[doc. web n. 7980857]

Provvedimento a seguito di accertamento ispettivo presso un call center - 15 febbraio 2018

Registro dei provvedimenti
n. 79 del 15 febbraio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");

VISTE le segnalazioni pervenute al Garante nelle quali è stata lamentata la ricezione di telefonate promozionali indesiderate effettuate per conto di diversi operatori economici utilizzando la numerazione 08231665539, assegnata a C.M. Voice Center S.r.l.s. (di seguito C.M.);

VISTI gli esiti degli accertamenti ispettivi effettuati in data 17 e 18 ottobre 2017 per il tramite del Nucleo Speciale Privacy della Guardia di finanza presso la sede legale della Società in Orta di Atella;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del Regolamento del Garante n. 1/2000;

RELATORE  la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1.1. Muovendo da alcune segnalazioni pervenute al Garante con le quali è stata lamentata la ricezione – nel periodo compreso fra dicembre 2015 e aprile 2017 ‒ di chiamate promozionali indesiderate effettuate nell´interesse di Committente B e Committente A provenienti dalla numerazione 08231665539, sono state effettuate verifiche in loco presso C.M. nei giorni 17 e 18 ottobre 2017 per il tramite del Nucleo Speciale Privacy della Guardia di finanza.

2.1. In tale occasione è stato dichiarato che la Società ha, di fatto, interrotto ogni attività a partire dal 28 luglio 2017, avendo in tale data definitivamente dismesso anche i locali e le attrezzature necessarie allo svolgimento del servizio di call center, senza tuttavia aver formalizzato lo stato di inattività nel registro delle imprese.

2.2. Nel confermare l´utilizzo della numerazione 08231665539 per l´effettuazione di chiamate promozionali, la rappresentante di C.M. ha dichiarato di aver avviato l´attività di call center operando inizialmente come subagenzia di Società A con la quale, in virtù dei rapporti personali intercorrenti con il legale rappresentante della medesima, non è mai stato formalizzato alcun rapporto contrattuale (pur essendo stata prodotta in atti documentazione contabile al riguardo), né consta, all´esito delle verifiche, che sia stato definito il ruolo di "titolare" o "responsabile del trattamento" di C.M. (ai sensi degli artt. 28 e 29 del Codice). A tal proposito, la rappresentante di C.M. si è limitata a dichiarare che «il call center […] commercializzava e promuoveva, inizialmente, prodotti e servizi Committente A. Successivamente, ed in particolare dal maggio 2016 fino al marzo 2017, ha promosso, […] anche prodotti e servizi Committente B. Quest´ultima attività veniva svolta sempre per conto della Società A» che, a sua volta, in base a quanto dichiarato, operava quale sub-agente di Società B, la quale ancora, a cascata, era vincolata contrattualmente con Società C

La rappresentante di C.M. ha altresì precisato che le liste dei soggetti da contattare per le menzionate campagne venivano fornite da Società A, il cui referente era il solo in possesso delle credenziali di amministratore dell´apposito sistema gestionale in uso a C.M. (come risulta da documentazione in atti) e mediante il quale avveniva l´instradamento automatico delle chiamate. A tale sistema C.M. avrebbe avuto accesso con le credenziali del mero profilo "user", che consentivano esclusivamente l´acquisizione delle statistiche delle chiamate, ma non la visualizzazione integrale delle liste. In tal senso C.M. ha prodotto una comunicazione (in atti), ricevuta dal referente di Società A, con la quale si conferma il caricamento di 10.000 nominativi «sulla campagna Committente B, ma [….] lavorabili anche per Committente A».

2.3. Interrotti i rapporti con Società A, in data 3 aprile 2017 C.M. ha concluso (direttamente) con Società C un contratto avente ad oggetto la promozione di servizi nell´interesse di Committente B.

Inoltre, nel periodo compreso tra marzo e luglio 2017, C.M. ha anche collaborato con Società D e con Società E, anche qui senza formalizzazione alcuna del rapporto contrattuale e senza che sia stato comprovato in quale veste, dal punto di vista della disciplina di protezione dei dati (cfr. artt. 28 e 29 del Codice), i reciproci rapporti si siano atteggiati, al fine di promuovere prodotti e servizi sia di Committente C che di Committente A (cfr. verbale 17 ottobre 2017, p. 5).

2.4. Tali attività sono state effettuate, dapprima, continuando ad utilizzare il menzionato sistema gestionale nonché le numerazioni contenute nelle liste  nello stesso precedentemente "caricate" da Società A, nonostante la cessazione del rapporto contrattuale con detta società; ciò sino al 24 maggio 2017, data in cui tale software è stato disattivato.

Quindi, per non interrompere l´attività di call center, C.M. ha acquistato ‒ all´apparenza da un rivenditore albanese contattato mediante Facebook (non meglio identificato, anche in ragione delle modalità di pagamento concordate) ‒  ed utilizzato liste di numerazioni relative a circa «440.000 occorrenze», in atti, contenenti nome e cognome, numero di telefono mobile, indirizzo completo e codice fiscale degli interessati.

3.1. Alla luce degli elementi complessivamente acquisiti (e sopra sintetizzati) deve ritenersi che dell´attività svolta, dapprima d´intesa con Società A (della quale è stata una longa manus senza che sia stato comprovato il ruolo effettivamente svolto in relazione al trattamento dei dati personali), quindi di propria iniziativa, anche cooperando con altri intermediari, C.M. debba essere chiamata a rispondere ai sensi dell´art. 28 del Codice (in merito v. anche Gruppo di lavoro articolo 29 per la protezione dei dati, WP 169, Parere n. 1/2010 sui concetti di "responsabile del trattamento" e "incaricato del trattamento" adottato il 16 febbraio 2010).

3.2. A fondamento di tale assunto, quanto alle numerazioni fornite da Società A, deve rilevarsi che tali dati personali sono stati trattati da C.M. (memorizzandoli sui propri sistemi e procedendo quindi all´attività di contatto telefonico), in assenza di qualunque designazione quale "responsabile del trattamento" (e, più radicalmente, sulla base di accordi contrattuali di natura puramente informale), sia da parte degli operatori economici nel cui interesse le telefonate venivano effettuate (nel caso di specie, in base a quanto dichiarato, Committente A e Committente B), come pure, ove ne fossero ricorsi i presupposti, da parte di Società A

3.3. Non diversamente, cessato il rapporto contrattuale con Società A, che (come detto) aveva messo a disposizione di C.M. le numerazioni da contattare, la Società ha continuato ad utilizzare, sulla base di una decisione autonoma, le funzionalità del gestionale che consentiva di effettuare le chiamate per la prosecuzione dell´attività promozionale sino al 24 maggio 2017: cfr. punto 2.4).

3.4. A conclusioni non diverse si deve pervenire quanto alle numerazioni, di incerta origine, acquisite su propria iniziativa da C.M., da un non meglio identificato rivenditore tramite Facebook, che, una volta rimossi i dati originariamente memorizzati da Società A, sono state utilizzate per proseguire l´attività, «sia per conto di Società C che per conto di Società D, al fine di promuovere prodotti e servizi di Committente B e Committente A», sulla base di accordi, parimenti informali e per i quali pure non è stata comprovata in sede di verifica alcuna designazione di C.M. quale "responsabile del trattamento".

4.1. Con riguardo alle descritte operazioni di trattamento, concernenti la raccolta e l´utilizzo delle numerazioni per i contatti commerciali delle quali la Società ha avuto la disponibilità nei termini sopra descritti, non è stato in alcun modo comprovato da parte di C.M. di aver reso l´informativa agli interessati cui si riferiscono dette  numerazioni, in violazione di quanto previsto dall´art. 13, comma 4, del Codice.

4.2. Nessuna prova è stata altresì fornita con riguardo alla sussistenza del consenso preventivo, libero e specifico al trattamento dei dati personali per finalità promozionali da parte degli interessati richiesto dagli artt. 130, comma 3 e 23 del Codice, né in relazione alla sussistenza di altro legittimo presupposto del trattamento ai sensi dell´art. 24 del Codice. Del pari, nessuna prova è stata offerta circa l´osservanza di quanto previsto dagli artt. 130, comma 3-bis e 8, d.P.R. 7 settembre 2010, n. 178.

4.3. Deve pertanto ritenersi che il trattamento per finalità di marketing dei dati personali raccolti ed utilizzati con le modalità sopra descritte, sia avvenuto in violazione dei principi di liceità e correttezza del trattamento di cui all´art. 11, comma 1, lett. a), del Codice nonché in assenza del consenso preventivo, informato, libero e documentato per iscritto degli interessati, in violazione degli artt. 13, commi 1 e 4, nonché 130, comma 3 e 23  del Codice (cfr. anche Linee guida in materia di attività promozionale e contrasto allo spam, provv. 4 luglio 2013, n. 330, doc. web n. 2542348).

In ragione dei profili di illiceità sopra evidenziati, deve quindi ritenersi che, ai sensi dell´art. 11, comma 2, del Codice, i dati personali riferiti agli interessati oggetto del presente provvedimento non possono essere utilizzati per finalità promozionali e se ne deve vietare  l´ulteriore trattamento.

5. L´Autorità si riserva di verificare, con autonomo procedimento, la sussistenza dei presupposti per contestare alla Società le violazioni amministrative di cui agli artt. 161 e 162, comma 2-bis, concernenti i profili afferenti al mancato rilascio di un´inidonea informativa e alla mancata acquisizione del consenso per l´utilizzo dei dati per finalità di marketing (art. 13, commi 1 e 4 e art. 23 del Codice).

6. L´Autorità si riserva altresì di svolgere ulteriori verifiche in relazione ai vari soggetti coinvolti nelle operazioni di trattamento oggetto del presente provvedimento.

7. Si ricorda che, ai sensi dell´art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni; in ogni caso, è altresì applicata in sede amministrativa la sanzione del pagamento di una somma da trentamila a centottantamila euro ai sensi dell´art. 162, comma 2-ter del Codice.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, rilevato che i dati personali di cui è stato accertato l´illecito trattamento non possono essere ulteriormente utilizzati (art. 11, comma 2, del Codice), vieta a C.M. Voice Center s.r.l.s. , con sede in Orta di Atella (CE), l´ulteriore trattamento per finalità di marketing dei dati personali trattati, in violazione dei principi di correttezza e finalità (art. 11, comma 1, lett. a) e b), del Codice) nonché in assenza del necessario e documentato consenso informato degli interessati al trattamento dei dati personali loro riferibili per finalità di marketing (artt. 13 e 23 del Codice).

Ai sensi degli artt. 152 del Codice e 10, d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 15 febbraio 2018

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia