[doc. web n. 10112726]

Provvedimento del 16 gennaio 2025

Registro dei provvedimenti
n. 12 del 16 gennaio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Agostino Ghiglia;

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con comunicazione prot. n. 67866/344847 del 4 giugno 2024 (notificata in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente richiamata, l’Ufficio ha avviato, ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti di Zena s.r.l.s., in persona del rappresentante legale pro-tempore, con sede legale in Bergamo, via Zanica n. 85, c.f. 04617730165.

Il procedimento trae origine da una istruttoria avviata dall’Autorità, a seguito della ricezione di un reclamo con il quale il sig. XX rappresentava di essere stato inserito in un gruppo WhatsApp denominato “Zena Padel”, amministrato da Zena s.r.l.s. (di seguito anche “Zena” o “Società”) al quale risultavano aggregati 47 membri con relativi numeri cellulari visibili a tutti. Il sig. XX si rivolgeva alla Società amministratrice del gruppo chiedendo le ragioni dell’inserimento della propria numerazione fra quelle contattabili nella chat, ricevendo quale risposta l’affermazione che “nel suo caso acquistando su Amazon lei ha espresso un consenso ampio” e che l’inserimento nel gruppo era finalizzato a “offrirvi la possibilità di usufruire di sconti”. Nel reclamo il sig. XX evidenziava che anche altri componenti del gruppo avevano manifestato la propria contrarietà all’iniziativa promozionale.

1.2. La richiesta di informazioni formulata dall’Autorità

L’Ufficio, esaminate le circostanze riportate nel reclamo e la documentazione ivi allegata, inviava a Zena una richiesta di informazioni ai sensi dell’art. 157 del Codice, per acquisire elementi “con particolare riferimento alla natura e all’origine dei dati personali trattati per l’inserimento del nominativo del reclamante nella chat indicata, alla base giuridica del trattamento di dati svolto e alle modalità con le quali è stata rilasciata la prescritta informativa”. Alla richiesta del Garante la Società dava riscontro nei termini, in data 13 maggio 2024, “per contestare integralmente il reclamo Fascicolo n. 344847 in quanto il Signor XX evidenzia di non aver mai avuto a che fare con la nostra azienda cosa non vera in quanto ci preme evidenziare e portare a conoscenza del Signor XX che all’interno della piattaforma di Amazon la maggioranza dei prodotti vengono venduti da aziende terze. Tale situazione viene evidenziata in modo preciso e puntuale da Amazon sia al momento del pagamento che nella stessa pagina prodotto. Detto ciò, ci preme indicare che il non ricordo non rammento non sono a conoscenza evidenziano come il signor XX non abbia posto l'attenzione corretta acquistando un completo per il Gioco del Padel dalla nostra Società. Per quanto riguarda la chat citata era utilizzata per dare un miglior servizio per eventuali problematiche riscontrate nell'acquisto e per dare un miglior supporto ai clienti come richiesto dalla piattaforma Amazon che chiede al cliente il numero telefonico proprio per poter dare un migliore aiuto in caso di problemi. La chat in questione serviva inoltre a dare l'opportunità ai clienti di usufruire di tali servizi oltre ovviamente ad offrire opportunità ai clienti. Spiegato quanto sopra il cliente che non desiderava essere inserito poteva in maniera totalmente autonoma cancellarsi dalla stessa. Sperando di aver risposto ci permettiamo di evidenziare che aprire un reclamo per situazioni del genere ci sembra eccesivo e una estrema perdita di tempo per tutti sarebbe stato opportuno confrontarsi tra cliente e fornitore”.

1.3. Contestazione delle violazioni

L’Ufficio, all’esito dell’istruttoria, adottava il sopra richiamato atto di contestazione n. 67866/344847 del 4 giugno 2024 nel quale, in primo luogo, osservava che la chat di gruppo istituita da Zena s.r.l.s, aveva finalità evidentemente promozionali posto che all’interno della medesima i messaggi pubblicati dalla Società risultavano avere il seguente tenore: “Buongiorno!!! Vi scriviamo da Zena Padel ci sono attivi molti sconti sul nostro sito!!! www.zenapadel.com”; “Buongiorno sul sito www.zenapadel.com ci sono tutti i saldi che ovviamente su Amazon non ci sono”.

In ragione della natura della chat, quale strumento per veicolare messaggi promozionali mediante l’utilizzo di strumenti elettronici, si rilevava che la Società non risultava aver fornito alle persone che erano state inserite nel gruppo WhatsApp “Zena Padel”, destinatarie dei predetti messaggi, la necessaria informativa ai sensi dell’art. 13 del Regolamento, con la quale far conoscere alle stesse gli aspetti più rilevanti del trattamento dei dati personali (natura, finalità, origine dei dati, base giuridica) e dei diritti di cui ciascun interessato dispone ai sensi degli artt. 15-22 del medesimo Regolamento.

Quanto alla base giuridica dei sopra descritti trattamenti, si rilevava che attesa la finalità promozionale dei messaggi e il mezzo elettronico con il quale le comunicazioni ai clienti erano state veicolate, un legittimo trattamento avrebbe necessitato del consenso libero, specifico, inequivocabile e informato di ciascun interessato, sulla scorta di quanto previsto dall’art. 130, commi 1 e 2 del Codice.

Emergeva pertanto, dal complesso dell’istruttoria, che Zena s.r.l.s. aveva posto in essere dei trattamenti di dati personali finalizzati alla promozione dei propri prodotti e delle offerte presenti nel proprio sito Internet, senza aver rilasciato alle persone le cui numerazioni telefoniche erano state inserite nella chat di gruppo “Zena Padel” la necessaria informativa ai sensi dell’art. 13 del Regolamento e il prescritto consenso di cui agli artt. 6 e 7 del Regolamento e 130, commi 1 e 2, del Codice.

Nell’atto di contestazione si osservava inoltre che l’aver scelto di veicolare i messaggi promozionali attraverso la creazione di una chat WhatsApp di gruppo aveva determinato la comunicazione dei dati relativi alla numerazione telefonica di ciascun membro a tutti i restanti partecipanti, realizzando pertanto un ulteriore trattamento di dati personali in assenza di informativa e consenso.

Le descritte condotte risultavano altresì idonee a configurare la violazione dei principi di liceità e trasparenza di cui all’art. 5, par. 1, lett. a) del Regolamento.

Sulla scorta di quanto sopra osservato, l’Ufficio contestava a Zena le ipotizzate seguenti violazioni:

a) art. 5, par. 1, lett. a), 6 e 7 del Regolamento e 130, commi 1 e 2 del Codice, per aver trattato i dati personali del reclamante e di altri 45 clienti senza il prescritto consenso;

b) art. 5, par. 1, lett. a) e 13 del Regolamento, per aver omesso di fornire agli interessati le necessarie informazioni ivi previste.

2. ESERCIZIO DEL DIRITTO DI DIFESA DA PARTE DEL TITOLARE

La Società, esercitando il proprio diritto di difesa, inviava all’Autorità una memoria difensiva in data 11 giugno 2024 e contestualmente faceva richiesta di audizione innanzi al Garante.

Nella memoria difensiva Zena rappresentava in primo luogo di essere una piccola realtà imprenditoriale attiva nel commercio di prodotti per il gioco del padel, principalmente attraverso piattaforme di e-commerce.

Con riferimento alle contestazioni mosse, la Società ribadiva che il nominativo del reclamante era stato inserito nel gruppo WhatsApp “Zena Padel” a seguito di un acquisto tramite la piattaforma Amazon. Zena specificava che “Amazon richiede l'inserimento del numero telefonico per facilitare la comunicazione tra venditore e cliente. La chat di gruppo era utilizzata per offrire supporto post-vendita e opportunità di sconto”.

La Società insisteva quindi nell’affermare, con riferimento alla base giuridica dei trattamenti, che “durante il processo di acquisto, il cliente acconsente a ricevere comunicazioni relative ai prodotti acquistati. Il consenso, sebbene ampio, era comunque volto a migliorare l’esperienza cliente offrendo supporto diretto e promozioni. Tuttavia, riconosciamo che potrebbe essere stato percepito in modo diverso dal sig. XX e da altri membri del gruppo”.

Quanto all’informativa, Zena dichiarava “Riconosciamo che l’informativa fornita agli interessati non è stata sufficientemente dettagliata riguardo l’uso del gruppo WhatsApp per finalità promozionali. A seguito di questa segnalazione, stiamo procedendo a una revisione completa delle nostre informative per assicurare piena trasparenza e conformità con l’art. 13 del Regolamento (UE) 2016/679”.

La Società, infine, per contribuire a risolvere le criticità emerse, si impegnava a “implementare un sistema di raccolta del consenso più specifico e inequivocabile per tutte le comunicazioni promozionali; fornire una dettagliata informativa agli utenti prima di inserirli in qualsiasi gruppo di comunicazione; offrire immediata possibilità di opt-out ai membri già inseriti in gruppi di comunicazione”.

Per completezza, va evidenziato che la Società, ritualmente convocata, come da richiesta, per essere ascoltata il 14 novembre 2024, non si presentava all’audizione e non forniva alcuna spiegazione al riguardo.

3. VALUTAZIONI DELL’AUTORITÀ

Le argomentazioni addotte da Zena non sono idonee ad escludere la propria responsabilità in ordine alle violazioni contestate.

Dagli atti e dalle dichiarazioni stesse della Società trova infatti piena conferma la circostanza che Zena ha utilizzato i dati del reclamante e di altri 45 clienti per costituire una chat di gruppo mediante il servizio di messaggistica WhatsApp, attraverso la quale veicolare messaggi di natura promozionale relative ad offerte, sconti ed opportunità di acquisto meglio illustrate nel proprio sito Internet.

Quantomeno con riferimento ai dati del reclamante (ma è ragionevole ritenere che ciò sia avvenuto anche per altri clienti, come dimostrano i contenuti della chat esibiti dal sig. XX), è emerso che la Società ha acquisito i suoi dati personali dalla condivisione operata da Amazon per consentire il perfezionamento di un ordine di acquisto effettuato sulla propria piattaforma di e-commerce.

Al riguardo è opportuno rappresentare che Amazon, nella propria informativa, specifica ai propri clienti che “quando acquisti prodotti da venditori terzi sul nostro negozio, il venditore riceverà il tuo nome e indirizzo di consegna al fine di elaborare ed evadere l'ordine”. Quanto alla possibile condivisione dei dati per finalità di marketing da parte di terzi, va evidenziato che l’informativa di Amazon fa riferimento ad alcune limitate ipotesi le quali, tuttavia, mai ricomprendono la possibilità di utilizzo del dato relativo all’utenza telefonica del cliente.

Emerge quindi che, nel caso in argomento, Zena abbia trattato dati personali del reclamante, acquisiti in occasione di una vendita di materiale sportivo tramite la piattaforma Amazon, al di fuori delle previsioni del rapporto intercorso fra il reclamante medesimo e la piattaforma, agendo pertanto quale autonomo titolare del trattamento.

Attesa la finalità promozionale, poiché i messaggi veicolati dalla chat in argomento riguardavano le ulteriori opportunità di acquisto dei prodotti della Società disponibili consultando il proprio sito Internet, il trattamento dei dati del reclamante e degli altri clienti nella medesima condizione (che quindi avevano completato un acquisto tramite Amazon) poteva avvenire solo a seguito dell’acquisizione da parte di Zena di uno specifico consenso degli interessati di cui agli artt. 6 e 7 del Regolamento e 130, commi 1 e 2, del Codice, consenso che Zena non ha curato invece di acquisire.

Nel caso in argomento, non appaiono conferenti le argomentazioni difensive in ordine ad un asserito “difetto di percezione” della natura del consenso da parte dell’interessato poiché, va ribadito, tale consenso non è mai stato acquisito dal titolare Zena s.r.l.s. Altrettanto inconferenti appaiono le osservazioni in ordine all’utilizzo dei dati personali dell’interessato per una qualche forma di “assistenza post-vendita” poiché appare evidente come tale servizio non possa essere veicolato attraverso una chat di gruppo ma esclusivamente attraverso comunicazioni one-to-one idonee a tutelare la riservatezza del singolo cliente.

Per ciò che riguarda la contestazione relativa alla carenza dell’informativa, va chiarito che, nell’ambito di un acquisto Amazon, la sola informativa che il cliente ha la possibilità di leggere è quella della medesima Amazon, la quale non viene resa anche in nome e per conto dei venditori che espongono i propri prodotti nella piattaforma. Non si comprende, pertanto, a cosa faccia riferimento Zena nel momento in cui afferma che “l’informativa fornita agli interessati non è stata sufficientemente dettagliata riguardo l’uso del gruppo WhatsApp per finalità promozionali”, posto che quella presente nel sito Internet della Società poteva non essere conosciuta dai clienti Amazon (e comunque, ad oggi, tale informativa subordina l’invio di messaggi promozionali all’acquisizione di un idoneo consenso e non fa riferimento alla possibilità di creazione di chat di gruppo).

Con riferimento, poi, alla creazione di una chat di gruppo su WhatsApp va osservato che, sebbene tale fenomeno sia piuttosto diffuso fra gli utenti del servizio di messaggistica, lo stesso non può dirsi legittimo quando non destinato all’ “esercizio di attività a carattere esclusivamente personale o domestico” fra persone fisiche (art. 2, par. 2, lett. c), del Regolamento) ovvero quando non espressamente autorizzato dagli utenti.

Vero è che WhatsApp ha previsto una specifica funzionalità per consentire a ciascun utente di sottrarsi dall’inclusione nelle chat di gruppo (funzionalità che in questa sede è opportuno consigliare di utilizzare, in particolare nei confronti di utenti non ricompresi nella propria rubrica telefonica) tuttavia, se tale opzione non viene esercitata, ciò non può essere interpretato, in particolare da persone giuridiche, alla stregua di un consenso al trattamento finalizzato proprio all’inclusione nelle predette chat di gruppo, trattamento per sua natura particolarmente invasivo perché idoneo a realizzare la condivisione del dato relativo alle utenze telefoniche di tutti i soggetti inclusi. Anche sotto tale profilo, pertanto, il trattamento effettuato da Zena risulta illegittimo perché carente di informativa e consenso.

Infine, per ciò che riguarda gli intenti espressi dalla Società in sede di memoria difensiva per sanare le criticità dedotte con l’atto di contestazione, deve osservarsi che gli stessi non risultano, ad oggi, essere stati effettivamente posti in essere e, inoltre, tali intenti non appaiono idonei a ripristinare la legittimità dei trattamenti che deve necessariamente prevedere il rilascio di una preventiva dettagliata informativa e l’acquisizione di uno specifico e inequivocabile consenso, escludendo pertanto qualunque soluzione improntata al cd. “opt-out”.

Deve quindi confermarsi la responsabilità di Zena in ordine alle violazioni contestate ai capi a) e b).

4. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di Zena in ordine alle seguenti violazioni:

a) art. 5, par. 1, lett. a), 6 e 7 del Regolamento e 130, commi 1 e 2 del Codice, per aver trattato i dati personali del reclamante e di altri 45 clienti senza il prescritto consenso;

b) art. 5, par. 1, lett. a) e 13 del Regolamento, per aver omesso di fornire agli interessati le necessarie preventive informazioni ivi previste.

Accertata altresì l’illiceità dei trattamenti presi in esame, si rende necessario:

- imporre a Zena, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati del reclamante e degli altri clienti inclusi nella chat di gruppo WhatsApp “Zena Padel”;

- adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Zena della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento.

5. ORDINANZA-INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Zena della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento (pagamento di una somma fino a € 20.000.000,00 ovvero, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore);

Per la determinazione del massimo edittale della sanzione pecuniaria, occorre pertanto fare riferimento al fatturato di Zena, come ricavato dalle informazioni economiche e tributarie acquisite, e quindi si determina tale massimo edittale, nel caso in argomento, in euro € 20.000.000,00.

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento.

Nel caso in esame, assumono rilevanza:

1) la gravità delle violazioni (art. 83, par. 2, lett. a) del Regolamento), tenuto conto dell’oggetto e delle finalità dei trattamenti, riconducibili ad attività di marketing realizzate con mezzi invasivi, idonei non solo a veicolare messaggi promozionali indesiderati ma anche a determinare la comunicazione delle utenze telefoniche incluse nella chat di gruppo ad altri soggetti;

2) quale fattore attenuante, il numero di soggetti interessati dalle violazioni (art. 83, par. 2, lett. a) del Regolamento) poiché, allo stato, le condotte illecite sono state segnalate dal solo reclamante e coinvolgono complessivamente 46 interessati;

3) quale fattore aggravante, il carattere significativamente negligente delle condotte della Società (art. 83, par. 2, lett. b) del Regolamento), la quale ha predisposto un sistema di comunicazione con i propri clienti del tutto inidoneo a garantire la riservatezza dei medesimi;

4) quale fattore aggravante, le categorie di dati trattati (art. 83, par. 2, lett. g) del Regolamento), poiché è emerso che tali dati afferivano alle utenze telefoniche mobili dei clienti, come tali destinatarie di un particolare regime di riservatezza; 

5) quale fattore attenuante, la circostanza che la Società non sia stata prima d’ora destinataria di un provvedimento correttivo e sanzionatorio da parte del Garante (art. 83, par. 2, lett. e) del Regolamento).

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba applicarsi a Zena la sanzione amministrativa del pagamento di una somma di euro 10.000,00  (diecimila/00), pari allo 0,05% della sanzione massima edittale.

Nel caso in argomento si ritiene che debba applicarsi anche la sanzione accessoria della pubblicazione sul sito del Garante della presente ordinanza ingiunzione, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della particolare gravità delle violazioni e del disvalore delle condotte, con riferimento all’elusione delle disposizioni in materia di marketing mediante strumenti elettronici, nonché per il coinvolgimento di ulteriori soggetti diversi dal reclamante.

Ricorrono infine i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

a) impone a Zena, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati del reclamante e degli altri clienti inclusi nella chat di gruppo WhatsApp “Zena Padel”;

b) ingiunge a Zena, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alla misura imposta; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento.

ORDINA

a Zena s.r.l.s., in persona del rappresentante legale pro-tempore, con sede legale in Bergamo, via Zanica n. 85, c.f. 04617730165, di pagare la somma di euro 10.000,00 (diecimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata.

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000,00 (diecimila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

a) la pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019, nonché l’applicazione della sanzione accessoria della pubblicazione sul sito del Garante della presente ordinanza di ingiunzione, come previsto dagli artt. 166, comma 7 del Codice e 16 del Regolamento del Garante n. 1/2019;

b) l’annotazione del presente provvedimento nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 gennaio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei