Source: https://garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9435807
Timestamp: 2020-08-08 00:54:12+00:00
Document Index: 94569687

Matched Legal Cases: ['art. 5', 'art. 166', 'art. 168', 'art. 83', 'art. 83', 'art. 83']

Ordinanza ingiunzione nei confronti di Iliad Italia S.p.A. - 9 luglio 2020... - Garante Privacy
Ordinanza ingiunzione nei confronti di Iliad Italia S.p.A. - 9 luglio 2020 [9435807]
Dati telefonici e telematici , Misure di sicurezza , Telemarketing , Telefonia
[doc. web n. 9435807]
Ordinanza ingiunzione nei confronti di Iliad Italia S.p.A. - 9 luglio 2020
Tuttavia, la formulazione della dichiarazione sopra menzionata, contemplando contestualmente la “presa visione” e la “accettazione” dell’informativa, poteva indurre il dubbio che la raccolta del consenso per finalità di marketing – che pure è prevista in maniera specifica in una delle schermate precedenti - avvenisse in tale ultima sede proprio con la spunta “per accettazione”.
Pertanto, l’Ufficio, con nota dell’11 ottobre 2019, ha contestato alla Società che tale trattamento - tenuto conto che, nei termini descritti, l’intenzione del titolare non pareva essere quella di ottenere un consenso al trattamento, ma solo di dimostrare di aver ottemperato agli obblighi informativi – non aveva il carattere della chiarezza e dell’intelligibilità e, dunque, si sarebbe potuto porre in contrasto, in particolare, con i principi di correttezza e trasparenza espressi dall’art. 5, par. 1, lett. a) del Regolamento.
- nella schermata che appare all’utente all’avvio della procedura di registrazione, viene mostrato il seguente avviso: “assicurati di non registrare immagini di terzi, di essere solo, di fronte e posizionato in modo che l’intero viso sia visibile e identificabile”;
- le registrazioni raccolte, non appena validate dagli operatori del customer care, sono rese visibili solo ai manager della funzione customer care e, trascorsi sei mesi, sono accessibili solo alla funzione JAS (Judicial Authority Services) per la durata del contratto.
- il trattamento dei dati di traffico telefonico e telematico da parte dei fornitori deve essere consentito solo ad incaricati specificamente autorizzati e unicamente sulla base del preventivo utilizzo di specifici sistemi di autenticazione informatica basati su tecniche di strong authentication, consistenti nell’uso contestuale di almeno due differenti tecnologie di autenticazione; per i dati di traffico conservati per esclusive finalità di accertamento e repressione dei reati (e generati da più di sei mesi), una di tali tecnologie deve essere basata sull’elaborazione di caratteristiche biometriche dell’incaricato;
- i sistemi informatici utilizzati per i trattamenti di dati di traffico conservati per esclusiva finalità di giustizia devono essere differenti da quelli utilizzati anche per altre funzioni aziendali (come fatturazione, marketing, antifrode); è tuttavia ammissibile un primo periodo, di 6 mesi dalla generazione, durante il quale i dati possono essere trattati con sistemi informatici non esclusivamente riservati alle finalità di giustizia;
- il fornitore deve definire e attribuire agli incaricati specifici profili di autorizzazione differenziando le funzioni di trattamento dei dati di traffico per finalità di ordinaria gestione da quelle per finalità di accertamento e repressione dei reati.
All’esito dell’attività istruttoria condotta, l’Ufficio ha ritenuto che gli elementi acquisiti potessero configurare delle violazioni ad ha pertanto avviato il procedimento di cui all’art. 166, comma 5 del Codice. A fronte delle puntuali contestazioni ricevute, la Società – che pure ha presentato una memoria di 22 pagine ed è stata ascoltata in una successiva audizione - ha risposto sul punto in maniera non esaustiva e talvolta equivoca.
In relazione a tale specifica contestazione, la Società ha replicato soltanto che “Iliad ha creato un unico database con misure di sicurezza e livelli di accesso differenziati (CRM i.e. gestionale Mobo e JAS) a seconda della finalità del trattamento e del relativo termine di conservazione. Tale sistema ha quindi una separazione di carattere logico invece che fisico [...] Iliad non ha deciso di procedere ad una duplicazione fisica dei database a seconda della finalità del trattamento”. Dalla laconica risposta della Società, che pure ha ricevuto puntuali contestazioni e ha avuto ampiamente modo di articolare la propria difesa, si può solo evincere che è presente un unico sistema, separato logicamente mediante accessi differenziati in base alle finalità e ai tempi di conservazione. La Società, tuttavia, non ha fornito alcuna spiegazione in merito al contestato accesso ai dati generati da oltre sei mesi da parte dell’incaricato dell’area customer care che, per la funzione svolta, non avrebbe dovuto accedere a tali dati tenuto conto che, stando a quanto dichiarato, la separazione logica in base alle finalità avrebbe dovuto comunque impedire tale accesso.
Il citato provvedimento del Garante, infatti, prescrive che i dati conservati per esclusive finalità di giustizia siano conservati in sistemi informatici distinti fisicamente – e non logicamente - da tutti gli altri sistemi aziendali e a tali sistemi siano applicate misure dedicate quali, tra le altre, l’accesso solo a personale autorizzato con sistemi di riconoscimento a due fattori (di cui uno biometrico) e la cifratura dei dati. Lo stesso provvedimento ammette anche che, a scelta del titolare, i dati generati fino a sei mesi, possano essere conservati in un unico sistema per poter essere trattati anche per finalità di giustizia, senza necessità di ricorrere ad alcuna separazione; tale facoltà, tuttavia, è applicabile, come detto, solo entro i sei mesi dalla generazione e pertanto, in presenza di dati generati da più di sei mesi, non può considerarsi applicabile al caso in esame.
Pertanto, le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria, della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice, non consentono, in ogni caso, di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e non risultano idonee ad escludere la responsabilità della parte in ordine a quanto contestato non avendo esse contribuito a dimostrare che le misure adottate dalla società possano ritenersi rispondenti alle misure di sicurezza - allo stato dell’arte disponibili e adottate in via generale dagli operatori di comunicazione elettronica - descritte nel provvedimento del Garante in materia di conservazione dei dati di traffico.
- delle intenzioni del titolare che, sulla base di quanto acquisito in atti, non paiono volte a realizzare consapevolmente gli effetti delle condotte contestate e sono piuttosto riconducibili ad un’applicazione negligente delle norme;
- della presumibile mancanza di conseguenze in capo agli interessati dal momento che la finalità promozionale del trattamento non sarebbe stata ancora realizzata;
- delle misure adottate e volte a risolvere le criticità sopra indicate,
In ragione di quanto sopra prospettato, risulta applicabile l'art. 83, par. 3, del Regolamento, in base al quale, se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento viola, con dolo o colpa, varie disposizioni del Regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave con conseguenziale applicazione della sola sanzione prevista dall’art. 83, par. 5 del Regolamento.
Pertanto si ritiene che - in base al complesso degli elementi sopra indicati, debba applicarsi alla Iliad la sanzione amministrativa del pagamento di una somma pari al 4% della sanzione edittale massima di 20 milioni di euro, corrispondente a euro 800.000,00 (ottocentomila). La sanzione edittale massima è individuata con riferimento al disposto dell’art. 83, comma 5, tenuto conto che il 4% del fatturato di Iliad Italia S.p.A. risulta inferiore ai 20 milioni di euro.