VEDI ANCHE provvedimento del 19 dicembre 2024

[doc. web n. 10113030]

Provvedimento del 30 gennaio 2025

Registro dei provvedimenti
n. 53 del 30 gennaio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l'adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito, “Codice”);

VISTO il reclamo pervenuto in data 18 luglio 2023 (cfr. Prot. n. 110069/2023), con il quale l’interessato ha lamentato di aver ricevuto al proprio indirizzo di posta elettronica numerose e-mail indesiderate da parte di Altroconsumo Edizioni S.r.l. (di seguito, “Altroconsumo” o la “Società”) nonché il mancato rispetto della vigente normativa in materia di diritti da parte degli interessati;

VISTO l'atto di avvio del procedimento n. 65219 del 29 maggio 2024 con il quale è stata contestata alla Società la presunta violazione degli artt. 5, par. 1, lett. a) e par. 2, 6, par. 1 lett. a), 12, parr. 1, 2 e 3, 21, par. 2, 24 e 25 del Regolamento e art. 130, commi 1 e 2, del Codice;

CONSIDERATO che con provvedimento n. 823 del 19 dicembre 2024, notificato alla Società a mezzo posta elettronica certificata in data 31 dicembre 2024 (cfr. Prot. n. 151930/2024), l’Autorità  ha accertato l’illiceità del trattamento di dati personali effettuato dalla Società e per l’effetto ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, ha disposto il divieto di ogni ulteriore trattamento con finalità promozionale e commerciale effettuato, per conto di Altroconsumo, da soggetti terzi mediante network di affiliazione senza verificare che le anagrafiche utilizzate per le comunicazioni pubblicitarie siano supportate da un consenso libero, specifico e informato degli interessati (artt. 6 e 7 del Regolamento e 130 del Codice); ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ha ingiunto a Altroconsumo Edizioni S.r.l., qualora intenda in futuro svolgere attività promozionale mediante network di affiliazione, di adottare idonee procedure volte a verificare costantemente, anche mediante adeguati controlli a campione, che i dati personali siano trattati nel pieno rispetto delle disposizioni in materia (acquisizione preventiva di un consenso libero, specifico, inequivocabile, documentato, oltre che informato, degli interessati per l’invio di comunicazioni commerciali) (artt. 6, 7 e 14 del Regolamento nonché 130 del Codice); ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ha ingiunto ad Altroconsumo di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze, compreso il diritto di opposizione che può essere avanzato “in qualsiasi momento” dall’interessato (artt. 15, 17 e 21, par. 2, del Regolamento);

CONSIDERATO, altresì, che con il richiamato provvedimento è stato ingiunto alla Società, ai sensi dell’art. 157 del Codice, di comunicare a Codesta Autorità, nel termine di 30 giorni decorrenti dalla notifica del suddetto provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte;

VISTA la nota pervenuta in data 21 gennaio 2025 (cfr. Prot. n. 7651 del 22 gennaio 2025), con la quale la Società ha chiesto la proroga di ulteriori 45 giorni del termine concesso per la comunicazione, ai sensi dell’articolo 157 del Codice, delle iniziative intraprese al fine di dare attuazione alle misure imposte;

CONSIDERATO che entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150/2011, la Società ai sensi dell’art. 166, comma 8 del Codice ha effettuato il pagamento di un importo pari alla metà della sanzione irrogata e ha dichiarato di essere «intenzionata a conformarsi a quanto prescritto nel Provvedimento e a tal fine è già al lavoro con i partner e gli affiliati che compongono il network di affiliazione per riesaminare le procedure e i rapporti interni ed adeguarli alle prescrizioni contenute nel Provvedimento» (cfr. istanza Prot. n. 7651 del 22 gennaio 2025);

CONSIDERATO, inoltre, che la Società ha rappresentato che «La revisione dei processi aziendali inerenti alle attività promozionali svolte mediante network di affiliazione richiede un significativo sforzo organizzativo. Tale revisione comporta il coinvolgimento di soggetti terzi (gli "Affiliati") con cui non sussiste, ad oggi, un rapporto contrattuale diretto, rendendo necessaria l’apertura di interlocuzioni che richiedono tempi tecnici adeguati alla definizione di accordi conformi all’orientamento espresso da codesta Autorità nel Provvedimento. L’adozione di misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti degli interessati non può prescindere dalla preventiva revisione delle procedure e dei rapporti interni al network di affiliazione in modo che le misure riflettano il nuovo assetto e comporta inoltre un’attenta analisi e il coordinamento di diversi dipartimenti aziendali, oltre alla necessità di avvalersi del supporto di esperti esterni in materia di protezione dei dati personali. Il Provvedimento è stato notificato il 31 dicembre 2024, in concomitanza con la chiusura degli uffici della Società per le festività natalizie» e che pertanto «il termine di 30 giorni previsto ai sensi dell’articolo 157 del Codice della privacy per comunicare “le iniziative intraprese al fine di dare attuazione alle misure imposte” risulta insufficiente per consentire alla Società di fornire un adeguato riscontro alle prescrizioni contenute nel Provvedimento»;

RITENUTO che le motivazioni rappresentate dalla Società appaiono congrue rispetto alle finalità ritenute meritevoli di attenzione, ma che tuttavia nel caso in esame la concessione di una proroga pari a 30 giorni risulta maggiormente aderente ai principi di proporzionalità e ragionevolezza, avuto anche riguardo alla natura delle misure di adeguamento richieste, alle caratteristiche operative e dimensionali del titolare del trattamento, nonché alla prassi costantemente seguita nei procedimenti del tutto analoghi;

RITENUTO, pertanto, che, in parziale accoglimento della richiesta di Altroconsumo Edizioni S.r.l., sia concessa la proroga del termine per l’adempimento delle prescrizioni di cui al provvedimento del 19 dicembre 2024, n. 823 prescrivendo che il titolare del trattamento adotti le misure e gli accorgimenti ivi indicati entro e non oltre la data del 3 marzo 2025;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

DISPONE

la proroga del termine per l’adempimento delle prescrizioni di cui al provvedimento del 19 dicembre 2024, n. 823 adottato nei confronti di Altroconsumo Edizioni S.r.l., prescrivendo che il titolare del trattamento adotti le misure e gli accorgimenti ivi indicati entro e non oltre la data del 3 marzo 2025.

Roma, 30 gennaio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei