Diritti interna

Diritti - Come tutelare i tuoi dati

Doveri interna

Doveri - Come trattare correttamente i dati

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Mediacom s.r.l. - 11 marzo 2021 [9577065]

 

VEDI NEWSLETTER DEL 27 APRILE 2021

 

[doc. web n. 9577065]

Ordinanza ingiunzione nei confronti di Mediacom s.r.l. - 11 marzo 2021

Registro dei provvedimenti
n. 99 dell'11 marzo 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghi-glia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al tratta-mento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codi-ce”);

VISTE, fra i provvedimenti del Garante a contenuto generale più rilevanti, le Linee guida in materia di attività promozionale e contrasto allo spam, 4 luglio 2013, doc. web n. 254234, nonché le Prescrizioni per il trattamento di dati personali per finalità di marketing, mediante l’impiego del telefono con operatore, a seguito dell’istituzione del registro pubblico del-le opposizioni, provv. gen. 19 gennaio 2011, doc. web n. 1784528;

VISTE le numerose doglianze pervenute all’Autorità, contenute in segnalazioni e reclami, riguardanti la ricezione di chiamate promozionali indesiderate per conto di TIM s.p.a. (di seguito: “TIM”);

VISTI gli esiti degli accertamenti effettuati presso Tim s.p.a., destinataria del provvedimento, correttivo e sanzionatorio, del 15 gennaio 2020 [doc. web n.  9256486], nonché presso le società di call center - quale Mediacom srl (di seguito indicata come: “Mediacom” o “la Società”) - incaricate dello svolgimento delle cam-pagne promozionali;

VISTE le comunicazioni inviate da Mediacom il 3 aprile e il 17 novembre 2020, ri-guardo alle misure adottate per migliorare la conformità dei trattamenti nonché le perdite economiche determinate dalla cessazione del contratto con la committente Tim;

VISTA la complessiva documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del re-golamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Le doglianze degli interessati

Sono pervenute all’Autorità, dal 2017 ai primi mesi del 2019 (peraltro, secondo una dinamica confermatasi anche nei mesi successivi), numerosissime doglianze (nell’ordine di varie centinaia), contenute in segnalazioni e reclami, in particolare ri-guardanti la ricezione di chiamate promozionali, per conto di TIM avvenute:

a) in assenza di consenso degli interessati; oppure

b) nonostante l’iscrizione delle utenze telefoniche nel Registro pubblico delle opposizioni; ovvero

c) anche dopo l’esercizio del diritto di opposizione.

2. L’istruttoria dell’Ufficio e i relativi esiti

2.1. Contestazioni e repliche

In ragione di tale situazione l’Autorità ha ritenuto opportuno effettuare un’articolata attività istruttoria al fine di acquisire maggiori elementi di valutazione rispetto alle suindicate doglianze, procedendo con accertamenti ispettivi presso Tim e i suoi partner, fra cui Mediacom, ove le operazioni sono stati avviate il 14 maggio e proseguite il 12 giugno 2019. Successivamente (il 30 settembre 2019) l’Ufficio ha inviato una richiesta di informazioni integrative, in relazione alla quale Mediacom ha fornito riscontro il 18 ottobre 2019.

Sulla base della documentazione complessivamente acquisita, è risultato che Mediacom – nel periodo compreso dal 1° gennaio 2016 al 30 settembre 2019 - ha con-tattato un numero complessivo di 15.410 utenze telefoniche “referenziate” (ossia estranee alle liste di contattabilità, in quanto suggerite dai soggetti contattati) per più committenti, ed in particolare 11.232 per conto di Tim, in assenza di “istruzioni dettagliate” da parte della medesima.

Rispetto a tale quota di contatti, non è risultato acquisito alcun consenso dell’interessato per la finalità promozionale, né è risultata applicabile altra base giu-ridica (v. artt.: 6, par.1, Regolamento - 130, Codice); rispetto a tale trattamento è per-tanto emersa la possibile violazione anche del principio di liceità, ai sensi dell’art. 5, par. 1, lett. a, del Regolamento.

L’Ufficio pertanto, con comunicazione del 27 dicembre 2019, ha avviato il proce-dimento amministrativo per la contestazione della violazione delle citate disposi-zioni, prospettando conseguentemente l’applicabilità delle sanzioni amministrative previste dall’art. 83 del Regolamento, come richiamato dall’art. 166, comma 2, del Codice.

Con la memoria presentata il 24 febbraio 2020, Mediacom - nel ribadire di aver sopperito alle lacune di istruzioni da parte del committente Tim riguardo alle mo-dalità di contatto delle utenze esterne alla liste consegnate dalla stessa, suggerite (‘referenziate’) dai soggetti in lista al momento del contatto telefonico, conforme-mente a quanto emerso in sede ispettiva - ha illustrato la procedura di contatto di ta-li soggetti referenziati, dalla medesima ideata ed applicata, fornendo maggiori det-tagli rispetto a quanto dichiarato in occasione degli accertamenti in loco. In partico-lare, è emerso che la Società:

- utilizzava, oltre alle liste TIM, le liste di anagrafiche acquisite da oggetti terzi; liste che venivano verificate, quanto all’informativa e ai consensi rilasciati dagli interessati, analizzandone un “cospicuo campione” prima del loro utilizzo a fini promozionali;

- con specifico riguardo alle utenze dei soggetti ‘referenziati’, queste (prima del contatto promozionale) venivano filtrate mediante il confronto con le liste di anagrafiche, acquisite da soggetti terzi, provviste – a dire di Mediacom - di un consenso “libero, specifico e facoltativo” - nonché documentato per la comunica-zione a terzi per le loro finalità di marketing.

La formula di acquisizione del consenso in questione è risultata caratterizzata dal seguente testo:

Acconsento al trattamento dei dati personali da parte di ClickADV per l’invio di comunicazioni promozionali e di marketing, incluso l’invio di newsletter e ricerche di mercato, su prodotti e servizi propri e di terzi, attraverso strumenti automatizzati (e-mail, sms, fax, mms, messaggi su social network, whatsapp, messenger, applicazioni di messaggistica istantanea online) e non (posta cartacea, telefono con operatore).

Acconsento alla comunicazione dei dati personali da parte di ClickADV a soggetti terzi au-tonomi titolari del trattamento, appartenenti alle categorie indicate in informativa, per l’invio di proprie comunicazioni promozionali e di marketing su prodotti e servizi propri o di terzi, inclu-so l’invio di newsletter e ricerche di mercato, attraverso strumenti automatizzati (e-mail, sms, fax, mms, messaggi su social network, whatsapp, messenger, applicazioni di messaggistica istantanea online) e non (posta cartacea, telefono con operatore)

La Società, come detto sopra, avrebbe sottoposto al descritto filtraggio solo un “cospicuo campione” delle liste; campione non meglio identificato e quantificato. Inoltre ha prodotto la documentazione relativa al consenso degli interessati solo con riguardo a 1000 delle utenze acquistate e trattate a fini di telemarketing, manifestando, tuttavia, la propria disponibilità a fornire analoga documentazione per le altre utenze.

La Società ha poi fatto presente vari aspetti - collegati ai suoi rapporti con la committente Tim, destinataria del citato provvedimento del 15 gennaio 2020 - di rilevante impatto negativo sulla propria situazione economico-finanziaria (il mancato rinnovo, da parte di Tim,  del contratto in essere sin dal 2015; la significativa riduzione del fatturato; “il ridimensionamento della struttura organizzativa”, anche in termini di forza lavoro occupata: per maggior dettaglio, v. memorie 24 febbraio 2020 e 17 novembre 2020, cit.).

Ha inoltre illustrato varie misure che ha ritenuto di ideare ed adottare per migliorare la consapevolezza e conformità dei propri trattamenti (v., per maggior dettaglio, comunicazione del 3 aprile 2020).

2.2. Le misure adottate dalla Società per migliorare la conformità dei trattamenti al-la vigente normativa

Si deve considerare che con le citate comunicazioni la Società - conformemente a quanto in parte anticipato nell’audizione del 17 febbraio 2020, nonché nella memoria del 24 febbraio 2020 - ha rappresentato, assumendo di conseguenza la responsabilità penale per eventuali false dichiarazioni ai sensi dell’art. 168 del Codice, non solo di aver subito pesanti perdite in ragione della cessazione del contratto con Tim e della correlata mancata esecuzione dei previsti pagamenti a proprio favore, ma anche di aver adottato una serie articolata di misure finalizzate alla conformità dei trattamen-ti alla normativa.

In particolare, oltre alla nomina di un nuovo DPO, la Società ha dichiarato di aver intrapreso un percorso di complessiva rivalutazione e revisione della propria strategia commerciale e delle relative policy privacy. In particolare, la medesima ha comunicato di aver stabilito la preventiva verifica della presenza di istruzioni detta-gliate negli schemi di accordo predisposti dal committente, tenuto conto del settore di mercato di riferimento così come dei provvedimenti di questa Autorità. In caso di assenza o di inadeguatezza, la Società si è impegnata a proporre clausole adeguate che prevedano l’impegno del committente, entro un certo termine, a fornire istru-zioni dettagliate, da sottoporre a valutazione della controparte.

La Società ha inoltre rappresentato di aver predisposto un web form per la gestio-ne dei “referenziati”, eventualmente fruibile dai committenti che decidano (come sopra detto) di avallare la procedura interna di Mediacom. Con tale procedura sono stati regolamentati: “il processo di acquisizione e archiviazione di dati personali del referen-ziato da parte del referenziante; il contatto di quest’ultimo tramite SMS, su base legittimo inte-resse, per mezzo del quale potrà essere reindirizzato su web form, le modalità di prestazione dell’eventuale consenso sul form, previa visione dell’informativa, ai fini del singolo ricontatto per la campagna commerciale”. La medesima Società ha inoltre fatto presente: il miglio-ramento in fase quality check dei vocal order; la disciplina puntuale del processo di ve-rifica relativo all’acquisto di liste da parte di list provider, che prevede “un sistema di escalation dall’ufficio legale sino al DPO, mirato alla verifica, prima della conclusione del con-tratto con il fornitore, delle informative, formule dei consensi, canali dei consensi e di un cam-pione significativo (eventualmente oscurato) di ‘consensati’.; la revisione della procedura di ge-stione di diritti degli interessati della Società .. per gestire le revoche dei consensi in blacklist dei committenti in modo adeguato”, tramite apposite clausole previste nell’ambito dei con-tratti con i committenti, nonché tramite implementazioni IT nella gestione delle blac-klist.

Mediacom ha infine rappresentato di aver implementato la formazione e l’aggiornamento del personale adibito ai trattamenti di dati.

3. Valutazione della complessiva condotta della Società

Va evidenziato preliminarmente che, nella fattispecie concreta, Mediacom è da ritenersi di fatto titolare, insieme a Tim, dei trattamenti promozionali rivolti alle numerazioni “fuori lista” o “referenziate”, con la conseguente applicabilità di prin-cipi ed obblighi in materia di protezione dei dati; in tal senso, non assume rilievo qualificare il suo ruolo come titolare autonomo o invece congiunto a Tim.

Dagli atti infatti è emerso come Mediacom abbia contribuito a stabilire sia le fina-lità promozionali sia le modalità di contatto (v. art. 28 del Regolamento), organiz-zando quest’ultime in assenza di istruzioni operative formalizzate dalla committen-te; modalità di fatto poi accettate da Tim, che ha recepito i contratti conclusi e introi-tato le relative utilità. Mediacom risulta aver operato eccedendo, di fatto, rispetto al ruolo di mero responsabile “del trattamento formalmente affidato per l’esecuzione di cam-pagne promozionali rivolte agli interessati presenti nelle liste TIM e determinando “finalità e mezzi del trattamento”, nell’ambito di un disegno unitario e di fatto condiviso, perlomeno ri-guardo alla finalità di acquisizione di nuovi clienti e nei suoi effetti operativi, con TIM (v. provv. 1° febbraio 2018, doc. web n. 7810723). Ciò anche in considerazione della circostanza inconfutabile, che l’utilizzo di numerazioni “fuori lista” era funzionale al perseguimento di un interesse condiviso, sia di TIM, sia dei suoi partner, dal quale ognuno traeva un vantaggio di natura economica”: v. provv. 15 gennaio 2020, cit., par. 3).

Comunque, anche ove si riconoscesse a Mediacom il ruolo di responsabile (anzi-ché titolare o contitolare) del trattamento, la valutazione della sua condotta in termi-ni di illiceità non muterebbe. Infatti, con specifico riguardo alle telefonate effettuate, nei confronti di utenze “fuori lista”, è risultato che sono stati contattati soggetti “re-ferenziati”, in base a una costante prassi operativa riconducibile a una cosciente scelta aziendale della Società e non riferibile ad eccezionali iniziative dal personale.

Al contempo, è però chiaro come vada distinto il ruolo dei call center che, come Mediacom, hanno eseguito le campagne promozionali da quello del committente (Tim, nella fattispecie), invero preponderante e ben più incisivo, con riguardo alle dinamiche e prassi operative condivise nonché all’introitamento dei profitti derivan-ti dalle campagne promozionali.
Occorre poi riproporre le considerazioni già formulate da questa Autorità con il provv. 15 gennaio 2020 (par. 3.1., cit.). In particolare, “non può invocarsi quale base giu-ridica …. quella del ‘legittimo interesse’ alle attività di marketing, magari unitamente al presun-to interesse del soggetto ‘referenziante’, che coinvolge nella promozione l’amico o il parente. Va poi evidenziato che il legittimo interesse, di cui all'art. 6, par. 1, lett. f), del Regolamento - già previsto sia dall'abrogata direttiva 95/46/CE, nonché dal Codice previgente alle modifiche ap-portatevi dal d.lgs. n. 101/2018 (d.lgs. n. 196/2003, art. 24, comma 1, lett. g) - non può surro-gare - in via generale - il consenso dell’interessato quale base giuridica del marketing. Invero, il Regolamento stesso – come già la direttiva 95/46/CE all’art. 7, comma 1, lett. f) - lo ammette so-lo ‘a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interes-sato che richiedono la protezione dei dati personali’. … In ogni caso, l'esistenza di legittimi inte-ressi richiede un'attenta valutazione anche in merito all'eventualità che l'interessato, al mo-mento e nell'ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine.”.

Va inoltre ribadito anche nel caso di Mediacom quanto già chiarito nel citato provv. 15 gennaio 2020, ossia che: “L'applicazione della base giuridica del legittimo interes-se presuppone quindi la prevalenza in concreto (in base a un bilanciamento rimesso al titolare, ma sempre valutabile dall'Autorità di controllo) di quest'ultimo sui diritti, libertà e meri interes-si degli interessati (nello specifico, i destinatari delle comunicazioni promozionali non assistite dal consenso). In tale confronto, è necessaria l'attenta ponderazione dell'impatto del trattamen-to, che si intende effettuare su tali diritti, libertà ed interessi (fra cui, nel caso del marketing, so-no ravvisabili anzitutto il diritto alla protezione dei dati e il diritto alla tranquillità individuale dell’interessato”(1).

Peraltro, richiamando sempre il provv. 15 gennaio 2020: “il titolare del trattamento non può ricorrere retroattivamente alla base dell’interesse legittimo in caso di problemi di validi-tà del consenso. Poiché ha l’obbligo di comunicare [nell’informativa rilasciata all’interessato] la base legittima al momento della raccolta dei dati personali, il titolare del trattamento deve aver deciso la base legittima prima della raccolta dei dati (così v. Linee guida del Gruppo Art. 29 sul consenso ai sensi del Regolamento (UE) 2016/679, 10 aprile 2018, WP 259 rev.01)”.

Pertanto qualora non ricorrano i sopra delineati presupposti per il legittimo inte-resse e ad eccezione delle ipotesi del c.d. “soft spam” (art. 130, comma 4, Codice), nonché del sistema di “opt-out” per i dati presenti negli elenchi pubblici – si deve ritenere che la regola generale da seguire per i trattamenti per finalità promozionali sia quella del previo consenso informato, libero, specifico e documentato degli inte-ressati(2).

Peraltro, sotto un diverso ma collegato profilo, occorre evidenziare che quello (acquisito da un’impresa terza ed esibito da Mediacom riguardo alle liste di dati ac-quistate da tale impresa) non è un consenso specifico per le finalità promozionali di soggetti terzi, e quindi neanche libero, considerata la suindicata formulazione, uti-lizzata dal soggetto cedente per acquisirlo. In particolare, infatti è risultato richiesto agli interessati un consenso relativo a comunicazioni promozionali relative a “pro-dotti e servizi propri e di terzi”, non distinguendo fra prodotti e servizi e neanche ri-guardo all’imputabilità soggettiva delle pubblicità (1. impresa che ha raccolto i dati; 2. soggetti terzi per conto dei quali la prima effettua la pubblicità), peraltro con ri-guardo a numerosi settori merceologici, anche del tutto eterogenei fra loro.

In tal senso, siffatto consenso semplificato - esibito invocando le citate Linee Guida del 4 luglio 2013 – risulta incoerente con la ratio stessa della semplificazione da queste introdotta, che è - e deve essere - quella di agevolazione nell’acquisizione del consenso alla comunicazione a terzi pur nel rispetto di determinati limiti (come l’indicazione, nell’informativa resa, dei singoli soggetti destinatari dei dati o delle categorie merceologiche di riferimento per gli stessi). Fermo restando che, eviden-temente, ogni semplificazione rispetto alla normativa va considerata come eccezione rispetto alla regola del consenso libero e specifico (oltre che previamente informato e documentato), e quindi non è suscettibile di applicazione estensiva e tantomeno analogica.

In tale ottica, il consenso per la comunicazione a soggetti terzi - per essere effettivamente specifico e quindi anche libero - non può in alcun modo essere mischiato, e confuso, con il consenso per ulteriori trattamenti, non sovrapponibili né assorbibili, qual è l’invio promozionale per conto terzi, che costituisce un ulteriore trattamento, necessitante quindi anch’esso di un ulteriore apposito consenso libero e specifico.

Peraltro, la Società ha dichiarato di aver sottoposto al filtraggio - teso alla verifica della sussistenza di un consenso documentato - solo un “cospicuo campione”, senza però fornire ulteriori elementi.  La normativa in materia (in particolare: artt. 6 e 7 del Regolamento; 130 del Codice) però non consente – di regola - agli acquirenti di liste di dati di potersi esonerare dall’obbligo di verifica degli adempimenti vigenti in materia (in particolare quello del consenso libero, specifico e documentato) rispetto a tutte le anagrafiche acquisite (v. anche provv. gen. 29 maggio 2003 [doc. web n. 29840], Spamming. Regole per un corretto invio delle e-mail pubblicitarie, in base al quale: “… chi acquisisce la banca dati deve accertare che ciascun interessato abbia validamente accon-sentito alla comunicazione del proprio indirizzo di posta elettronica ed al suo successivo utilizzo ai fini di invio di materiale pubblicitario”; in questi termini, anche provv. 22 maggio 2018, doc. web n. 8995274).

Tale rigorosa impostazione risulta confermata dal provvedimento generale in materia di propaganda elettorale e comunicazione politica, 18 aprile 2019 [doc. web n. 9105201], nell’analoga materia del marketing ‘politico’, in base al quale: “La verifi-ca, a seconda dei casi, dovrà riguardare, ove si tratti di banche dati di modeste dimensioni (nella quantità di poche centinaia o migliaia di anagrafiche) tutti gli interessati o, quando si tratti di banche dati più consistenti, perlomeno, un campione oggettivamente congruo rispetto alla quantità degli stessi, e dovrà concernere anche la qualità, con riferimento all’esattezza, corret-tezza ed aggiornamento dei dati trattati.” Inoltre, ai sensi del medesimo provvedimento, “il cessionario dovrà verificare che: - il cedente abbia rilasciato all’interessato l’informativa ai sensi dell’art. 13 del Regolamento, anche riguardo alla finalità di comunicazione dei suoi dati a soggetti terzi appartenenti al settore politico e/o propagandistico;- lo stesso soggetto abbia acqui-sito dall’interessato un consenso specifico per la comunicazione a terzi per finalità di propagan-da elettorale e connessa comunicazione politica (artt. 6, par. 1, lett. a) e 7, Regolamento) … Il consenso deve risultare manifestato chiaramente e liberamente, e, a tal fine, formulato in termini differenziati, rispetto alle diverse altre finalità perseguibili (ad esempio, quella di invio di mate-riale pubblicitario/vendita diretta/di ricerche di mercato; quella di profilazione; quella di comu-nicazione a terzi per le loro finalità promozionali o di profilazione).”

Il medesimo ragionamento ivi previsto per la propaganda politica vale, per ana-logia di finalità e contenuti, anche per la propaganda commerciale. Pertanto, con il presente provvedimento, l’Autorità ribadisce che - se si vuole effettuare un corretto trattamento a fini promozionali - la verifica – di regola, ove possibile – va fatta per ciascuna utenza e deve garantire anche l’esattezza, correttezza ed aggiornamento dei dati trattati., anche perché ad ognuno dei relativi interessati va riconosciuta, indefet-tibilmente, la tutela effettiva dei diritti fondamentali alla protezione dei dati e alla tranquillità individuale che spesso può venire in rilievo nello svolgimento dell’attività di telemarketing. Peraltro, il titolare e il responsabile del trattamento devono – nel corretto esercizio dell’accountability (di cui all’art. 25, par. 2, del Rego-lamento) – tener traccia chiara e precisa delle verifiche effettuate, anche con riguar-do: alla logica e ai parametri utilizzati, ai risultati ottenuti; ai dati in concreto verifi-cati; alle valutazioni effettuate al riguardo, unitamente alle relative argomentazioni.

Inoltre, la procedura di contatto utilizzata da Mediacom presenta un’ulteriore criticità strutturale. La Società infatti ha affermato di aver controllato la presenza delle citate utenze referenziate, oltre che nelle liste acquistate da terzi, anche nella propria black list. Per effettuare una verifica corretta ed efficace, la Società avrebbe però dovuto filtrare tali utenze anche nella black list di TIM, evidentemente ben più ampia e comunque da ritenersi la black list più idonea a poter rintracciare utenze non contattabili per promozioni per conto di Tim.

Infatti va inoltre evidenziato che il dissenso o l’opposizione al trattamento nei confronti di un determinato titolare prevalgono sul consenso genericamente manife-stato per la comunicazione a terzi per le loro finalità promozionali (consenso co-munque non valido, se acquisito nei termini suindicati, ossia accomunando, nell’oggetto del consenso, anche l’attività promozionale del soggetto che acquisisce direttamente i dati).

Ciò risponde a un principio logico-giuridico di prevalenza della volontà determinata e specifica (a contenuto positivo o negativo che sia) rispetto ad espressioni generiche di volontà di diverso contenuto, in ossequio alla chiara ratio di tutela effettiva della volontà dell’interessato, chiaramente espressa dall’art. 7 del Regolamento. In un’analoga ottica di favor verso la volontà manifestato in relazione ai trattamenti di un determinato titolare  - c.d. one to one - e non ad un’intera categoria merceologica di titolari, viene in rilievo anche quanto statuito, in modo coerente e consolidato, da questa Autorità, da ritenersi ancora valido, considerato che il Regolamento, per il consenso, ha ribadito in sostanza -puntualizzandola mediante l’art. 7 ed esemplificandola grazie ai considerando- la disciplina già propria dell’abrogata direttiva 95/46/CE. In particolare, si richiama in questa sede il provv. gen. 19 gennaio 2011, in base al quale: “gli interessati che, in epoca precedente all´entrata in vigore del nuovo regime, abbiano ricevuto una idonea informativa e manifestato nei confronti di un determinato titolare del trattamento un consenso specifico per le suddette finalità, (sempreché il titolare sia in grado di documentare per iscritto tale consenso …), possono essere contattati da quel titolare per tali finalità anche nel caso in cui questi si iscrivano nel Registro, ferma restando la possibilità di opporsi successivamente anche a tale trattamento”.

Alla luce di tale quadro normativo ed interpretativo, la procedura di trattamento, complessivamente seguita e rappresentata da Mediacom, non è risultata idonea a garantire la conformità della normativa, con specifico riferimento all’adempimento del consenso quale imprescindibile strumento di garanzia della libertà di autodeterminazione degli interessati. In tal senso -considerato il vizio del consenso come acquisito dal partner commerciale cedente- ha poco rilievo che la Società abbia prodotto elementi soltanto con riferimento a 1.000 anagrafiche acquistate da terzi.

In base a quanto complessivamente acquisito, si ritiene dunque - conformemente alle valutazioni già formulate con la citata comunicazione del 27 dicembre 2019 – che siano ravvisabili nella fattispecie le seguenti violazioni in capo a Mediacom:

- art. 5, par. 1, lett. a), del Regolamento;

- art. 6, par.1, del Regolamento (130 del Codice).
Pertanto si ritiene, ai sensi dell’art. 58, par. 2, lett. d) ed f), del Regolamento, di dover adottare nei confronti di Mediacom la limitazione definitiva dei trattamenti sopra descritti, ingiungendo altresì di conformarli alla disciplina vigente.

4. Ordinanza-ingiunzione per l’applicazione della sanzione amministrativa pecuniaria

Le violazioni, come sopra indicate, impongono anche l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Mediacom della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento (pagamento di una somma fino a € 20.000.000 ovvero, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore).

Per la determinazione dell’ammontare della sanzione nella fattispecie concreta occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento, che, nella presente fattispecie, possono considerarsi nei termini seguenti:

- la limitata durata della violazione (art. 83, par. 2, lett. a), del Regolamento);

- il numero limitato di interessati coinvolti, se relazionato alla notevolissima mo-le di telefonate promozionali effettuate dalle società di call center, partner di TIM (art. 83, par. 2, lett. a), cit.);

- il limitato numero di violazioni riscontrate e la loro afferenza al solo ristretto del settore del telemarketing per conto terzi (art. 83, par. 2, lett. a), cit.);

- la dimensione soggettiva della condotta, che deve ritenersi più congruamente colposa anziché dolosa ossia tesa a effettuare violazioni della normativa rile-vante in materia, considerate le misure approntate per realizzare siffatta attività di trattamento, anche in ragione della mancanza di esplicite istruzioni operative da parte del committente (art. 83, par. 2, lett. b), del Regolamento);

- la tempestiva adozione di misure atte a mitigare o a eliminare le conseguenze della violazione nonché ad assicurare pro futuro il corretto trattamento per fini promozionali, con particolare riguardo ai dati ‘fuori lista’ e ai dati presenti in black list (art. 83, par. 2, lett. c), del Regolamento);

- l’assenza di precedenti violazioni e provvedimenti dell’Autorità a carico della Società (art. 83, par. 2, lett. e), del Regolamento);

- la pronta cooperazione con l’Autorità nel corso degli accertamenti ispettivi e del procedimento (art. 83, par. 2, lett. f), del Regolamento);

- le categorie di dati personali interessate dalla violazione, individuabili, essen-zialmente, in comuni dati di contatto (art. 83, par. 2, lett. g), del Regolamento);

- le condizioni economiche del contravventore, tenuto conto della forte contra-zione dell’attività in oggetto, anche a causa della disdetta ricevuta dall’importante committente TIM; nonché, in termini più generali, dell’attuale gravissima crisi economica e finanziaria, anche a causa dell’emergenza sanitaria in corso (art. 83, par. 2, lett. k, del Regolamento).

I suesposti fattori attenuanti risultano idonei a prevalere sull’unica circostanza aggravante rilevabile nella condotta di Mediacom, vale a dire la difformità della stessa rispetto alla consistente attività provvedimentale, con la quale sono stati for-niti indicazioni e chiarimenti in materia (v. provvedimenti generali e Linee Guida ci-tati nel presente provvedimento), e la costante interlocuzione dell’Autorità con i soggetti che operano nel settore del telemarketing – possono ragionevolmente far ri-tenere raggiunta da tutti gli operatori (inclusa Mediacom), una sufficiente consape-volezza delle disposizioni che devono essere indefettibilmente osservate (art. 83, par. 2, lett. k, cit.).

In base al complesso degli elementi sopra indicati, in applicazione dei principi di effettività, proporzionalità e dissuasività indicati nell’art. 83, par. 1, del Regola-mento, tenuto conto dell’obiettivo di contrasto del fenomeno del telemarketing in-desiderato nonché del necessario bilanciamento fra diritti degli interessati e libertà di impresa, in via di prima applicazione delle sanzioni amministrative pecuniarie previste dal Regolamento, anche al fine di limitare l’impatto economico della san-zione sulle esigenze organizzative, funzionali ed occupazionali della Società, si ri-tiene debba applicarsi a Mediacom la sanzione amministrativa del pagamento di una somma di euro 15.000,00 (quindicimila), pari allo 0,075 % della sanzione edittale massima (euro 20.000.000).

Tale ammontare tiene conto, in termini comparativi con analoghe fattispecie, del numero relativamente elevato di utenze referenziate trattate senza base giuridica e della specifica crisi occupazionale ed operativa.

Nel caso in argomento si ritiene che debba applicarsi in ogni caso la sanzione ac-cessoria della pubblicazione sul sito del Garante del presente provvedimento, pre-vista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della materia oggetto degli accertamenti, vale a dire il citato fenomeno del marketing indesiderato, oggetto di numerosissime doglianze e conse-guenti istruttorie di quest’Autorità, nonostante i reiterati provvedimenti sia a carat-tere generale sia diretti a determinati titolari.

Ricorrono infine i presupposti di cui all’art. 17 del Regolamento n. 1/2019 con-cernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione e adotta le seguenti misure correttive nei confronti di Mediacom s.r.l. - con sede in Viale Jenner n. 51, Milano, (P. IVA 0346703121):

1. ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, dispone la limitazione de-finitiva del trattamento dei dati personali degli interessati, per i quali non di-sponga di un consenso libero e specifico per la finalità promozionale o di un’altra idonea e documentata base giuridica ai sensi degli artt. 6 e 7 del Rego-lamento;  

2. ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiunge l’implementazione di misure tecniche ed organizzative tali da assicurare che vengano trattati per la finalità promozionale solo i dati personali per i quali disponga di un consenso libero e specifico per tale finalità o di un’altra idonea e documentata base giuridica ai sensi degli artt. 6 e 7 del Regolamento;

3. ai sensi dell’art.58, par.1, lett. a), del Regolamento nonché dell’art. 157 del Co-dice, ingiunge alla medesima Società di fornire, nel termine di 30 giorni dal ri-cevimento del presente provvedimento, riscontro documentato con riguardo alle iniziative intraprese al fine di dare attuazione a quanto disposto ai punti 1 e 2;l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria pre-vista dall’art. 83, lett. e), par. 5, del Regolamento;

ORDINA

a Mediacom s.r.l., in persona del legale rappresentante pro-tempore, di pagare la somma di euro 15.000,00 (quindicimila), a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 15.000,00 (quindicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

quale sanzione accessoria, ai sensi dell’art. 166, comma 7 del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, la pubblicazione sul sito del Garante del presente provvedimento, e, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativa-mente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di tren-ta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 marzo 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei

_________

(1) V., in tal senso: Relazione annuale 2018, p. 107, il provv. 22 maggio 2018, doc. web n. 8995274, nonché il Parere del Gruppo Art. 29, n. 6/2014,– WP 217, p. 35, secondo il quale l'istituto del legittimo interesse “garantisce una maggiore prote-zione dell’interessato; in particolare, stabilisce che si tengano in considerazione non solo i diritti e le libertà fondamentali dell’interessato, ma anche il suo ‘interesse’ - mero e non qualificato. … tutte le categorie di interessi dell’interessato devono essere prese in considerazione e valutate comparativamente rispetto a quelle del responsabile del trattamento, nella misura in cui siano pertinenti nell’ambito del campo di applicazione della direttiva”.

(2) In tal senso, v.: il citato provv. del 15.1.2020, nonché, in precedenza, le Linee Guida del Garante in materia promo-zionale, 4 luglio 2013, e ancor prima, il provv. gen. 19 gennaio 2011, “Prescrizioni per il trattamento di dati personali per finalità di marketing, mediante l´impiego del telefono con operatore, a seguito dell´istituzione del registro pubblico delle opposizioni”, doc. web n. 1784528.