[doc. web n. 9964761]

Provvedimento del 26 ottobre 2023

Registro dei provvedimenti
n. 503 del 26 ottobre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza, componente, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l’adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA

Con il reclamo del 2 febbraio 2023, presentato a questa Autorità ai sensi dell’art. 77 del Regolamento, il signor XX ha lamentato la ricezione, il 30 dicembre 2022, di una telefonata indesiderata da parte di A.C. Group S.r.l.s. (di seguito anche «A.C. Group» e «Società») sulla propria utenza iscritta al Registro Pubblico delle Opposizioni (c.d. «RPO»), in assenza del preventivo consenso informato. Il reclamante ha, inoltre, ritenuto insoddisfacente il riscontro di A.C. Group all’istanza di esercizio dei diritti di cui agli artt. 15, 17 e 21 del Regolamento formulata il 4 gennaio 2023.

In tale riscontro la Società, nell’assicurare di aver proceduto alla cancellazione dei dati personali dell’interessato, ha indicato il soggetto da cui avrebbe acquisito i medesimi dati – XX (di seguito «XX» o «fornitore») – e del quale sarebbe in possesso del solo numero telefonico utilizzato per i contatti commerciali intercorsi tramite WhatsApp. Pertanto, non disponendo di ulteriori dati di contatto del fornitore e non avendo, a suo dire, il consenso a comunicare gli stessi a terzi, la Società non ha soddisfatto la richiesta dell’interessato di ottenere tali recapiti per esercitare nei confronti di XX il diritto di opposizione all’ulteriore trattamento. Infine A.C. Group, nelle interlocuzioni con il reclamante, ha avuto modo di appurare che i dati forniti da XX non sono risultati aggiornati, tant’è che la residenza dell’interessato indicata nella lista in parola risalirebbe a 14 anni prima.

L’8 febbraio 2023 l’Ufficio - al fine di acquisire elementi utili ad una compiuta valutazione dei profili legati alla liceità dei trattamenti - ha formulato una richiesta di informazioni, ai sensi dell’art. 157 del Codice, alla quale la Società ha risposto con nota del 23 febbraio 2023 nei termini che seguono, sviluppando e chiarendo gran parte dei contenuti già espressi nei riscontri forniti al reclamante.

In primo luogo, la Società ha chiarito il proprio “modus operandi” consistente nel contattare telefonicamente i potenziali clienti per riscontrare un interesse all’installazione di impianti fotovoltaici e fissare un eventuale appuntamento dimostrativo a domicilio.

Le numerazioni contattabili - riferite unicamente ai residenti delle zone di Rovigo, Bologna, Ferrara e Padova - sono state acquisite nel tempo da diverse società italiane che avrebbero garantito “liste esclusivamente controllate” costituite da utenze, sia fisse che mobili, non iscritte all’RPO. Tali liste, confluite nel server della Società ed inserite nel gestionale “callite”, sono utilizzate dagli operatori per le offerte commerciali di A.C. Group destinate ai residenti della zona selezionata. Nel corso della telefonata, effettuata utilizzando l’utenza visibile e riferibile alla Società, l’operatore si attiene allo script di chiamata appositamente predisposto.

Nel caso di cui al reclamo, A.C. Group ha precisato di aver ottenuto da un soggetto terzo, operante nel medesimo settore energetico, il contatto telefonico di XX, società americana, che avrebbe trasmesso, tramite WhatsApp, la lista dei nominativi contattabili, tra i quali era ricompreso il reclamante. Tale circostanza, a detta della Società, rappresenterebbe un’eccezione in quanto i contatti commerciali sarebbero di regola forniti da società italiane e non straniere. Peraltro A.C. Group ha sottolineato di non sapere che XX fosse una società americana essendo in possesso del solo recapito telefonico.

Avendo constatato la non affidabilità di XX in ordine ai dati non corretti, né aggiornati, delle liste (v. la residenza del reclamante), la Società, oltre ad aver agito in sede civile mediante querela, ha assicurato di aver intrapreso “una diversa strategia per la ricerca di nominativi da contattare”, decidendo di rivolgersi per il futuro “esclusivamente a società affermate nel settore in Italia”. Infine, in occasione dei contatti telefonici, ha dichiarato di aver predisposto un’informativa da leggere all’inizio della telefonata “onde ottenere il previo consenso informato da parte dell’utente a trattare i dati ai soli fini di promozione dei propri prodotti”.

2. LA CONTESTAZIONE DELLE VIOLAZIONI

Il 24 maggio 2023 è stato comunicato alla Società l’avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice, per l’adozione di eventuali provvedimenti di cui all’art. 58, par. 2, del Regolamento. Con tale comunicazione (prot. n. 82790/23) sono state imputate a A.C. Group le presunte violazioni delle seguenti disposizioni:

2.1. artt. 5 par. 1 lett. a), 6 par. 1 lett. a), 7 del Regolamento e art. 130 del Codice, per aver effettuato telefonate promozionali senza il consenso informato degli interessati;

2.2. art. 1, comma 11, della legge n. 5/2018, in relazione al successivo comma 12 e all’art. 130 comma 3 del Codice, con riferimento allo svolgimento di attività di telemarketing senza aver consultato il Registro Pubblico delle Opposizioni a cadenza mensile o comunque prima di ogni campagna promozionale;

2.3. artt. 12, 13 e 14 del Regolamento, per non aver fornito un’idonea informativa nel corso dei contatti promozionali;

2.4. artt. 5 parr. 1 e 2, 24 parr. 1 e 2, 25 del Regolamento, per non aver adottato adeguate misure organizzative volte a tenere traccia delle attività di trattamento e a comprovare il rispetto delle norme, anche con riguardo all’intera filiera dei partner commerciali.

Sul punto la Società è stata invitata a comunicare quante anagrafiche acquisite dai list provider risultavano registrate nei sistemi aziendali e a quante di esse sono state indirizzate le telefonate promozionali.

3. OSSERVAZIONI DIFENSIVE

La Società, nell’esercizio del diritto di difesa, ha presentato le proprie memorie in data 21 giugno 2023 con le quali ha sostanzialmente confermato quanto dichiarato nel riscontro del 23 febbraio 2023, evidenziando come il rapporto commerciale con XX abbia costituito un’eccezione rispetto alla consueta modalità operativa.

A.C. Group, infatti, si avvale per l’attività di marketing delle sole numerazioni fornite da società italiane.

La lista acquisita da XX a metà novembre 2022 “è stata mantenuta all’interno del gestionale per circa un mese e mezzo” e immediatamente cancellata non appena ricevuto il reclamo del signor XX. Pertanto, secondo quanto asserito dalla Società, non è possibile evadere la richiesta dell’Autorità in ordine al numero di anagrafiche acquisite da XX registrate nei propri database dal momento che attualmente le sole numerazioni conservate nei sistemi aziendali, “corredate del consenso libero, esplicito ed informato”, sono quelle fornite da una società italiana e ammontano a circa 6.900 nominativi nel 2021 e a 30.000 nel 2023.

A.C. Group ha inoltre illustrato le iniziative intraprese per “aumentare il grado di conformità dei processi interni […] alla normativa […] in materia di protezione dei dati personali” sostenendo di essersi rivolta a tal fine ad una società esterna di consulenza in materia di privacy. Nel precisare di aver eseguito l’iscrizione al Registro Pubblico delle Opposizioni il 17 gennaio 2023, ha dichiarato di verificare costantemente la presenza nello stesso delle numerazioni da contattare. Ha revisionato lo script di chiamata (di cui è stata prodotta copia) e predisposto un nuovo testo dell’informativa per il trattamento dei dati personali. Infine, ha ribadito di aver tempestivamente cancellato dai propri database il nominativo del reclamante, che ne è stato prontamente informato, sottolineando l’unicità della condotta lamentata (si è trattato di una sola telefonata della “durata di massimo 30 secondi”).

4. VALUTAZIONI DI ORDINE GIURIDICO

Con riferimento ai profili fattuali sopra evidenziati, anche in base alle affermazioni della Società, di cui il dichiarante risponde ai sensi dell’art. 168 del Codice, si formulano le seguenti valutazioni di ordine giuridico.

4.1. Dati provenienti da list provider e consenso degli interessati

L’attività promozionale della Società è risultata essere stata realizzata senza verificare i presupposti di liceità del trattamento, con particolare riferimento al consenso preventivo degli interessati.

Dall’analisi delle anagrafiche acquisite “eccezionalmente” da XX e tempestivamente cancellate a seguito del procedimento instaurato dinanzi all’Autorità, nonché delle liste fornite dal partner italiano e che popolano attualmente il database societario, non è emerso che A.C. Group abbia verificato la sussistenza della base giuridica del consenso che avrebbe legittimato i contatti promozionali.

Inoltre, non è risultato che la Società abbia consultato il Registro Pubblico delle Opposizioni in riferimento alle anagrafiche fornite da XX né alle ulteriori numerazioni acquisite negli anni dai partner italiani, pur avendo A.C. Group garantito di eseguire tale adempimento prima dell’effettuazione di ogni campagna promozionale. 

Al riguardo si deve osservare, innanzitutto, che la documentazione prodotta a corredo delle memorie difensive certificherebbe soltanto l’abilitazione della Società, in qualità di operatore, ai servizi di aggiornamento delle liste nel Registro Pubblico delle Opposizione e non anche l’avvenuta consultazione delle numerazioni fornite da XX né da altri partner; peraltro la descritta abilitazione è risultata registrata a gennaio 2023, quindi successivamente alla telefonata al reclamante in data 30 dicembre 2022.

Pertanto, già nel primo contatto con l’interessato, A.C. Group avrebbe dovuto sottoporre la lista di anagrafiche ormai transitata nella propria disponibilità al riscontro del Registro Pubblico delle Opposizioni; circostanza che avrebbe consentito di escludere proprio il reclamante, che aveva correttamente formulato la propria opposizione, dal novero dei soggetti contattabili. Inoltre avrebbe dovuto verificare che la presenza delle utenze nella lista fosse legittimata dalla volontà degli interessati di essere contattati per finalità promozionali, attraverso la sottoscrizione di consensi specifici. 

A.C. Group, invece, non ha mai fatto menzione della presenza o meno di un originario consenso che autorizzasse almeno la prima chiamata promozionale ma la realizzazione dei contatti è parsa sottostare principalmente ad un criterio di natura geografica; per cui non in forza di un apposito consenso sono state effettuate le telefonate commerciali ma in base alla necessità della Società di contattare le utenze di una determinata area/zona geografica. Infatti, a detta della Società, se i dati del reclamante fossero stati corretti e avessero indicato l’attuale luogo di residenza dello stesso, la telefonata del 30 dicembre 2022 non sarebbe stata effettuata perché “era intenzione” della A.C. Group “contattare i nominativi [di] Bologna e non [di] Treviso” (v. riscontro del 23 febbraio 2023).

La condotta descritta, su ammissione della Società stessa, costituisce il “modus operandi” con cui viene realizzata l’attività promozionale ed è stata replicata anche in riferimento alle numerazioni acquisite da XX, per di più in assenza di qualsivoglia garanzia, anche di natura formalistica, sulla liceità delle stesse.
È emerso, quindi, che A.C. Group non ha verificato che i propri partner avessero rilasciato agli interessati un’idonea informativa, ai sensi dell’art. 14 del Regolamento, e acquisito un consenso specifico per la comunicazione a terzi (fra cui A.C. Group) per finalità di marketing, con conseguenti ricadute sulla legittimità anche dell’attività promozionale della Società.

In definitiva, il trattamento descritto ha dato luogo all’effettuazione di telefonate promozionali senza il consenso informato degli interessati dal momento che la Società non ha prodotto riscontri probatori atti a documentarne l’acquisizione. Né tale inadempimento può ritenersi superato dalle rassicurazioni offerte dai fornitori sulla liceità delle liste (come nel caso del contratto sottoscritto nel 2023 con il partner italiano - punto 2.5 – l’unico di cui si dispone), né, tantomeno, può rilevare la previsione pattizia di clausole di manleva sulla verifica dei consensi (come quella espressa nel citato atto al punto 2.6) e che ha valore solo con riguardo ai rapporti contrattuali tra le parti e non rispetto alle garanzie da prestare all’interessato in relazione ai trattamenti dei suoi dati. Inoltre, i propositi per le nuove attività promozionali prospettate dalla Società nel riscontro del 23 febbraio 2023, unitamente alle recenti iniziative, non sono idonei a superare le criticità rilevate, dal momento che appare confermata la modalità di richiedere il consenso nel corso della prima telefonata, senza verificarne l’acquisizione prima di ogni campagna.

Pertanto, deve confermarsi la violazione degli artt. 5 par. 1 lett. a), 6 par. 1 lett. a), 7 del Regolamento e dell’art. 130 del Codice, per aver svolto attività di telemarketing in assenza del preventivo consenso informato degli interessati, non solo in relazione al caso di cui al reclamo, ma nel complesso dei trattamenti svolti da A.C. Group.

Si ritiene, inoltre, integrata la violazione dell’art. 1, comma 11, della legge n. 5/2018, in relazione al successivo comma 12 e all’art. 130, comma 3, del Codice, con riferimento allo svolgimento, da parte della Società, di attività di telemarketing senza aver consultato nel Registro Pubblico delle Opposizioni l’utenza telefonica del reclamante e delle anagrafiche acquisite da XX.

4.2. Contatti telefonici e informativa 

Lo script di chiamata utilizzato in occasione dei contatti promozionali - allegato al riscontro del 23 febbraio 2023 e, nella sua rinnovata versione, alla memoria difensiva - contiene la sola indicazione della titolarità del trattamento in capo a A.C. Group e un generico rinvio all’informativa privacy eventualmente da consultare accedendo al sito internet della Società (http://www.acgrouprovigo.com/).

Il testo così formulato, carente anche della necessaria informazione sull’origine dei dati personali (ovvero del soggetto dal quale i medesimi dati sarebbero stati acquisiti), non consente all’interessato di avere contezza piena dei trattamenti posti in essere dalla Società. Né la mera cancellazione dei dati del reclamante, così come rappresentato da A.C. Group in sede di riscontro, esaurisce gli obblighi del titolare del trattamento di fornire al richiedente tutte le informazioni che avrebbero potuto consentire al medesimo di esercitare il controllo sui propri dati personali (v. provv. 27 gennaio 2022, n. 23, doc. web n. 9746068 in www.gpdp.it).

Peraltro, deve osservarsi che la carenza di tali elementi nello script di chiamata non può ritenersi superata dal fatto che i dati possano essere conosciuti aliunde, né può considerarsi idoneo, e quindi legittimo, un meccanismo che costringa l’interessato ad accedere al sito internet di A.C. Group, oppure a dichiararsi interessato ai servizi della Società, per poter acquisire tutte le informazioni obbligatoriamente previste dagli artt. 13 e 14 del Regolamento, contravvenendo, così, anche al requisito di facile fruibilità delle informazioni sotteso all’art. 12 del Regolamento, nel più ampio contesto del basilare principio di trasparenza (v. provv. 15 dicembre 2022, n. 429, doc. web n. 9852290; provv. 27 maggio 2021, n. 217, doc. web n. 9689375; provv. 13 aprile 2023, n. 183, doc. web n. 9894662, tutti in www.gpdp.it).

A ciò si aggiunge il fatto che, come sopra rappresentato, non risulta comprovato il rilascio agli interessati dell’informativa dei list provider, tra cui quella di XX, quale necessario presupposto di legittimità della comunicazione dei dati a A.C. Group e del successivo utilizzo a fini promozionali, riverberandosi anche sulla validità dell’eventuale originario consenso al marketing.

Pertanto, si ritiene confermata la violazione degli artt. 12, 13 e 14 del Regolamento dal momento che non risulta sia stata fornita agli interessati un’idonea informativa, non solo in relazione al caso di cui al reclamo ma nel complesso dei trattamenti svolti da A.C. Group.

4.3. Sull’accountability

I trattamenti sopra descritti restituiscono un quadro di non adeguato controllo e di inosservanza delle norme in materia di protezione dei dati personali.

A.C. Group non ha fornito elementi atti a comprovare la liceità del trattamento, con particolare riguardo agli adempimenti dell’informativa e del consenso. Ciò in relazione sia ai partner italiani, sia a XX con il quale sono stati definiti via WhatsApp i termini economici della campagna promozionale (v. fattura inviata via WhatsApp l’11/08/2022), senza dar seguito ad accordi o direttive, anche non esplicitati nella forma contrattuale, che avrebbero consentito di ricostruire il contesto giuridico nel quale si è realizzato il trattamento e di qualificare, in concreto, ruoli e responsabilità della Società e dell’intera filiera.

Si deve osservare, inoltre, che la Società non risulta aver adottato alcuna precauzione nella scelta del fornitore XX con cui sarebbe entrata in contatto per il tramite di un terzo operante nel settore energetico, senza prestare attenzione agli aspetti connessi al trattamento dei dati e alle garanzie riconosciute agli interessati. Soltanto dopo l’istanza del reclamante e le osservazioni da quest’ultimo sollevate, la Società ha potuto constatare che i dati forniti da XX non erano aggiornati e, quindi, non corretti.

Pertanto il trattamento di dati personali per finalità di marketing, svolto con l’utilizzo di liste anagrafiche reperite da XX, è risultato essere privo dei requisiti di liceità, correttezza e trasparenza individuati dall’art. 5 del Regolamento.

In mancanza di adeguati controlli sull’intera filiera del trattamento (dalla raccolta alla realizzazione della campagna promozionale), l’attività di marketing si pone in violazione degli artt. 5 par. 2 e 24 del Regolamento, che inquadrano le competenze del titolare in un’ottica di necessaria valorizzazione del principio di responsabilizzazione (accountability) finalizzata a comprovare gli adempimenti effettuati in materia di protezione dei dati personali, anche tenuto conto del principio di privacy by design (art. 25 del Regolamento).

5. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di A.C. Group in ordine alle seguenti violazioni del Regolamento:

- art. 5 par. 2;

- art. 6 par. 1, lett. a);

- art. 7;

- art. 12;

- art. 13;

- art. 14;

- art. 24;

-  art. 25;

nonché art. 130 del Codice.

Accertata l’illiceità delle sopra descritte condotte della Società, si rende necessario:

a) vietare il trattamento di dati personali raccolti in assenza di un consenso informato, libero, specifico, documentato e inequivocabile degli interessati all’attività di marketing, ex artt. 6, 7, 12 e 14 del Regolamento, nonché 130 del Codice;

b) ingiungere a A.C. Group di provvedere senza ritardo alla cancellazione di detti dati, fatti salvi quelli che sia necessario conservare per l’adempimento di obblighi di legge o per eventuali ragioni contrattuali; 

c) ingiungere, nel caso in cui la Società intenda in futuro rivolgere l’attività promozionale verso utenze telefoniche fornite da soggetti terzi:

-  di adottare idonee procedure volte a verificare costantemente, anche mediante adeguati controlli a campione, che i dati personali siano trattati nel pieno rispetto delle disposizioni in materia (acquisizione preventiva di un consenso libero, specifico, inequivocabile, documentato, oltre che informato, degli interessati per l’invio di comunicazioni commerciali), ai sensi degli artt. 6, 7, 12, 13 e 14 del Regolamento nonché dell’art. 130 del Codice;

- di adottare procedure adeguate volte a tenere traccia delle attività di trattamento anche nell’ambito della filiera e a comprovare il rispetto delle norme in materia di protezione dei dati personali (artt. 5, par. 2, e 24 del Regolamento);

d) con riguardo ai trattamenti già realizzati, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83, parr. 4 e 5, del Regolamento.

6. ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

In base a quanto sopra rappresentato, risultano violate diverse disposizioni del Regolamento e del Codice in relazione a trattamenti collegati effettuati da A.C. Group, per cui occorre applicare l’art. 83, par. 3, del Regolamento, in base al quale “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento viola, con dolo o colpa, varie disposizioni del Regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave” con conseguente applicazione della sola sanzione prevista dall’art. 83, par. 5, del Regolamento.

Per la determinazione dell’ammontare della sanzione, che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1), occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento. 

Quali circostanze da prendere in considerazione nel caso di specie devono essere considerati, sotto il profilo delle aggravanti:

1. la gravità delle violazioni rilevate con particolare riferimento all’assenza di verifiche a campione delle numerazioni da contattare acquisite dai partner e del relativo consenso al marketing rilasciato dagli intestatari delle stesse, nonché all’inidoneità dell’informativa resa in occasione delle telefonate promozionali, tenuto conto peraltro che A.C. Group ha dichiarato di aver cancellato solo le anagrafiche fornite da XX, conservando invece gli ulteriori dati ottenuti da fornitori italiani, ritenendo corretto il proprio operato (art. 83, par. 2, lett. a);

2. l’elevato numero di dati conservati attualmente nel gestionale aziendale e che sono oggetto di trattamento per finalità promozionali, non solo in assenza di consenso, ma nella totale inconsapevolezza degli interessati (art. 83, par. 2, lett. a);

3. la difformità della condotta della Società rispetto alla consistente attività provvedimentale dell’Autorità in materia di marketing con particolare riferimento all’informativa e al consenso (art. 83, par. 2 lett. k).

Quali elementi attenuanti, si ritiene di dover tener conto:

1. dell’assenza di precedenti procedimenti sanzionatori a carico della Società (art. 83, par. 2 lett. e);

2. della natura dei dati trattati, consistenti in dati comuni anagrafici e di contatto, nonché del livello di pregiudizio arrecato all’interessato da ritenersi di lieve entità dal momento che la condotta lamentata nel reclamo ha riguardato una sola telefonata indesiderata da parte della Società (art. 83, par. 2, lett. a e g);

3. del grado di cooperazione nell’interazione con l’Autorità di controllo (art. 83, par. 2, lett. f);

4. della natura di microimpresa di A.C. Group S.r.l.s. nonché dei dati del bilancio 2022 forniti dalla Società (art. 83, par. 2, lett. k).

In base al complesso degli elementi sopra indicati, in applicazione dei richiamati principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, del Regolamento, tenuto conto che il massimo applicabile al caso di specie è di 20 milioni di euro (art. 83, par. 5, Reg.) nonché, del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali della Società, si ritiene debba applicarsi a A.C. Group la sanzione amministrativa del pagamento di una somma di euro 10.000,00 (diecimila/00), pari allo 0,05% del massimo edittale.

Nel caso in argomento si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della materia oggetto di istruttoria, vale a dire il fenomeno del marketing indesiderato, idoneo a determinare significative lesioni ai diritti e alle libertà degli interessati, rispetto al quale questa Autorità ha adottato numerosi provvedimenti sia a carattere generale sia diretti a determinati titolari del trattamento e su cui è elevata l’attenzione dell’utenza.

Si ricorda che, ai sensi dell’art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto del trattamento è punito con la reclusione da tre mesi a due anni e che, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa la sanzione di cui all’art. 83, par. 5, lett. e) del Regolamento.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) del Regolamento, dichiara illecito, nei termini di cui in motivazione, il trattamento effettuato da A.C. Group S.r.l.s., con sede legale in Via Luigi Einaudi, n. 99, 45100 Rovigo, P.IVA 01609100290, e di conseguenza:

a) ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, vieta il trattamento di dati personali raccolti in assenza di un consenso informato, libero, specifico, documentato e inequivocabile degli interessati all’attività di marketing, ex artt. 6, 7, 12 e 14 del Regolamento, nonché 130 del Codice;

b) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge alla Società di provvedere senza ritardo alla cancellazione di detti dati, fatti salvi quelli che sia necessario conservare per l’adempimento di obblighi di legge o per eventuali ragioni contrattuali; 

c) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge, nel caso in cui la Società intenda in futuro rivolgere l’attività promozionale verso utenze telefoniche fornite da soggetti terzi:

- di adottare idonee procedure volte a verificare costantemente, anche mediante adeguati controlli a campione, che i dati personali siano trattati nel pieno rispetto delle disposizioni in materia (acquisizione preventiva di un consenso libero, specifico, inequivocabile, documentato, oltre che informato, degli interessati per l’invio di comunicazioni commerciali), ai sensi degli artt. 6, 7, 12, 13 e 14 del Regolamento nonché dell’art. 130 del Codice;

- di adottare procedure adeguate volte a tenere traccia delle attività di trattamento anche nell’ambito della filiera e a comprovare il rispetto delle norme in materia di protezione dei dati personali (artt. 5, par. 2, e 24 del Regolamento);

d) ai sensi dell’art. 157 del Codice, ingiunge alla Società di comunicare all’Autorità, nel termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, a A.C. Group S.r.l.s., in persona del suo legale rappresentante, di pagare la somma di euro 10.000,00 (diecimila/00), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000,00 (diecimila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;

DISPONE

quale sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, la pubblicazione nel sito del Garante del presente provvedimento e, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 ottobre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei