Source: https://www.privacy.it/2020/01/15/provvedimento-trattamenti-illeciti-marketing-tim/
Timestamp: 2020-03-28 19:56:34+00:00
Document Index: 16196737

Matched Legal Cases: ['art. 6', 'art. 24', 'art. 7', 'art. 130', 'art. 7', 'art. 2', 'art. 1', 'art. 7', 'art. 130', 'art. 5', 'art. 25', 'art. 28', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 83', 'art. 166', 'art. 16']

Provvedimento sanzionatorio - Trattamenti illeciti di marketing di TIM SpA - Privacy.it
Home>Garante>Call Center, Diritto all’Oblio, E-commerce, Internet, Marketing, Minori, Provvedimenti, Smart Device, Telecomunicazioni>Provvedimento sanzionatorio – Trattamenti illeciti di marketing di TIM SpA
Provvedimento sanzionatorio – Trattamenti illeciti di marketing di TIM SpA
Ulteriori doglianze hanno inoltre evidenziato il mancato riscontro alle istanze formulate dagli interessati con riguardo ai diritti sanciti dalla normativa in materia di protezione dei dati personali, e in particolare a quelli di accesso ai propri dati e di opposizione al trattamento per finalità promozionali, nonché la richiesta di un consenso, da rilasciare obbligatoriamente per il trattamento a fini di marketing, in sede di attivazione del programma “TIM Party” nell’ambito del sito web della Società e la raccolta di un consenso unico e indistinto al trattamento dei dati per svariate finalità – anche ulteriori all’esecuzione del contratto – nell’ambito della modulistica predisposta per l’autocertificazione di possesso di linea prepagata.
– contatti commerciali effettuati nel corso di campagne promozionali rivolte a soggetti “prospect” (ossia a soggetti non clienti), in assenza del consenso degli interessati; numerazioni contattate fino a 155 volte in un mese; assenza di controllo da parte della Società sull’operato dei suoi partner durante lo svolgimento delle campagne commerciali (cfr. par. 2.1.);
– errata gestione delle liste di esclusione dalle campagne commerciali (c.d. “black list)”; mancato aggiornamento delle black list sulla base dei dinieghi espressi dagli interessati nel corso del contatto commerciale telefonico, che hanno comportato lacune riguardo ad esattezza e qualità dei dati nei sistemi informativi societari; incongruenze, non sufficientemente chiarite, dei dati presenti nelle black list di TIM rispetto a quelli delle black list dei suoi partner; utenze inserite nelle black list molti giorni dopo l’espressione del diniego al marketing; utenze presenti nelle black list dei partner ma non inserite in quelle della Società (cfr. par. 2.1);
– telefonate promozionali verso numerazioni non presenti nelle liste di contattabilità (c.d. fuorilista), effettuate dai partner commerciali in assenza di consenso degli interessati o di altra idonea base giuridica; telefonate commerciali verso numerazioni “fuori lista” per le quali il provvedimento dell’Autorità del 22 giugno 2016 (in www.gpdp.it. doc. web n. 5255159) aveva vietato alla stessa TIM il trattamento per finalità di marketing (cfr. par. 2.2);
– contatti promozionali effettuati dalla Società nonostante l’esercizio del diritto di opposizione degli interessati ovvero effettuati nel quadro di contatti di servizio o ancora senza dare tempestivo riscontro agli interessati o recepire nei propri sistemi l’avvenuto esercizio del diritto di opposizione (cfr. par. 2.3);
– casi di conservazione, nel CRM (Customer Relationship Management), della Società, dei dati relativi a clienti di altri Operatori, ai quali TIM fornisce il mero servizio di rete e infrastrutture (OLO-Other Licensed Operator), per un tempo eccedente i limiti previsti dalla legge (10 anni) e con visibilità da parte degli operatori del customer care oltre i limiti temporali stabiliti dalle policy societarie (5 anni); casi di utilizzo abusivo di dette numerazioni per finalità promozionali (cfr. par. 2.4);
– acquisizione del consenso promozionale nell’ambito del programma “TIM Party” con modalità che non ne assicurano la libera manifestazione (cfr. par. 2.5);
– rispetto ad alcune App destinate alla clientela, il rilascio agli interessati di indicazioni non corrette, né trasparenti sul trattamento dei dati, nonché modalità di acquisizione del consenso non conformi alla disciplina vigente (cfr. par. 2.6);
– utilizzo di modulistica cartacea di raccolta di dati personali con richiesta di un unico consenso per diverse finalità (cfr. par. 2.7);
– gestione inidonea dei data breach, sia riguardo alla tempestività della notifica all’Autorità, sia riguardo alle misure poste in essere per diminuire i rischi per i diritti e le libertà degli interessati; inadeguata gestione della Società dei sistemi che trattano dati personali, in violazione, in particolare, dei principi di esattezza dei dati, nonché di riservatezza e integrità dei sistemi (cfr. par. 2.8).
Di tali 650 campagne, effettuate nel suddetto limitato periodo, 484 sono state rivolte a clienti coinvolgendo 15 milioni di numerazioni, mentre le restanti 166, secondo quanto prospettato da TIM, sono state rivolte a 13 milioni di prospect raggiungendo circa 5,2 milioni di numerazioni, poiché “le campagne Prospect” avrebbero “una soglia di ‘raggiungibilità media’ nell’ordine del 40% circa” (memoria 10/10/2019). Con specifico riferimento alle campagne commerciali indirizzate nei confronti dei menzionati prospect, da un confronto fra le liste di c.d. contattabilità (cioè le liste di numeri contattabili per fini promozionali predisposte e fornite ai partner da TIM), e quelle associate alle chiamate in uscita registrate sui sistemi automatizzati di chiamata di alcuni call center oggetto di attività ispettiva (in particolare: XX, con riferimento alle telefonate effettuate per conto di TIM nei mesi di novembre-dicembre 2018 e gennaio 2019 e XX relativamente agli “IDLista” forniti nel corso delle attività ispettive del 14 maggio 2019), sono state riscontrate le seguenti anomalie:
– le chiamate effettuate dai citati call center sono risultate associate a liste di contattabilità di TIM, che non figurano fra le liste fornite dalla Società all’Ufficio; al riguardo, TIM ha dichiarato che “allo stato” poteva “esclusivamente supporre che le discrepanze contestate [fossero] essenzialmente dovute: all’utilizzo di criteri di codifica dei flussi di dati distinti da parte dei Partner, che generano nomenclature diverse; [al] confronto effettuato su liste parziali nella disponibilità dei Partner; (al) confronto rispetto a codici campagna diversi in quanto le liste fornite da TIM riportano la codifica dell’ID Lista Marketing, mentre quelle fornite dai Partner ID Lista Sales” (memoria 10/10/2019, cit.).
In proposito, si rileva quindi che TIM – in quanto committente dei trattamenti in questione – dimostra di non avere contezza sufficiente dei criteri di codifica dei flussi utilizzati dai partner ovvero delle modalità di denominazione delle liste di contattabilità, anche al fine di un proprio miglior controllo;
– un medesimo numero di telefono, nell’arco di un mese, è stato contattato fino a 155 volte ed è risultato censito in diverse liste di contattabilità, in contrasto con le stesse policy dichiarate da TIM, secondo cui: “le regole di richiamata impartite ai partner prevedono che ogni numerazione in lista possa essere oggetto di un contatto utile al mese, intendendo per contatto utile una telefonata con risposta con esito OK (adesione alla proposta contrattuale), KO (mancata adesione), diniego (opposizione al trattamento). Per tale motivo, un numero raggiunto da un contatto utile non viene più richiamato nell’ambito di una stessa campagna” (v. verbale 5/2/2019, p. 4);
– sono risultati presenti nel campo “esito” delle chiamate promozionali (effettuate dal partner XX) diciture non riconosciute dalla Società, secondo la quale le stesse rientrerebbero esclusivamente nell’autonomia imprenditoriale del partner medesimo (es. “Diniego Clienti CB TI NON CONSENSATI”; “Recupero Consenso su ex-TIM ed ex TI (OK)”; v. memoria 10/10/2019).
Così però TIM – trascurando il proprio fondamentale ruolo di committente – ha dimostrato di non avere la necessaria consapevolezza in ordine a tale condotta, né di aver adeguatamente vigilato sull’operato del partner.
La Società (v. note 8 marzo e 12 novembre 2019) ha rappresentato che “in conseguenza della … anomalia nell’aggiornamento dell’archivio DWH Consenso Prospect e conseguentemente della Black List Dinieghi usata dalle funzioni marketing”, 184 numerazioni univoche sono state erroneamente incluse nelle liste di contattabilità per le campagne promozionali. La Società – ad attestare la presa di consapevolezza di una gestione non adeguata dei dinieghi – ha fatto altresì presente l’intenzione di introdurre un nuovo sistema, che comporterebbe la registrazione dei dinieghi delle linee fisse attive TIM nell’archivio destinato alla gestione del consenso (nella specie il “DWH Consenso”: v. nota integrativa 12/11/2019);
In vero, le suindicate differenze possono ritenersi riconducibili solo in parte ai diversi criteri di composizione ed implementazione delle black list o alla diversa denominazione/classificazione di liste e degli esiti dei contatti (v. memoria di TIM 10/10/2019 e nota integrativa 12/11/2019, cit.) che TIM non risulta aver concordato con i propri partner o ancora alla sussistenza di committenti-mandanti diversi da TIM, per alcuni di tali partner. Proprio l’utilizzo di criteri e denominazione diversi fa sì che nella fattispecie – oltre a prassi scorrette poste in essere dai partner con riferimento alle modalità di gestione dei dinieghi – emerga anche la mancata adeguata implementazione da parte della Società stessa di procedure gestionali condivise, che – pur garantendo opportuna attenzione alle eventuali specifiche esigenze aziendali delle imprese coinvolte – consentissero un adeguato controllo da parte di TIM quale committente ed anche fornitrice di liste di contattabilità sulla complessiva gestione del trattamento per finalità promozionali, nonché il correlato obbligo di render conto delle proprie attività in linea con il principio di accountability.
– 1.504 numerazioni contattate erano presenti nella black list marketing al momento della registrazione del verbal order (e quindi al momento dell’effettuazione del contatto commerciale telefonico);
– di queste 1.504, 1.464 sono state contattate nonostante fossero state inserite dalla Società nella black list marketing a seguito del provvedimento del 22 giugno 2016 cit., il quale – come sopra evidenziato – ne aveva vietato il trattamento per finalità di marketing;
– 15 utenti avevano espresso un diniego al marketing prima della registrazione del Verbal Order (e quindi prima dell’effettuazione del contatto commerciale telefonico).
Al fine di un opportuno approfondimento del fenomeno dei c.d. “fuorilista”, l’Autorità ha svolto accertamenti ispettivi anche presso alcuni partner.
Le verifiche effettuate hanno evidenziato altresì che – con riferimento ad alcuni call center (XX; XX; XX; XX) – sono state contattate numerazioni di soggetti “referenziati” sebbene in presenza di una precedente opposizione al trattamento espressa dall’interessato, nonché numerazioni inserite nella black list marketing a seguito del citato provvedimento 22 giugno 2016 (in particolare, ciò è stato riscontrato per: 258 chiamate “referenziate” effettuate da XX; 250 chiamate “referenziate” effettuate da XX; nonché una chiamata “referenziata” effettuata da XX).
Appare evidente che TIM – pur conoscendo ed accettando il fenomeno delle chiamate verso utenze “referenziate”, di cui ha costantemente introitato i relativi profitti, come attestato dai Verbal Order sopra citati – non lo abbia disciplinato con apposite e dettagliate istruzioni in modo da garantirne la conformità alla normativa vigente (in questi termini, v. anche nota XX del 18/10/2019). Ciò ha comportato un trattamento di dati personali a fini di marketing effettuato in assenza di un comprovato e idoneo presupposto giuridico (non risultando che per essi sia stato acquisito un consenso idoneo, quale ad es. per delega, mail, registrazione della telefonata), ovvero senza tenere conto del diritto di opposizione precedentemente manifestato dagli interessati.
Con specifico riguardo ai Verbal Order – nonché alla composizione delle liste di contattabilità – la Società, dopo un asserito confronto con i partner del 7 novembre 2019, ha fornito elementi (come l’ “utilizzo di criteri di codifica dei flussi di dati distinti da parte dei Partner, che generano nomenclature diverse”; il confronto effettuato su liste parziali nella disponibilità dei Partner”; la diversa denominazione della tipologia di contatti “fuori lista”, riferiti da alcuni partner anche ad utenze “Lead”, acquisite direttamente dai medesimi partner, e non solo a utenze “referenziate”; il diverso concetto di VO, utilizzato in concreto), in base ai quali la Società ritiene di poter ragionevolmente circoscrivere e ridurre il fenomeno in questione (v. memoria 10/10/2019 e nota integrativa 12/11/2019, cit.).Tuttavia, tali elementi non risultano giustificare in modo compiuto e puntuale la notevole diversità dei dati quantitativi, in particolare dei VO.
Ancora oggi non risulta adeguatamente dimostrata e rendicontata la gestione delle liste e dei VO – oltre che dei contatti “fuori lista” – da parte di TIM, anche in ragione di evidenti disomogeneità nei criteri utilizzati e non condivisi con i partner, tanto che la Società stessa è giunta a rappresentare che “sono ancora in corso le verifiche puntuali per raffrontare numericamente e riscontrare con i Partner in questione gli elenchi dei fuori lista e dei correlati Verbal Order” e a segnalare “che gli interventi avviati ….e rappresentati (nella memoria 12.11.19) permetteranno di adottare metodi di controllo dei fuori lista basati su riscontri più strutturati e previsti dagli obblighi contrattuali”, a riprova delle lacune emerse.
3) con riguardo alle istanze di altri interessati (XX; XX; XX; XX; XX; XX; XX; XX; XX), i call center affidatari dell’esecuzione delle telefonate promozionali hanno ammesso (come, peraltro, TIM stessa: v. memoria 10 ottobre 2019) i contatti indesiderati adducendo, genericamente, presunte “sviste” o errori di digitazione dell’utenza telefonica da contattare oppure occasionali iniziative di contatto “in modalità manuale”, non autorizzate, effettuate dal proprio personale e non ulteriormente circostanziate e chiarite (v. anche specifici riscontri di: XX s.r.l. e XX s.r.l. del 30/1/2019: XX s.r.l. e XX s.r.l.s del 30/11/2018; XX s.p.a. del 5/12/2018; XX s.r.l.s. del 19/3/2019 – quest’ultima con complessivo riguardo a 4 segnalazioni, oggetto di distinto riscontro; tutti allegati ai citati riscontri di TIM). Spiegazione generica risulta anche quella fornita da XX s.p.a., la quale adduce, a motivare un ulteriore contatto promozionale indesiderato, “una duplicazione del dato su (proprio) CRM (errore tecnico) accertato in seguito al controllo della reportistica …” (riscontro XX 22/11/2018, allegato al riscontro TIM del 6/12/2018, cit.);
4) nei casi delle telefonate c.d. “ibride”, il contatto promozionale effettato dalla Società è risultato effettuato, nonostante il diniego già espresso al trattamento per finalità anche promozionali, nel contesto di comunicazioni “endocontrattuali” o comunque “di servizio” (in un primo caso, segnalante XX, mediante telefonata con operatore: v. riscontro TIM 6/12/2018, cit.; in un secondo caso, reclamante XX, mediante sms: v. riscontro TIM 8/1/2019, cit.). In tale secondo caso, secondo la Società, il tardivo riscontro all’istanza del segnalante e l’inserimento in black list – a fronte di più opposizioni effettuate dal reclamante, anche a mezzo di documentata comunicazione a mezzo pec – sarebbe avvenuto per una non meglio circostanziata “…errata operatività da parte degli operatori di customer care”;
a) la mancanza di un riscontro scritto, o altrimenti documentato, alle richieste di più interessati (XX; XX; XX; XX: v. riscontro 2/5/2019); il mancato riscontro ad istanze pervenute a mezzo di posta certificata (v. per segnalazione di XX: riscontro 2/5/2019, cit.; v. per reclamo di XX: riscontro 25/10/2018). Nel primo caso, l’istanza “non risulta tracciata nei sistemi … di archiviazione della corrispondenza pervenuta”; nel secondo caso, si adduce una “presunta perdita di informazioni … nel processo di trasferimento dalla PEC alla documentazione cartacea …”). Analoga mancanza è stata riscontrata per: la segnalazione di XX, la cui istanza è risultata stampata ed inviata all’outsourcer incaricato per la ‘tipizzazione’, ma non riscontrata per un problema relativo alla detta procedura (riscontro 20/3/2019, cit.); per la segnalazione di XX, gestita, con l’inserimento in black list, solo in occasione del riscontro fornito alla richiesta d’informazioni formulata dall’Autorità (riscontri 8/3/19 e 5/11/2018); nonché per il reclamo di XX, in relazione al quale più richieste formulate alla Società – pur inviate, più volte via pec e posta elettronica ordinaria – non risultano rilevate nei sistemi per anomalie tecniche oppure gestite tardivamente e la cui opposizione al trattamento di tipo promozionale risulta inserita a sistema solo decorso un periodo maggiore di 4 mesi dalla richiesta originariamente formulata (riscontri 5/9/2019 e 10/10/2019);
Inoltre, è stata verificata la presenza dell’anagrafica di un segnalante nel CRM (vale a dire il sistema di gestione della clientela) della Società, pur essendo trascorsi addirittura più di 10 anni dalla data di cessazione del contratto con TIM. A tal proposito la Società ha dichiarato che le “…anagrafiche dei clienti rimangono visibili agli operatori del Customer Care di TIM fintanto che la linea telefonica sottostante è attiva con un altro Operatore (OLO) e per i successivi 5 anni dalla cessazione (disattivazione tecnica) della linea” (cfr. riscontro 14/3/2019, p. 6). Tuttavia, per la linea in questione – passata da oltre 10 anni nella gestione di un altro Operatore telefonico – non è risultato attivo alcun servizio WLR (v. relazione allegata al riscontro inviato il 2/5/2019).
Peraltro la risultanza relativa alla presenza nel CRM di TIM di 23.298 assegnatari di linee WLR gestite da altro OLO (complessivamente riferiti a 23.428 linee telefoniche), risulta di dubbia compatibilità con legittime finalità del trattamento ascrivibili a TIM, tenuto conto che – secondo quanto previsto dal portale on line della Società, “il servizio WLR permette agli Operatori di virtualizzare il collegamento del cliente alla propria rete e di provvedere direttamente a gestire il cliente stesso per quanto riguarda” varie funzioni contrattuali o comunque connesse all’esecuzione del servizio. Inoltre, nel manuale delle procedure relative a siffatto servizio (all. G al riscontro 13/12/2018), viene indicato che “L’Operatore WLR gestisce in maniera completa il proprio cliente per la tassazione e la fatturazione dei corrispettivi economici di abbonamento e di consumo da quest’ultimo utilizzati…”.
Con la medesima nota, la Società ha rappresentato che, “con riferimento alle 23.428 linee corrispondenti a linee attive alla data di clienti “nativi” di OLO per il servizio WLR … solo 2.410 sono state inserite nelle Liste di contattabilità delle campagne prospect per il periodo dall’1 luglio 2018 al 28 febbraio 2019 …”; delle 2410 citate utenze, 414 sarebbero state “acquisite da elenco telefonico e verificate rispetto al Registro delle Opposizioni e 2 invece, sarebbero successivamente rientrate in TIM” (v. memoria 10/10/2019). Ciononostante, la Società non è stata in grado di circostanziare e comprovare – per le 414 utenze – la menzionata attività di verifica e – per le restanti 2 – la circostanza dell’eventuale acquisizione del valido consenso a fini promozionali (come, ad es.: copia di moduli cartacei oppure on line; registrazione audio; file di log riguardo ad eventuali raccolte on line).
Riguardo alle restanti 1.995 numerazioni, la Società ha rappresentato, che “le successive analisi tecniche, nel frattempo concluse” avrebbero ”confermato che le campagne promozionali su linee fisse attive rivolte ai c.d. “prospect” possono essere destinate anche a ex-clienti TIM di telefonia fissa registrati nel sistema CRMR che abbiano fornito un consenso al contatto valevole per 5 anni dalla cessazione”, e che tali analisi – evidenziando un nuovo elemento di criticità – “hanno individuato una anomalia nella procedura di estrazione dal CRMR tale per cui la procedura non era in grado di discriminare due casistiche inerenti: (i) le numerazioni di linee cessate e successivamente riattivate e assegnate ad un diverso utente (cliente di OLO) per attivare un nuovo impianto con il servizio WLR … e (ii) le linee attive migrate per il passaggio del cliente TIM ad un OLO. In conseguenza di tale anomalia, 1.995 numerazioni assegnate a clienti OLO e corrispondenti a numerazioni precedentemente utilizzate da clienti ex-TIM con consenso al contatto sono state inserite nelle Liste delle campagne prospect. Tale anomalia è stata corretta eliminando dalle estrazioni effettuate da CRM … tutte le linee intestate a clienti OLO” (v. nota 12/11/2019). In altri termini, la predetta anomalia ha comportato, con riferimento alle campagne promozionali svolte dalla Società nei confronti di ex-clienti, l’inserimento nelle liste di contattabilità di numerazioni appartenute a clienti della Società, quindi disattivate e, successivamente, riassegnate, in quanto disponibili, a clienti di altri operatori. Ciò ha determinato un trattamento illecito dei dati relativi alle numerazioni telefoniche di clienti di altri operatori, essendo il contatto commerciale avvenuto in assenza del previo consenso degli interessati o di altro presupposto giuridico idoneo. Peraltro va tenuto in considerazione che la quantificazione del fenomeno (1.995 numerazioni) è riferita soltanto alle campagne promozionali svolte da TIM nel periodo luglio 2018-febbraio 2019, mentre l’anomalia in questione ha ragionevolmente riguardato un arco di tempo molto più lungo.
A ciò si aggiunge che, le argomentazioni rappresentate dalla Società non sono adeguatamente comprovate in atti. In alcuni casi (213 numerazioni e 638 contatti commerciali) la data di attivazione del servizio WLR è risultata infatti precedente di oltre 5 anni rispetto alla data di effettuazione della campagna commerciale: trascorsi i 5 anni anche l’eventuale consenso al marketing fornito dall’ex-cliente cessato – erratamente attribuito, a detta della Società, ad un diverso soggetto, cliente OLO – avrebbe dovuto essere considerato – in base alla stessa policy TIM – non più valido per l’effettuazione del contatto commerciale.
La Società, come è risultato dall’analisi del sito www.tim.it, prospetta ai suoi clienti la possibilità di aderire al programma “TIM Party”, che consente di accedere a vantaggi e sconti, nonché la partecipazione a concorsi a premi, rappresentando agli stessi che “Se ancora non lo hai rilasciato, ti sarà richiesto il consenso per finalità di marketing da parte di Telecom”. Il cliente, dunque, per accedere a tale programma e ai connessi benefici, deve manifestare il consenso alle finalità promozionali. Peraltro, risulta elevatissimo il numero dei clienti che hanno aderito a tale programma (circa 2.000.000 di linee telefoniche, fino a dicembre 2018: v. verbali 5 e 6/2/2019).
Al riguardo, TIM ha rappresentato (v. memoria 10/10/2019) che “le offerte dedicate costituiscono non già una attività promozionale … ma bensì la funzione e finalità specifica e propria del programma stesso, ossia il c.d. oggetto del contratto … Così, il cliente TIM che intenda aderire al programma compie una consapevole ed informata scelta e manifesta, attraverso l’iscrizione, la propria volontà di ricevere le comunicazioni relative a offerte, vantaggi e concorsi, che rappresentano l’unica finalità di TIM Party. Per tale ragione, l’iscrizione a TIM Party comporta necessariamente la modifica dei consensi registrati nel CRM, in quanto l’iscrizione al Programma risulta ictu oculi incompatibile con il diniego alle offerte commerciali…”. La Società, nella medesima sede, lasciando trapelare qualche proprio ragionevole dubbio sulla legittimità di tale prassi, ha aggiunto che “Qualora tale indicazione non venga condivisa, si rileva in subordine che la ‘cessione del consenso’ a fronte di vantaggi rimane comunque una libera scelta del consumatore, non espressamente preclusa dal Regolamento.” e ha fatto riferimento ad un presunto, e non identificato, parere richiesto in materia da questa Autorità.
Più in generale, la medesima – nell’invocare la propria “buona fede”, a suo dire, comprovata proprio dalle seguenti modifiche apportate alla configurazione delle App “My TIM”, “TIM Personal” e “TIM Smart Kid” – ha rappresentato che (v. memoria 10/10/2019):
– “l’attivazione delle App in esame non richiede un espresso consenso per l’uso né consente la modifica dei consensi per finalità di marketing del cliente, che possono essere gestiti dallo stesso attraverso i canali relativi alla gestione della linea TIM (i.e. tramite il portale web My TIM e, dall’agosto 2019, tramite l’App My TIM)”;
– di aver “preso atto dei rilievi sollevati dell’Autorità circa la potenziale equivocità testuale delle informative in relazione ai possibili effetti derivanti dall’installazione delle App in esame, e ha provveduto a modificare”, nel periodo compreso fra febbraio e agosto 2019, “di conseguenza il testo delle informative medesime”;
– di aver modificato, coerentemente con le criticità emerse in sede ispettiva, anche la procedura relativa all’ “accettazione dei Terms&Conditions e la presa visione Informativa Privacy”, impostando “la necessaria selezione di due pulsanti separati”.
L’Autorità ha ricevuto una segnalazione evidenziante la somministrazione al segnalante dei suindicati moduli da parte di TIM, ove, a fronte di svariate finalità di trattamento (statistiche; promozionali; di profilazione), veniva richiesto un unico indistinto consenso. La Società al riguardo ha rappresentato che: “il modulo di autocertificazione in oggetto (ed. marzo 2009), utilizzato dal Customer Care Business, non era stato aggiornato e pertanto presentava contenuti non più adeguati, tra cui la declaratoria dei consensi privacy … non è possibile risalire al numero di clienti business che hanno sottoscritto tale modulo, in quanto non è prevista una specifica tracciatura per questa tipologia di modulo (utilizzato solo per intestazione della linea mobile prepagata a terza persona rispetto al titolare del contratto di telefonia mobile business)”, aggiungendo che “E’ in corso la revisione del modulo … , che, una volta ultimata, sarà diffuso a tutte le strutture del Customer Care Business …” (v. riscontro 20/3/2019).
La Società ha successivamente presentato (il 10/10/2019) documentazione relativa a nuovi moduli preposti alla medesima funzione e già distribuiti, presentanti la richiesta di consensi liberi e specifici in base alle diverse finalità del trattamento perseguite, segnalando che i dati raccolti dal segnalante e dagli altri interessati non sarebbero stati utilizzati per le finalità indicate nell’informativa (fra cui quelle promozionali), confermando così, tuttavia, l’avvenuta raccolta di un inidoneo consenso.
2.8. Gestione dei data breach – anomalie e disallineamenti relativi ai dati personali della clientela
– in alcuni casi la Società ha provveduto tardivamente alla individuazione e corretta gestione degli episodi di violazione occorsi, attivando il DPO solo alcuni mesi dopo il rilevamento del problema, nonché all’effettuazione delle comunicazioni a questa Autorità prescritte dalla normativa vigente;
– i sistemi che trattano i dati personali della clientela vanno frequentemente incontro a “disallineamenti”, “anomalie” ed “errate associazioni”.
Un’anomalia ha riguardato anche la black list dinieghi, in particolare interessando la data di inserimento delle numerazioni nella black list stessa. La Società risulta averne preso coscienza solo quando, nel corso dei detti accertamenti ispettivi relativi al telemarketing, ha dovuto spiegare i motivi per i quali quasi la metà delle numerazioni inserite nella citata lista di esclusione presentasse la medesima data di inserimento (cfr. p. 2, verbale 28/2/2019; riscontro 3/4/2019). La Società, precisando che il malfunzionamento software aveva preso avvio il 30/1/2018 ed era durato fino al 14/2/2019, ha assicurato di aver “risolto in modo strutturale l’anomalia a far data dal 8/3/19…”, e di aver inserito in black list “tutti i dinieghi ‘bloccati’ e solo temporaneamente non risultanti su tutti i database e, pertanto, la black list risulta, attualmente, completa e corretta”, così ammettendo che tale black list presentava precedentemente alcune inconsistenze nei dati (v. memoria 10/10/2019). La Società, nella stessa memoria ha evidenziato che tali disallineamenti non hanno “comportato la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati, ma unicamente il disallineamento tra diversi database e/o interfacce”, poiché “i dati aggiornati ed esatti erano comunque presenti nel DWH-Consenso, ossia dal sistema master sul quale si basano tutte le attività condotte da TIM in virtù dei consensi privacy dei clienti ..”. Si osserva altresì che tale ultima affermazione risulta parzialmente in contrasto con quanto rappresentato dalla Società, nella memoria del 12 novembre 2019, in cui ha affermato che: “l’anomalia già rappresentata al Garante nel Riscontro del 3 aprile 2019, che ha temporaneamente bloccato l’aggiornamento dell’archivio di DWH Consenso Prospect e che è stata ripristinata l’anomalia a partire dal 15 febbraio 2019, alcuni dinieghi sono stati registrati nel DWH Consenso Prospect a partire da quella data. […] Come già rappresentato in Memoria e nel Riscontro del 8 marzo 2019”, secondo TIM, si sarebbe verificata una “anomalia nell’aggiornamento dell’archivio DWH Consenso Prospect e conseguentemente della Black List Dinieghi usata dalle funzioni marketing…” da cui parrebbe evincersi che anche nel sistema DWH Consenso erano presenti anomalie relative allo stato dei consensi degli interessati.
Con specifico riguardo alle telefonate effettuate, nei confronti di utenze “fuori lista”, da alcuni call center partner di TIM, è risultato che sono stati contattati soggetti “referenziati”, in base a una costante prassi operativa riconducibile a una cosciente scelta aziendale della Società e non riferibile ad eccezionali iniziative non autorizzate intraprese – ad insaputa del committente – e call center incaricata delle attività promozionali – dal personale (cfr. par. 2.1).
Inoltre, non può invocarsi quale base giuridica – come ha fatto TIM, peraltro, solo con la nota del 13 maggio 2019 e la memoria del 10 ottobre 2019, provando a scostarsi da quanto già emerso e cristallizzato in sede ispettiva – quella del “legittimo interesse” di TIM e dei suoi partner alle attività di marketing, magari unitamente al presunto interesse del soggetto “referenziante”, che coinvolge nella promozione l’amico o il parente.
Va poi evidenziato che il legittimo interesse, di cui all’art. 6, par. 1, lett. f), del Regolamento – già previsto sia dall’abrogata direttiva 95/46/CE, nonché dal Codice previgente alle modifiche apportatevi dal d.lgs. n. 101/2018 (d.lgs. n. 196/2003, art. 24, comma 1, lett. g) – non può surrogare – in via generale – il consenso dell’interessato quale base giuridica del marketing. Invero, il Regolamento stesso – come già la direttiva 95/46/CE all’art. 7, comma 1, lett. f) – lo ammette solo “a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali”. Inoltre, il medesimo Regolamento (v. considerando 47), con specifico riguardo all’applicabilità del legittimo interesse al marketing esige – con un approccio rigoroso quanto prudente – che si tengano in debito “conto le ragionevoli aspettative nutrite dall’interessato in base alla sua relazione con il titolare del trattamento. Ad esempio, potrebbero sussistere tali legittimi interessi quando esista una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente o è alle dipendenze del titolare del trattamento. In ogni caso, l’esistenza di legittimi interessi richiede un’attenta valutazione anche in merito all’eventualità che l’interessato, al momento e nell’ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine. Gli interessi e i diritti fondamentali dell’interessato potrebbero in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati personali”. L’applicazione della base giuridica del legittimo interesse presuppone quindi la prevalenza in concreto (in base a un bilanciamento rimesso al titolare, ma sempre valutabile dall’Autorità di controllo) di quest’ultimo sui diritti, libertà e meri interessi degli interessati (nello specifico, i destinatari delle comunicazioni promozionali non assistite dal consenso). In tale confronto, è necessaria l’attenta ponderazione dell’impatto del trattamento, che si intende effettuare su tali diritti, libertà ed interessi (fra cui, nel caso del marketing, sono ravvisabili anzitutto il diritto alla protezione dei dati e il diritto alla tranquillità individuale dell’interessato, v., da ultimo, Relazione annuale 2018, p. 107; anche provv. 22 maggio 2018, doc. web n. 8995274), ed è necessaria altresì, nel rispetto dei principi di responsabilità e trasparenza, la concreta attuazione di misure adeguate per garantire i diritti degli interessati, quale in particolare quello di opposizione (in questo senso, cfr. già il Parere del Gruppo Art. 29, n. 6/2014, sul concetto di interesse legittimo – WP 217, p. 35: l’istituto del legittimo interesse “garantisce una maggiore protezione dell’interessato; in particolare, stabilisce che si tengano in considerazione non solo i diritti e le libertà fondamentali dell’interessato, ma anche il suo “interesse” – mero e non qualificato. … tutte le categorie di interessi dell’interessato devono essere prese in considerazione e valutate comparativamente rispetto a quelle del responsabile del trattamento, nella misura in cui siano pertinenti nell’ambito del campo di applicazione della direttiva”).
Pertanto – qualora non ricorrano i sopra delineati presupposti per il legittimo interesse e ad eccezione delle ipotesi del c.d. “soft spam” (art. 130, comma 4, Codice), nonché del sistema di “opt-out” per i dati presenti negli elenchi pubblici – si deve ritenere che la regola generale da seguire per i trattamenti per finalità promozionali sia quella del previo consenso informato, libero, specifico e documentato degli interessati (come sottolineato anche dalle Linee Guida del Garante in materia promozionale, 4 luglio 2013, cit., e ancor prima dal provv. gen. 19 gennaio 2011,“Prescrizioni per il trattamento di dati personali per finalità di marketing, mediante l´impiego del telefono con operatore, a seguito dell´istituzione del registro pubblico delle opposizioni”, doc. web n. 1784528, che – nel ricordare la necessità, anche rispetto alle utenze di imprese o liberi professionisti reperibili in elenchi o albi pubblici, l’ulteriore stringente limite, nel rispetto del principio di ‘finalità’, della stretta e diretta funzionalità fra le offerte promozionali telefoniche e oggetto specifico dell’attività imprenditoriale/professionale – ha chiarito che, al di fuori dei summenzionati casi, il trattamento per finalità promozionali dei “dati contenuti in banche dati comunque formate è consentito solamente nel rispetto dei principi generali del Codice e quindi solo previo rilascio di una idonea informativa e l´acquisizione dello specifico consenso…..”); principi, come noto, confermati e anzi resi più stringenti dal Regolamento mediante le previsioni di cui agli artt. 6, 7, 12 e 13.
Riguardo alle utenze “fuori lista” (in particolare, quelle “referenziate”), la responsabilità “generale” del trattamento promozionale effettuato va ascritta – diversamente da quanto ritenuto da TIM – anche a quest’ultima, alla luce anche di quanto rilevato dal Gruppo Art. 29, in ordine al concetto di titolare del trattamento, il quale “è funzionale, finalizzato cioè all’attribuzione di responsabilità laddove intervenga un’influenza effettiva: si basa quindi su un’analisi fattuale piuttosto che formale”. In particolare, ai fini dell’individuazione della titolarità concretamente esercitata, occorre esaminare anche “elementi extracontrattuali, quali il controllo reale esercitato da una parte, l’immagine data agli interessati e il legittimo affidamento di questi ultimi sulla base di questa visibilità” (cfr. Parere n. 1/2010).
Invero, in base agli elementi raccolti, la Società infatti costituisce di fatto il soggetto committente per conto del quale viene svolta l’attività di telemarketing (inclusa quella di reperimento e di contatto dei “fuori lista”), sulla base anzitutto del contratto ma anche nella prassi operativa dei call center, impegnati costantemente ad utilizzare il nome e l’ immagine di TIM, nonché gli script dei messaggi promozionali della medesima Società; peraltro la medesima è chiaramente il soggetto cui sono principalmente destinati i vantaggi economici derivanti dai contratti stipulati con gli interessati che aderiscano all’offerta telefonica. A fronte di ciò, non risulta che TIM abbia in origine adeguatamente disciplinato, né monitorato adeguatamente tali modalità di gestione del contatto telefonico, né sia intervenuta per disciplinarla o dissuaderla successivamente alla stipula dei contratti con i partner (almeno fino alla lettera inviata il 9 ottobre 2019 ai detti partner, invitandoli a sospendere siffatta attività di contatto promozionale in attesa della definizione del procedimento avviato dal Garante il 25 luglio 2019).
Al riguardo, si noti altresì che, dai contratti stipulati con i partner, emerge come TIM abbia incaricato tali soggetti di svolgere l’attività promozionale utilizzando non solo le proprie liste di contattabilità, ma anche utenze “fuori lista”, quali quelle “lead”.Tuttavia, TIM nei contratti con i partner non ha ben circoscritto la nozione di “lead”, né ha indicato specifiche modalità procedurali di acquisizione delle relative numerazioni, accettando così il rischio di contatti non conformi alla normativa, anzi incoraggiando, già nelle previsioni contrattuali, tali attività e incamerando nei propri sistemi informativi i dati dei contatti commerciali – effettuati in assenza del consenso degli interessati, ma andati a buon fine – nonché introitando le conseguenti utilità economiche (derivanti dalla stipula di contratti di fornitura di servizi – cfr., ad esempio, l’art. 7 del contratto tipo TIM-3G s.p.a., in base al quale per “lead” si intende l’ “autorizzazione ad essere ricontattato fornita dal Cliente che rilascia i propri dati personali (nominativo completo e corretto, numero di telefono corretto ed attivo e/o indirizzo e-mail corretta ed attiva) … in accordo con le norme di legge vigenti, raccolta in forma cartacea, vocale o digitale)” dove inoltre si stabilisce che per “il calcolo dei corrispettivi, saranno presi in considerazione i Contatti utili effettuati ed i contratti acquisiti ed attivati secondo i dati risultanti dai sistemi informativi di Telecom”, in cui di fatto sono rientrati a far parte anche i c.d. “referenziati”). Inoltre, nonostante dati delle numerazioni “fuori lista” – fossero stati raccolti dai partner in violazione della disciplina vigente – e non potessero quindi essere utilizzati (art. 2-decies del Codice), TIM ne ha comunque costantemente accettato la registrazione nei propri sistemi per la gestione dei contratti stipulati, senza preoccuparsi di verificarne l’origine e, in particolare, la legittima acquisizione.
Ciò, a tacere del fatto che proprio per le utenze “referenziate” presenti negli elenchi pubblici e al contempo nel Registro pubblico delle opposizioni, l’art. 1, comma 11, della legge n. 5/2018, ha introdotto nel nostro ordinamento un espresso principio di responsabilità solidale del titolare-committente per le attività promozionali affidate a call center terzi, stabilendo che: “Il titolare del trattamento dei dati personali è responsabile in solido delle violazioni delle disposizioni della presente legge anche nel caso di affidamento a terzi di attività di call center per l’effettuazione delle chiamate telefoniche.”.
In questo quadro, l’attività di telemarketing effettuata per conto di TIM nei confronti dei “fuori lista” deve ritenersi un’attività economica sostanzialmente unitaria, non risultando possibile, né corretto, disgiungere e separare i relativi connessi obblighi e responsabilità (per analoghe considerazioni sulla responsabilità del committente rispetto alla condotta dei propri partner nonché degli altri soggetti eventualmente coinvolti nella “filiera del trattamento”, v. provv. 26 ottobre 2017, doc. web n. 7320903; provv. gen. 15 giugno 2011, doc. web n. 1821257, che, nell’argomentare la titolarità del trattamento in capo ai committenti, evidenzia alcuni precisi elementi: qualora, come nel caso di specie, i contatti promozionali sono effettuati in nome, per conto e nell´interesse della società preponente, “negli interessati si ingenera un legittimo affidamento, dal momento che essi percepiscono di essere destinatari di iniziative pubblicitarie condotte direttamente dalla società per conto della quale viene formulata la proposta di vendita di prodotti o servizi; … – il mandato, spesso con rappresentanza, di volta in volta conferito vincola l´agente alla presentazione di offerte ed alla conclusione di contratti in nome, comunque per conto del preponente utilizzando, peraltro, la modulistica predisposta da quest´ultimo”. Inoltre, in base al citato provv. generale 15 giugno 2011, “i poteri tassativamente previsti dal Codice per la configurazione e l’esercizio della titolarità” …. “sono e restano appannaggio esclusivo dei preponenti. Tra questi, innanzitutto: – assumere decisioni relative alle finalità del trattamento dei dati dei destinatari di campagne promozionali ai fini di invio di materiale pubblicitario o di vendita diretta o di ricerche commerciali o di comunicazione commerciale effettuate da soggetti terzi che agiscono in outsourcing per lo svolgimento delle richiamate attività di promozione e di commercializzazione di beni, prodotti e servizi”. Per analoghe argomentazioni, v. anche: le Linee guida in materia di attività promozionale e contrasto allo spam, 4 luglio 2013, doc. web n. 2542348; provv. gen. 18 aprile 2019, in materia di propaganda elettorale e comunicazione politica, doc. web n. 9105201; in tal senso v. Trib. Milano, sez. I civ., 28 marzo 2019, n. 2629, che conferma l’orientamento espresso dal Garante nel provv. 26 ottobre 2017, doc. web 7320903, sulla contitolarità del trattamento in capo al committente; ord. ingiunzione 18 giugno 2015, doc. web n. 4253116; parere n. 1/2010 WP n. 169 del 16 febbraio 2010, che ha evidenziato, già in linea con la direttiva 95/46/CE, che, ai fini dell´individuazione della titolarità concretamente esercitata, occorra esaminare anche “elementi extracontrattuali, quali il controllo reale esercitato da una parte, l´immagine data agli interessati e il legittimo affidamento di questi ultimi sulla base di questa visibilità”. V., in tal senso anche l’orientamento della giurisprudenza comunitaria, rispetto alla quale vige l’obbligo di interpretazione conforme delle norme: sent. CGUE, Causa C-131/12 – Google Spain SL, Google Inc./Agencia Española de Protección de Datos, Mario Costeja Gonzáles, sul noto caso “Google Spain”, dalla quale può desumersi che le responsabilità non possono essere scisse dai vantaggi, quali i profitti economici, derivanti dalla medesima attività di trattamento; sent. CGUE, 5 giugno 2018, C-210/16, Wirtschaftsakademie Schleswig-Holstein, facente riferimento ad un concetto ampio di (con)titolarità nel trattamento, includendo anche il soggetto che, in qualche modo, ha contribuito alla determinazione anche delle sole finalità del trattamento. Sulla contitolarità, cfr. sent. CGUE, 10 luglio 2018, C-25/17, Tietosuojavaltuutettu; CGUE, 29 luglio 2019, C-40/17, Fashion ID GmbH & Co. KG / Verbraucherzentrale NRW eV).
Al riguardo si deve però osservare che le lacune emergenti dai riscontri ad alcuni interessati (v. XX, XX, XX, XX, XX, XX, XX, XX) e in particolare il lasso di tempo intercorrente tra la data di esercizio dei diritti e la data d’inserimento nella black list societaria, risultano riferibili al periodo antecedente all’adozione del citato provvedimento del 2016 “e pertanto rispecchia(no) fisiologicamente l’anomalia già rilevata a suo tempo dal Garante… (tanto da essere oggetto di apposite prescrizioni con il citato provvedimento e del successivo piano di adeguamento posto in essere dalla Società ed ampiamente documentato alla stessa Autorità …” (in questi termini, il riscontro 2/5/2019). Confermando (v. nota dell’Autorità 25 luglio 2019) che le dette lacune non possono essere quindi contestate, risultano, tuttavia, successive al citato provvedimento – e quindi meritevoli di censura – le analoghe lacune acclarate nei confronti delle istanze di XX; XX; XX; XX; XX; XX; e, da ultimo, XX, ravvisandosi la violazione del diritto di revoca del consenso e di opposizione di cui, rispettivamente, agli artt. 7, par. 3, e 21, par. 2 e 3, del Regolamento (diritto, quello all’opposizione, già sancito dall’art. 7, comma 4, lett. b, Codice previgente).
Anche in base a quanto già detto riguardo alla responsabilità di TIM, quale contitolare riguardo a siffatte chiamate o comunque committente delle campagne promozionali, una ancor più grave violazione risulta riscontrabile rispetto alle utenze telefoniche che – pur poste nella black list marketing a seguito del citato provvedimento 22 giugno 2016, il quale ne aveva vietato il trattamento per finalità di marketing – tuttavia, risultano contattate nell’ambito delle chiamate “fuorilista” effettuate dai call center, in assenza di un’adeguata attività di monitoraggio e “filtro” di tali contatti promozionali che va rimproverata alla Società, quanto ai call center autori dei contatti. Né risulta che la Società, per tutti gli interessati in questione abbia comprovato, producendo idonea documentazione, il necessario consenso. Ciò, ferma restando la non applicabilità al caso di specie dell’istituto dell’interesse legittimo, ancorché prospettato dalla Società.
Peraltro non risulta in linea con il diritto di opposizione, né con il principio di correttezza, la prassi, talora emersa, di rivolgere, nell’ambito di una medesima campagna promozionale, un numero elevatissimo (anche 155 volte, tanto più considerato il periodo – mensile – del loro svolgimento) di telefonate alla medesima utenza; eccesso che può ritenersi agevolato da TIM nel momento in cui non risulta aver adottato misure organizzative e tecniche adeguate ad evitare, magari con adeguata vigilanza in loco, ricontatti promozionali indesiderati.
Con specifico riferimento al quantitativo di clienti OLO inseriti nelle liste delle campagne prospect (cfr. par. 2.4), la Società non ha fornito prova che il trattamento per finalità promozionale sia stato effettuato in base a un preventivo idoneo consenso per l’attività di marketing dei singoli interessati, violando così gli artt. 6 e 7; considerando 32, 40, 42 e 43, del Regolamento, nonché art. 130 Codice (come già sancito dagli artt. 23-130, Codice previgente). In proposito cfr. altresì Linee guida in materia di trattamento di dati personali per profilazione on line – 19 marzo 2015), né risulta aver circostanziato e documentato altre diverse ed alternative basi giuridiche, con riferimento ai medesimi interessati.
Per tali dati (clienti OLO) – come per i dati presenti in black list, oggetto di disallineamento sistematico – comunque, è opportuno ricordare che, a prescindere dal loro utilizzo o meno a fini promozionali, il relativo trattamento, per quanto detto, deve ritenersi illecito già in base alla non conformità ai principi di correttezza, limitazione della finalità, limitazione della conservazione, nonché esattezza ed integrità di cui all’art. 5, par. 1, lett. a), b) ed e), del Regolamento.
L’orientamento medesimo è stato confermato dall’Autorità, anche dopo la piena operatività del Regolamento (v. provv. 12 giugno 2019, doc. web n. 9120218). Similmente risultano essersi espresse anche le Autorità di controllo degli altri Stati membri dell’Unione europea (v. ICO, Direct marketing guidance, version 1.124 ottobre 2013; CNIL, Délibération nº 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs visés par l’article 32-II de la loi du 6 janvier 1978).
Si consideri altresì che la procedura relativa a “TIM Party”, in caso di mancato rilascio del consenso alle finalità promozionali, risulta in radice impedire di accedere a tale programma e, con ciò, la partecipazione a più servizi e funzionalità tutte riunite e condizionate, indistintamente, alla prestazione del detto consenso. In particolare, tale siffatta procedura risulta così pregiudicare l’interessato che intenda rimanere libero nelle scelte rispetto al trattamento dei dati che lo riguardano, al contempo discriminandolo – rispetto ai soggetti che si lasciano persuadere a rilasciare il detto consenso – riguardo all’accesso a più diversi benefici di apprezzabile contenuto economico. Tale preclusione, con specifico riferimento ai concorsi a premio indicati dal programma in questione, in una visione più sistematica, si pone in contrasto anche con i principi di gratuità e parità di trattamento che dovrebbero presidiare questa tipologia di iniziative (v. circolare 28 marzo 2002 n. 1/AMTC, “Prime indicazioni esplicative ed operative in merito alla nuova disciplina sulle manifestazioni a premio (D.P.R. n. 430 del 26 ottobre 2001)”.
Si consideri altresì che la Società ha previsto una procedura ove risultava necessaria l’accettazione – congiunta e inscindibile – di “termini di servizio” e informativa privacy. Anche tale impostazione non può ritenersi né corretta né trasparente, in quanto – anche in assenza di un’effettiva capacità di modificare i consensi privacy precedentemente espressi dall’interessato – ingenera comunque il ragionevole dubbio negli utenti riguardo a una possibile interferenza della menzionata accettazione con la gestione dei consensi degli utenti ai trattamenti indicati nell’informativa.
Carenze particolarmente rilevanti in considerazione del fatto che tramite le App il titolare è in grado di acquisire (e quindi trattare) svariate tipologie di informazioni personali (v. rapporto ENISA “Privacy and data protection in mobile Applications. A study on the App development ecosystem and the technical implementation of GDPR, novembre 2017) e, proprio per tale peculiarità, l’interessato deve essere posto in grado di esprimere un consenso consapevole, libero, informato e specifico, in relazione al trattamento che si intende effettuare (v. inoltre, il Parere n. 2/2013 del Gruppo Art. 29 sulle applicazioni per dispositivi intelligenti – WP 202, del 27 febbraio 2013; le sopra citate Linee guida adottate dal Comitato europeo per la protezione dei dati in materia di consenso, specie p. 6; nonché il menzionato Parere 15/2011 sulla definizione di consenso del Gruppo Art. 29, pp. 35-37).
Al riguardo, quanto affermato dalla Società riguardo al mancato utilizzo, per finalità ulteriori (a quelle contrattuali), dei dati raccolti con tale mezzo contrattuale – peraltro in vero affermato, ma non adeguatamente dimostrato, non avendo prodotto la Società alcuna evidenza, tratta dai propri sistemi informativi, dai report delle campagne promozionali o aliunde, del mancato inserimento di tali dati in campagne promozionali condotte, direttamente o tramite terzi – non rileva in ragione di un’ulteriore necessaria considerazione. Ossia, che la raccolta e la successiva conservazione di dati personali realizzate in assenza del necessario consenso libero e specifico per la finalità promozionale, come effettuate dalla Società, costituiscono di per sé due operazioni di trattamento rilevanti ai fini della normativa in materia (v. provv. 12 giugno 2019, doc. web n. 9120218 nonché provv.ti 27 ottobre 2016, cit.; 20 novembre 2014, doc. web n. 365793), e quindi – diversamente da quanto sostenuto da TIM – sono da ritenersi illeciti trattamenti.
Sono risultate non correttamente congegnate – e quindi non idonee a garantire una corretta gestione del diritto di opposizione – le procedure di caricamento dei dinieghi nei vari archivi, e, seppur in modo circoscritto, quelle atte ad impedire l’inserimento in campagne promozionali di utenze già presenti in black list. Ciò in quanto tali procedure non sono risultate, in particolare, idonee a consentire né una tempestiva registrazione dei consensi/dinieghi nei sistemi societari, né un corretto aggiornamento delle black list, considerata altresì la mancanza di criteri di codifica univoci e condivisi (v. par. 2.1). Inoltre, la policy di TIM è risultata gravemente carente riguardo alla gestione dei contatti effettuati dai partner nei confronti dei c.d. “fuori lista” e dei relativi dinieghi.
In tale quadro, la Società risulta aver così violato, sotto più aspetti, il principio di privacy by design, in quanto “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento” non risulta aver messo in atto adeguate “misure tecniche e organizzative adeguate … volte ad … integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati” (v. art. 25, par. 1; considerando 75 e 78, Regolamento).
In particolare, TIM – pur dando impulso, conoscendo e avallando la prassi instaurata dai partner, nonché traendo profitto, riguardo alle chiamate fuorilista effettuate dai propri partner commerciali – non è stata in grado, in sede di ispezione, di quantificare precisamente le stesse, né di fornire l’elenco delle numerazioni contattate, eccetto quelle andate a buon fine e, quindi, associate ad un Verbal Order. Inoltre, TIM ha avuto notevoli difficoltà nel chiarire persino il funzionamento della registrazione dei dinieghi e quindi delle black list, esplicitandone un più articolato funzionamento solo con la nota del 12 novembre 2019.
Con riguardo al comportamento dei propri partner, per i quali TIM ha uno specifico obbligo di vigilanza (art. 28 del Regolamento), la Società – anche nel corso dell’audizione del 5 novembre 2019 e da ultimo con la nota del 12/11/2019 – non è stata in grado di chiarire compiutamente il mancato/tardivo inserimento nella black list dinieghi da parte dei partner nonché indicare e documentare le tempistiche relative all’effettivo inserimento dei dinieghi nei sistemi societari, manifestando un faticoso esercizio dell’obbligo di accountability.
Si rileva – a conferma dell’ampiezza e del protrarsi delle criticità riscontrate – la persistenza di numerose segnalazioni e reclami, pervenuti all’Autorità anche in tempi successivi alla data delle operazioni ispettive effettuate presso TIM S.p.A. e i suoi partner commerciali fino alla data odierna, e contenenti doglianze analoghe a quelle accertate, su cui questa Autorità si riserva di svolgere ulteriori attività istruttorie.
Ad esito dell’analisi della documentazione complessivamente acquisita in atti, in considerazione di alcuni elementi emersi (quali, in particolare, fra gli altri, il numero elevatissimo di interessati coinvolti dai trattamenti in questione nonché la varietà e gravità delle violazioni riscontrate in capo a TIM), questa Autorità – valutate anche alcune misure di cui la Società ha prospettato la prossima implementazione – ritiene necessario un intervento ad ampio spettro (inibitorio, prescrittivo e sanzionatorio), al fine di garantire la conformità alla normativa vigente dei trattamenti oggetto del presente provvedimento.
Risultano infatti violate varie disposizioni del Regolamento e del Codice in relazione a trattamenti collegati effettuati da TIM S.p.A. a fini di marketing, per cui si ritiene applicabile l’art. 83, par. 3, del Regolamento, in base al quale, se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento viola, con dolo o colpa, varie disposizioni del Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave (di cui all’art. 83, par. 5, lett. a, del Regolamento) assorbendo così le violazioni meno gravi (v. art. 83, par. 4, lett. a, e 5, lett. a e b, del Regolamento). Pertanto, le suindicate violazioni avendo ad oggetto, tra gli altri, i presupposti di liceità del trattamento di cui agli artt. 6 e 7, Regolamento, e 130 del Codice, sono da ricondursi, ai sensi dell’art. 83, par. 3 dello stesso Regolamento, nell’alveo della violazione più grave prevista per l’inosservanza dei predetti presupposti di liceità con conseguenziale applicazione della sola sanzione prevista all’art. 83, par. 5, lett. a), del Regolamento.
1. l’ampia portata dei trattamenti, riguardanti quasi sempre (ad es., fanno eccezione i moduli per l’autocertificazione possesso linea prepagata, riservati a clienti business) la generalità di clienti ed utenti del servizio di telefonia e dei connessi servizi, nonché l’elevato numero degli interessati coinvolti, alla data degli accertamenti in loco (febbraio 2019), e in particolare: 2.894.292 linee coinvolte da disallineamenti dei sistemi informatici; i clienti che hanno scaricato le App “My TIM”; “TIM Personal”; “TIM Smart Kid” (rispettivamente: 7.000.000; 400.000; 10.000); i circa 2.000.000 clienti aderenti al programma “TIM Party “(art. 83, par. 2, lett. a) del Regolamento);
2. la gravità delle violazioni rilevate, in ragione: dei contatti illegittimi, e in particolare indesiderati, effettuati nell’ambito delle attività di telemarketing e teleselling (potenzialmente lesive di vari diritti fondamentali e, in particolare, oltre al diritto alla protezione dei dati personali, del diritto alla tranquillità individuale e del diritto alla riservatezza); di procedure di raccolta dei dati, come quelle previste per le App “My TIM”, “TIM Personal” e “TIM Smart Kid”, per i moduli di autocertificazione possesso linea prepagata e per il programma “TIM Party”, tali, di fatto, da coartare la libera espressione della volontà degli interessati con riguardo al trattamento dei loro dati e quindi anche da minare il fondamentale diritto all’autodeterminazione degli interessati (a prescindere da eventuali effettivi utilizzi degli stessi per le finalità non adeguatamente consensate, quali quella promozionale o di geolocalizzazione: v. App “My TIM”, “TIM Personal” e “TIM Smart Kid”); dell’accesso a diversi benefici di apprezzabile contenuto economico (fra cui scontistiche varie e concorsi a premio), precluso dal programma “TIM Party” agli interessati (già, naturalmente, gravati, in qualità di consumatori, dall’asimmetria informativa riguardo a moduli e clausole predisposti unilateralmente) che non vi hanno potuto aderire per salvaguardare la libertà del proprio consenso, anche in violazione dei principi di gratuità e parità di trattamento in materia di concorsi a premi; delle difficoltà che gli interessati hanno riscontrato per arginare il fenomeno del marketing indesiderato, anche considerata l’inadeguata gestione del diritto di opposizione per il tramite delle black list; della molteplicità e varietà delle condotte (attive e passive) riferibili a TIM in violazione di più disposizioni del Regolamento e del Codice; delle riscontrate gravi carenze organizzative che hanno determinato un’inadeguata attuazione dei fondamentali principi di protezione dei dati fin dalla progettazione (privacy by design) ed accountability; della violazione dei fondamentali principi di esattezza dei dati, nonché di integrità e di riservatezza dei sistemi, come attestati da vari data breach, peraltro gestiti da TIM con notevole ritardo, e soprattutto dai vari disallineamenti dei sistemi che hanno interessato un numero elevatissimo di interessati (art. 83, par. 2, lett. a, del Regolamento);
3. la durata significativa delle violazioni e, in assenza di elementi precisi per alcune, prudenzialmente circoscritta da questa Autorità, anche se l’elevatissimo numero degli interessati coinvolti indurrebbe a retrodatare l’inizio delle stesse rispetto alla data di seguito individuata: per alcune (come quelle relative ai principi di privacy by design e accountability, nonché alla conservazione eccedente dei dati OLO), iniziate perlomeno dal 25 maggio 2018, data della piena operatività del Regolamento e non risultanti ancora compiutamente disciplinate e risolte; per altre (come il telemarketing indesiderato, protratte perlomeno fino al 9 ottobre 2019, quando TIM ha inviato ai propri partner nota in cui invitava gli stessi a non contattare i c.d. “referenziati”); per altre ancora (come la procedura prevista per l’installazione delle App individuate) perlomeno dal 25 maggio 2018 fino al febbraio 2019 (App “My TIM”, in vero, ulteriormente aggiornata nell’agosto 2019, e “XX Kid”) o al luglio 2019 (App “TIM Personal”); per i disallineamenti dei sistemi – che hanno impedito la completezza e correttezza della black list dinieghi e la loro corretta rappresentazione in tutti i data base societari- il malfunzionamento software risulta iniziato il 30/1/2018 e durato fino al 14/2/2019, nonché risolto il 8/3/2019; per “TIM Party” invece, la violazione risulta ancora in essere (art. 83, par. 2, lett. a, del Regolamento);
4. il carattere doloso delle seguenti condotte, con particolare riguardo alla loro ideazione e attuazione, in relazione ai seguenti profili: le scorrette informazioni rese agli interessati nell’ambito della procedura di installazione delle predette App e le modalità di acquisizione del consenso degli interessati che non ne hanno assicurato la libera manifestazione; le modalità di raccolta del consenso, non libero né specifico, mediante i moduli di autocertificazione del possesso di linea prepagata per finalità diverse quanto invasive (come marketing e profilazione); il servizio “TIM Party”, con riguardo all’acquisizione di un consenso non libero al marketing; il trattamento, mediante alcuni partner, dei dati di numerosi soggetti “referenziati”, in difetto del necessario preventivo consenso per le finalità promozionali, nonostante i precedenti provvedimenti inibitori e prescrittivi di cui TIM, proprio in materia di telemarketing indesiderato, era stata già destinataria e in contrasto con obblighi consolidati tanto nella codificazione legislativa quanto nell’orientamento del Garante (art. 83, par. 2, lett. b, del Regolamento);
5. il carattere gravemente negligente, più propriamente colposo, di altri trattamenti, come: la non adeguata attuazione dei fondamentali principi di privacy by design ed accountability, comprovate anche da varie anomalie procedurali e dalle evidenti difficoltà emerse nel fornire ricostruzioni certe e precise di alcune problematiche riscontrate; i numerosi data breach; la conservazione eccedente dei dati degli OLO e l’utilizzo, di una parte di questi, per finalità promozionali non consensate; la non adeguata gestione delle black list; la non adeguata attività di controllo dell’operato dei propri partner rispetto a contatti verso utenze digitate manualmente o frutto di asserite sviste/errori; ciò, anche tenuto conto dell’utilizzo di procedure in palese contrasto con il vigente quadro normativo e l’interpretazione fornita dal Garante con diversi provvedimenti generali e specifici; o, come per i dati degli OLO, tenuto conto che trattasi di trattamenti e prassi, in parte, non conformi, oltre che alla normativa vigente, alle procedure interne alla Società (art. 83, par. 2, lett. b, del Regolamento);
6. l’esistenza di numerosi precedenti provvedimenti – adottati da questa Autorità nei confronti di TIM – inibitori, prescrittivi e sanzionatori, questi ultimi definiti con pagamenti in misura ridotta o con ordinanze ingiunzione, fra cui quelle sopra citate, del 3 ottobre 2013; del 16 maggio 2018; del 18 gennaio 2018 nella quale, peraltro già si evidenziava che “TIM S.p.A. ha intrapreso una attività di contatto telefonico rivolta a soggetti che avevano espresso una chiara volontà di segno contrario, raggiungendoli con comunicazioni indesiderate o di disturbo … ha svolto la predetta attività sulla base di una scelta consapevole e non per mera negligenza, avendo acquisito, nel corso degli anni, attraverso la costante interlocuzione con il Garante, tutti gli elementi interpretativi che le avrebbero dovuto consentire di assumere delle decisioni in linea con l´ordinamento vigente e con gli orientamenti dell´Autorità, espressi in molteplici provvedimenti fra i quali quello indirizzato alla stessa TIM S.p.A. del 30 maggio 2007” (v. provvedimenti inibitori e prescrittivi del 22 giugno 2016, doc. web n. 5255159; del 21 luglio 2016, doc. web n. 5436585; del 6 aprile 2017, doc. web n. 6376175, aventi ad oggetto alcune violazioni analoghe a quelle accertate con il presente provvedimento) (art. 83, par. 2, lett. e, del Regolamento);
7. la sussistenza di rilevanti vantaggi economici, perlopiù attuali o anche potenziali, derivanti dalle attività – in particolare, di telemarketing e teleselling indesiderato e da quelle connesse al programma “TIM Party” (con specifico riferimento al risparmio di risorse in termini di utilità negate, premi e sconti, ai clienti che non si sono iscritti al programma per non soggiacere all’obbligo di ricevere offerte promozionali) – svolte in violazione del Regolamento e del Codice, avuto riguardo sia al fatturato come indicato nel bilancio d’esercizio di TIM S.p.A. per l’anno 2018, ultimo disponibile (euro 13.901.473.076), sia alla primaria posizione di mercato del gruppo Telecom, e, in particolare, di TIM nel settore delle telecomunicazioni (art. 83, par. 2, lett. k, del Regolamento);
8. quale attenuante, l’adozione di misure – pur limitate, se considerate rispetto alla varietà e alla gravità delle violazioni rilevate – per mitigare o eliminare le conseguenze delle violazioni. In particolare, TIM ha dichiarato (con nota del 10/10/2019) di aver modificato la procedura di installazione (inclusa informativa e consensi) dell’App “My TIM” e “TIM Smart Kid” a febbraio 2019 e delle App “TIM Personal” nel luglio 2019; con la nota del 10/5/2019, ha comunicato di aver risolto i contratti con due dei partner che hanno evidenziato criticità nella gestione di telefonate promozionali e di aver applicato penali contrattuali ad un altro partner, a causa di analoghe criticità. Con la memoria del 10 ottobre 2019, la Società ha rappresentato di aver modificato i suddetti moduli di autocertificazione del possesso di linea prepagata – senza che risulti in atti però aver fatto verifiche riguardo all’eventuale utilizzo di moduli con analoghe (non corrette) modalità di raccolta del consenso – nonché di aver sollecitato i propri partner a sospendere i contatti promozionali dei soggetti “referenziati”, prospettando loro possibili sanzioni come previste dai contratti intercorsi. La Società risulta altresì aver prospettato, perlopiù fra il 10 ottobre e il 12 novembre 2019 – ma non ancora attuato – alcuni rimedi, anche con specifico riguardo alle chiamate verso le utenze “referenziate” (in particolare: selezione e riorganizzazione della propria rete di vendita con meccanismi incentivanti, inclusa la compliance normativa; richiesta ai partner di fornire documentazione idonea a comprovare l’effettivo espletamento degli adempimenti in materia, come quelli relativi ad informativa e consenso; verifiche periodiche del loro operato, anche con accesso ai loro sistemi informativi). Tuttavia, ad oggi non risulta aver fatto alcun intervento sull’acquisizione non libera del consenso per il trattamento a fini promozionali di “TIM Party” (art. 83, par. 2, lett. c, del Regolamento);
10. quale attenuante – nonostante l’invasività delle violazioni riscontrate, la tipologia di dati utilizzati rispetto a quelli complessivamente detenuti dalla Società, ossia dati identificativi e di contatto (utenze telefoniche) degli interessati coinvolti nelle vicende di data breach; dati di contatto di soggetti “referenziati” e di altri interessati (clienti e prospect) non consensati per le invasive finalità promozionali (art. 83, par. 2, lett. g, del Regolamento);
– l’ampio margine temporale concesso a tutti gli operatori del settore al fine di consentire loro un compiuto e coerente adeguamento dei sistemi e delle procedure alla nuova normativa europea, in vigore già dal 25 maggio 2016 e pienamente operativa dal 25 maggio 2018; adeguamento che TIM non risulta aver effettuato in maniera idonea;
– che la citata attività provvedimentale, con la quale sono stati forniti indicazioni e chiarimenti in materia (v. provvedimenti generali e Linee Guida citati nel presente provvedimento), e la costante interlocuzione dell’Autorità con i soggetti che operano nel settore del telemarketing, e in particolare con TIM (in quanto operatore più segnalato e, dunque, destinatario di numerose istruttorie) – possono ragionevolmente far ritenere raggiunta da tutti gli operatori (inclusa TIM), una sufficiente consapevolezza delle disposizioni che devono essere indefettibilmente osservate;
– quindi, alla luce di quanto sopra, la non adeguata dissuasività delle sanzioni sinora contestate a TIM, tenuto conto anche del fatto che il fenomeno delle chiamate indesiderate nell’ambito del telemarketing è stato oggetto di costante e puntuale attenzione da parte del legislatore (v., da ultimo, l. n. 5/2018) e del Garante, nonché di doglianze da parte dei cittadini;
– l’attuale persistenza di numerose segnalazioni e reclami, pervenuti all’Autorità in tempi successivi alla data degli accertamenti effettuati presso la Società fino alla data odierna, analoghi a quelli oggetto del presente provvedimento.
Pertanto si ritiene che – in base al complesso degli elementi sopra indicati, a fronte della sanzione edittale massima (556.058.923,00 euro, pari al 4% del fatturato di TIM, ossia 13.901.473.076 euro, e non del più elevato fatturato del gruppo Telecom) – debba applicarsi alla medesima Società la sanzione amministrativa del pagamento di una somma pari allo 0,2% del suindicato fatturato corrispondente a euro 27.802.946,00 ventisettemilioniottocentoduemilanovecentoquarantasei).
In tale quadro, si ritiene altresì – anche in considerazione dell’invasività dei trattamenti illeciti contestati rispetto ai diritti fondamentali degli interessati; dell’elevato numero degli stessi, anche potenzialmente, coinvolti; dei gravi disallineamenti rilevati nei sistemi informativi della Società; dell’inadeguato controllo della stessa nei riguardi dei propri partner e, infine, della scarsa dissuasività dei provvedimenti fino ad ora adottati da parte del Garante nei confronti della Società medesima – che, ai sensi dell’art. 166, comma 7, del Codice, e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito web del Garante, a titolo di sanzione accessoria.
d) per finalità diverse dall’erogazione dei servizi mediante le suindicate App, dei dati della clientela che siano stati raccolti mediante le applicazioni “My TIM”, “TIM Personal” e “TIM Smart Kid” – anteriormente alle modifiche apportate dalla Società – in assenza di un idoneo consenso;
d) l’implementazione di misure tecniche ed organizzative riguardo alla gestione delle istanze di esercizio dei diritti degli interessati – e in particolare il diritto di opposizione alle finalità promozionali – che consentano di dar riscontro agli interessati, nonché individuare e recepire correttamente la loro effettiva volontà, senza ingiustificato ritardo, e comunque, al più tardi, entro 30 giorni dal ricevimento della richiesta, fatti salvi motivi legittimi prevalenti e fatta salva la necessità, tempestivamente comunicata agli interessati, di un’eventuale proroga per il riscontro;
h) l’adozione di misure organizzative e tecniche, tali da assicurare, costantemente ed efficacemente, la conservazione dei dati dei clienti OLO nel rispetto dei principi di correttezza, legittimità, finalità e minimizzazione del trattamento, al fine di procedere al trattamento dei soli dati adeguati, pertinenti e limitati a quanto necessario per il perseguimento delle finalità legittime, nonché l’accesso ai medesimi dati esclusivamente al personale specificatamente autorizzato;
i) la cancellazione dei dati dei clienti OLO, qualora siano decorsi i termini espressamente previsti dall’ordinamento (inclusi i provvedimenti di AGCOM e di questa Autorità) e/o siano state esaurite le legittime finalità di trattamento, purché non sia ravvisabile alcun motivo legittimo prevalente per procedere con la conservazione;
n) la revisione della procedura relativa a tutte le App che, eventualmente, presentino lacune analoghe a quelle sopra rilevate, in modo tale che risultino compiutamente descritti – con linguaggio chiaro ed agevolmente comprensibile e, se del caso, anche mediante mezzi grafici – quali trattamenti sono effettivamente svolti dalla Società con indicazione specifica delle finalità perseguite e delle modalità di trattamento concretamente utilizzate; venga acquisito un libero e specifico consenso – distinto dall’accettazione dei “termini di servizio” – per ciascuna delle finalità diverse dall’erogazione del servizio, nonché dalle finalità amministrative e contabili;
eprivacr	2020-02-03T10:25:37+00:00	15 gennaio 2020|Call Center, Diritto all’Oblio, E-commerce, Internet, Marketing, Minori, Provvedimenti, Smart Device, Telecomunicazioni|