VEDI ANCHE Newsletter del 21 maggio 2024

[doc. web n. 10008019]

Provvedimento dell'11 aprile 2024

Registro dei provvedimenti
n. 204 dell'11 aprile 2024

 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE l’avv. Guido Scorza;

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con comunicazione del 19 dicembre 2023, n. 167727/23 (notificata in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente riprodotta, l’Ufficio ha avviato, ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti di Olimpia S.r.l. (di seguito “Olimpia” o “la Società”), in persona del legale rappresentante pro-tempore, con sede legale in Verona (VR), Via Aurelio Saffi n. 2/D, P.IVA 03589630239.

Il procedimento trae origine da una istruttoria avviata dall’Autorità, a seguito della trasmissione di 18 segnalazioni e di 2 reclami nei confronti della Società, in ordine alla ricezione di chiamate promozionali indesiderate effettuate senza la previa acquisizione del consenso dell’interessato oppure utilizzando numerazioni iscritte al Registro Pubblico delle Opposizioni (di seguito, “RPO”).

1.2. Lo svolgimento dell’istruttoria e le richieste di informazioni formulate dall’Autorità

1.2.1. La richiesta di informazioni ex art. 157 del Codice

Con nota del 31 marzo 2023 l’Autorità ha inviato a Olimpia una richiesta di informazioni cumulativa, formulata ai sensi dell’art. 157 del Codice (iscritta al protocollo con n. 55101/23), utile alla valutazione di 18 segnalazioni e di 2 reclami pervenuti all’Autorità nel periodo compreso fra gennaio 2022 e novembre 2022, inerenti, in massima parte, la materia del telemarketing. Con la medesima nota è stato richiesto alla Società di «fornire un elenco delle proposte di acquisto provenienti dalla propria rete di vendita che hanno determinato l'attivazione di servizi energetici nel periodo dal 6 marzo 2023 al 13 marzo 2023 compresi, suddivise fra “residenziali” e “business”».

Con nota del 17 aprile 2023 (protocollo n. 63153/23), fornendo il primo dei riscontri richiesti, la Società ha preliminarmente dichiarato di avere avviato, dal mese di ottobre 2022, un processo di completa revisione ed aggiornamento delle modalità di acquisizione dei contratti, nonché del sistema privacy interno, procedendo anche alla sostituzione del Responsabile della Protezione dei Dati (“DPO”), ciò anche al fine di adeguarsi ai dettami del Codice di condotta per le attività di telemarketing e teleselling.

In tale occasione, la Società ha prodotto anche gli elenchi delle proposte di acquisto relative al periodo indicato dal Garante (cd. “settimana campione”) e in particolare:

• n. 66 proposte nell’ambito del “business rete fisica”;

• n. 17 proposte nell’ambito del “business teleselling”;

• n. 3602 proposte nell’ambito “residenziale teleselling”;

•  n. 538 proposte nell’ambito “residenziale rete fisica”.

Tali proposte sono state classificate dal titolare, nel proprio riscontro, in base ai seguenti criteri:

- “Contratto in lavorazione” - il cliente ha sottoscritto il contratto ed ha confermato la volontà di attivare la fornitura durante la cd. “check-call”, pertanto il contratto è in fase di attivazione;

- “Contratto non concluso” - il cliente ha ricevuto la proposta commerciale, ma non ha ancora sottoscritto il contratto digitalmente mediante la comunicazione di una password temporanea di conferma generata dal sistema e trasmessa tramite sms (OTP);

- “Pre-check KO” - il cliente ha sottoscritto il contratto mediante firma OTP, ma non vi è corrispondenza tra codice fiscale/p.iva e punto di prelievo/riconsegna (POD). In tali evenienze, viene richiesto all’agenzia di effettuare un nuovo controllo al fine di raccogliere il dato corretto;

- “Contratti KO” - il cliente ha sottoscritto il contratto, ma per motivi di business non viene attivata la fornitura;

- “Check-call KO”- il cliente dopo aver sottoscritto il contratto, non ha risposto alla check-call di controllo o ha deciso di non voler proseguire;

- “Ripensamento” - il cliente ha sottoscritto il contratto e successivamente ha esercitato il diritto di ripensamento.

Con specifico riferimento alle procedure prodromiche alla stipula dei contratti, Olimpia ha evidenziato che, a partire da ottobre 2022, la sottoscrizione degli stessi avviene mediante firma elettronica con OTP e che soltanto una percentuale residua di contratti viene conclusa tramite registrazione telefonica o con sottoscrizione cartacea.

Rispetto alle modalità di contrattualizzazione nel caso di sottoscrizione mediante OTP, la società ha dichiarato che le agenzie contattano telefonicamente i potenziali clienti e, se il consumatore risulta effettivamente interessato all’offerta, i dati identificativi dello stesso e quelli della fornitura sono registrati “dall’operatore all’interno del CRM aziendale”. Tali dati vengono inseriti automaticamente all’interno della proposta contrattuale trasmessa mediante un SMS, contenente il link utile alla consultazione.

La ricezione della documentazione non determina alcun vincolo contrattuale e, secondo i dati forniti dalla Società, circa il 30% delle proposte di acquisto inviate non viene sottoscritta.

La conclusione del contratto avviene soltanto al momento della apposizione della firma elettronica con OTP e conseguente comunicazione dell’accettazione da parte della Società. Successivamente Olimpia trasmette una Welcome letter via e-mail o tramite posta tracciabile. Il contratto viene inserito anche nella area personale del cliente, disponibile sul sito web di Olimpia (www.sinergylucegas.com).

All’esito della procedura descritta, la Società effettua una check-call bloccante al fine di «accertarsi dell’effettiva volontà del cliente di concludere il contratto e di verificare la bontà del contatto». Tale processo di check-call è gestito da XX, nominata Responsabile del trattamento ex art. 28 del Regolamento.

Il Titolare ha, inoltre, dichiarato di aver implementato un sistema di controlli nei confronti dei partner «al fine di garantire il rispetto della normativa e della qualità dei contatti» basato su:

• conferimento di apposite nomine ex art. 28 del Regolamento;

• predisposizione di check-list di controllo;

• pianificazione di audit;

• procedimentalizzazione della nomina a sub-responsabile;

• iscrizione delle numerazioni al ROC;

• previsione di apposite clausole all’interno dei contratti di agenzia sull’ottemperanza della normativa privacy e del D.P.R. n. 178/10, nonché sull’applicazione di penali in caso di violazioni;

• conduzione di verifiche a campione sui contratti conclusi;

• applicazione di regole di vendibilità, volte a delimitare l’ambito di operatività delle agenzie ed escludere alcune tipologie di clienti;

• telefonate di controllo sulla correttezza dei dati forniti;

• blocco del caricamento dei contratti da parte di terzi soggetti non partner.

Sempre con lo stesso riscontro del 17 aprile 2023, la società ha altresì fornito dettagliate informazioni rispetto al proprio Organigramma privacy e al Modello Organizzativo adottato ai fini dell’ottemperanza alla normativa sulla protezione dei dati personali, nonché una serie di indicazioni relative alla propria rete di vendita e di partners.

Successivamente, con nota del 28 aprile 2023 (ns. Prot. n. 69592/23) da intendersi qui integralmente richiamata e riprodotta, la Società ha fornito le proprie osservazioni con riguardo alle segnalazioni e ai reclami pervenuti all’Autorità, evidenziando le seguenti circostanze.

In primo luogo, nella totalità dei casi oggetto di istanza all’Autorità, il titolare, disconoscendo tutte le chiamate, ha dichiarato che “la numerazione indicata non risulta di pertinenza della società Olimpia S.r.l. né dei suoi partner commerciali” e che i dati personali degli interessati non erano presenti all’interno dei sistemi informatici della Società ad eccezione di un solo caso, relativo alla segnalazione di cui al fasc. n. 191157, che Olimpia ha gestito consentendo al cliente il diritto al ripensamento.

Per quanto riguarda le doglianze inerenti all’esercizio dei diritti di cui agli artt. 15 e ss. del Regolamento, la Società ha rappresentato di non aver mai ricevuto una preventiva richiesta da parte degli interessati.

Il titolare ha, infine, rappresentato di aver inviato, successivamente alla ricezione della richiesta di informazioni da parte del Garante, una segnalazione all’Autorità Garante della Concorrenza e del Mercato (AGCM), chiedendone l’intervento fine di “effettuare le dovute verifiche a tutela dei consumatori e della società scrivente”.

1.2.2. La verifica presso il Registro Pubblico delle Opposizioni

Al fine di effettuare i necessari controlli in ordine alla correttezza delle suddette attività di telemarketing, il 14 luglio 2023 (protocollo n. 0108692/23) l’Ufficio ha inviato alla Fondazione Ugo Bordoni, che gestisce il Registro Pubblico delle Opposizioni, il citato elenco di numerazioni telefoniche oggetto del menzionato riscontro da parte di Olimpia. In tale ottica, sono state richieste informazioni, ai sensi dell’art. 157 del Codice, per ciascuna numerazione, circa l’eventuale iscrizione al Registro Pubblico delle Opposizioni (RPO) non successiva alla data del 31 gennaio 2023.

In data 21 luglio 2023 la Fondazione ha inviato il proprio riscontro (protocollo n. 111771/23), dall’analisi del quale sono risultate iscritte al Registro Pubblico delle Opposizioni, al tempo delle chiamate promozionali effettuate dalla Società, n. 301 utenze telefoniche, pari a poco più del 7% del numero totale dei contatti telefonici effettuati nel periodo di riferimento (n. 4.223).

1.2.3. Supplemento dell’istruttoria

Nelle more dell’istruttoria, sono pervenute alla scrivente Autorità due ulteriori segnalazioni nei confronti della Società di analogo tenore e relative alla medesima fattispecie (chiamate indesiderate: fasc. 313167 e 313545).

Anche in questi casi Olimpia, nell’ambito dei riscontri inviati direttamente agli interessati ma per conoscenza all’Autorità, ha disconosciuto le numerazioni chiamanti e ha dichiarato di non effettuare alcun trattamento dei dati personali appartenenti ai segnalanti.

1.3. Contestazione delle violazioni

L’Ufficio, all’esito dell’istruttoria, ha adottato la richiamata comunicazione di avvio del procedimento ai sensi dell’art. 166, comma 5 del Codice (n. 167727/23 del 19 dicembre 2023), nella quale in primo luogo ha rilevato che l’aver contattato 301 numerazioni telefoniche nell’ambito delle attività di telemarketing svolte nel periodo febbraio-marzo 2023, pari a poco più che il 7% del numero totale dei contatti telefonici effettuati a fini promozionali, in costanza dell’iscrizione delle medesime utenze all’RPO - e quindi del meccanismo di opt-out determinato dalla vigente normativa, poteva comportare la violazione della normativa vigente in materia di protezione dei dati personali.

L’Autorità rilevava, inoltre, che dalla documentazione in atti e dai riscontri forniti dalla Società, emergeva che Olimpia effettuava controlli di carattere meramente formale ed ex ante nei confronti delle agenzie partner, con conseguente inefficacia delle misure adottate ed esposizione dei soggetti interessati al rischio concreto di subire una violazione dei propri dati personali. La contestazione mossa nei confronti della Società in buona sostanza verteva sulla carenza di presidi e controlli in relazione alla intera filiera commerciale e gestionale che originandosi dal “contatto”, consente di giungere al “contratto”, nonostante la società fosse a conoscenza del fenomeno.

L’Ufficio, pertanto, contestava a Olimpia la possibile violazione degli artt. 5, par. 1, lett. a) e lett. f), 5, par. 2, 6, par. 1, lett. a), 24 par. 1, 25 e 32 del Regolamento, nonché dell’art. 130, commi 3 e 3-bis, del Codice, per aver effettuato trattamenti di dati personali di utenti e contraenti del settore energetico in contrasto con i principi di liceità e responsabilizzazione, in assenza di un’idonea base giuridica e mettendo in atto misure tecniche e organizzative non adeguate per garantire, fin dalla progettazione, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento.

2. LA DIFESA DEL TITOLARE

Con nota datata 21 dicembre 2023 (protocollo n. 169112/23), la Società ha contestualmente presentato istanza di accesso agli atti del procedimento, nonché istanza di essere sentita dall’Autorità e di proroga del termine per presentare scritti difensivi ai sensi dell’art. 166, comma 6, del Codice e 13 del regolamento interno n. 1/2019 (disponibile sul sito www.garanteprivacy.it doc-web n. 9107633), istanze che hanno tutte trovato accoglimento. La memoria difensiva è stata quindi prodotta il 29 gennaio 2024 (protocollo n. 11660/24) e l’audizione della Società si è svolta il 1° febbraio 2024 presso gli uffici dell’Autorità.

Con la memoria difensiva Olimpia ha preliminarmente obiettato che, a seguito dei riscontri dalla stessa forniti dapprima in data 14 aprile 2023 e successivamente in data 28 aprile 2023, «nessuna ulteriore richiesta è stata formulata dal Garante sino al 19 dicembre 2023», eccependo dunque il mancato rispetto dei termini previsti dal regolamento n. 2/2019 (disponibile sul sito www.garanteprivacy.it doc-web n. 9107640) con riferimento in particolare al termine per la notifica dell’atto di contestazione.

Con riferimento alle 18 segnalazioni e ai due reclami confluiti nella presente istruttoria, Olimpia ha poi negato ogni responsabilità rilevando che nessuna delle numerazioni chiamanti indicate dai soggetti interessati è utilizzata dalla Società o dai suoi partner commerciali (agenzie), nessuna delle agenzie indicate nelle doglianze è  - né è stata in passato - partner commerciale di Olimpia e che all’interno dei sistemi informatici della Società, non vi sono dati personali di segnalanti e reclamanti, fatta eccezione per quelli del segnalante di cui al fascicolo n. 191157, i cui dati sono stati trattati nell’ambito del diritto di ripensamento, nonché per le 2 ulteriori segnalazioni per chiamate indesiderate (fasc. 313167 e 3131545), ricevute dall’Autorità nel corso dell’istruttoria.

La Società ha poi eccepito di non essere a conoscenza del fenomeno delle chiamate promozionali indesiderate, rappresentando di «di non aver avuto nessuna parte – né diretta né indiretta (tramite le proprie agenzie) – nella commissione delle 22 telefonate indesiderate di cui sopra. Difatti, non solo la Società non ha rapporti commerciali (o di altra natura) con i soggetti chiamanti, ma non dispone né tratta i dati personali dei soggetti segnalanti/reclamanti».

Olimpia, ha poi dichiarato che le 22 telefonate indesiderate oggetto di contestazione, si inseriscono nel più ampio e generale “fenomeno” dell’esistenza sul mercato di riferimento di «soggetti terzi che attuano pratiche commerciali scorrette (se non addirittura configuranti fattispecie di reato) e consistenti nel contattare telefonicamente cittadini e utenti tentando di indurli – anche mediante artifizi e raggiri, come l’indebita spendita del nome di note società del settore (tra cui quello di Olimpia e/o il suo marchio Sinergy Luce e Gas) – a fornire i propri dati personali e/o i dati relativi alle forniture che hanno in essere con tali società, e/o ad aderire ai servizi di fornitura di altri operatori realmente esistenti o addirittura fittizi» e ha ribadito che la Società non è «titolare delle numerazioni chiamanti (come indicate dal Garante) e non ha tantomeno rapporti commerciali (o di altra natura) con nessuno dei soggetti che hanno contattato i segnalanti/reclamanti».

La Società ha, inoltre, illustrato le misure adottate per contrastare il fenomeno e le spendite abusive del proprio nome da parte di terzi non autorizzati ricorrendo a: «(i) nei casi in cui la Società riesce a risalire ai dati dei soggetti chiamanti, l’invio di tempestive diffide volte ad intimare la cessazione immediata delle condotte lesive, con riserva di agire nelle sedi opportune per l’ulteriore tutela delle proprie ragioni (cfr. Allegato 1); (ii) in ogni caso, l’invio di segnalazioni all’Autorità garante della concorrenza e del mercato (“AGCM”), debitamente indicando tutte le informazioni a disposizione (numerazioni telefoniche e/o nomi delle società/soggetti coinvolti) perché la stessa eserciti i propri poteri di sorveglianza e ispezione sul mercato e adotti le necessarie misure, secondo la legge (cfr. Allegato 2, come peraltro fatto da Olimpia anche rispetto a questo caso concreto; cfr. l’Allegato 5 al Secondo Riscontro); e (iii) l’adozione di iniziative di sensibilizzazione e awareness dei propri clienti, sia tramite invio di SMS, che tramite il proprio sito web www.sinergylucegas.com con la predisposizione di un apposito modulo di segnalazione (cfr. Allegato 3)».

Con riferimento alle 4223 proposte contrattuali riconducibili alla c.d. “settimana campione”, la Società ha rappresentato che:

- n. 604 proposte contrattuali provenivano dalla cd. “rete fisica” (business o residenziale) e non dal “teleselling”, in quanto stipulate tramite vendita effettuate porta a porta presso i clienti, pertanto il numero totale di proposte rilevanti ai fini del procedimento è n. 3619 e rispetto a queste ultime le numerazioni iscritte al RPO risultano essere pari a 259;

- poiché a seguito del contatto con il potenziale cliente, lo stesso può concludere più di un contratto (luce e/o gas) all’interno della medesima telefonata (e quindi di fatto possono essere formulate due proposte contrattuali rispetto alla medesima numerazione contattata), nei 259 contatti rilevati, vi sono 133 duplicazioni, pertanto le numerazioni effettivamente contattate si riducono a 126;

- 2 numerazioni sono riconducibili ad ex-clienti di Olimpia che hanno conferito, in fase di contrattualizzazione iniziale, il proprio consenso per finalità di marketing commerciale diretto e che quindi la Società poteva ricontattare entro il termine di 30 giorni dalla cessazione del contratto;

- 1 numerazione appartiene ad un soggetto interessato che al momento della contrattualizzazione risultava essere già cliente della Società per un diverso punto di distribuzione e aveva rilasciato a quest’ultima, sempre in fase di contrattualizzazione iniziale, il proprio consenso per finalità di marketing commerciale diretto;

- 1 numerazione è utilizzata dalle agenzie partner di Olimpia per effettuare test, che successivamente vengono rimossi dal CRM della Società;

- 90 numerazioni appartengono a soggetti interessati che hanno prestato il consenso successivamente alla data di iscrizione al RPO;

- in conclusione rispetto alle iniziali 301 chiamate indesiderate contestate alla Società, soltanto 32 risultano effettivamente indebite.

In ordine alla contestazione contenuta nella comunicazione di avvio del procedimento in relazione all’ insussistenza di una corretta verifica preliminare delle procedure seguite dalle agenzie di teleselling (in particolare emergendo difformità operative fra una di esse che dichiarava di effettuare controlli presso il Registro delle opposizioni e un’altra che invece riteneva di non dover procedere a tali controlli), la Società ha chiarito che le agenzie prese in esame operano in due contesti differenti e in conformità all’art. 130, commi 3 e 3 bis, del Codice, nonché agli artt. 5, co. 1 lett. (a) e 6, co.1 lett. (a) del Regolamento. Più in particolare, la prima contatta per conto di Olimpia anagrafiche provenienti da elenchi telefonici pubblici e non essendoci a monte un consenso espresso da parte dei relativi interessati per venir contattati via telefono, correttamente verifica se tali soggetti si siano iscritti al RPO. Diversamente la seconda contatta per conto di Olimpia anagrafiche rispetto alle quali i relativi interessati hanno prestato a monte un consenso espresso al trattamento dei dati per finalità di marketing.

Olimpia ha, altresì, ribadito che «I dati personali dei clienti sono trattati esclusivamente dal personale autorizzato ai sensi dell’art. 29 GDPR e dai responsabili esterni del trattamento (agenzie) che effettuano il caricamento all’interno del CRM» e che «L’accesso al CRM è regolato da politiche di controllo degli accessi e consente all’agente di visualizzare solamente i contratti da lui caricati, garantendo così la riservatezza dei dati dei clienti».

Infine, la Società ha chiesto l’archiviazione del procedimento o in subordine, l’irrogazione di una sanzione pecuniaria in misura ridotta in ragione della sussistenza delle circostanze attenuanti di cui all’art. 83, par. 2 del Regolamento evidenziando che: le 32 chiamate indesiderate oggetto delle segnalazioni e reclami non sono imputabili a Olimpia; il numero dei contatti telefonici effettuati illegittimamente durante la cd. settimana campione è inferiore rispetto a quello prospettato nella comunicazione di avvio del procedimento e comunque riconducibile a un «errore materiale nel selezionare le numerazioni da utilizzare per fini di telemarketing»; la Società si è prontamente attivata per porre rimedio alle condotte oggetto di contestazione, ha cooperato proattivamente con l’Autorità di controllo; il grado di responsabilità del titolare deve essere valutato anche alla luce delle misure tecniche e organizzative adottate.

Nel corso dell’audizione tenuta in data 1° febbraio 2024 presso gli uffici dell’Autorità, Olimpia ha rappresentato, al fine di razionalizzare le attività di acquisizione dei contratti,  intrapreso una serie di iniziative finalizzate allo spostamento del complessivo business dalla rete telefonica a quella fisica, ponendosi come obiettivo l’incremento dei contratti acquisiti attraverso tale canale, dal 50% attuale alla quasi totalità dei contratti, abbattendo per l’effetto gli ingressi dal canale del teleselling.

Olimpia ha specificato che l’azienda è di piccole dimensioni, si avvale di circa 60 dipendenti e collaboratori e che l’amministratore delegato segue in prima persona tutte le attività.

Con riferimento ai circa i 32 contratti derivanti da chiamate verso utenti che avevano registrato la propria opposizione tramite RPO, Olimpia ha dichiarato che i relativi contatti sono stati realizzati in massima parte dall’agenzia XX, nei confronti della quale, dopo avere interrotto il rapporto contrattuale, ha intentato una azione legale attualmente in corso.

Con specifico riferimento alle liste anagrafiche utilizzate per effettuare chiamate promozionali per conto di Olimpia, la Società ha illustrato che tali liste sono procacciate direttamente dalle agenzie e poi concesse in licenza di uso dai list-provider. Sulle liste anagrafiche viene effettuato un duplice controllo verificando a campione i consensi e la coerenza documentale.

In merito alle attività di controllo sui contratti, Olimpia ha dichiarato di effettuare una check-call bloccante e che in caso di irreperibilità del cliente, la procedura di contrattualizzazione viene definitivamente chiusa (cd. KO). La Società, inoltre, effettua su un campione pari al 10% dei contratti anche un ulteriore controllo di verifica dei dati, condotto di regola telefonicamente a distanza di un mese. Infine, in caso di cd. “KO” di un contratto vengono esaminate le motivazioni e verificati anche gli altri contratti inseriti dal medesimo agente.

Olimpia ha affermato, altresì, di effettuare una terza chiamata nell’arco dei tre mesi successivi la stipula, per svolgere attività di caring del cliente, verifica dei dati personali e acquisizione di informazioni su eventuali problematiche. Tale contatto è operato per evitare operazioni di win-back o nuova affiliazione da parte degli operatori più strutturati, nel periodo che va dalla stipula del contratto alla prima bolletta, generalmente caratterizzato da una certa carenza di contatti fra l’operatore e il cliente.

Con specifico riferimento alle procedure per l’accesso al CRM da parte delle agenzie, Olimpia ha rilevato che è in corso una modifica generale delle funzionalità del sistema, per innalzare le misure a protezione dei dati personali. Ad oggi le agenzie hanno profili di accesso nominali e il sistema non consente accessi contemporanei con la medesima utenza. I caricamenti avvengono all’interno delle agenzie e non è possibile effettuare operazioni al di fuori dell’area di lavoro perimetrata dal sistema. Le agenzie utilizzano una rete VPN per collegarsi al CRM e sarà implementata anche l’autenticazione a due fattori (OTP). Tutti gli accessi e le operazioni vengono tracciate mediante file di log, pertanto per ogni singola operazione è possibile risalire all’operatore che l’ha portata a compimento, così come per ogni contratto caricato.

Con riferimento alle modalità di esercizio dei diritti di cui agli artt. 15-22 del Regolamento, la Società ha rappresentato che, in caso di segnalazione relativa a un contatto indesiderato, la struttura preposta per il riscontro all’interessato chiede al medesimo di dare evidenza del numero chiamante per verificare tutti gli aspetti della chiamata illecita. Al riguardo, da oltre due anni la società ha predisposto pagine informative di sensibilizzazione per evitare truffe telefoniche, contatti indesiderati e altre pratiche scorrette.

In aggiunta, Olimpia ha evidenziato di avere istituito una black-list interna, nella quale sono registrate tutte le opposizioni al trattamento per finalità promozionali, a cui è dato accesso alle agenzie. Le agenzie sono tenute a consultare tale black-list prima dell’avvio di una campagna promozionale e dell’utilizzo delle anagrafiche, nonché a integrare l’elenco in base alle opposizioni direttamente ricevute.

La Società ha dichiarato che prima dell’inizio delle campagne promozionali, le anagrafiche vengono sottoposte a verifica presso l’RPO, ad eccezione di quelle liste che vengono vendute dai list-provider già sottoposte a tale procedura (in tal caso viene specificata dal list provider la data di verifica e quindi il termine di lecita utilizzabilità della lista medesima). In sede di audit presso le agenzie, Olimpia provvede a richiedere l’evidenza delle verifiche effettuate presso la FUB.

Infine, su richiesta dei verbalizzanti, la parte si è riservata di produrre la documentazione attestante la risoluzione del contratto con XX e le eventuali motivazioni espresse.

Con nota trasmessa in data 8 febbraio 2024 (ns Prot. n. 15628/24), Olimpia ha confermato che a fronte delle verifiche interne svolte sui 32 contratti segnalati dal Garante, in quanto derivanti da chiamate verso utenti che avevano registrato la propria opposizione tramite RPO, è emerso che i relativi contatti sono stati realizzati in massima parte dall’agenzia XX La Società ha documentato di avere risolto il contratto stipulato con XX a ottobre 2023, a seguito della ricezione di un reclamo in data 22 ottobre 2023 da parte di un cliente per presunte condotte ingannevoli.

Infine, la Società ha specificato che l’attuale numero di agenzie attive che effettuano attività di teleselling per suo conto è pari a 14 unità e che tuttavia «solamente n. 4 agenzie realizzano numeriche significative in termini di contratti mensili, mentre le restanti 10 agenzie raggiungono complessivamente all’incirca 300 contratti al mese».

3. VALUTAZIONI DELL’AUTORITÀ

Preliminarmente occorre rilevare che, contrariamente a quanto eccepito dalla Società, il procedimento si è svolto nella piena ottemperanza delle norme procedurali e dei termini ivi previsti.

Vale la pena di ribadire che l’istruttoria svolta dall’Autorità si è articolata su più richieste di informazioni alla Società, una delle quali relativa alle vendite dirette effettuate dalla medesima in una settimana di marzo del 2023. All’esito di tale richiesta, l’Autorità ha inviato l’elenco delle numerazioni oggetto di possibile contatto da parte della rete di vendita di Olimpia alla Fondazione Bordoni per verificare se talune di esse fossero presenti nel Registro pubblico delle opposizioni, gestito dalla medesima fondazione. Il relativo riscontro è stato fornito dalla Fondazione Bordoni il 21 luglio 2023.

Orbene, la comunicazione di avvio del procedimento, contenente la contestazione delle presunte violazioni, è stata notificata a Olimpia mediante posta elettronica certificata in data 19 dicembre 2023 e dunque entro il termine previsto dalla tabella n. 2 allegata al regolamento interno n. 2/2019 (disponibile sul sito www.garanteprivacy.it doc-web n. 9107640) che fissa in 120 giorni  dalla data dell’accertamento (al netto della sospensione feriale dei termini) il termine per la comunicazione di avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice.

Nel merito, non pare potersi condividere la tesi difensiva dispiegata dalla Società con riferimento alle segnalazioni e ai reclami oggetto del presente procedimento.

Irrilevante, infatti, si appalesa l’asserzione per cui «all’interno dei sistemi informatici della Società, non vi sono dati personali di segnalanti e reclamanti, fatta eccezione per quelli del segnalante di cui al fascicolo n. 191157, i cui dati sono stati trattati nell’ambito del diritto di ripensamento, nonché per le 2 ulteriori segnalazioni per chiamate indesiderate (fasc. 313167 e 3131545), ricevute dall’Autorità nel corso dell’istruttoria», tenuto conto che, come è logico ritenere, le doglianze in materia di chiamate promozionali indesiderate raramente provengono da soggetti interessati che sono addivenuti all’attivazione di un contratto di servizi e/o fornitura.

Parimenti, poco credibile e priva di alcun fondamento probatorio, si appalesa l’asserita attribuzione di tali contatti telefonici a sedicenti competitors mossi dall’intento di indurre il malcapitato utente al cambio gestore, alla luce della considerazione per cui le iniziative in tal senso adottate dalla Società paiono limitarsi all’inoltro di diffide e segnalazioni, poi mai coltivate né presso le sedi competenti, né in via stragiudiziale. Inoltre, non è dato comprendere come si possa sfruttare la spendita del nome di una società per poi proporre la conclusione di un contratto di fornitura con un’altra.

Con specifico riferimento alla segnalazione n. 184158, il titolare ha evidenziato che il contatto non può essere attribuito alla Società, in quanto l’interessato ha dichiarato che il chiamante si era “spacciato per il suo gestore del gas”. Invero, con la doglianza in parola, utilizzando il medesimo modulo, l’interessato ha inteso segnalare due diversi contatti telefonici. Il primo contatto, effettuato alle 12:45 del 22 luglio 2022 è indubbiamente attribuito a Olimpia, posto che in corrispondenza della colonna “società/ditta che effettua la telefonata pubblicitaria“, il segnalante ha riportato la dicitura “Sinergy Luce”. Diversamente, la seconda segnalazione non è stata presa in considerazione – e non poteva esserlo – dall’Autorità, in quanto generica e dunque priva degli elementi idonei a consentirne la valutazione.

Allo stesso modo, anche la doglianza n. 184868, pure oggetto di contestazione da parte della Società, conteneva due segnalazioni, di cui una dettagliatamente circoscritta e completa dei riferimenti temporali, il numero chiamante e l’attribuzione al marchio Sinergy. L’altra segnalazione, riportata sul medesimo modulo, sebbene recasse anch’essa i riferimenti temporali e il numero chiamante, non conteneva elementi idonei a individuare il titolare del trattamento e per l’effetto non è stata presa in considerazione dall’Autorità.

Sul punto, anche il tenore dell’affermazione secondo cui la società non avrebbe mai ricevuto una preventiva richiesta da parte degli interessati con riferimento alle doglianze inerenti all’esercizio dei diritti di cui agli artt. 15 e ss. del Regolamento, pare smentita dalla documentazione agli atti del procedimento e fornita ad Olimpia unitamente alla richiesta di informazioni ex art. 157 del Codice. Difatti, tutte le segnalazioni e i reclami contenenti anche istanze relative all’esercizio dei diritti, sono state inoltrate dagli stessi mittenti alla Società e per talune Olimpia aveva già fornito riscontro (cfr. fascicoli nn. 179911, 180374, 181096, 191140, 313167).

In ordine ai contatti telefonici effettuati nell’arco della c.d. “settimana campione” e che hanno generato 4.223 proposte contrattuali, meritevole di accoglimento si rivela l’eccezione della parte limitatamente ai 604 contratti conclusi porta a porta, alle 133 duplicazioni, alla numerazione di test, all’interessato già cliente per un diverso punto di distribuzione e alle 90 numerazioni contattate, previo conferimento del consenso successivo alla iscrizione presso il RPO.

Ne consegue che i residuali 34 contatti telefonici sono stati effettuati nell’arco della c.d. “settimana campione” in mancanza di un’idonea base giuridica.

Più in particolare, i due contatti telefonici effettuati nei confronti degli ex clienti, non possono essere qualificati come legittimi, giacché gli eventuali consensi a suo tempo acquisiti sono stati travolti dalle successive registrazioni delle numerazioni nel Registro delle opposizioni, in assenza di elementi relativi alla cessazione del contratto. Le restanti 32 numerazioni - per stessa ammissione della società – sono frutto di un illegittimo trattamento di dati.

L’avere contattato 34 numerazioni telefoniche nell’ambito delle attività di telemarketing svolte nel periodo febbraio-marzo, in costanza dell’iscrizione delle medesime utenze all’RPO - e quindi del meccanismo di opt-out determinato dalla vigente normativa - comporta la violazione dell’art. 130, commi 3 e 3-bis, del Codice, riguardante le comunicazioni elettroniche, nonché, più in generale, degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. a) del Regolamento, con riguardo al principio di liceità e alla necessità della base giuridica del consenso per legittimare il trattamento dei dati in questione per fini promozionali.

Sul punto, inconferente si appalesa l’asserita attribuzione della maggioranza dei contatti telefonici illeciti realizzati durante la settimana cd. campione all’Agenzia XX, considerato che la diffida prodotta da Olimpia riguarda un singolo tentativo di truffa telefonica e che dall’analisi dell’elenco di proposte in atti, emerge che a tale agenzia è riconducibile un solo contatto nell’ambito della rete “residenziale teleselling”.

I rilievi emersi, se considerati congiuntamente, da una parte permettono di considerare favorevolmente lo sforzo profuso dalla Società ai fini di un migliore adeguamento dell’organizzazione aziendale alla disciplina vigente in materia di protezione dei dati personali e di arginare il fenomeno del cd. telemarketing selvaggio. Per l’effetto deve ritenersi in parte qua archiviata, ai sensi dell’art. 11, comma 1, lett. b) del regolamento interno n. 1/2019 (disponibile per la consultazione sul sito www.gpdp.it doc-web n. 9107633) la contestazione relativa alla possibile violazione degli artt. 5, par. 1, lett. f), 25 e 32 del Regolamento.

Dall’altro lato, suggeriscono l’opportunità di indicare alla Società l’adozione di misure idonee a impedire che nel patrimonio aziendale possano fare ingresso contratti generati da un contatto effettuato a monte in assenza di un’idonea base giuridica.

Sotto tale profilo, certamente apprezzabile appare l’implementazione di una serie di misure (quali per esempio la firma OTP e la check-call bloccante), atte a saggiare l’effettiva volontà dell’interessato ad addivenire alla stipula del contratto.

Peraltro, tali tipologie di controllo sono previste anche dall’art. 16 del Codice di condotta per le attività di telemarketing e teleselling (consultabile sul sito www.garanteprivacy.it doc-web n. 9868813 - Provv. GPDP n. 70 del 9 marzo 2023 in GU n.73 del 27-3-2024), che a prescindere dall’adesione, presenta un’indubbia valenza in termini di best practies, nella parte in cui prevede che «1. I titolari del trattamento adottano procedure organizzative e/o tecniche finalizzate a comprovare che i dati dell’interessato/contraente/utente siano stati acquisiti nel rispetto dei principi di cui all’art. 5, par. 1, del Regolamento; in particolare, tenuto conto del principio di proporzionalità, mediante misure by default, gli stessi implementano nei sistemi apposite procedure che individuino le campagne promozionali, le liste di contatto e gli operatori coinvolti in ogni contratto concluso a distanza e siano in grado di comprovare la correttezza delle informazioni di cui sopra. Tali procedure impediscono la registrazione di contratti dei quali le predette informazioni non siano rinvenibili (…). 2. Gli aderenti al presente Codice di condotta assicurano che tutta la filiera tratti i dati esclusivamente sulla base di un idoneo consenso al trattamento per finalità di telemarketing e teleselling che sia chiaramente distinto dalla manifestazione della volontà negoziale. (..) 6. Il committente sviluppa i propri processi affinché i contratti stipulati a seguito di attività di teleselling avvengano in presenza di un inequivocabile consenso al contatto originario, salvi i casi ricadenti nell’ambito di applicazione dell’art. 130, comma 3-bis del Codice. In sede di prima applicazione del presente Codice di condotta e ad esclusiva tutela dell’interessato, nel caso a seguito dei controlli emergano contratti per i quali risulti viziato il primo contatto, detti contratti possono continuare ad avere esecuzione purché il committente informi l’interessato dell’origine viziata del contratto e che lo stesso interessato confermi la volontà di volerlo mantenere, fatti salvi i casi residuali in cui il cliente non dia seguito a comprovati tentativi di contatto del committente (..)».

In tal senso depongono anche le numerose doglianze pervenute all’attenzione del Garante. L’elevato numero di segnalazioni presentate, pari a quello delle numerazioni disconosciute dalla società, solo apparentemente rappresenta un dato scisso da quello ulteriore relativo ai contratti espressamente richiesti dal Garante nella settimana “campione”.

Una filiera del trattamento correttamente concepita e strutturata secondo le indicazioni che il GDPR fornisce in materia di liceità e responsabilizzazione, non restituirebbe due dati tra loro così preoccupanti: a) la presenza di contatti telefonici che ab origine non sarebbero proprio dovuti avvenire; b) la presenza di doglianze di cittadini “estranei” al patrimonio informativo della società (nel senso di non clienti, per stessa ammissione della società) che lamentano contatti in nome e per conto del marchio Sinergy.

Peraltro, dall’istruttoria è emerso che la Società aveva piena contezza del fenomeno, essendo stata, in più di un caso, destinataria diretta delle istanze degli interessati e dunque era pienamente in grado di intervenire.

Deve quindi confermarsi la responsabilità di Olimpia in ordine alle violazioni contestate mediante la comunicazione di avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice del 19 dicembre 2023.

Tuttavia, al fine di una corretta modulazione dei provvedimenti correttivi da adottare, anche in relazione alle indicazioni contenute nel cap. 7 delle Guidelines 04/2022 on the calculation of administrative fines under the GDPR  (disponibili per la consultazione sul sito www.edpb.europa.eu) devono essere tenute in debita considerazione tutte le misure di sicurezza tecnica e organizzative finora adottate dalla Società, nonché quanto affermato da Olimpia in sede di esercizio del diritto di difesa, con specifico riferimento al complessivo processo volto a non utilizzare più attività di teleselling privilegiando forme di contatto dei potenziali clienti attraverso le vendite porta-a-porta e al potenziamento del canale promozionale realizzato dai negozi fisici della Società, già ampiamente presenti nel territorio.

Sotto questo profilo deve ritenersi che i non esigui contatti indesiderati provenienti dal c.d. “sottobosco” del telemarketing, e cioè da soggetti non ricompresi nella rete di vendita della Società potrebbero, in ragione della predetta scelta e delle future riorganizzazioni della rete di vendita medesima, essere eliminati in radice determinando un significativo beneficio nei confronti degli utenti.

4. CONCLUSIONI

Per quanto sopra esposto, si ritiene, preliminarmente di dovere archiviare ai sensi dell’art. 11, comma 1, lett. b) del regolamento interno n. 1/2019 la contestazione relativa alla violazione degli artt. 5, par. 1, lett. f), 25 e 32 del Regolamento.

Considerato, inoltre, che nei confronti di Olimpia sono pervenuti all’Autorità 22 reclami e segnalazioni relative a contatti indesiderati e che tali contatti risultano essere stati posti in essere, nella totalità, da soggetti esterni alla rete di vendita della Società; ritenuto altresì che anche a seguito di una verifica a campione sono emersi contatti illeciti che hanno interessato, nell’arco di una settimana, 34 soggetti che hanno poi concluso un contratto con Olimpia, preso atto delle considerazioni difensive, si ritiene accertata la responsabilità di Olimpia in ordine alle seguenti violazioni:

a) dell’art. 130, commi 3 e 3-bis, del Codice per degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. a) del Regolamento per avere contattato 34 numerazioni telefoniche nell’ambito delle attività di telemarketing, in costanza dell’iscrizione delle medesime utenze all’RPO - e quindi del meccanismo di opt-out - determinato dalla vigente normativa;

b) degli artt. 5, par. 1, lett. a) e 5, par. 2, 6, par. 1, lett. a), 24 par. 1 del Regolamento per la mancata predisposizione di idonee misure di sicurezza tecniche e organizzative e di controlli nei confronti della filiera commerciale e dei partner.

Accertata, altresì, l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario:

- imporre a Olimpia, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati dei segnalanti e dei reclamanti;

- ingiungere a Olimpia, ai sensi dell’art. 58, par. 2, lett. d) ed e) del Regolamento, di comunicare ai 34 interessati, i cui dati anagrafici sono confluiti nei sistemi della Società a seguito di contatti illeciti, gli esiti dell’odierno procedimento in base ad un testo da concordare con l’Autorità in sede di applicazione del presente provvedimento;

- ingiungere a Olimpia, ai sensi dell’art. 58, par. 2, lett. d) di predisporre adeguati controlli presso la propria rete di vendita e adeguate implementazioni dei sistemi, al fine di escludere che possano entrare nel patrimonio aziendale contratti generati da contatti illeciti;

- adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Olimpia della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento.

5. ORDINANZA-INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Olimpia della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento (pagamento di una somma fino a € 20.000.000,00 ovvero, per le imprese con oltre 500.000.000 di euro di fatturato, fino al 4% del fatturato mondiale annuo dell’esercizio precedente).

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento.

Nel caso in esame, assumono rilevanza:

1) la gravità delle violazioni (art. 83, par. 2, lett. a) del Regolamento), tenuto conto dell’oggetto e delle finalità dei dati trattati, riconducibili al fenomeno complessivo del telemarketing, in ordine al quale l’Autorità ha adottato, in particolare negli ultimi tre anni, numerosi provvedimenti che hanno compiutamente preso in esame i molteplici elementi di criticità fornendo ai titolari numerose indicazioni per adeguare i trattamenti alla normativa vigente e per attenuare l’impatto delle chiamate di disturbo nei confronti degli interessati;   

2) quale fattore attenuante il grado di responsabilità del titolare tenuto conto delle misure di sicurezza tecniche e organizzative già implementate ai sensi degli artt. 25 e 32 del regolamento;

3) quale fattore attenuante, la circostanza che Olimpia non risulta essere stata destinataria di provvedimenti correttivi e/o sanzionatori da parte del Garante;

4) quale ulteriore fattore attenuante, le iniziative di sensibilizzazione e awareness degli utenti poste in essere dalla Società e la positiva collaborazione con il Garante;

5) quale fattore attenuante, le caratteristiche dimensionali della Società, costituita da un numero limitato di dipendenti, e la capacità economica della stessa, in ragione di un contenuto fatturato e utile di esercizio.

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba applicarsi a Olimpia la sanzione amministrativa del pagamento di una somma di euro 100.000,00 pari allo 0,5 % della sanzione massima edittale.

Nel caso in argomento si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti, nonché degli elementi di rischio per i diritti e le libertà degli interessati.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

a) provvede all’archiviazione ai sensi dell’art. 11, comma 1, lett. b) del regolamento interno n. 1/2019 della contestazione relativa alla violazione degli artt. 5, par. 1, lett.f), 25 e 32 del Regolamento;

b) impone a Olimpia, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati dei segnalanti e dei reclamanti;

c) ingiunge a Olimpia, ai sensi dell’art. 58, par. 2, lett. d) ed e) del Regolamento, di comunicare ai 34 interessati, i cui dati anagrafici sono confluiti nei sistemi della Società a seguito di contatti illeciti, gli esiti dell’odierno procedimento in base ad un testo da concordare con l’Autorità in sede di applicazione del presente provvedimento;

d) ingiunge a Olimpia, ai sensi dell’art. 58, par. 2, lett. d) di predisporre adeguati controlli presso la propria rete di vendita e adeguate implementazioni dei sistemi, al fine di escludere che possano entrare nel patrimonio aziendale contratti generati da contatti illeciti;

e) ingiunge a Olimpia, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento;

ORDINA

a Olimpia S.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Verona (VR), Via Aurelio Saffi n. 2/D, P.IVA 03589630239, di pagare la somma di euro 100.000,00 (centomila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata.

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 100.000,00 (centomila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

L’applicazione della sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dagli artt. 166, comma 7 del Codice e 16 del Regolamento del Garante n. 1/2019, e l’annotazione del medesimo nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la sede il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Messina,11 aprile 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei