Telemarketing: sanzione del Garante privacy a Edison energia

Nuova sanzione milionaria irrogata dall’Autorità Garante per la Protezione dei dati personali a una società di fornitura di materie prime: con il provvedimento n. 431 del 15 dicembre 2022, il Garante della Privacy ha contestato a Edison Energia s.p.a. diverse condotte illecite in merito al trattamento dei dati personali di diversi utenti e l’ha sanzionata con una multa da quasi 5 milioni di euro, oltre a prescrivere una serie di misure migliorative, volte a regolarizzare la posizione dell’azienda.

1. I fatti analizzati dal Garante

Dopo aver ricevuto una serie di segnalazioni da utenti che lamentavano di ricevere comunicazioni di telemarketing non sollecitate e senza consenso da parte della società Edison Energia, il Garante avviava una serie di accertamenti, che verificavano la presenza delle seguenti irregolarità:

• La numerazione dalla quale provenivano le chiamate non era censita nel Registro degli Operatori di Comunicazione (c.d. ROC) e dunque non risultava riconducibile alla rete di vendita della Società;
• La lista dei numeri contattabili fornita a Edison tramite i propri list provider (terzi legittimati, che raccolgono il consenso per il marketing di terze parti) non era stata debitamente verificata dalla società Titolare del trattamento;
• La lista dei numeri non contattabili non aveva un aggiornamento proceduralizzato e automatico, ma veniva aggiornata manualmente, senza verificare elementi essenziali con la conseguente impossibilità di “accertare la liceità dei contatti promozionali e la corretta gestione dell’opposizione effettuata dagli interessati”;
• La società titolare del trattamento deteneva, in violazione delle proprie retention policy indicate nel registro dei trattamenti, i dati di clienti cessati da oltre undici anni non anonimizzati;
• Quando i call center registravano opposizioni o revoche ai consensi, i loro nominativi venivano soltanto esclusi dalla campagna promozionale in corso e non anche dalle altre comunicazioni di marketing della società. Il processo per la cancellazione definitiva risultava essere complicato, gestito tramite e-mail;
• Durante l’accesso e la navigazione sul sito internet e l’app della società venivano richiesti i dati anagrafici degli interessati (nome, cognome, codice fiscale, numero di cellulare ed indirizzo e-mail) e il relativo consenso al trattamento senza che fosse possibile differenziare tra il consenso necessario ai fini della fruizione del servizio e quello, facoltativo, per scopi di promozione marketing e/o profilazione.

Potrebbero interessarti anche

• Telemarketing selvaggio: in arrivo il registro delle opposizioni per i cellulari, ma sarà davvero risolutivo?
• Garante privacy: niente telemarketing per chi è iscritto al Registro Pubblico delle Opposizioni
• Il Garante privacy sanziona la società Sky s.r.l. per “telemarketing selvaggio”

2. Esito dell’istruttoria e conclusioni del Garante

Al termine dell’istruttoria, il Garante ha accertato la violazione di diversi articoli del GDPR, tra cui quelli relativi ai principi fondamentali, al consenso, alle misure di sicurezza, nonché alle finalità di marketing ed ai diritti degli interessati, ed ha ribadito alcuni principi fondamentali.
Innanzi tutto, ha ribadito che la prassi di acquistare liste di contatti da società terze invece di acquisire questi dati autonomamente viola gli artt. 5 e 6 del Regolamento, se il passaggio di dati tra più titolari avvenga “in carenza del prescritto consenso degli interessati per la comunicazione dei dati personali fra autonomi titolari”. Detto consenso alla cessione e marketing di terze parti va richiesto specificamente e separatamente.
Inoltre, è onere della società acquirente verificare che i dati siano stati raccolti conformemente al GDPR e in modo lecito prima di poterli trattare e utilizzare, non essendo sufficiente a tale scopo il successivo controllo a campione o la presa visione dell’informativa privacy del cedente, in ossequio al principio di accountability (che prevede che la responsabilità del titolare passi dalla forma alla sostanza e che lo stesso sia in grado di dimostrare di aver correttamente operato).
Infine, la procedura per la revoca del consenso da parte dell’utente deve essere agevole e rapida, così come normalmente lo è prestare il consenso: non è conforme ai principi del Regolamento rendere la richiesta di cancellazione una “corsa a ostacoli” che, di fatto, ostacola l’esercizio di un diritto fondamentale dell’interessato. Il consenso deve essere revocato nelle stesse modalità con cui è stato prestato e l’eventuale richiesta manifestata all’operatore durante la telefonata deve essere immediatamente annotata e registrata nel sistema di gestione dei consensi.

3. La sanzione

Nell’irrogare la sanzione, che ammonta a quasi 5 milioni di euro, il Garante ha tenuto conto dell’elevato numero di soggetti coinvolti (superiore ai 100mila, considerando gli utenti registrati al sito internet, quelli presenti nel database per i quali è stato acquisito un consenso unico per finalità di marketing e profilazione e quelli inseriti nella “lista di non contattabilità”), della gravità delle violazioni, in particolare con riferimento ai principi su informativa e consenso, e della negligenza dimostrata dalla società. Tuttavia, sono state prese in considerazione anche alcune attenuanti, tra cui l’assenza di precedenti procedimenti, la tempestiva adozione di misure correttive e l’elevato grado di cooperazione della società con l’Autorità di controllo.
Resta da vedere se Edison, come Enel, ricorrerà contro questa decisione davanti al Giudice ordinario e, nel caso, se con lo stesso esito positivo (sulla sentenza del Tribunale di Roma che ha annullato una sanzione del Garante a Enel per 27 milioni di euro, si rimanda a questo articolo).

Volume per l’approfondimento