Garante ha contestato l’assenza, in home page, di indicazioni sul soggetto intestatario del sito e la mancata disponibilità dell’informativa privacy prima della compilazione del form. Il link all’informativa compariva solo al termine del processo, quando l’utente era già arrivato alla fase di raccolta dei consensi.

È stata ravvisata la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, oltre al rilievo che l’utente veniva indotto a conferire i dati senza poter prima conoscere il titolare e le condizioni del trattamento.

Dati di soggetti terzi indicati dagli utenti

In diversi form veniva chiesto all’utente di inserire nome ed e-mail di altre persone potenzialmente interessate al servizio. Il Garante ha escluso che il consenso del referenziante possa legittimare il trattamento dei dati del terzo e ha ritenuto non configurabile una base giuridica valida ai sensi dell’art. 6 GDPR.

La procedura è stata considerata inoltre incompatibile con gli obblighi informativi verso il terzo e con le regole sui contatti promozionali, con richiamo agli artt. 14 GDPR e 130 del Codice privacy. È stato conseguentemente imposto il divieto di trattare dati personali raccolti con tali modalità in assenza di idonea base giuridica.

Interazione tra servizi e profili creati automaticamente

Un ulteriore profilo critico ha riguardato il collegamento tra i diversi portali del gruppo. Dopo la registrazione a un primo sito, l’utente veniva indirizzato verso www.you.tipiace.it, dove ritrovava un profilo già creato con i dati inseriti nel primo servizio e con consensi pre-selezionati.

Il Garante ha ritenuto che tale meccanismo compromettesse la libertà del consenso e la trasparenza, oltre a estendere i dati raccolti per una finalità a un’altra iscrizione non percepibile come distinta o facoltativa. È stata quindi ravvisata la violazione degli artt. 5, par. 1, lett. a) e b), 6, par. 1, lett. a), e 7 GDPR, con divieto di trattare i dati così raccolti quando non sia documentabile un consenso espresso liberamente.

Qualificazione dei ruoli e gestione database

Uno dei punti centrali del provvedimento è la contestazione della qualificazione di Ediscom come responsabile del trattamento nei rapporti di gestione database e, in parte, di affiliazione. L’Autorità ha ritenuto che, in realtà, la società operasse come titolare autonomo, poiché i dati confluiscono in un database unico di cui Ediscom determina le finalità e i mezzi, usandoli per campagne promozionali per i propri clienti.

L’erronea qualificazione ha avuto effetti concreti: le opposizioni e le revoche indirizzate a Ediscom non sono state sempre rispettate nei confronti dei dati provenienti da database gestiti per conto terzi, con conseguente invio di messaggi a soggetti che si erano già opposti. Il Garante ha ravvisato la violazione dell’art. 5, par. 1, lett. a), e degli artt. 17 e 21 GDPR, rivolgendo un ammonimento sulle conseguenze di rapporti contrattuali privi di chiara definizione dei ruoli.

Verifiche sui fornitori e idoneità delle prove di consenso

Ediscom dichiarava di verificare le liste acquisite da terzi chiedendo la prova del consenso e i dati tecnici di registrazione. Tuttavia, il Garante ha rilevato che:

• la documentazione prodotta copriva solo una parte dei fornitori;
• non era sempre indicata la data delle verifiche;
• in alcuni casi era stato acquisito un database pur in presenza di informative carenti, ad esempio senza rappresentante in UE;
• il semplice indirizzo IP non era considerato sufficiente a dimostrare un consenso inequivocabile;
• in alcuni casi il consenso risultava risalente a epoca precedente al GDPR, senza rivalutazione dell’idoneità.

Ne è derivata la violazione degli artt. 5, par. 2, e 24 GDPR.

Consenso per i messaggi promozionali e trattamenti senza base giuridica

In più casi Ediscom ha inviato comunicazioni promozionali senza un consenso valido o dopo che l’interessato aveva esercitato l’opposizione o la cancellazione. L’Autorità ha ritenuto che non fosse sufficiente la sola registrazione a un sito o la partecipazione a una lotteria per dimostrare un consenso specifico al marketing.

Sono state quindi confermate le violazioni degli artt. 6, par. 1, lett. a), e 7 GDPR, nonché dell’art. 130 del Codice privacy per l’invio di sms ed e-mail promozionali in assenza di consenso.

Difese della società e misure correttive dichiarate

Nella memoria difensiva e in audizione Ediscom ha rappresentato di aver adottato varie misure correttive:

• modifica della grafica dei pop-up di consenso;
• introduzione dell’invio di e-mail di conferma;
• revisione del meccanismo di creazione automatica del profilo su you.tipiace.it;
• mappatura e rinegoziazione dei contratti con i partner;
• rafforzamento della procedura di verifica delle liste di terzi;
• formazione del personale e incremento delle risorse dedicate al controllo dei database.

Ha inoltre sostenuto che alcuni siti erano di test e che i dati dei soggetti referenziati non venissero salvati. Il Garante ha preso atto dei correttivi, ma ha confermato le violazioni già contestate per il periodo esaminato.

Provvedimenti correttivi e sanzionatori

Il Garante ha adottato i seguenti interventi:

• ammonimento, ai sensi dell’art. 58, par. 2, lett. b), per la procedura che può comportare profilazione senza specifico consenso;
• divieto di trattare dati personali dei soggetti presentati da altri utenti in assenza di idonea base giuridica, ai sensi dell’art. 58, par. 2, lett. f);
• divieto di trattare i dati raccolti tramite l’interazione tra servizi ove non sia possibile documentare un consenso espresso liberamente dall’interessato;
• ammonimento per i rapporti contrattuali senza chiara definizione dei ruoli nel trattamento.

Sanzione pecuniaria e criteri di quantificazione

Per le violazioni accertate, considerate collegate tra loro, il Garante ha applicato l’art. 83, par. 3 e 5 GDPR. Preso come riferimento il massimo edittale di 20 milioni di euro, ha determinato la sanzione in euro 300.000, pari a circa il 2% del fatturato dell’ultimo bilancio disponibile.

Tra gli elementi aggravanti sono stati valorizzati:

• l’ampiezza del trattamento, con 21 milioni di interessati;
• il grado di colpa, ritenuto elevato e in alcuni casi assimilabile al dolo eventuale;
• il fatto che le violazioni fossero emerse da reclami e da attività ispettive.

Tra gli elementi attenuanti sono stati considerati:

• la limitazione dei dati a recapiti e dati anagrafici;
• l’adozione tempestiva di misure correttive;
• l’assenza di precedenti pertinenti;
• l’elevata cooperazione con l’Autorità;
• l’attenzione dimostrata verso i diritti degli interessati e le revoche.

Ulteriori effetti del provvedimento

È stata disposta la pubblicazione integrale del provvedimento sul sito del Garante. È stata inoltre richiamata la possibilità di definizione agevolata del procedimento con pagamento della metà della sanzione entro 30 giorni, nonché il rimedio dell’opposizione dinanzi all’autorità giudiziaria ordinaria nei termini di legge.