Salta al contenuto

DIRITTI E PREVENZIONE > COME TUTELARE LA TUA PRIVACY

ricerca avanzata

Invio di SMS commerciali in assenza del consenso dell'interessato - 27 ottobre 2016 [5727908]

[doc. web n. 5727908]
 
Invio di SMS commerciali in assenza del consenso dell'interessato - 27 ottobre 2016
 
Registro dei provvedimenti
n. 437 del 27 ottobre 2016
 
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
 
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;
 
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");
 
VISTE le segnalazioni di XY del 30 giugno 2016 nonché di KW del 13 agosto 2016 e HW del 28 settembre 2016;
 
VISTA la documentazione in atti;
 
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del Regolamento del Garante n. 1/2000;
 
RELATORE la dott.ssa Augusta Iannini;
 
PREMESSO
 
1.1. Con una prima segnalazione del 30 giugno 2016 XY ha lamentato, allegando la pertinente documentazione, il ricevimento da parte di Wind, in data 28 giugno 2016, di un sms indesiderato sull'utenza XX, avente il seguente tenore: «Gentile cliente, grazie per averci scelto! La informiamo che ad oggi non ci risulta il suo consenso ai contatti commerciali e promozionali di Wind. Se desidera entrare nel mondo delle ESCLUSIVE promozioni di Wind, rilasci il suo consenso ai contatti commerciali chiamando gratuitamente il 158 entro il 31 agosto 2016! Per info privacy visiti il sito wind.it».
 
Il segnalante provvedeva altresì a dare prova delle proprie scelte in materia di trattamento dei dati per finalità promozionali allegando la visualizzazione dei dati concernenti la propria utenza sull'area personale del sito web Wind.it, risultante recare contrassegnate a "NO" sia l'opzione relativa all'attività promozionale effettuata direttamente dalla Società che quella concernente l'effettuazione di analoga attività da parte di partner commerciali della stessa.
 
1.2. Con altra segnalazione del 13 agosto 2016 (integrata da una nota del successivo 30 agosto) anche KW ha lamentato, allegando la pertinente documentazione, il ricevimento da parte di Wind, il giorno 11 agosto 2016, di un sms indesiderato sull'utenza YY, avente il medesimo contenuto.. Non diversamente lamenta l'invio di tale comunicazione commerciale anche HW nella segnalazione del 28 settembre 2016 con riferimento alla comunicazione via sms pervenutagli il 20 luglio 2016.
 
In particolare, il segnalante ha lamentato di essere stato contattato nonostante avesse espressamente negato il consenso all'utilizzo della propria utenza per finalità promozionali tramite il sito web Area clienti Wind.
 
2.1. Al fine di verificare il contenuto delle segnalazioni e, più in generale, l'osservanza delle disposizioni in materia di protezione dei dati personali con riguardo all'effettuazione dell'attività di contenuto promozionale da parte di Wind Telecomunicazioni s.p.a. nei confronti della propria clientela, l'Ufficio ha effettuato accertamenti in loco presso la Società in data 31 agosto 2016.
 
2.2. Nel corso delle verifiche, con specifico riferimento ai profili connessi allo svolgimento di attività promozionali mediante l'invio di sms, è emerso che, a far data dal 2015, Wind ha realizzato una pluralità di campagne volte all'acquisizione del consenso all'effettuazione dell'attività di marketing che hanno interessato due tipologie di clienti:
 
a. quelli oggetto di nuova acquisizione;
 
b. quelli già presenti nella customer base della società.
 
Più precisamente (cfr. verbale 31 agosto 2016, p. 5 e all. n. 1), è stato dichiarato che per ciascuna delle indicate tipologie di clientela «sono state realizzate diverse campagne, con le seguenti caratteristiche:
 
a. nr. 9 campagne denominate "Raccolta consensi su GA senza consenso" [dove per GA si intende Gross Adds - nuove acquisizioni] che hanno coinvolto nell'anno 2015 1.300.000 utenze mobili circa con la conseguente acquisizione di 21.000 consensi circa;
 
b. nr. 6 campagne denominate "Raccolta consensi su GA senza consenso" […] che hanno coinvolto nell'anno 2016 (fino al mese di agosto) 730.000 circa utenze mobili con la conseguente acquisizione di 19.000 consensi circa;
 
c. nr. 3 campagne denominate "Raccolta consensi su CB senza consenso" [dove per CB si intende "customer base"] che hanno coinvolto, nei mesi di giugno, luglio ed agosto del 2016, complessivamente 3.000.000 circa di utenze mobili con l'acquisizione di 44.000 consensi circa».
 
I rappresentanti della Società hanno altresì dichiarato, anche ai sensi dell'art. 168 del Codice, che «anteriormente all'iniziativa del 2016 Wind non aveva effettuato alcuna campagna di raccolta consensi indirizzata alla customer base» (cfr. verbale 31 agosto 2016, p. 5).
 
2.3. Nel corso degli accertamenti è stato acquisito il testo degli sms (script) utilizzati nelle predette iniziative unitamente al testo vocale preregistrato (IVR) predisposto a beneficio degli interessati intenzionati a manifestare il consenso a seguito dell'invio degli sms sopra evidenziati (cfr. all. 1 al verbale 31 agosto 2016).
 
Con riguardo allo script indirizzato ai clienti di nuova acquisizione (come detto pari a circa 2.030.000 numerazioni), denominato dalla Società «Raccolta consensi su GA senza consenso», il tenore dello stesso è risultato essere il seguente: «Grazie per averci scelto! Vorremmo darle il benvenuto nel mondo delle ESCLUSIVE promozioni di Wind ma ad oggi non ci risulta il suo consenso ai contatti commerciali. Non perda l'occasione e chiami gratuitamente il 158 entro il ˂giorno mese anno˃ per fornire il suo consenso […]».
 
Quanto invece al modello di testo inviato della Società ai clienti già presenti nella customer base, ma che non avevano però prestato il consenso all'effettuazione di attività promozionale sulla propria utenza telefonica (come detto pari a circa 3.000.000 numerazioni), denominato «Raccolta consensi su CB senza consenso», il tenore dello stesso è risultato essere il seguente: «Gentile Cliente, la informiamo che ad oggi non ci risulta il suo consenso ai contatti commerciali e promozionali Wind. Se desidera entrare nel mondo delle ESCLUSIVE promozioni di Wind, rilasci il suo consenso ai contatti commerciali chiamando gratuitamente il 158 entro il ˂giorno mese anno˃ Per info privacy visiti il sito wind.it».
 
2.4. Ad integrazione degli elementi acquisiti, dopo l'accertamento sono stati altresì trasmessi in formato elettronico tutti i dati relativi alle utenze contattate da Wind nell'ambito delle campagne promozionali indicate al punto 2.2, tra i quali sono state rinvenute anche le numerazioni dei segnalanti e dei clienti che hanno fornito, successivamente a tali campagne, il consenso all'attività di marketing (cfr. all. 5 alla comunicazione del 15 settembre 2016, file denominato All.05_report).
 
2.5. Più in generale, in relazione alle misure organizzative poste in essere da Wind per dare attuazione ai diritti di cui all'art. 7, con particolare riferimento al diritto di opposizione al trattamento per finalità di marketing (art. 7, comma 4, lett. b), del Codice), i rappresentanti della Società hanno dichiarato che (cfr. verbale 31 agosto 2016, p. 4), anche in relazione all'attività di teleselling, «l'opposizione può essere esercitata attraverso una pluralità di canali comunicativi:
 
• tramite i partner, che registrano la volontà dell'interessato nel corso della telefonata promozionale, con esito giornaliero da parte del partner; l'aggiornamento dei sistemi Wind avviene al termine della campagna;
 
• attraverso il servizio di assistenza clienti (numero 155);
 
• attraverso il sito Wind www.155.it;
 
• mediante richiesta indirizzata alla struttura privacy della Società».
 
2.6. I rappresentanti della Società hanno infine illustrato le modalità organizzative e le procedure ‒ quali verifiche periodiche ai partner effettuate sulla base di apposite check list, con l'eventuale ausilio di auditor esterni, i cui esiti vengono trasmessi ai partner al fine di adottare le eventuali opportune misure correttive ‒ che, in particolare a partire dall'anno 2011, Wind ha posto in essere in materia di protezione dei dati personali, con riferimento specifico al settore del telemarketing (peraltro oggetto di comunicazione anche all'Autorità).
 
3.1. Alla luce degli elementi complessivamente acquisiti deve ritenersi che, con riferimento all'invio degli sms di cui si è riferito al punto 2.2, ivi compresi quelli oggetto di segnalazione, Wind sotto più profili abbia violato la disciplina di protezione dei dati personali (ancorché abbia posto in essere alcune misure volte ad assicurare che i propri partner osservino la disciplina in questa materia).
 
Con riguardo all'invio degli sms oggetto di segnalazione, la Società, infatti, ha posto in essere una pluralità di operazioni di trattamento di dati personali (che travalicano ampiamente i casi che hanno originato le verifiche) e, tra queste, quelle volte all'estrazione dal proprio CRM delle numerazioni riferite ai clienti al fine del successivo inserimento delle stesse nell'ambito di campagne denominate «Raccolta consensi su CB senza consenso» e «Raccolta consensi su GA senza consenso», realizzate con il successivo invio degli sms; il tutto in assenza del necessario previo consenso degli interessati al trattamento per le finalità promozionali di cui all'art. 7, comma 4, lett. b) del Codice, fossero gli stessi clienti di nuova acquisizione o, come accaduto nel 2016, clienti già presenti nel database della Società (e tra questi, in entrambe le classi, i segnalanti).
 
I titolari di tali utenze, nel complesso oltre cinque milioni di numerazioni nell'arco di tempo considerato (compreso tra il 2015 e l'agosto 2016), non risultano infatti avere manifestato il proprio consenso rispetto all'utilizzo dei dati personali a sé riferiti per finalità di marketing e, segnatamente, all'invio di comunicazioni elettroniche mediante sms.
 
Circostanza che risulta anzitutto confermata, al di là dell'eloquente dizione utilizzata nell'intestazione degli script, come detto denominati «Raccolta consensi su CB senza consenso» e «Raccolta consensi su GA senza consenso», dal tenore letterale che ne contraddistingue il contenuto, oggetto di predisposizione ed invio da parte della Società (sopra riportati al punto 2.2): da essi risulta inequivocabilmente la volontà di acquisire il consenso degli interessati allo svolgimento di attività promozionali mediante l'invio di sms, consenso del quale la società non disponeva, ed invece necessario ai sensi dell'art. 130, commi 1 e 2, del Codice (nello stesso senso, ancorché in relazione a telefonate indesiderate effettuate tramite operatore e finalizzate ad acquisire il consenso degli interessati all'effettuazione di attività di marketing in violazione dell'art. 130, comma 3-bis, del Codice, il Garante si è espresso con provv. 22 giugno 2016, n. 275, doc. web n. 5255159; analogamente, cfr. l'ordinanza ingiunzione del 3 ottobre 2013, n. 433, doc. web n. 2726332; v. altresì il punto 2.5 delle Linee guida in materia di attività promozionale e contrasto allo spam, adottate con provv. del 4 luglio 2013, n. 330 e già anteriormente il punto 3 del provvedimento generale del 29 maggio 2003, doc. web n. 29840).
 
3.2. Alla luce delle considerazioni sopra esposte e considerato l'art. 11, comma 2, del Codice, i dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non potranno essere ulteriormente utilizzati per la menzionata finalità di marketing.
 
Pertanto si deve disporre, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice il divieto per Wind di trattare ulteriormente per finalità promozionali i dati personali concernenti le utenze oggetto delle campagne volte ad acquisire il consenso degli interessati, e tra queste quelli dei segnalanti, indicate al punto 2.2, salvo che per quanti abbiano prestato il proprio consenso per le menzionate finalità promozionali decorso l'intervallo temporale indicato nei messaggi sms loro inviati (punto 2.2).
 
4.1. All'interno della descritta cornice normativa devono pertanto inscriversi non solo le modalità di riscontro all'esercizio dei diritti di cui all'art. 7 del Codice, ma anche la tempistica.
 
In questa prospettiva, salva le misure tecnico-organizzative già in essere per assicurare il tempestivo e effettivo riscontro all'interessato che abbia esercitato i diritti di cui all'art. 7, del Codice (peraltro talora non tempestivamente soddisfatto: cfr. provv.ti 13 maggio 2015, n. 302 e 304, rispettivamente doc. web n. 4203254 e doc. web n. 4203336), con particolare riferimento del diritto di opposizione al trattamento per finalità di marketing, il Garante ritiene che la Società debba provvedere alla registrazione dell'opposizione fatta valere dagli interessati ai sensi dell'art. 7 del Codice entro il termine massimo di 15 giorni dal suo esercizio, anziché al termine di ciascuna campagna (come sopra rappresentato al punto 2.5), anche al fine di essere in condizione di dare compiuto adempimento a quanto previsto dall'art. 146, comma 2, del Codice.
 
Si ritiene, inoltre, che la Società, a fronte dell'esercizio dei diritti di cui all'art. 7 del Codice, fornisca all'interessato il riscontro su un supporto durevole (ad es., mediante comunicazione scritta, sms, e-mail, etc.) ovvero, con riguardo all'esercizio dei diritti esercitato in forma orale (rispetto al quale l'incaricato già deve provvedere ad apposita annotazione: cfr. art. 9, comma 1, del Codice), comunicando allo stesso un codice univoco di conferma (ticket). Tali misure, che opportunamente dovrebbero essere impartite anche ai partner della società che effettuano l'attività promozionale nell'interesse della medesima, potranno infatti, consentire in modo più agevole all'interessato di documentare l'esercizio del/i diritto/i fatto/i valere.
 
5. L'Autorità provvederà, con autonomo procedimento, a contestare le violazioni amministrative concernenti i profili afferenti all'accertata mancanza del consenso degli interessati rispetto al trattamento dei dati nell'ambito della campagne effettuate mediante l'invio di sms finalizzati all'acquisizione del consenso degli interessati allo svolgimento delle attività promozionali (art. 130, commi 1 e 2, nonché 162, comma 2-bis), considerato altresì quanto disposto dall'art. 164-bis del Codice (cfr. punti 2.2 e 2.3).
 
TUTTO CIÒ PREMESSO IL GARANTE
 
ai sensi degli artt. 143, comma 1, lett. b) e c), 144 e 154, comma 1, lett. c) e d), del Codice, rilevato che i dati personali di cui è stato accertato l'illecito trattamento non possono essere ulteriormente utilizzati per finalità promozionali (art. 11, comma 2, del Codice), nei confronti di Wind Telecomunicazioni s.p.a.:
 
1. vieta l'ulteriore trattamento per finalità promozionali dei dati personali concernenti le utenze oggetto delle campagne volte ad acquisire il consenso degli interessati indicate al punto 2.2, e tra queste quelli dei segnalanti, trattati in assenza del consenso degli interessati legittimamente manifestato ai sensi dell'art. 130, commi 1 e 2, del Codice, salvo che per quanti abbiano prestato il proprio consenso per finalità promozionali decorso l'intervallo temporale indicato nei messaggi sms loro inviati (punti 3.1 e 3.2);
 
2. prescrive che venga registrata l'opposizione degli interessati al trattamento dei propri dati personali prevista dall'art. 7 del Codice, entro il termine di 15 giorni dall'esercizio dei diritti (punto 4.1).
 
Ai sensi dell'art. 157 del Codice, Wind Telecomunicazioni s.p.a., entro 60 giorni dal ricevimento del presente provvedimento, è invitata a comunicare all'Autorità quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento, con l'avvertenza che il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all'art. 164 del Codice.
 
Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.
 
Roma, 27 ottobre 2016
 
IL PRESIDENTE
Soro
 
IL RELATORE
Iannini
 
IL SEGRETARIO GENERALE
Busia