Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8233539
Timestamp: 2018-12-13 11:16:19+00:00
Document Index: 59814398

Matched Legal Cases: ['art. 7', 'art. 168', 'art. 7', 'art. 130', 'art. 7', 'art. 11', 'art. 23', 'art. 7', 'art. 11', 'art. 11', 'art. 23', 'art. 11', 'art. 7', 'art. 7', 'art. 7', 'art. 10', 'art. 11', 'art. 7', 'art. 11', 'art. 23', 'art. 130', 'art. 11', 'art. 157', 'art. 164', 'art. 11', 'art. 7', 'art. 157', 'art. 164']

Ordinanza ingiunzione nei confronti di Vodafone Italia S p A - 5 luglio 2018 [9025351]
Ordinanza ingiunzione del 5 lugio 2018
Newsletter del 31 luglio 2018
n. 140 dell´8 marzo 2018
VISTE le segnalazioni pervenute all´Autorità nei confronti di Vodafone Italia s.p.a., in particolare a partire dal 1° gennaio 2016;
1. Con una pluralità di segnalazioni è stata lamentata al Garante l´effettuazione di telefonate con operatore e la ricezione di sms indesiderati a contenuto promozionale nell´interesse di Vodafone. In particolare, i segnalanti hanno lamentato di essere stati contattati telefonicamente o via sms nonostante non avessero manifestato il proprio consenso all´utilizzo della propria utenza per finalità promozionali in sede di conclusione del contratto ovvero successivamente all´opposizione manifestata ai sensi dell´art. 7, comma 1, lett. b), del Codice direttamente alla Società o ad operatori di call center che effettuano chiamate promozionali nell´interesse della stessa.
2.1. Alla luce di tali circostanze, l´Autorità ha svolto accertamenti presso la Società nei giorni 20, 21 e 22 marzo, 27 aprile nonché 10 luglio 2017 al fine di verificare, anche all´esito dei riscontri intermedi, della documentazione e delle dichiarazioni rese dai rappresentanti della Società ‒ della cui veridicità si può essere chiamati a rispondere ai sensi dell´art. 168 del Codice ‒, l´osservanza delle norme in materia di protezione dei dati personali, con particolare riferimento al trattamento dei dati personali per finalità di natura promozionale nelle forme dell´attività di telemarketing, teleselling ovvero di invio di sms.
2.3. In conformità al modello organizzativo in essere presso la Società, i partner, designati responsabili del trattamento (cfr. modulistica allegata al verbale del 21.3.2017), possono utilizzare per l´attività di telemarketing svolta nell´interesse della stessa sia i contatti telefonici resi loro disponibili da Vodafone tramite apposita piattaforma di deduplicazione delle liste (denominata Vodafone Deduplica Liste-VDL) ‒ strumento impiegato dalla Società al fine di prevenire contatti multipli da parte dei propri partner nei confronti degli stessi destinatari all´interno di una medesima campagna ‒, sia effettuare «nuove chiamate esplicitamente richieste dai clienti contattati» (cfr. verbale 20.3.2017, p. 4 come integrato dalle dichiarazioni rese nel verbale del 21.3.2017, p. 2). In ogni caso, «il partner può utilizzare per l´attività di telemarketing svolta nell´interesse della Società esclusivamente le numerazioni messe a disposizione da Vodafone tramite la VDL» (cfr. verbale 20.3.2017, p. 4).
2.4.1. Con riferimento alle attività promozionali volte all´acquisizione di nuovi clienti (cd. prospect), «i contatti avvengono esclusivamente attraverso partner esterni», sia «utilizzando liste di contatti forniti da Vodafone o nella disponibilità del partner, ovvero estratti da contatti presenti nel DBU» (cfr. verbale 20.3.2017, p. 3), sia mediante l´effettuazione di «nuove chiamate esplicitamente richieste dai clienti contattati» (cfr. verbale 21.3.2017, p. 2).
In relazione alle liste provenienti da fornitori terzi, «la Società effettua un controllo sull´idoneità dell´informativa fornita agli interessati e sulla modalità di acquisizione del consenso»; di regola, nessuna verifica volta ad accertare che il consenso sia stato in concreto manifestato dai singoli interessati viene invece effettuata (salvi controlli a campione su alcuni dei lotti di numerazioni) (cfr. verbale 20.3.2017, p. 3).
«un controllo sull´idoneità del modello di informativa fornita agli interessati e sulla modalità di acquisizione del consenso;
All´esito di tale processo, tramite la medesima piattaforma, «al partner viene restituita […] una lista di nominativi da contattare risultante dai controlli sopra descritti» (cfr. verbale 20.3.2017, p. 3).
«"Privacy": costituita dall´insieme delle numerazioni delle utenze che hanno contattato Vodafone (servizio clienti e/o a mezzo posta) per revocare esplicitamente il consenso alle comunicazioni commerciali»;
"No Consenso": costituita dall´insieme delle numerazioni dei clienti ed ex clienti che hanno negato il consenso a Vodafone per le comunicazioni commerciali;
"Dati Cancellati": costituita dall´insieme degli ex-clienti che, alla cessazione dei rapporti con Vodafone, hanno fatto richiesta della cancellazione dei propri dati dai sistemi Vodafone […];
"Esiti": costituita dall´insieme delle numerazioni che a fronte della lavorazione sul VDL, hanno ricevuto un esito che ne determina l´esclusione temporale [rectius, temporanea] dalle campagne», per un intervallo, in base a quanto dichiarato, di nove mesi (cfr. verbale 20.3.2017, p. 5 e 6).
Rispetto ad esse è stato inoltre precisato che, mentre è un campo obbligatorio quello della "DATA INSERIMENTO", che individua il termine dal quale una numerazione non può esser inserita in una campagna promozionale, la "DATA SCADENZA" individua la «data di fine validità della numerazione nella lista»; l´assenza di quest´ultima determina la non contattabilità sine die della numerazione a decorrere dalla data indicata nel campo "data inserimento" (cfr. comunicazione del 13.9.2017, p. 4). Alla luce di tali considerazioni, è stato dichiarato che le «black list escluse da tutte le campagne marketing Vodafone sono: "Privacy", "No Consenso", "Dati cancellati" […]» e «sono caratterizzate dal non avere mai il campo "Data Scadenza" valorizzato, proprio perché non scadono mai. Le altre black list […] vengono utilizzate, integralmente o in parte, nelle campagne, a seconda delle caratteristiche della campagna» (cfr. comunicazione del 13.9.2017, p. 4).
2.5. Processo analogo a quello descritto al punto 2.4.2, che comprende il filtraggio attraverso liste di esclusione, viene seguito in relazione alle attività di telemarketing rivolte agli ex clienti (cfr. verbale 20.3.2017, p. 4) nonché per le numerazioni estratte dal DBU; in quest´ultimo caso viene effettuato l´ulteriore «incrocio delle numerazioni messe a disposizione dal partner con il registro pubblico delle opposizione presso la FUB» (cfr. verbale 20.3.2017, p. 3).
2.6. Quanto alle modalità e ai tempi di conservazione delle numerazioni provenienti da liste fornite dai partner e non ritrasmesse agli stessi per l´effettuazione dell´attività di telemarketing, è stato dichiarato che «le liste di contatti caricate dai partner sul sistema VDL e non restituite, sono conservate sul sistema VDL, ma non possono essere consultate o scaricate dal partner che le ha caricate. Le stesse rimangono nella disponibilità di Vodafone [senza che, allo stato, sia] previsto un limite di conservazione temporale» (cfr. verbale 21.3.2017, p. 3) per «finalità di verifiche e controllo ex post dei processi di vendita del partner che è autorizzato da Vodafone a chiamare le sole anagrafiche rilasciate dal sistema VDL» (cfr. nota 4.4.2017, p. 2).
2.7. Le campagne promozionali vengono realizzate dai partner, una volta ricevute le liste dalla Società, per lo più utilizzando un sistema di proprietà di Vodafone ‒ che consente l´effettuazione delle chiamate sia in modalità "predictive", smistandole automaticamente ai diversi operatori, sia in modalità manuale (vale a dire a seguito di input dell´operatore) ‒ ovvero mediante l´applicativo utilizzato dal partner. Nella prima ipotesi, quantitativamente predominante, gli esiti dei contatti sono nella immediata disponibilità di Vodafone (in batch notturno), mentre nel secondo caso i partner hanno la facoltà di inviare gli esiti in tempi successivi (cfr. verbale 20 marzo 2017, p. 4).
2.8. Quanto alle attività di marketing attraverso email e sms, i rappresentanti della Società hanno dichiarato che «tali canali di contatto riguardano clienti ed ex-clienti che abbiano fornito, e non revocato, il consenso al trattamento dei dati per finalità commerciali, presenti nella customer base e dotati di una sim attiva» (cfr. verbale 20.3.2017, p. 5); per i clienti che utilizzano l´app Vodafone, viene utilizzato anche il canale delle notifiche push su tale strumento.
Peraltro, i rappresentati della Società hanno affermato nel corso delle verifiche che, «per quanto riguarda […] la black list privacy definitiva, […] il confronto delle liste di contattabilità per campagne sms con tale black list viene effettuato a partire da maggio 2017»; in proposito è stato dichiarato che in tal modo «la società ha inteso implementare tale misura quale elemento migliorativo della qualità delle campagne promozionali a seguito dei confronti avuti con l´Autorità» (cfr. verbale 10.7.2017, p. 5).
a. per quelle relative agli sms a contenuto promozionale nei confronti di clienti attuali (concernenti upselling e modifiche tariffarie), essa avviene a ridosso dell´inizio di ciascuna campagna (che di regola si esaurisce entro la settimana successiva);
b. per quelle relative allo svolgimento di attività promozionali nei confronti di ex clienti (winback), il più articolato processo di selezione del bacino di destinatari della campagna (destinato a trovare attuazione in parte sul canale teleselling e per il restante sul canale sms) si svolge in un arco di tempo più ampio che può determinare l´esecuzione di contatti telefonici e via sms; «le campagne così programmate vengono svolte, per quanto riguarda il canale "teleselling", nel mese successivo rispetto alla verifica dello stato del consenso dei destinatari. Le campagne effettuate mediante il canale "sms" possono trovare invece svolgimento già a partire dal ventunesimo giorno ed estendersi per tutto il mese successivo». A questo proposito è stato ulteriormente precisato che, «fino a novembre 2016, le campagne marketing nei confronti di ex clienti potevano essere gestite fino a 60 giorni successivi alla estrazione del cluster di clienti da contattare» (cfr. nota 12.5.2017, p. 1).
2.9.2. Nella menzionata comunicazione del 12.5.2017 (p. 2), è stato peraltro ribadito «che tutte le volte che sono estratti i cluster di clienti oggetto di campagne marketing, si procede esclusivamente all´elaborazione delle numerazioni con il consenso commerciale impostato sul "SI". […] Tenuto conto che talune liste possono avere una lavorazione che ad oggi è pari a 40 giorni, Vodafone si [è impegnata] ‒ a partire dal [giugno 2017] ‒ ad effettuare il controllo sullo status del consenso marketing con scadenza quindicinale, al fine di eliminare dai contatti (effettuati attraverso chiamate e/o SMS) eventuali clienti e/o ex clienti che, nel corso dei 40 giorni, potrebbero comunicare a Vodafone, ai sensi e per gli effetti dell´art. 7 del Codice della Privacy, la loro volontà di revocare il consenso al trattamento dei loro dati per finalità di marketing».
Nella medesima nota è stato altresì dichiarato che, «dal mese di gennaio 2017, i clienti che entrano in black list a seguito di segnalazioni/reclami, vengono giornalmente eliminati dalle campagne sms e di teleselling, anche se in corso, e che, da fine marzo [2017 la Società] ha integrato la policy sulla cancellazione/oscuramento dei dati dei clienti, prevedendo che, prima della cancellazione/oscuramento, l´operatore proceda con la valorizzazione del consenso commerciale sul "NO"» (p. 3).
2.11.1. Con particolare riferimento al trattamento dei dati personali per finalità di marketing relativi ai clienti (e più precisamente alle operazioni di estrazione dei dati dal database della Società per formare le liste dei soggetti da contattare), nel corso delle verifiche è stata rilevata, in base a preliminari riscontri nei sistemi della Società relativi a talune numerazioni, una difformità fra i dati precedentemente consegnati dalla Società e quanto verificato nel corso dell´accesso (cfr. verbale 10.7.2017, p. 3). Nel dare conto delle discrasie rilevate, il rappresentante della Società ha «ipotizzato che i dati consegnati nel corso delle precedenti giornate fossero affetti da un errore di estrazione legato ad una errata assunzione relativa alle sim riassegnate e alle sim disattivate e successivamente attivate nell´arco di un breve periodo di tempo» (cfr. verbale 10.7.2017, p. 3).
In ragione di quanto rilevato, la Società è stata invitata a fornire i necessari chiarimenti con riguardo ai menzionati (asseriti) errori di estrazione ed è stata rinnovata la richiesta a fornire ex novo la documentazione necessaria all´effettuazione delle verifiche (cfr., in particolare, le riserve di cui ai punti 1 e 2 del verbale del 10.7.2017).
2.11.2. Entro questa cornice di riferimento, con successiva comunicazione del 13 settembre 2017, il rappresentante della Società ha dichiarato che «dalle verifiche ed approfondimenti effettuati, a seguito delle anomalie segnalate nel corso dell´ispezione dell´11 [rectius, 10] luglio, è emerso che la precedente estrazione e conseguente lista fornita al Garante, relativa alla lista dei clienti con consenso a "NO", non era corretta», descrivendo le ragioni di tale inesattezza (cfr. p. 2).
2.12.1. Nel corso degli accertamenti hanno altresì formato oggetto di verifica talune delle modalità attraverso le quali viene acquisito, direttamente dalla Società, per il tramite del proprio portale, il consenso al trattamento dei dati personali per finalità di marketing in occasione dell´effettuazione della "ricarica" delle sim.
Al riguardo, è stato constatato che «al fine di ricevere la conferma dell´avvenuta ricarica via email è indispensabile selezionare il flag "accetto l´informativa sulla privacy"» (il cui testo è acquisito agli atti), la quale contempla l´utilizzo dell´indirizzo di posta elettronica così fornito anche per l´ulteriore finalità di invio di newsletter a contenuto promozionale.
In proposito, con l´ulteriore comunicazione del 4.4.2017, la Società ha precisato che (cfr. p. 2):
a. «i dati personali dei clienti acquisiti nel corso della procedura di ricarica sim non confluiscono in alcun database strutturato di Vodafone ed utilizzato ai fini dell´invio delle newsletter Vodafone»;
b. «Vodafone ha già avviato il processo di modifica del testo dell´informativa fornita ai clienti che effettuano operazioni di ricarica, al fine di eleminare il riferimento inesatto all´invio di newsletter»;
c. comunque, «l´invio di una newsletter all´indirizzo e-mail fornito dai clienti in occasione delle operazioni di ricarica sarebbe comunque stato legittimo, ai sensi dell´art. 130, comma 4, d.lgs. 196/2003, senza necessità di acquisire alcuno specifico consenso da parte degli interessati.[…] Sulla base di tale previsione normativa, il flag richiesto ai clienti […] non aveva valore di autorizzazione al trattamento dei dati per fini di marketing, ma attestava esclusivamente la presa visione dell´informativa che prevedeva la possibilità per Vodafone di inviare newsletter di natura promozionale, dalle quali i clienti potevano sempre richiedere la cancellazione attraverso la specifica funzionalità di opt-out prevista all´interno della medesima newsletter».
2.12.2. I controlli hanno anche riguardato altre sezioni del portale della Società, con particolare riferimento alla sezione "CONTATTACI" – sottosezione del sito concernente le offerte di prodotti e servizi della Società (smartphone, tablet e rete fissa) ‒ nonché quella relativa alla proposizione di "reclami" (sia mediante la richiesta da parte dell´interessato dell´intervento di un "esperto", sia mediante la trasmissione diretta del "reclamo"). A questo riguardo è stato rilevato che (cfr. visualizzazioni in atti):
a. nella sezione "offerte" l´interessato può chiedere un ricontatto (click to call): a tal fine, oltre ad inserire il proprio nome e cognome e numero di telefono, è chiamato ad autorizzare Vodafone a contattarlo per ricevere informazioni commerciali senza alcuna possibilità di effettuare una scelta (ad esempio mediante flag) circa la possibilità che il contatto avvenga solo per rispondere alla specifica richiesta o anche successivamente;
b. nella sezione "reclami" l´interessato può richiedere di parlare con un "esperto" per ottenere il supporto necessario inserendo il proprio numero di telefono e selezionando il motivo della segnalazione; anche in questo caso nella schermata è presente la frase "ai sensi del d.lgs. 196/2003 sulla privacy autorizzo Vodafone a contattarmi per ricevere informazioni commerciali", senza che sia data alcuna possibilità scelta al riguardo (ad esempio mediante apposito flag).
b. in relazione al servizio di richiesta di informazioni commerciali (cd. Click to call), «a dispetto di quanto previsto dall´informativa, i dati dei clienti acquisiti in tale occasione sono sempre stati utilizzati da Vodafone per effettuare il contatto telefonico richiesto e non per l´invio di ulteriori comunicazioni commerciali a mezzo newsletter», anche perché il form non prevedeva l´acquisizione dell´indirizzo di posta elettronica. In merito la Società ha dichiarato di aver «già provveduto a modificare l´informativa, eliminando il riferimento all´invio della newsletter e adeguando il testo dell´informativa al reale utilizzo dei dati personali forniti» (cfr. nota 4.4.2017, p. 3).
2.12.3. In relazione alle modalità per l´acquisizione del consenso al trattamento dei dati personali per finalità di marketing sull´app Vodafone, oggetto di verifica nel corso degli accertamenti mediante l´esame delle sue diverse funzionalità (cfr. verbale 27.4.2017), la Società, nella menzionata comunicazione del 4.4.2017 (p. 4), ha dichiarato, anche a tal proposito, di aver «provveduto a modificare il testo dell´informativa e il form di raccolta dati presenti nella sezione della My Vodafone App», eliminando, nella stessa, «il riferimento all´invio di comunicazioni commerciali e newsletter» e precisando «al momento della raccolta dei dati, che gli stessi saranno adoperati e di conseguenza trattati solo per il contatto telefonico richiesto». Peraltro, anche in tale ipotesi, è stato dichiarato che «Vodafone non ha implementato alcun processo informatico sottostante che avrebbe dovuto consentire a tali ipotetici consensi commerciali di confluire» nei sistemi serventi rispetto allo svolgimento dell´attività di marketing.
In occasione delle verifiche in loco, la selezione al consenso commerciale e alla profilazione dell´utenza è risultata configurata in modo da porre l´utente in condizione di esprimere la propria volontà e i rappresentanti della Società hanno dichiarato che tale funzionalità «è risultata configurata nelle forme descritte nel corso degli accertamenti dal momento dell´entrata in produzione e funzionante» nel corso del tempo.
2.13.1. Quanto invece ai canali messi a disposizione dalla Società per consentire la revoca del consenso rispetto al trattamento dei dati per finalità di marketing e, più in generale, l´opposizione al trattamento di cui all´art. 7, comma 4, del Codice, è stato altresì dichiarato che l´interessato deve utilizzare i seguenti canali:
il sito web, nell´area "fai da te";
2.13.2. Tuttavia, «qualora un cliente durante un contatto telefonico esprima la volontà di non essere contattato e venga esitato correttamente dall´operatore, il suo nominativo viene escluso dalle successive campagne per un periodo di nove mesi» (cfr. verbale 20.3.2017, p. 5); ciò poiché «tale volontà non è considerata come revoca del consenso ma come rifiuto della sola offerta commerciale oggetto di promozione e, quale conseguenza, viene escluso dalle campagne per i successivi 9 mesi» (cfr. verbale 20.3.2017, p. 6). Ciò avviene mediante l´inserimento della relativa numerazione all´interno della lista di esclusione temporanea denominata "Esiti" (v. sopra punto 2.4.3).
3. Alla luce degli elementi complessivamente acquisiti deve ritenersi che Vodafone, nel periodo considerato dagli accertamenti, al di là delle singole segnalazioni pervenute all´Autorità, talune delle quali hanno formato oggetto di approfondimento in occasione degli accertamenti in loco, sotto più profili abbia violato la disciplina di protezione dei dati personali, avendo posto in essere una pluralità di operazioni di trattamento per finalità di marketing ‒ e, tra queste, l´estrazione dei dati riferiti agli interessati dai propri sistemi, l´inserimento degli stessi nelle liste di contattabilità e la loro successiva trasmissione ai propri partner con l´effettuazione, infine, dei contatti commerciali ‒ in assenza di un valido consenso (ab origine o a seguito della revoca dello stesso o dell´opposizione al trattamento dei propri dati personali per finalità di marketing) degli interessati, siano essi clienti (v. infra punto 4), prospect o ex clienti (v. infra punti 5.1 e ss.).
Del pari, la Società non ha correttamente qualificato l´opposizione degli interessati manifestata nel corso di contatti commerciali, e riassunta dalla Società con la locuzione "Non mi chiamate più" (cfr. punti 2.4.3 e 2.13.2), inseriti all´interno di una black list (denominata "Esiti") avente, per la stessa Società, validità solo temporanea (v. infra punti 6.1 ss.).
Infine, rispetto a talune modalità di acquisizione del consenso al trattamento dei dati per finalità promozionali (punti 2.12.1 ss., lo stesso è stato acquisito in violazione del principio di correttezza nel trattamento (art. 11, comma 1, lett. a), del Codice) e con modalità che non ne hanno assicurato la libera manifestazione da parte degli interessati ai sensi dell´art. 23, comma 3, del Codice (cfr. infra punti 7.1 ss.).
4. Le rilevate violazioni hanno avuto luogo, anzitutto, come peraltro dichiarato dalla Società, con riferimento al trattamento dei dati personali riferiti ai clienti, ed in particolare in relazione alle loro numerazioni (cfr. punto 2.11.2). Fatti salvi gli approfondimenti ulteriori che potranno essere svolti dall´Autorità, anche al fine di accertare la veridicità delle dichiarazioni rese nell´interesse della Società, quest´ultima, all´esito dei controlli relativi ai propri processi di estrazione delle numerazioni riferite alla clientela, ha dichiarato infatti essersi verificato «un disallineamento tecnico, che ha generato il contatto di circa 2 mila clienti al mese» (cfr. nota 13 settembre 2017, p. 3), in assenza del consenso degli stessi a che i propri dati fossero trattati per finalità promozionali.
5.1. Assai più ampia è invece la platea dei prospect e degli ex clienti che sono stati contattati dalla Società sia nell´ambito di campagne realizzate via sms che con operatore telefonico, senza che sussistesse il consenso degli stessi a tale trattamento o, comunque, in presenza di un consenso revocato o, ancora, in tempi successivi all´opposizione di cui all´art. 7, comma 4, lett. b), del Codice, circostanze, queste, tutte risultanti dai sistemi della Società. Tali contatti si pongono in violazione delle disposizioni contenute agli artt. 23 e 130, commi 1 e 2 (per l´invio degli sms) e comma 3, del Codice (per l´effettuazione delle telefonate indesiderate).
5.2. A tali conclusioni si è giunti attraverso una verifica della correttezza dell´inserimento delle numerazioni nelle cd. liste di contattabilità formate dalla Società in relazione alla presenza, o meno, del consenso espresso dagli interessati rispetto al trattamento dei dati personali loro riferibili ‒ anzitutto le numerazioni telefoniche ‒ per finalità di marketing. Più precisamente, stanti le dichiarazioni rese dalla Società con la nota del 13 settembre 2017 rispetto ad alcune anomalie relative ai contatti commerciali verso le numerazioni presenti nella customer base (riferite a clienti), l´analisi si è incentrata sulle numerazioni dei cd. prospect (soggetti diversi dai clienti) e degli ex clienti inserite in campagne commerciali ‒ sia telefoniche, sia condotte mediante l´invio di sms ‒ nel periodo oggetto di osservazione gennaio 2016-giugno 2017.
Tali numerazioni sono state confrontate con quelle presenti in talune tra le liste di esclusione in uso presso la Società ‒ e segnatamente le liste denominate "Privacy", "No Consenso", "Dati cancellati" ed "Esiti", in relazione a quanti sono ivi censiti in quest´ultima con la causale "non chiamare mai più" ‒ al tempo dello svolgimento delle relative campagne promozionali, le quali, secondo quanto acclarato nel corso degli accertamenti ispettivi, sono finalizzate ad escludere (per l´appunto) determinate numerazioni dalle relative campagne poiché, come dichiarato, un´anagrafica, per «poter essere caricata su una data campagna non deve essere presente in nessuna delle black list definite per quella campagna».
Sulla base della documentazione trasmessa il 13 settembre 2017, l´analisi è stata quindi condotta per individuare l´esistenza di numerazioni, relative a prospect o ex clienti, che non avrebbero dovuto essere contattate in una determinata campagna commerciale, stante la loro presenza in black list.
5.3. Al riguardo, va considerato che, in ossequio al principio di correttezza nel trattamento (art. 11, comma 1, lett. a), del Codice, di qualità dei dati (art. 11, comma 1, lett. c), del Codice) nonché nel rispetto del diritto all´autodeterminazione informativa accordato all´interessato (art. 23 del Codice), il giorno successivo alla data di inserimento di una numerazione in una delle menzionate black list della Società, la stessa doveva essere eliminata dalle liste di contattabilità predisposte dalla Società; da questo momento, infatti, la Società è in condizione, avendo le proprie funzioni contezza della mutata volontà dell´interessato, di adottare le necessarie misure tecnico-organizzative per realizzare e veicolare ai propri partner opportuni flussi informativi finalizzati a prevenire contatti commerciali (divenuti) indesiderati – ciò analogamente a quanto dichiarato dalla Società il 12.5.2017, secondo cui i clienti che entrano in black list vengono giornalmente eliminati dalle campagne sms e di teleselling (v. punto 2.9.2); non diversamente, peraltro, la Società ha peraltro dichiarato di escludere, anche durante lo svolgimento delle campagne promozionali, i soggetti (prospect o ex clienti) in corso di acquisizione (cfr. punto 2.10).
Con riguardo poi all´invio di sms a soggetti presenti in black list, la Società ha fornito il 13 settembre 2017 due distinti CD contenenti due differenti dataset. Dalle verifiche effettuate sul CD n. 2 (al path: CD numero 2 Evidenze Vodafone\1. elenco di tutte le campagne commerciali\campagne sms EX clienti) ‒ dal quale sono risultati mancanti, rispetto a quanto richiesto dall´Autorità in occasione delle verifiche del 10 luglio 2017, i file relativi ai mesi di gennaio 2017, marzo 2017, aprile 2017, maggio 2017 e giugno 2017 ‒ il numero di contatti che hanno interessato soggetti presenti in black list è stato pari ad oltre 14.420.000 di unità. Dalle verifiche effettuate sul CD n. 1 (al path: D:\CD numero 1 Evidenze Vodafone\1. elenco di tutte le campagne commerciali\msisdn & numero contatti) ‒ contenente 18 file, suddivisi per mese (da gennaio 2016 a giugno 2017) ‒ sono risultati effettuati oltre 21.780.000 contatti via sms in violazione della volontà manifestata dagli interessati iscritti in una delle sopra menzionate black list della Società.
5.5. Anche le verifiche effettuate tenendo conto della prassi della Società di far decorrere un lasso di tempo più lungo – rispetto a quello indicato al precedente punto 5.3 – per l´esclusione delle numerazioni registrate nelle menzionate black list dalle campagne promozionali in atto (cfr. infra punti 9.2.1 e 9.2.2), hanno evidenziato comunque un numero elevato di contatti indesiderati. In particolare, prendendo in considerazione un più ampio lasso temporale tra l´iscrizione in black list e l´esclusione dalle campagne – pari al mese di inserimento in black list più l´intero mese successivo (che dalle dichiarazioni in atti appare essere il termine più ampio previsto dalla società – cfr. infra punti 2.9.1 e 2.9.2) –, i contatti effettuati in violazione di legge sono risultati:
c. con riguardo all´invio di sms a soggetti presenti in black list, in relazione al primo dataset (CD n. 2), oltre 13.000.000 e, in relazione al secondo dataset (CD n. 1), oltre 20.000.000.
5.6. Quanto appena sintetizzato, in particolare in relazione all´invio di sms a contenuto promozionale in violazione di legge nei confronti di soggetti non contattabili, trova ulteriore asseveramento in quanto affermato dai rappresentati della Società anche nel corso delle verifiche, durante le quali è stato riconosciuto che, «per quanto riguarda […] la black list privacy definitiva, […] il confronto delle liste di contattabilità per campagne sms con tale black list viene effettuato a partire da maggio 2017» (cfr. verbale 10.7.2017, p. 5).
Con il che, già tale circostanza, in ragione del fatto che la Società invia su base mensile tra 25 e 30 milioni di sms (cfr. verbale 20.3.2017, p. 5), rende conto dell´elevato numero di contatti (quantomeno anteriormente al maggio 2017) avvenuto in assenza di consenso da parte degli interessati (in violazione degli artt. 23 e 130, commi 1 e 2, del Codice.
5.7. Salvo quanto si dirà ai punti 6.1 ss., a conclusione non diversa si deve addivenire anche in relazione alla lista di non contattabilità formata all´esito del riscontro delle campagne di teleselling rivolte ai cd. prospect ed ex clienti (black list "Esiti", nella parte in cui comprende quanti si sono opposti dichiarando di non intendere essere più contattati), della quale la Società stessa afferma la validità solo temporanea, con conseguente ripresa dei contatti (telefonici e via sms) decorso il periodo di nove mesi (cfr. punti 2.4.3 e 2.13.2) o, come è stato possibile rilevare a seguito degli accessi ai sistemi, di un anno.
5.8. Alla luce delle considerazioni svolte, tenuto conto delle predette operazioni di raffronto tra le campagne promozionali rivolte ai cd. prospect e agli ex clienti effettuate nell´arco temporale oggetto di verifica e le numerazioni presenti nelle liste di esclusione trasmesse all´Autorità (prese in considerazione alla luce del periodo di validità stabilito dalla Società) deve ritenersi che, quanto alle telefonate con operatore individuate ai punti 5.4 e 5.5, siano stati violati gli artt. 23 e 130, comma 3, del Codice (in tal senso v. già provv. 22 giugno 2016, n. 275, doc. web n. 5255159, oggetto di integrale conferma da parte di Trib. Milano, Sez. I civ., 5 maggio 2017, n. 5022; provv. 15 giugno 2017, n. 268, doc. web n. 6629169; v. pure provv. 1° ottobre 2015, n. 503, doc. web n. 4449190). Con riguardo, inoltre, all´invio di sms indesiderati individuati ai punti 5.4 e 5.5 devono ritenersi violati gli artt. 23 e 130, commi 1 e 2, del Codice (al riguardo v. provv. 27 ottobre 2016, n. 437, doc. web n. 5727908).
5.9. Alla luce delle considerazioni svolte e considerato anche l´art. 11, comma 2, del Codice, il Garante dispone, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, il divieto per Vodafone di trattare ulteriormente per finalità di marketing i dati concernenti le utenze di quanti, rispetto a tale finalità, non abbiano manifestato un libero consenso o abbiano comunque fatto valere un´opposizione al trattamento ai sensi dell´art. 7, comma 4, lett. b), del Codice.
5.10. Deve inoltre essere prescritta alla Società l´adozione, entro 30 giorni dalla ricezione del presente provvedimento, delle necessarie misure tecnico-organizzative volte a prevenire i contatti commerciali indesiderati nei confronti di quanti, correttamente inseriti nelle liste destinate ad essere oggetto di campagna promozionale, vengano successivamente registrati in una delle menzionate liste di esclusione, in modo tale da tenere in considerazione, su base giornaliera, la sopravvenuta opposizione degli interessati all´utilizzo dei dati a sé riferiti per finalità di marketing o la revoca del consenso precedentemente manifestato.
6.1. Sotto un ulteriore profilo, correlato alla gestione e corretta valorizzazione della black list "Esiti", anche le modalità con le quali la Società ha registrato le richieste volte a far valere i diritti di cui all´art. 7 del Codice, ed in particolare il diritto di opposizione da parte dell´interessato al trattamento dei dati personali per finalità promozionali, non sono conformi alla disciplina di protezione dei dati personali.
In merito, infatti, la Società ha dichiarato, senza tuttavia addurre alcuna giustificazione a fondamento della propria condotta, che «per quanto riguarda le campagne sms, le liste di contattabilità non vengono filtrate con le black list temporanee esitate dal teleselling, in quanto la Società ritiene che la richiesta, espressa da parte dell´interessato nel corso del contatto telefonico, non possa essere intesa come revoca del consenso» (cfr. verbale 10 luglio 2017, p. 5).
6.2. Invero, è sufficiente rilevare che per tali liste di esclusione, denominate "Automatico esiti", nella documentazione trasmessa dalla Società la causale ricorrente per giustificare l´inserimento nelle stesse per parte degli interessati è "non chiamare mai più" (o non chiamare mai più/fuori target) rispetto a circa 5 milioni di esiti registrati rispetto ai contatti avvenuti, affermazione che certo non lascia spazio ad interpretazione alcuna circa la volontà definitiva (e non temporanea) di opporsi al trattamento dei dati che li riguardano per finalità promozionali fatta valere all´esito (per l´appunto) del contatto telefonico. Né la Società ha in alcun modo dimostrato la natura solo temporanea del diniego ai contatti successivi manifestati da quanti, contattati telefonicamente, vengono inseriti in questa lista.
Al riguardo deve ricordarsi che, risiedendo il "nucleo duro" del diritto alla protezione dei dati personali nell´esercizio delle situazioni giuridiche soggettive riconosciute dall´art. 7 del Codice ‒ atteso che tramite le stesse trova concretizzazione il diritto all´autodeterminazione informativa ‒ le discipline di protezione dei dati personali (e, non diversamente, la disciplina vigente) si caratterizzano per il favor rispetto al loro esercizio (in tal senso depongono, peraltro, oltre alla gratuità del diritto d´accesso, pure le disposizioni di cui all´art. 10, del Codice, secondo il quale «per garantire l´effettivo esercizio dei diritti di cui all´articolo 7 il titolare del trattamento è tenuto ad adottare idonee misure volte, in particolare: a) ad agevolare l´accesso ai dati personali da parte dell´interessato […]; b) a semplificare le modalità e a ridurre i tempi per il riscontro al richiedente […]»), sì che le misure tecnico-organizzative che ciascun titolare del trattamento è tenuto a porre in essere devono essere ispirate a questi principi (peraltro ribaditi dagli artt. 12, parr. 2 e 3 e dagli artt. 15-22, Regolamento UE 2016/679).
Al di là delle puntuali disposizioni richiamate, la cui violazione comporta l´illiceità del trattamento, deve altresì rilevarsi che condotte poste in essere dal titolare del trattamento che ostacolano o non realizzano pienamente la volontà dell´interessato, ed anzi, come nel caso di specie, la tradiscono ‒ depotenziando dal punto di vista temporale la valenza dell´opposizione manifestata dallo stesso, di tal che questi, decorso il termine arbitrariamente fissato dalla Società, potrà trovarsi ad essere nuovamente destinatario di contatti commerciali indesiderati ‒, si pongono in contrasto rispetto al paradigma fissato dal legislatore, integrando una violazione del principio di correttezza sancito all´art. 11, comma 1, lett. a), del Codice.
6.3. All´interno della descritta cornice normativa devono pertanto inscriversi le modalità con le quali, in concreto, mediante la corretta rilevazione da parte dell´operatore di call center prima e, quindi, corretta registrazione della volontà degli interessati nei propri sistemi, Vodafone deve valorizzare l´opposizione fatta valere dagli interessati e registrata nella lista "Esiti" rispetto a quanti manifestino la volontà di "non essere chiamati mai più", dando piena attuazione ai diritti di cui all´art. 7 del Codice, con particolare riferimento a quanto stabilito al comma 4, lett. b).
Pertanto, alla luce delle considerazioni svolte, quale misura necessaria Vodafone dovrà, mediante opportune misure tecnico-organizzative da adottarsi senza ritardo, e comunque entro e non oltre 30 giorni dalla ricezione del presente provvedimento, valorizzare correttamente l´opposizione al trattamento di quanti, inseriti nella lista "Esiti" con la richiesta di non essere ulteriormente contattati, sono esclusi solo temporaneamente e non invece definitivamente dalla campagne promozionali della Società.
Invero non può ritenersi conforme al principio di correttezza di cui all´art. 11, comma 1, lett. a), del Codice, la condotta della Società che, al fine di effettuare la "ricarica" delle sim o per presentare un "reclamo" obblighi gli stessi, senza possibilità di esercitare una scelta libera, a consentire all´utilizzo dei propri dati di contatto per finalità di marketing.
Tale condotta viola direttamente, peraltro, una delle regole fondamentali in materia di protezione dei dati personali, quella secondo cui il consenso deve essere libero (art. 23, comma 3, del Codice), atteso che la capacità di autodeterminazione degli utenti (e quindi la libertà del consenso che l´interessato è chiamato a manifestare) non è assicurata quando si assoggetta, come nel caso di specie, la possibilità di fruire delle prestazioni dedotte in contratto ovvero del diritto di proporre "reclami" nei confronti della Società (e quindi contestare un inadempimento della stessa), alla contestuale autorizzazione a trattare i dati conferiti per una finalità diversa, qual è quella promozionale e pubblicitaria (tra i più recenti, cfr. provv.ti 27 ottobre 2016, n. 439, doc. web n. 5687770; 10 marzo 2016, n. 110, doc. web n. 4988238; 11 febbraio 2016, n. 49, doc. web n. 4885578; 15 luglio 2010, doc. web n. 1741998; 22 febbraio 2007, punto 4.2, doc. web n. 1388590, con ulteriore richiamo ai più risalenti provv.ti 10 maggio 2006, doc. web n. 1298709; 12 ottobre 2005, doc. web n. 1179604; 3 novembre 2005, doc. web n. 1195215; in particolare, con riguardo alla fornitura di beni o servizi subordinata alla necessaria autorizzazione al trattamento dei dati per fini promozionali, cfr. provv.ti 24 febbraio 2005, punto 7, doc. web n. 1103045; 20 dicembre 2012, doc. web n. 2223607; 1° ottobre 2015, n. 508, doc. web n. 4452896; provv. 10 marzo 2016, cit.).
Più in generale, deve essere ribadito che ogni qual volta il consenso degli interessati finalizzato allo svolgimento di attività di marketing viene acquisito, in fase precontrattuale o nel corso dell´esecuzione del contratto, senza assicurare la libertà di scelta da parte dell´interessato, senza cioè che il consenso sia liberamente e specificamente espresso, il conseguente trattamento è illecito (cfr. "Linee guida in materia di attività promozionale e contrasto allo spam" del 4 luglio 2013, in particolare punto 2.6).
7.2. Né è sufficiente, limitatamente alla fattispecie richiamata al punto 2.12.1.c, ai fini di assicurare la liceità dell´invio di email a contenuto promozionale acquisite in occasione della "ricarica", inserire un avviso all´interno del testo delle comunicazioni promozionali inviate ai destinatari delle stesse concernente la possibilità di opporsi a ulteriori invii, come ha dichiarato la Società. Tale accorgimento può giovare, infatti, solo nell´ipotesi prevista dall´art. 130, comma 4, del Codice, fattispecie che non si attaglia al caso di specie nella quale la Società non risulta aver informato gli interessati della possibilità di rifiutare tale utilizzo inizialmente né averli messi in condizione, al momento della raccolta, di opporsi a tale trattamento.
7.3. Per le ragioni sopra esposte, pur preso atto di quanto dichiarato dalla Società con riferimento a talune delle modalità di acquisizione del consenso degli interessati al trattamento per finalità di marketing nei propri sistemi (cfr. punti 2.12.1, 2.12.2 e 2.12.3), va comunque rilevato che i dati personali raccolti con le modalità sopra indicate ai punti 2.12.1 e 2.12.2, in base all´art. 11, comma 2, del Codice, non possono essere utilizzati per finalità promozionali in assenza di un consenso liberamente manifestato (ai sensi degli artt. 130 e 23, del Codice) e se ne deve quindi vietare alla Società l´uso per tali finalità.
7.4. Deve tuttavia essere prescritto alla Società di effettuare una ricognizione in relazione a tutte le sedi nelle quali ‒ vuoi presso la rete commerciale territoriale cui è rimessa la commercializzazione dei propri servizi, vuoi attraverso le proprie piattaforme, accessibili sia via web che mediante l´impiego dei terminali in dotazione alla clientela ‒ viene raccolto il consenso degli interessati per l´effettuazione dei trattamenti per finalità di marketing al fine di assicurare che non siano predisposte modalità di acquisizione del consenso che non assicurino la libertà dello stesso. Dell´esito di tale ricognizione e delle eventuali misure adottate dovrà essere dato riscontro al Garante, ai sensi dell´art. 157 del Codice, entro 60 giorni dalla ricezione del presente provvedimento.
8. L´Autorità provvederà, con autonomo procedimento, a contestare le violazioni amministrative concernenti i profili afferenti all´accertata mancanza del consenso degli interessati ‒ clienti, prospect ed ex clienti ‒ rispetto al trattamento dei dati nell´ambito delle campagne oggetto di verifica per finalità di marketing (artt. 23 e 130, commi 1, 2 e 3, nonché 162, comma 2 bis), considerato altresì quanto disposto dall´art. 164 bis del Codice (cfr., in particolare, punti 4, 5.4 e 5.5).
ai sensi degli artt. 143, comma 1, lett. b) e c), 144 e 154, comma 1, lett. c) e d), del Codice, rilevato che i dati personali di cui è stato accertato l´illecito trattamento non possono essere ulteriormente utilizzati (art. 11, comma 2, del Codice), nei confronti di Vodafone Italia s.p.a.:
1. vieta di trattare ulteriormente per finalità di marketing i dati concernenti le utenze di quanti, rispetto a tale finalità, non abbiano manifestato un libero consenso o lo abbiano revocato o abbiano comunque fatto valere un opposizione al trattamento ai sensi dell´art. 7, comma 4, lett. b), del Codice (punto 5.9);
3. prescrive l´adozione, entro 30 giorni dalla ricezione del presente provvedimento, delle necessarie misure tecnico-organizzative volte a prevenire i contatti commerciali indesiderati nei confronti di quanti, correttamente inseriti nelle liste destinate ad essere oggetto di campagna promozionale, vengano successivamente registrati in una delle menzionate liste di esclusione, in modo tale da tenere in considerazione, su base giornaliera, la sopravvenuta opposizione degli interessati all´utilizzo dei dati a sé riferiti per finalità di marketing o la revoca del consenso precedentemente manifestato (punto 5.10);
4. prescrive, quale misura necessaria, l´adozione di opportune misure tecnico-organizzative, da adottarsi senza ritardo, e comunque entro e non oltre 30 giorni dalla ricezione del presente provvedimento, volte a valorizzare correttamente l´opposizione al trattamento di quanti, inseriti nella lista "Esiti" con la richiesta di non essere ulteriormente contattati, sono esclusi solo temporaneamente e non invece definitivamente dalla campagne promozionali della Società (punto 6.3);
5. prescrive di effettuare una ricognizione in relazione a tutte le sedi nelle quali viene raccolto il consenso degli interessati per l´effettuazione dei trattamenti per finalità di marketing al fine di assicurare che non siano predisposte modalità di acquisizione del consenso che non assicurino la libertà dello stesso (punto 7.4).
2. Ai sensi dell´art. 157 del Codice, invita Vodafone Italia s.p.a., entro 60 giorni dalla ricezione del presente provvedimento, a comunicare all´Autorità quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento, con l´avvertenza che il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all´art. 164 del Codice.
Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero