Ordinanza ingiunzione o revoca n. 334 del 06/07/2023

Meglioquesto Digital S.r.l. - telemarketing, liste da terzi e informativa online

Il provvedimento riguarda Meglioquesto Digital S.r.l. ed è scaturito da segnalazioni e reclami relativi a telefonate promozionali indesiderate, nonché da verifiche sull’uso di liste anagrafiche acquisite da terzi e sulla trasparenza del sito internet della società. Il Garante, all’esito dell’istruttoria e dell’accertamento ispettivo, ha dichiarato illecito il trattamento per più profili connessi tra loro nell’ambito del marketing.

Origine del procedimento e attività istruttoria

Nel 2021 e nel 2022 l’Autorità ha ricevuto diverse segnalazioni e reclami riguardanti comunicazioni promozionali effettuate utilizzando numerazioni chiamanti riconducibili a Meglioquesto Digital. Nei giorni 30 e 31 marzo 2022 è stato svolto un accertamento ispettivo presso la sede della società, con esame sia dell’attività di telemarketing sia dei trattamenti svolti tramite il sito internet https://meglioquesto.it/.

Per ricostruire ruoli e responsabilità nella filiera del marketing, il Garante ha inoltre richiesto informazioni a Wind ed Eni ai sensi dell’art. 157 del Codice privacy, acquisendo le rispettive istruzioni operative e le policy sui contatti. Le risposte delle committenti hanno chiarito che per Wind era previsto di non contattare la medesima numerazione più di una volta al mese, mentre per Eni era consentito arrivare fino a 10 contatti nel periodo di validità della lista, con almeno 4 ore di intervallo tra un tentativo e l’altro.

Telefonate promozionali e principio di correttezza

L’Autorità ha esaminato tre casi concreti di contatti telefonici. Per due utenze riconducibili a campagne Wind e per una utenza contattata per conto di Eni, sono emerse modalità di contatto ripetute, ravvicinate e insistenti, con chiamate anche a distanza inferiore all’intervallo minimo previsto o comunque senza una chiara formalizzazione delle regole di ricontatto.

La società ha sostenuto di aver operato come responsabile del trattamento e di aver conteggiato molte chiamate come meri tentativi non andati a buon fine. Il Garante ha ritenuto tuttavia che, anche alla luce della documentazione acquisita, i contatti fossero stati effettuati in modo reiterato e invasivo, con violazione del principio di correttezza di cui all’art. 5, par. 1, lett. a) GDPR. In particolare, nel caso Eni è stato evidenziato che il documento prodotto in ispezione non conteneva reali indicazioni sulla frequenza dei ricontatti, sicché le modalità operative risultavano di fatto rimesse alla società.

Pur riconoscendo l’illiceità della condotta, il Garante ha considerato il numero limitato di utenze coinvolte e ha ritenuto proporzionato non applicare una sanzione pecuniaria per questo specifico profilo, ma adottare un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR.

List provider, consensi e liceità del trattamento

Un secondo blocco di contestazioni ha riguardato l’acquisizione di liste anagrafiche da list provider e la verifica dei presupposti di liceità, con particolare attenzione a informative e consensi raccolti dai soggetti che avevano originariamente acquisito i dati.

Per un sito gestito da un terzo, l’Autorità ha osservato che il consenso alla comunicazione dei dati a terzi risultava formulato in modo non sufficientemente specifico, perché includeva anche la promozione dei servizi della piattaforma o del soggetto cedente, senza distinguere con chiarezza chi fosse il destinatario dell’attività promozionale. La combinazione di finalità diverse in un’unica opzione è stata considerata non conforme ai requisiti di specificità e libertà del consenso.

Per altri list provider, la documentazione sulle informative e sulle formule di acquisizione del consenso è stata prodotta solo in sede difensiva. Il Garante ha comunque confermato la violazione per i dati trattati senza un consenso idoneo, libero, specifico e documentabile, rilevando che la raccolta e la conservazione di dati personali per una finalità determinata costituiscono comunque trattamento e richiedono un valido titolo di liceità.

Sul piano normativo, sono stati richiamati gli artt. 6 e 7 GDPR e l’art. 130 del Codice privacy, oltre ai doveri di accountability di cui agli artt. 5, par. 2, e 24 GDPR.

Ruoli privacy, sito web e gestione delle richieste di cancellazione

Un ulteriore profilo ha riguardato il sito www.meglioquesto.it e la ripartizione dei ruoli tra le società del gruppo. L’istruttoria ha evidenziato incertezze circa il rapporto tra Meglioquesto Digital e Meglioquesto Lead, poi ricondotta dalla società a Meglioquesto S.p.A. e Meglioquesto Voice, sia per i dati raccolti tramite il sito, sia per la casella di posta elettronica cancellami@meglioquesto.it destinata alle richieste di cancellazione.

Il Garante ha ritenuto che l’informativa privacy non fosse chiara nell’indicare il soggetto titolare cui indirizzare le richieste di cancellazione, né la casella effettivamente deputata a trattarle. La presenza di ulteriori indirizzi di posta elettronica, oltre alla casella dedicata, è stata considerata idonea a creare confusione negli interessati e a compromettere la comprensione delle operazioni di trattamento e dell’esercizio dei diritti.

Su questo punto, l’Autorità ha ritenuto integrata la violazione degli artt. 12 e 13 GDPR, ma, considerato che la società ha dichiarato di non effettuare più il trattamento mediante quel sito e che tale circostanza è stata verificata, ha scelto di non applicare una sanzione pecuniaria, disponendo invece un’ingiunzione a rendere disponibile sul sito un’informativa idonea e chiara.

Valutazione complessiva e sanzione

Nel complesso, il Garante ha accertato la responsabilità di Meglioquesto Digital per violazioni degli artt. 5, par. 1, lett. a), e 5, par. 2, 6, 7, 12, par. 1, 24, 25, par. 1, del GDPR, nonché dell’art. 130 del Codice privacy.

Per i trattamenti già effettuati e con funzione dissuasiva, è stata applicata una sanzione amministrativa pecuniaria di euro 10.000,00, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR. Nella quantificazione, l’Autorità ha richiamato i criteri di cui all’art. 83, par. 2, valorizzando come aggravanti:

• la gravità delle violazioni e l’assenza di un consenso valido;
• la negligenza della condotta;
• la difformità rispetto alla precedente attività provvedimentale del Garante in materia di marketing.

Come attenuanti sono stati considerati:

• l’assenza di precedenti procedimenti a carico della società;
• il numero esiguo di utenze coinvolte;
• la tempestiva adozione di misure correttive;
• l’elevata cooperazione con l’Autorità.

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito e l’annotazione nel registro interno dell’Autorità.

Disposizioni finali e termini

Con il dispositivo, il Garante ha:

• ammonito la società sull’obbligo di adottare modalità corrette e non invasive nel telemarketing;
• vietato ogni ulteriore trattamento per finalità promozionali dei dati acquisiti da list provider privi di consenso informato, libero, specifico e documentabile;
• ingiunto di aggiornare l’informativa sul sito indicando chiaramente il titolare cui indirizzare le richieste di cancellazione e la casella di posta elettronica competente;
• imposto di comunicare entro 30 giorni dalla notifica le iniziative intraprese per dare attuazione alle misure;
• ordinato il pagamento della sanzione pecuniaria di euro 10.000,00, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice.

È stata infine richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.