Source: https://gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9435753
Timestamp: 2020-08-10 22:15:31+00:00
Document Index: 14569900

Matched Legal Cases: ['art. 130', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 166', 'art. 1', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 166', 'art. 16']

Ordinanza ingiunzione nei confronti di Wind Tre S.p.A. - 9 luglio 2020... - Garante Privacy
Ordinanza ingiunzione nei confronti di Wind Tre S.p.A. - 9 luglio 2020 [9435753]
9435753
Comunicazioni indesiderate , Marketing , Consenso , Telefonate promozionali , Telemarketing
[doc. web n. 9435753]
Ordinanza ingiunzione nei confronti di Wind Tre S.p.A. - 9 luglio 2020
1. in alcuni casi, ha documentato l’acquisizione di uno specifico consenso mediante esibizione dei contratti (proposte di acquisto - pda) sottoscritti dagli interessati;
In particolare, in tre casi (cfr. fascicoli 133088, 134927, 131464), il consenso è stato documentato allegando i contratti sottoscritti dai clienti. Questi, tuttavia, risalenti agli anni 1998/99 non risultano più idonei rispetto al quadro normativo vigente in quanto non consentono di documentare una volontà libera, specifica e informata dell’interessato essendo previsto un solo consenso per finalità di trattamento diverse (attività promozionale del titolare, di terzi, valutazione della soddisfazione della clientela, tutela del credito); a tal proposito si richiamano gli artt. 4, punto 11, e 7 nonché il contenuto del considerando n. 171 del Regolamento in base al quale «qualora il trattamento si basi sul consenso a norma della direttiva 95/46/CE, non occorre che l'interessato presti nuovamente il suo consenso, se questo è stato espresso secondo modalità conformi alle condizioni del presente regolamento, affinché il titolare del trattamento possa proseguire il trattamento in questione dopo la data di applicazione del presente regolamento». Pertanto, è onere del titolare valutare se i consensi già acquisiti siano da considerarsi ancora conformi alle norme vigenti; tra queste, si richiamano anche le modifiche normative intervenute successivamente al 1999 volte a disciplinare, con disposizioni di carattere speciale, il trattamento posto in essere nell’ambito dei servizi di comunicazione elettronica (art. 130 del Codice e disposizioni in materia di Registro delle opposizioni) da considerarsi ormai note a tutti gli operatori del settore, anche alla luce delle numerose pronunce del Garante.
- veniva enunciata la volontà del titolare di effettuare i cinque trattamenti descritti;
- vi si leggeva che “se preferisci puoi scegliere […] quali consensi prestare su Gestione consensi. Premendo Accetto consenti a Wind Tre di raccogliere e utilizzare le informazioni sopra elencate e da te personalizzate. Dichiaro inoltre di accettare i termini e condizioni e di aver preso visione dell’informativa privacy”;
- premendo il tasto “Annulla”, non era possibile utilizzare l’app perché, a detta della Società, non risultavano accettati termini e condizioni e non risultava la presa visione dell’informativa.
Wind Tre, al riguardo, ha affermato che non v'era alcun vincolo a fornire i consensi poiché questi erano previamente gestibili dal link "Gestioni consensi" presente nel corpo del testo e "probabilmente alcuni utenti possono aver frainteso i contenuti della pagina". Infatti, andando in Gestione consensi si potevano scegliere le singole preferenze; poi "effettuata tale scelta, il cliente tornando alla pagina precedente e premendo accetta conferma la scelta sui consensi appena effettuata e al contempo accetta termini e condizioni”.
Inoltre, con reclamo dell’8 gennaio 2020 (fascicolo 145970), è stata documentata la conversazione tenuta in chat con operatori del servizio clienti che confermano che “...i consensi sono revocati. se li hai trovati temporaneamente concessi potrebbe essere stato a causa dell'ultimo aggiornamento dell'area clienti perché, per poter accedere, ti viene prima richiesto di prestare i consensi e poi possono nuovamente essere revocati”.
Circa l’attività dei procacciatori, Merlini s.r.l. esibiva copia di alcune lettere d’incarico nelle quali è riportato testualmente: “la sua attività dovrà essere svolta in piena autonomia seguendo unicamente le indicazioni e disposizioni che le saranno impartite circa i nostri prodotti, le condizioni di vendita ed altre disposizioni commerciali. L'attività. potrà comunque essere svolta in collaborazione con addetti alla produzione e/o commercializzazione, con agenti propri”. Merlini s.r.l. dichiarava di non aver individuato i procacciatori quali responsabili del trattamento o autorizzati a svolgere operazioni di trattamento in quanto essi “operano autonomamente” e “ogni procacciatore è libero e, quindi, autonomo nella ricerca dei soggetti verso i quali indirizzare le proposte commerciali”.
- alla domanda (presente nella sezione 6 “Composizione liste contatti commerciali” del questionario) “il partner acquisisce le liste di soggetti da contattare telefonicamente attraverso canali differenti da Wind Tre?”, Merlini s.r.l. rispondeva affermativamente senza indicare i canali di acquisizione delle predette liste;
- alla domanda “il partner garantisce il corretto utilizzo delle liste di contatti nell’ambito della loro validità temporale preventivamente comunicata da Wind Tre e le cancella, decorso il termine, da qualsiasi sistema/supporto di memoria?”, Merlini s.r.l. rispondeva negativamente;
- a tutte le domande relative agli “obblighi relativi al trattamento dati per chiamate commerciali” e al “codice di condotta per attività di telemarketing” Merlini s.r.l. rispondeva che esse non erano conferenti rispetto alla propria attività, nonostante le stesse riguardassero le regole deontologiche e le istruzioni operative presenti nelle sezioni I e L del contratto di agenzia sottoscritto dalla stessa Merlini s.r.l.
- nel sito www.wind.it al link “privacy” era presente un elenco di diverse informative seguite dalla “cookie policy” in calce alla quale è riportato che “Le eventuali istanze ai sensi degli artt. da 15 a 22 del Regolamento Europeo, dovranno essere indirizzate a Wind Tre S.p.A. - Rif. Privacy CC, Casella Postale 14155- Ufficio Postale Milano 65, 20152 Milano (MI)”;
- se invece si seguiva il link relativo alla “Nuova Informativa Privacy art. 13 e 14 del GDPR quale modifica delle informative già fornite ai sensi dell’art. 13 D.lgs. 196/03, c.d. Codice Privacy” veniva riportato che, per diverse finalità di trattamento, il consenso prestato “potrà essere revocato in qualsiasi momento, scrivendo a Wind Tre Spa - Rif. Privacy CC Casella Postale 14155, Ufficio Postale Milano 65 20152 Milano (MI) o chiamando il 155”. Infine, nella medesima informativa, era indicato che le richieste relative all’esercizio dei diritti degli interessati “potranno essere indirizzate a Wind Tre Spa - Rif. Privacy CC Casella Postale 14155, Ufficio Postale Milano 65 20152 Milano (MI) e fornendo, in allegato alla richiesta, un documento di identità al fine di consentire a WIND TRE di verificare la provenienza della richiesta”;
- nel sito www.tre.it al link “privacy” era presente un elenco di diverse informative seguite da un documento denominato “Privacy policy” all’interno del quale era specificato che “Le eventuali istanze ai sensi degli artt. da 15 a 22 del Regolamento Europeo, dovranno essere indirizzate a Wind Tre S.p.A. - Rif. Privacy CC, Casella Postale 14155- Ufficio Postale Milano 65, 20152 Milano (MI)”;
- se invece si seguiva il link relativo alla “Nuova Informativa Privacy art. 13 e 14 del GDPR quale modifica delle informative già fornite ai sensi dell’art. 13 D.lgs. 196/03, c.d. Codice Privacy” veniva riportato che, per diverse finalità di trattamento, il consenso prestato “potrà essere revocato in qualsiasi momento, scrivendo a Wind Tre Spa - Rif. CC Privacy – Via Alessandro Severo 246, 00145 Roma, oppure scrivendo all’indirizzo privacy@tre.it o chiamando il 133”;
- infine, nella medesima informativa, era indicato che le richieste relative all’esercizio dei diritti degli interessati “potranno essere indirizzate a Wind Tre Spa - Rif. CC Privacy – Via Alessandro Severo 246, 00145 Roma, oppure scrivendo all’indirizzo privacy@tre.it. e fornendo, in allegato alla richiesta, un documento di identità al fine di consentire a WIND TRE di verificare la provenienza della richiesta”;
Inoltre, tenuto conto della tecnologia allo stato disponibile, non si può considerare sufficiente – e in tali termini è stato contestato alla Società - la predisposizione del solo canale fisico per l’invio delle istanze, obbligando gli interessati ad inviare una lettera o una raccomandata (eventualmente anche con ricevuta di ritorno, per avere conferma della ricezione), sopportandone i relativi costi.
A seguito delle comunicazioni di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori inviate dall’Ufficio ai sensi dell’art. 166, comma 5, del Codice (nota del 13 maggio 2020 - procedimento A e nota del 19 dicembre 2019 -procedimento B), il cui contenuto deve qui intendersi integralmente riportato, la Società, con memorie del 15 giugno 2020 (procedimento A) e del 3 febbraio 2020 (procedimento B), ha fornito le proprie osservazioni, integrate in sede di audizione il 25 giugno 2020 (procedimento A) e il 25 maggio 2020 (procedimento B), di cui sono stati redatti rispettivi processi verbali. Anche le considerazioni difensive, a garanzia della parte, devono darsi qui per integralmente riprodotte.
b) dal momento che l’attività svolta dalla Merlini Srl non avrebbe dovuto configurare attività di telemarketing finalizzato al teleselling, Wind Tre non ha mai fornito a Merlini s.r.l. liste di contatti di potenziali clienti, fatto salvo per i clienti e gli ex clienti che avevano fornito specifico consenso commerciale in fase di sottoscrizione del contratto e non lo avevano revocato, sui quali il Merlini doveva svolgere compiti di fidelizzazione; pertanto non può affermarsi che presso il call-center oggetto dell’ispezione fosse in corso un'attività promozionale dei servizi di telefonia della società Wind Tre;
c) Wind Tre ha provveduto in più occasioni a svolgere attività di formazione e sensibilizzazione in materia di protezione dei dati personali, sia con riferimento alla popolazione aziendale interna, sia con riferimento ai propri Partner ed Agenti; come risulta dall'ultima estrazione richiesta al dipartimento Risorse Umane, l'intervento formativo è stato completato da tutti gli Area Manager, i District Manager e Capi Canale abilitati al controllo delle Agenzie Business (tra le quali l'Agenzia gestita dal Sig. Merlini);
d) dal momento che il contratto concluso da Wind Tre con Merlini Srl non costituiva un contratto di agenzia diretto allo svolgimento di attività di telemarketing finalizzato al teleselling e, in ogni caso, avrebbe dovuto riguardare esclusivamente l'offerta di prodotti e servizi a persone giuridiche, la Società non ha avuto sospetti proprio perché, in base a quanto previsto dal contratto, non rilevavano né l’attività di teleselling né il trattamento di dati di persone fisiche.
Si richiamano, a tal proposito, le considerazioni espresse in via generale dal Garante con il provvedimento del 15 giugno 2011 (in www.garanteprivacy.it, doc. web n. 1821257), in base al quale i soggetti che agiscono per conto del preponente, ingenerando un legittimo affidamento nei destinatari delle comunicazioni circa l’effettiva titolarità della campagna promozionale, sono qualificati responsabili del trattamento. E tale qualificazione in ordine ai rapporti giuridici fra le parti si può ritenere esistente anche nel caso in cui il soggetto che materialmente effettua il contatto, pur rimanendo ignoto al titolare del trattamento, realizza di fatto un rapporto contrattuale analogo a quello in essere con i partner contrattualizzati direttamente. Anche l’art. 1, comma 11, della legge n. 5/2018, ha introdotto nel nostro ordinamento un espresso principio di responsabilità solidale del titolare-committente per le attività promozionali affidate a call center terzi, stabilendo che “Il titolare del trattamento dei dati personali è responsabile in solido delle violazioni delle disposizioni della presente legge anche nel caso di affidamento a terzi di attività di call center per l'effettuazione delle chiamate telefoniche”.
Infatti, “tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche” la Società disponeva di idonei strumenti e di sufficienti conoscenze, veicolate anche dalle consolidate pronunce del Garante (direttamente rivolte anche alla Wind Tre), per valutare i rischi connessi al trattamento e per predisporre, di conseguenza, procedure tecniche e organizzative adeguate.
D’altro canto, nel dare atto delle misure correttive apportate, in parte già prima della notifica dell’avvio del procedimento da parte del Garante, si intravedono delle potenziali soluzioni per rafforzare le garanzie. Ci si riferisce in particolare alla centralizzazione dell’attività promozionale nel sistema di Campaign management o alla previsione del registro dei contatti da tenere – per il momento solo - a cura degli agenti del canale fisico. Tali misure, tuttavia, potranno sviluppare un potenziale, che al momento può definirsi embrionale, solo nel momento in cui saranno sostenute con maggiori conseguenze sul piano contrattuale per i responsabili che non si attengano scrupolosamente a tali istruzioni.
Si è rilevata tuttavia la persistenza di numerose segnalazioni e reclami, pervenuti al Garante; ad esito dell’analisi della documentazione complessivamente acquisita in atti, in considerazione di tutti gli elementi emersi, questa Autorità – valutate anche le misure già implementate dalla Società - ritiene necessario un intervento ad ampio spettro (inibitorio, prescrittivo e sanzionatorio), al fine di garantire la conformità alla normativa vigente dei trattamenti oggetto del presente provvedimento.
Risultano infatti violate varie disposizioni del Regolamento e del Codice in relazione a trattamenti collegati effettuati da Wind Tre, per cui occorre applicare l'art. 83, par. 3, del Regolamento, in base al quale, se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento viola, con dolo o colpa, varie disposizioni del Regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave con conseguenziale applicazione della sola sanzione prevista dall’art. 83, par. 5, del Regolamento.
- un’inadeguata attuazione dei fondamentali principi di protezione dei dati fin dalla progettazione (privacy by design) ed accountability;
- della violazione dei fondamentali principi di esattezza dei dati con riguardo alla pubblicazione di dati personali negli elenchi telefonici (art. 83, par. 2, lett. a, del Regolamento);
- la realizzazione di una filiera parallela di raccolta dei dati dei possibili clienti in spregio alla normativa in materia di protezione dei dati personali e di altre disposizioni rilevanti, anche probabilmente di carattere penale, con l’alimentazione di un “sottobosco” illegale e potenzialmente idoneo a favorire forme di criminalità diffusa nel Paese;
5. il carattere gravemente negligente di altri trattamenti, come: la non adeguata attuazione dei fondamentali principi di privacy by design, di privacy by default e di accountability, comprovate dalle evidenti difficoltà nel comprovare la titolarità delle attività promozionali effettuate nel suo interesse; la mancata condivisione delle black list con i fornitori di servizi di marketing che operano quali autonomi titolari; la non adeguata attività di controllo dell'operato dei propri partner nonostante evidenti elementi di allarme (art. 83, par. 2, lett. b, del Regolamento);
6. l’esistenza di un precedente provvedimento - adottato da questa Autorità nei confronti di Wind Tre - inibitorio, prescrittivo e sanzionatorio, relativo a condotte pertinenti a quelle oggetto della presente decisione (art. 83, par. 2, lett. e, del Regolamento);
10. quale attenuante - nonostante l’invasività delle violazioni riscontrate - la tipologia di dati utilizzati rispetto a quelli complessivamente detenuti dalla Società, ossia dati identificativi e di contatto (utenze telefoniche) degli interessati coinvolti nelle attività di marketing (art. 83, par. 2, lett. g, del Regolamento);
- l’ampio margine temporale concesso a tutti gli operatori del settore al fine di consentire loro un compiuto e coerente adeguamento dei sistemi e delle procedure alla nuova normativa europea, in vigore già dal 25 maggio 2016 e pienamente operativa dal 25 maggio 2018; adeguamento che Wind non risulta aver ultimato in maniera idonea;
- che la citata attività provvedimentale, con la quale sono stati forniti indicazioni e chiarimenti in materia (v. provvedimenti generali e Linee Guida citati nel presente provvedimento), e la costante interlocuzione dell’Autorità con i soggetti che operano nel settore del telemarketing possono ragionevolmente far ritenere raggiunta da tutti gli operatori, una sufficiente consapevolezza delle disposizioni che devono essere indefettibilmente osservate;
- la non adeguata dissuasività delle sanzioni sinora contestate a Wind Tre, tenuto conto anche del fatto che il fenomeno delle chiamate indesiderate nell’ambito del telemarketing è stato oggetto di costante e puntuale attenzione da parte del legislatore (v., da ultimo, l. n. 5/2018) e del Garante, nonché di doglianze da parte degli utenti;
- l’attuale persistenza di segnalazioni e reclami, pervenuti all’Autorità in tempi successivi alla data degli accertamenti effettuati presso la Società fino alla data odierna, analoghi a quelli oggetto del presente provvedimento.
Pertanto si ritiene che - in base al complesso degli elementi sopra indicati e tenuto in particolare conto – anche rispetto ad analoghe verifiche effettuate presso altri operatori - la gravità e gli effetti delle condotte riscontrate a seguito degli accertamenti ispettivi, a fronte della sanzione edittale massima (209.120.000,00 euro, pari al 4% del fatturato di Wind Tre SpA, ossia 5.228.000.000,00 euro) - debba applicarsi alla medesima Società la sanzione amministrativa del pagamento di una somma di euro 16.729.600, pari all’8% della suindicata sanzione edittale massima.
In tale quadro, si ritiene altresì – anche in considerazione dell’invasività dei trattamenti illeciti contestati rispetto ai diritti fondamentali degli interessati; dell’elevato numero degli stessi, anche potenzialmente, coinvolti; dei disallineamenti rilevati nei sistemi informativi della Società; dell’inadeguato controllo della stessa nei riguardi dei propri partner e, infine, della scarsa dissuasività dei provvedimenti fino ad ora adottati da parte del Garante nei confronti della Società medesima - che, ai sensi dell’art. 166, comma 7, del Codice, e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito web del Garante, a titolo di sanzione accessoria.
(1) Con riguardo alla regolamentazione dei ruoli in capo ai soggetti coinvolti nel servizio di elenco telefonico generale (ETG) cfr. anche delibera dell’Autorità per le garanzie nelle comunicazioni n. 36/02/CONS del 6 febbraio 2002 che disciplina regole e modalità organizzative per la realizzazione e l'offerta di un servizio di elenco telefonico generale e adeguamento del servizio universale.