[doc. web n. 10072622]

Provvedimento del 26 settembre 2024

Registro dei provvedimenti
n. 586 del 26 settembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE l’avv. Guido Scorza;

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con atto del 26 aprile 2024, n. 51845/298626 (notificato in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente richiamato e riprodotto, l’Ufficio ha avviato, ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti dell’impresa individuale Pojer Giordano, in persona del legale rappresentante, con sede legale in Altavalle (TN), via della Villa Alta n. 8, P.I. 02308710223, c.f. PJRGDN89T24C372Q.

Il procedimento trae origine da un reclamo inviato all’Autorità il 18 agosto 2023, con il quale l’interessato ha lamentato l’indebito contatto telefonico con finalità promozionali operato il 10 febbraio 2023, alle ore 9 circa, dalla numerazione 3388321206, che da successive verifiche risultava non iscritta nel Registro degli operatori di comunicazione. L’operatrice che interloquiva con il reclamante dichiarava di chiamare da un’agenzia “multibrand” e riferiva di svolgere la propria attività nel settore della telefonia per proporre attivazioni di forniture per conto di diverse compagnie nazionali. L’operatrice richiedeva al reclamante la disponibilità a fissare un appuntamento con l’agente, sig. Giordano Pojer, operante nella zona di Trento; successivamente la telefonata si interrompeva quando il reclamante rivolgeva all’operatrice domande sull’origine dei dati personali dell’interessato e sulla base giuridica dei trattamenti.

Il reclamante provvedeva pertanto a svolgere autonomi approfondimenti sul soggetto che aveva commissionato la chiamata promozionale, a seguito dei quali esercitava i propri diritti ai sensi degli artt. 15-22 del Regolamento nei confronti della impresa individuale Pojer Giordano: in riscontro a due mail inviate dal reclamante nella medesima giornata del 10 febbraio 2023, il sig. Pojer comunicava che “la mia agenzia non ha nessun suo dato e che non utilizza nessuno strumento di marketing nei confronti della sua persona”.

Ritenuto insufficiente il riscontro, l’interessato proponeva atto di reclamo all’Autorità, rappresentando di non aver mai fornito consenso per trattamenti con finalità promozionali ed evidenziando che la propria numerazione telefonica oggetto di contatto risultava iscritta al Registro delle opposizioni “pressoché dall’istituzione dello stesso”.

1.2. Svolgimento dell’istruttoria

L’Ufficio, con nota del 30 novembre 2023, inviava al sig. Pojer una richiesta di informazioni ai sensi dell’art. 157 del Codice per acquisire gli elementi utili ad una compiuta valutazione del caso, alla quale forniva riscontro la ditta “P.G. Service” del predetto sig. Pojer.

Nella nota, l’impresa individuale rappresentava che “il sig. Pojer ha già avuto modo di comunicare personalmente all’[interessato] sia telefonicamente sia mediante email [che] egli non è titolare di alcun dato sensibile e/o personale del reclamante. Si è solo affidato a un’agenzia che opera nel campo delle ricerche di mercato per l’identificazione di potenziali clienti, pagando peraltro regolare fattura […]. Mai ha contattato in via diretta [il reclamante] per motivi commerciali né aveva dato indicazioni a Ste Nabi Call (la menzionata agenzia) di farlo. Non è in possesso né lo è mai stato di alcun dato personale del [reclamante] e mai ne ha trattato alcuno che lo riguardi”.

L’Ufficio procedeva ad inviare una seconda richiesta ai sensi dell’art. 157 del Codice, invitando il sig. Pojer a specificare “nel dettaglio la natura del servizio offerto dall’agenzia Ste Nabi Call e, in particolare, quali attività siano state svolte con riferimento all’”identificazione di potenziali clienti” e quali esiti siano stati restituiti alla S.V.”, nonché a “fornire informazioni, per quanto a conoscenza della S.V., della titolarità o dell’eventuale utilizzo dell’utenza telefonica n. 338.8321206, che il reclamante dichiara sia la numerazione dalla quale è partita la contestata chiamata di contatto”. A tale richiesta forniva riscontro il sig. Pojer rappresentando che “quanto ai dettagli sulla natura del servizio, non vi sono particolari questioni da evidenziare. Il sig. Pojer venne a suo tempo contattato da una azienda del settore, la "Ste Nabi Call" per il servizio di ricerche di mercato. Gli unici contatti avuti con l'azienda in parola sono stati fono intercorsi e l'unico elemento di dettaglio che il sig. Pojer può aggiungere attiene alla circostanza per cui la fattura emessa riguardava la ricerca di mercato fornita relativamente a circa 30/35 soggetti. Quanto all'utenza telefonica n. 3388321206, il sig. Pojer non ha la minima idea di quale sia l'intestatario ovvero l'utilizzatore, nonostante alcune ricerche effettuate sul proprio telefono cellulare al fine di verificare tracce dell'utenza medesima”.

1.3. Contestazione delle violazioni

L’Ufficio, all’esito dell’istruttoria, ha adottato il sopra richiamato atto di contestazione n. 51845/298626 nei confronti dell’impresa individuale Pojer Giordano, ritenendo in primo luogo che la stessa abbia agito, nella vicenda in argomento, quale titolare dei trattamenti di dati personali in base a quanto rappresentato dal Garante con provvedimento n. 230 del 15 giugno 2011 (in www.gpdp.it, doc. web n. 1821257), ma anche quanto espressamente stabilito nella legge n. 5/2018, fonti che ascrivono al soggetto che affida a terzi attività di call center per l’effettuazione delle chiamate telefoniche la titolarità dei correlati trattamenti.

Quindi, nell’atto di contestazione, è stato evidenziato che, in base al “principio di responsabilizzazione” (art. 5, par. 2, e 24, par. 1, del Regolamento), incombe esclusivamente al titolare del trattamento l’onere di dimostrare che i trattamenti siano effettuati conformemente alle disposizioni in materia di protezione dei dati personali.

Nel merito della vicenda, è stato osservato che dagli atti dell’istruttoria risultano confermate le dichiarazioni del reclamante, il quale ha ricevuto, il 10 febbraio 2023, sulla propria utenza telefonica fissa iscritta nel Registro delle opposizioni, una comunicazione di natura promozionale finalizzata alla fissazione di un appuntamento con il sig. Pojer, prodromico all’eventuale attivazione di una fornitura di servizi telefonici. Come confermato dallo stesso sig. Pojer, tale comunicazione promozionale è stata commissionata dall’impresa individuale Pojer Giordano ad un’azienda di diritto tunisino, Ste Nabi Call, con sede in Sousse, in forza di un accordo per il procacciamento di n. 40 “appuntamenti multibrand”, per il quale è stato pagato un compenso pari a € 1120.

Si è ritenuto, pertanto, che il contatto promozionale nei confronti del reclamante sia avvenuto in violazione del principio di liceità di cui all’art. 5, par. 1, lett. a) e 24, par. 1, del Regolamento e in assenza di un’idonea base giuridica (segnatamente il consenso previsto dall’art. 130, comma 3, del Codice o l’utilizzo di elenchi telefonici pubblici in deroga alla richiamata disposizione) e che il contatto medesimo non sia stato preceduto dal preventivo riscontro della numerazione telefonica dell’interessato con il Registro delle opposizioni. Con riferimento a tali necessari adempimenti, il titolare non ha fornito alcun elemento in sede istruttoria, venendo quindi meno all’osservanza del richiamato principio di responsabilizzazione.

È risultato, altresì, che il trattamento non sia stato preceduto da una esaustiva informativa che potesse consentire al reclamante di venire a conoscenza dell’origine dei dati personali utilizzati per la promozione, della base giuridica, delle finalità del trattamento, dei soggetti che hanno effettuato in concreto i trattamenti, dell’ambito di comunicazione dei dati nonché della facoltà dell’interessato di esercitare i diritti di cui agli artt. 15-22 del Regolamento. Il tutto anche in violazione dei principi di trasparenza e correttezza di cui all’art. 5, par. 1, lett. a), del Regolamento.

Per quanto poi riguarda l’esercizio dei predetti diritti, è stato osservato come il riscontro fornito all’interessato alla richiesta di accesso ai propri dati (art. 15 del Regolamento) e all’opposizione al trattamento per finalità promo-pubblicitarie (art. 21 del Regolamento), sia risultato insufficiente, non avendo il titolare fornito all’interessato medesimo nessuno degli elementi successivamente comunicati all’Autorità relativi all’esistenza di un rapporto con un call center straniero, e non ha assicurato il corretto recepimento dell’opposizione, avendo l’impresa individuale solamente rappresentato nel riscontro che la stessa “non ha nessun suo dato e che non utilizza nessuno strumento di marketing nei confronti della sua persona”.

Sulla scorta delle richiamate osservazioni, l’Ufficio ha contestato alla d.i. Pojer Giordano, la presunta violazione delle seguenti disposizioni:

a) art. 5, parr. 1, lett. a), e 2; artt. 6 e 7; art. 24, par. 1, del Regolamento e art. 130 del Codice, per aver effettuato il sopra descritto trattamento di dati personali del reclamante in contrasto con i principi di liceità e responsabilizzazione e in assenza di un’idonea base giuridica, omettendo di acquisire dall’interessato il necessario consenso previsto dal comma 3 dell’art. 130 del Codice e di riscontrare la numerazione telefonica del predetto con il Registro delle opposizioni, ai sensi del successivo comma 3-bis;

b) art. 5, par. 1, lett. a), 13 e 14 del Regolamento, per aver effettuato il trattamento di cui sopra in contrasto con i principi di trasparenza e correttezza e senza aver fornito all’interessato un’idonea informativa quantomeno in occasione del primo contatto promozionale;

c) art. 12, parr. 2 e 3, in relazione agli artt. 15 e 21 del Regolamento, per aver fornito all’interessato un riscontro insufficiente e omissivo alla richiesta di esercizio del diritto di accesso ai dati e del diritto di opposizione al trattamento per finalità promo-pubblicitarie.

2. OSSERVAZIONI DEL TITOLARE

Il sig. Giordano Pojer, con mail del 28 maggio 2024, faceva richiesta di audizione ai sensi dell’art. 166, comma 6, del Codice. L’Ufficio provvedeva pertanto a fissare l’audizione per il giorno 2 luglio 2024, audizione che non si svolgeva per la mancata presentazione del richiedente, nonostante la rituale convocazione.

Successivamente perveniva all’Autorità una nuova richiesta di audizione da parte del medesimo sig. Pojer, nella quale erano contenute anche giustificazioni in ordine alla mancata presentazione alla convocazione del 2 luglio. L’Ufficio, nell’ottica della massima tutela del diritto del titolare di essere ascoltato dall’Autorità, procedeva a nuova convocazione del medesimo.

L’audizione del titolare si svolgeva, pertanto, nei giorni 23 e 31 luglio 2024 e in essa la parte rappresentava che, nel caso in argomento “la condotta della ditta individuale è stata pienamente conforme alle disposizioni in materia di protezione dei dati personali, sia con riferimento alla base giuridica dei trattamenti di dati personali posti in essere, sia per quanto riguarda i riscontri forniti al reclamante in sede di esercizio dei diritti ex art. 15-22 del Regolamento (UF) 2016/679”. Veniva pertanto esibita una dichiarazione del 24 luglio 2024 a firma della titolare dell'azienda di diritto tunisino Nabi Call, sig.ra Kahoula Nllik, con la quale la stessa rappresentava che “l'attività prestata dalla nostra azienda inerente la ricerca di appuntamenti multibrand per conto della predetta PG Service è avvenuta nel rispetto del D. Lgs. 30 giugno 2003, n.196 (Codice in materia di protezione dei dati personali), e quindi anche mediante il previo controllo di eventuali iscrizioni dei soggetti contattati nel registro pubblico delle opposizioni. Dichiaro inoltre che il sig. Giordano Pojer ci contattò ripetutamente raccomandando ogni volta il rispetto delle nomative in materia di protezione dei dati personali”.

L’audizione si concludeva con la richiesta della parte di archiviazione del procedimento, “avendo la d.i. Pojer Giordano compiutamente documentato la premura e l'impegno nel rispetto delle norme in materia di privacy e avendo, l'azienda partner, rappresentato non soltanto l'osservanza delle pertinenti disposizioni, ma anche il costante monitoraggio del sig. Pojer nelle attività della medesima”.

3. VALUTAZIONI DELL’AUTORITÀ

Le osservazioni difensive non appaiono idonee a escludere la responsabilità della d.i. Pojer Giordano in relazione alle condotte contestate con l’atto di avvio del procedimento n. 51845/298626.

Come già evidenziato nell’atto predetto, i soggetti che affidano all’esterno della propria realtà imprenditoriale attività promozionali, assumono in ogni caso la veste giuridica del titolare dei correlati trattamenti di dati personali. Tale impostazione, già presente nel richiamato provvedimento del Garante n. 230 del 15 giugno 2011, trova conferma nella legge n. 5/2018 (“Nuove disposizioni in materia di iscrizione e funzionamento del registro delle opposizioni e istituzione di prefissi nazionali per le chiamate telefoniche a scopo statistico, promozionale e di ricerche di mercato”) laddove, all’art. 1, comma 11, si ribadisce che “il titolare del trattamento dei dati personali è responsabile in solido delle violazioni delle disposizioni della presente legge anche nel caso di affidamento a terzi di attività di call center per l'effettuazione delle chiamate telefoniche”.

Nel caso in argomento, peraltro, l’aver affidato le attività di contatto telefonico, seppur finalizzate alla fissazione di poche decine di appuntamenti per conto del sig. Pojer, ad una azienda non stabilita nel territorio dell’Unione Europea e quindi sottratta ai vincoli normativi in materia di protezione dei dati personali previsti nel Regolamento e nel Codice, rende ancor più evidente che l’unico soggetto al quale devono ricondursi gli obblighi relativi al trattamento sia la ditta individuale Pojer Giordano, presso la quale sono approdati i dati personali trattati dall’agenzia, a seguito dei commissionati contatti promozionali.

Delineato il perimetro della titolarità del trattamento, deve osservarsi che l’istruttoria svolta dall’Ufficio e la successiva fase procedimentale avviata con l’atto di contestazione portano a confermare quanto rappresentato dall’interessato nell’atto di reclamo.

La stessa ditta individuale ha infatti confermato che il lamentato contatto promozionale (del quale il reclamante ha fornito anche la relativa traccia audio) è effettivamente avvenuto: il correlato trattamento di dati personali non risulta essere stato preceduto dall’acquisizione del previsto consenso, dal rilascio della necessaria informativa e dalla verifica dell’eventuale presenza della numerazione telefonica contattata nel Registro Pubblico delle Opposizioni.

A tale riguardo, la documentazione prodotta dalla ditta Pojer in sede di audizione, costituita da una generica dichiarazione della titolare della azienda di diritto tunisino, non appare sufficiente a provare l’avvenuto rilascio di un’idonea informativa e l’acquisizione di un rituale consenso per il trattamento dei dati personali da parte dell’interessato (e degli altri soggetti eventualmente contattati) e, quanto all’affermazione relativa alla osservanza da parte dell’agenzia tunisina delle disposizioni in materia di Registro Pubblico delle Opposizioni, la stessa appare destituita di credibilità posto che né l’azienda tunisina né la ditta Pojer risultano iscritte al predetto Registro quali operatori abilitati alla consultazione.

Per ciò che concerne le modalità con le quali la ditta individuale Pojer Giordano ha garantito l’esercizio del diritto di accesso e del diritto di opposizione al reclamante, è emerso con evidenza che i riscontri del titolare si sono rivelati ampiamente lacunosi, essendosi quest’ultimo limitato a dichiarare al reclamante di non aver trattato i suoi dati personali, senza fare menzione del rapporto contrattuale con l’azienda tunisina e senza comunicare alla medesima l’opposizione dell’interessato ai trattamenti per finalità promo-pubblicitarie.

Appare pertanto confermata la responsabilità della d.i. Pojer in ordine alle condotte ascritte, le quali tuttavia appaiono di modesta rilevanza, sia in ragione del fatto che il trattamento illecito nei confronti del reclamante risulta essersi concretizzato in un solo contatto indesiderato, sia per la scarsa invasività della campagna promozionale commissionata all’azienda di diritto tunisino, limitata alla fissazione di alcune decine di appuntamenti: il caso può pertanto essere qualificato come “violazione minore” ai sensi dell’art. 83, par. 2, e del considerando n. 148 del Regolamento. Va altresì tenuto conto del carattere personale dell’impresa titolare del trattamento che, da un lato, porta a ritenere le condotte come sintomo di una sostanziale disorganizzazione e impreparazione con riferimento alla materia della protezione dei dati personali e, dall’altro, impone l’adozione di misure correttive provviste del requisito della proporzionalità.

4. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità della d.i. Pojer Giordano in ordine alle seguenti violazioni:

a) art. 5, parr. 1, lett. a), e 2; artt. 6 e 7; art. 24, par. 1, del Regolamento e art. 130 del Codice, per aver effettuato il trattamento di dati personali del reclamante descritto in motivazione in contrasto con i principi di liceità e responsabilizzazione e in assenza di un’idonea base giuridica, omettendo di acquisire dall’interessato il necessario consenso previsto dal comma 3 dell’art. 130 del Codice e di riscontrare la numerazione telefonica del predetto con il Registro delle opposizioni, ai sensi del successivo comma 3-bis;

b) art. 5, par. 1, lett. a), 13 e 14 del Regolamento, per aver effettuato il trattamento di cui sopra in contrasto con i principi di trasparenza e correttezza e senza aver fornito all’interessato un’idonea informativa quantomeno in occasione del primo contatto promozionale;

c) art. 12, parr. 2 e 3, in relazione agli artt. 15 e 21 del Regolamento, per aver fornito all’interessato un riscontro insufficiente e omissivo alla richiesta di esercizio del diritto di accesso ai dati e del diritto di opposizione al trattamento per finalità promo-pubblicitarie.

Accertata altresì l’illiceità del trattamento preso in esame, si rende necessario:

- rivolgere alla d.i. Pojer Giordano, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, un ammonimento per aver effettuato i descritti trattamenti di dati personali in violazione della disciplina in materia di protezione dei dati personali;

- imporre alla d.i. Pojer Giordano, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati del reclamante e ogni futuro trattamento di dati personali per finalità promozionali mediante l’utilizzo di agenzie esterne, laddove per tali trattamenti non sia possibile documentare l’avvenuto rilascio di un’idonea informativa agli interessati, l'acquisizione del prescritto consenso e il corretto adempimento alle disposizioni in materia di Registro Pubblico delle Opposizioni;

- prescrivere alla d.i. Pojer Giordano, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di comunicare senza ritardi all’azienda di diritto tunisino Ste Nabi Call la volontà del reclamante di opporsi ad ogni futuro trattamento dei suoi dati personali per finalità promozionali, informando altresì il reclamante medesimo dell’avvenuto adempimento a tale prescrizione.

TUTTO CIO’ PREMESSO IL GARANTE

a) rivolge alla d.i. Pojer Giordano, in persona del legale rappresentante, con sede legale in Altavalle (TN), via della Villa Alta n. 8, P.I. 02308710223, c.f. PJRGDN89T24C372Q ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, un ammonimento per aver effettuato i descritti trattamenti di dati personali in violazione della disciplina in materia di protezione dei dati personali;

b) impone alla d.i. Pojer Giordano, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati del reclamante e ogni futuro trattamento di dati personali per finalità promozionali mediante l’utilizzo di agenzie esterne, laddove per tali trattamenti non sia possibile documentare l’avvenuto rilascio di un’idonea informativa agli interessati, l'acquisizione del prescritto consenso e il corretto adempimento alle disposizioni in materia di Registro Pubblico delle Opposizioni;

c) prescrive alla d.i. Pojer Giordano, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di comunicare senza ritardi all’azienda di diritto tunisino Ste Nabi Call la volontà del reclamante di opporsi ad ogni futuro trattamento dei suoi dati personali per finalità promozionali, informando altresì il reclamante medesimo dell’avvenuto adempimento a tale prescrizione;

d) ingiunge alla d.i. Pojer Giordano, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancata comunicazione nel termine indicato può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento.

DISPONE

La pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019 nel sito web del Garante, e l’annotazione del medesimo nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Roma, 26 settembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei