g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Dental Leader S.p.A. - 27 gennaio 2021 [9711630]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9711630]

Ordinanza ingiunzione nei confronti di  Dental Leader S.p.A. - 27 gennaio 2021

Registro dei provvedimenti
n. 119 del 27 gennaio 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

Con reclamo del 17 marzo 2020, avanzato a questa Autorità ai sensi dell’art. 77 del Regolamento, il dr. XX ha lamentato che, per poter concludere un ordine sul sito web www.dental-leader.it, riconducibile alla società Dental Leader S.p.A. (di seguito “Dental Leader” o “Società”), veniva obbligatoriamente richiesto di rilasciare il consenso al trattamento dei dati per finalità promozionali.

Dallo screenshot allegato al reclamo risulta infatti quanto segue:

a) viene richiesto di fornire un primo consenso “…ai fini della conclusione ed esecuzione del contratto, allo scopo di evadere l’ordine effettuato e per scopi contabili e di fatturazione”;

b) viene richiesto di prestare un altro (unico) consenso per finalità promozionali, di profilazione e per ricerche di mercato.

Entrambi i consensi risultano contrassegnati dall’asterisco che li indica come obbligatori e, difatti, come dimostrato dallo screenshot prodotto dal reclamante, selezionando per il punto b) l’opzione “nego il consenso”, non è possibile concludere la procedura e appare l’avviso “Attenzione, è necessario accettare la privacy per scopi commerciali”.

Con nota del 21 aprile 2020, il dr. XX, ad integrazione dell’originario reclamo, ha precisato che all’interno del proprio profilo personale sul sito della Dental Leader non è presente alcuna funzionalità che consenta di verificare i consensi forniti né, tanto meno, di revocarli autonomamente. Il reclamante ha altresì allegato lo screenshot della propria area cliente nella quale non sono presenti riferimenti ai consensi prestati o alla eventuale possibilità di modifica degli stessi.

Con nota del 30 aprile 2020, inviata in risposta alla richiesta di informazioni dell’Ufficio, la Dental Leader, precisando che il sito web è finalizzato alla vendita di prodotti odontoiatrici direttamente ai professionisti, ha confermato l’impostazione descritta ritenendola conforme ai dettami del Regolamento e giustificando l’obbligo di conferire il consenso come una scelta aziendale. In particolare, la Società ha dichiarato che “…è la medesima società Dental Leader S.p.A. che si assume il rischio, attraverso questo impianto, di perdere, a livello commerciale e quindi in numero di contratti conclusi, possibili ordini lasciando la libertà di scelta al cliente di non fornire il consenso per finalità di marketing” aggiungendo che è sempre prevista “la possibilità per il cliente di modificare successivamente, cioè dopo aver effettuato l’ordine, il consenso per la finalità di marketing”. Infine la Società ha comunque assicurato di aver provveduto a registrare l’opposizione del dr. XX al trattamento per finalità promozionali.

Dall’esame dell’informativa pubblicata all’indirizzo https://www.dental-leader.it/Privacy emerge che la Società tratta i dati raccolti indicando, come base giuridica del trattamento per finalità di marketing, sia il consenso che il legittimo interesse, mentre per la profilazione è indicata la base giuridica del consenso.

Pertanto, in data 15 ottobre 2020, è stata notificata a Dental Leader la comunicazione di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori ai sensi dell’art. 166, comma 5 del Codice a seguito della quale la Società ha fatto pervenire una memoria difensiva, il 13 novembre 2020, rappresentando che le modalità di raccolta dei consensi oggetto di reclamo sono state frutto di una scelta “fondata su una specifica politica aziendale correlata in particolare al fatto che l’attività esercitata consiste nella vendita e fornitura di servizi e prodotti che non possono considerarsi essenziali, essendo piuttosto servizi di carattere fungibile e certamente rinunciabile, tale per cui l’utente/cliente ha a disposizione un’ampia alternativa verso la quale orientare la propria volontà di acquisto”.

Con riguardo alle incongruenze rilevate nell’informativa, relative alla contemporanea menzione del consenso e del legittimo interesse per il medesimo trattamento, la Società ha dichiarato di aver aggiunto il consenso perché ritenuto più tutelante per l’interessato rispetto al legittimo interesse, agendo in assoluta buona fede. La stessa ha comunque rappresentato di aver provveduto a modificare l’informativa presente nel sito e ne ha allegato una copia alla memoria difensiva dalla quale risulta che – per la registrazione al sito e gli acquisti on-line, per gli acquisti telefonici, per la richiesta del catalogo e per l’invio di newsletter con offerte promozionali – viene indicato il consenso come unica base giuridica per le finalità di marketing; invece, per quanto riguarda i potenziali clienti, nell’informativa è indicato che la Dental Leader potrà acquisire alcuni dati personali (nominativo, indirizzo e-mail e fisico, numero di telefono, informazioni professionali) per proporre prodotti e servizi strettamente attinenti all’attività professionale svolta. Tali dati saranno estratti da pubblici registri ed elenchi professionali, annuari presenti on-line e tramite l’acquisto di banche dati da terze parti. Per tale tipologia di trattamento la Società indica come base giuridica il legittimo interesse del titolare specificando però che, in caso di contatto telefonico, sarà effettuata una preventiva verifica con il Registro delle opposizioni di cui al d.P.R. 7 settembre 2010, n. 178. Per quanto riguarda la raccolta di dati personali per la richiesta di informazioni sui prodotti, nell’informativa esibita viene indicato che i dati saranno utilizzati solo per l’invio delle informazioni richieste sulla base dell’espressione di uno specifico consenso, in mancanza del quale non sarà possibile dare seguito al servizio.

Con riguardo alla contestata acquisizione di un unico consenso per diverse finalità (marketing, ricerche di mercato e profilazione), la Società ha dichiarato che la profilazione, pur menzionata nella precedente informativa e nella richiesta di consenso, in realtà non è mai stata effettuata, stante anche la limitata tipologia di dati acquisiti (di fatto, solo dati anagrafici). Nella nuova versione dell’informativa non vengono più menzionate fra i trattamenti elencati né la profilazione, né le ricerche di mercato e, all’esito del procedimento di acquisto, viene richiesto di esprimere un consenso per le finalità di marketing con la possibilità di acconsentire in maniera specifica alla ricezione di posta cartacea e/o alla ricezione via e-mail; tali consensi non sono più vincolanti per la conclusione dell’acquisto e non viene più richiesto il consenso per le finalità contrattuali.

Infine, la Società - chiarito che la revoca dei consensi è sempre stata possibile inviando apposita richiesta ai contatti indicati nell’informativa – ha dichiarato di aver comunque provveduto a modificare anche il layout dell’area personale dei clienti, inserendo una sezione “privacy e trattamento dati” nella quale risultino indicati i consensi conferiti con la possibilità di apportare modifiche attraverso la selezione/deselezione delle caselle.

2.VALUTAZIONI DI ORDINE GIURIDICO

Con riferimento ai profili fattuali sopra evidenziati, anche in base alle affermazioni della Società di cui il dichiarante risponde ai sensi dell’art. 168 del Codice, si formulano le seguenti valutazioni in relazione ai profili riguardanti la disciplina in materia di protezione dei dati personali.

2.1 Sulla trasparenza.

La formulazione utilizzata nella precedente versione dell’informativa resa agli interessati non è risultata idonea a rappresentare con chiarezza la base giuridica adottata, che deve essere univoca per ogni finalità del trattamento. Questo, pertanto, non risulta essere stato effettuato in modo lecito, corretto e trasparente dal momento che agli interessati non sono state rese informazioni chiare in merito alle basi giuridiche relative alle diverse finalità del trattamento: l’informativa privacy, infatti, faceva riferimento sia al consenso che al legittimo interesse anche se, di fatto, veniva richiesto di esprimere un consenso; inoltre, si domandava il consenso anche per le finalità connesse all’esecuzione del contratto (la cui base giuridica è invece quella indicata dall’art. 6, par.1, lett. b) del Regolamento).

Pertanto - risultando integrate le violazioni dell’art. 5, par. 1, lett. a), dell’art. 12 e dell’art. 13 del Regolamento - si ritiene necessario rivolgere alla Dental Leader un ammonimento ai sensi dell’art. 58, par. 2, lett. b) del Regolamento sulla necessità di fornire agli interessati informazioni chiare e coerenti in merito ai trattamenti svolti ed alla relativa base giuridica. Inoltre, in aggiunta a tale misura, si ritiene di dover infliggere al titolare una sanzione amministrativa pecuniaria ai sensi dell’art. 58, par. 2, lett. i) del Regolamento.

Nella nuova formulazione dell’informativa risultano tuttavia presenti due tipologie di trattamento: acquisizione di nuovi clienti e richieste di informazioni sui prodotti, per le quali permangono dubbi in merito all’idoneità della base giuridica scelta dal titolare.

In particolare, con riguardo all’acquisizione di potenziali clienti, viene indicato che il trattamento sarà basato sul legittimo interesse del titolare per l’effettuazione di campagne di marketing diretto. Tuttavia, i dati acquisiti per tale tipo di attività sono relativi al numero telefonico, all’indirizzo e-mail e all’indirizzo fisico. Si deve ricordare che lo svolgimento di attività promozionale su tali canali di comunicazione è regolata in maniera specifica dall’art. 130 del Codice, integrato per quanto riguarda la promozione telefonica e con posta cartacea dal d.P.R. 7 settembre 2010, n. 178 (che comunque l’informativa di Dental Leader richiama) come modificato dal d.P.R. 8 novembre 2018, n. 149. In base a tali disposizioni, l’attività promozionale svolta con modalità automatizzate (e-mail, sms e chiamate preregistrate) potrà essere effettuata solo nei confronti dei soggetti che abbiano conferito un consenso libero, specifico e informato; per quanto riguarda, invece, l’attività promozionale svolta per mezzo del telefono con operatore e della posta cartacea, nelle more della revisione del d.P.R. 7 settembre 2010, n. 178, si applicheranno le disposizioni relative al Registro pubblico delle opposizioni per i soggetti i cui dati sono presenti negli elenchi pubblici, mentre sarà necessaria l’acquisizione del consenso per i soggetti non presenti in elenco. In tale contesto, non ha rilievo l’origine dei dati (acquisizione da terze parti o utilizzo di dati presenti in pubblici registri), né ha rilievo il fatto che i destinatari siano professionisti o persone giuridiche, dal momento che l’art. 130 del Codice, essendo posto a tutela del contraente o utente, non limita il proprio ambito soggettivo all’interessato persona fisica. È sempre richiesta l’acquisizione di un consenso libero, specifico e informato e, dunque, una diversa base giuridica, quale il legittimo interesse, potrebbe essere ammissibile solo al di fuori dei casi qui considerati.

Con riguardo, invece, all’indicazione nell’informativa della necessità di prestare uno specifico consenso per ricevere informazioni sui prodotti, si osserva che tale tipologia di trattamento pare piuttosto ascrivibile ad una fase contrattuale o precontrattuale del rapporto con l’interessato, circoscritta alla fase di richiesta di informazioni, stante anche la dichiarata limitazione della conservazione al tempo strettamente necessario ad evadere la richiesta, non potendovi riconoscere una natura promozionale (che peraltro risulta già contemplata nelle altre tipologie di trattamento descritte). Inoltre, come espresso nella stessa informativa, il mancato conferimento del consenso comporta l’impossibilità di ottenere le informazioni richieste; pertanto un siffatto consenso non potrebbe certo definirsi libero. 

2.2. Sulle modalità di acquisizione del consenso.

Prima delle modifiche apportate a seguito della contestazione del Garante, l’iscrizione al sito web di Dental Leader e le relative procedure di acquisto erano subordinate al rilascio di un unico consenso per diverse finalità (marketing, profilazione, ricerche di mercato) e un eventuale diniego veniva rifiutato dal sistema. Pertanto non risultava possibile l’espressione di una volontà dell’interessato che fosse libera e specifica. Si deve tuttavia tenere conto del fatto che, in base a quanto dichiarato, la profilazione, pur menzionata nella formula di consenso, non è mai stata effettuata. Pertanto, di fatto, la raccolta del consenso si sostanziava solo nell’acquisizione di un assenso alla ricezione di messaggi promozionali.

Inoltre, la formula di acquisizione del consenso, così come l’informativa, faceva riferimento alla possibilità di inviare comunicazioni promozionali via posta o mediante modalità automatizzate (e-mail, sms, ecc.); tale tipologia di trattamento è disciplinata unicamente dall’art. 130 del Codice, che recepisce l’art. 13 della direttiva 2002/58/CE e che, quale norma di carattere speciale, prevede il consenso come unica base giuridica valida. I requisiti di validità di tale consenso, ad integrazione della disposizione appena richiamata, vanno invece ricercati nell’art. 4, par. 1, n. 11 e nell’art. 7 del Regolamento di cui si richiama anche il considerando 32(1); in tale cornice normativa il consenso è inteso come qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile, non rilevando la (scontata) possibilità di effettuare una successiva revoca, ed è derogabile, nei casi previsti, solo alle condizioni di cui all’art. 130, comma 4 del Codice(2). Nel caso di specie, tuttavia, il rilascio del consenso risultava vincolante per la conclusione del processo di acquisto.

La Società, che ha già provveduto a correggere le impostazioni descritte, ha giustificato la precedente scelta, rappresentando che il servizio offerto è da considerarsi fungibile, dal momento che l’interessato può rivolgersi in alternativa ad altri rivenditori, e pertanto, a suo parere, ben poteva essere subordinato all’obbligatorio conferimento di un consenso per finalità promozionali con il rischio, accettato dal titolare del trattamento, di perdere un potenziale contratto in caso di rifiuto da parte dell’utente.

A detta della Società, pertanto, il solo carattere fungibile del servizio sarebbe stato sufficiente a rendere lecita l’acquisizione obbligata del consenso.

Ritiene, invece, questa Autorità che le ragioni addotte dalla Dental Leader non siano fondate, non essendo sufficiente un’asserita e generica qualificazione del servizio come “fungibile” perché da ciò ne discenda automaticamente la facoltà per il titolare di condizionare il consenso e perché, nel caso di specie, la condizionalità non risulta assolutamente necessaria all’esecuzione del contratto.

Si deve innanzitutto richiamare, infatti, quanto disposto dall’art. 7, par. 4 del Regolamento, in base al quale, nel valutare se il consenso sia stato liberamente prestato, si deve considerare l’eventualità che l’utilizzo del bene o del servizio sia condizionato alla prestazione di un consenso non necessario all’esecuzione del contratto. Tale rapporto di condizionalità/necessità è stato chiarito, in via interpretativa, ammettendone l’applicabilità nel caso di servizi fungibili, cioè facilmente rinunciabili senza particolare pregiudizio.

Una prima pronuncia in tal senso è contenuta nella sentenza n. 17278 dell’11 maggio – 2 luglio 2018 della Corte di Cassazione, sez. I Civile, nella quale è stato rilevato che il gestore di un sito internet può subordinare l’erogazione di un servizio all’acquisizione di un consenso per finalità promozionali purché tale servizio sia fungibile e, dunque, facilmente rinunciabile dall’utente o sostituibile con altri analoghi servizi presenti sul mercato, anche a pagamento, di modo che il pregiudizio per l’interessato, che sia costretto a rinunciarvi, sia annullato dalla presenza di alternative idonee a soddisfarne comunque i bisogni. Ritiene, infatti, la Corte che “il condizionamento non possa sempre e comunque essere dato per scontato e debba invece essere tanto più ritenuto sussistente, quanto più la prestazione offerta dal gestore del sito internet sia ad un tempo infungibile ed irrinunciabile per l’interessato”.

Si deve comunque tenere presente che la pronuncia espressa della Suprema Corte nel 2018 aveva riguardo allo specifico caso di un servizio di newsletter remunerato unicamente con la possibilità di veicolare agli utenti messaggi promozionali di terzi. Pertanto, la condizionalità del consenso era ritenuta ammissibile considerando che la rinuncia da parte dell’interessato non avrebbe comportato un effettivo pregiudizio.

Successivamente, e in termini più generali, si è espresso in proposito anche il Comitato europeo per la protezione dei dati che, al punto 35 e ss. delle citate linee guida sul consenso, non esclude a priori una condizionalità di quest’ultimo e, pur evidenziando che l’onere della prova spetta al titolare, chiarisce che “Poiché l’articolo 7, paragrafo 4, non è formulato in maniera assoluta, in un numero molto ristretto di casi tale condizionalità potrebbe non rendere invalido il consenso. Tuttavia, il verbo “si presume” al considerando 43 indica chiaramente che tali casi saranno estremamente eccezionali”.

Ancora, lo stesso Comitato chiarisce che “il regolamento stabilisce che se l’interessato non dispone di una scelta effettiva o si sente obbligato ad acconsentire oppure subirà conseguenze negative se non acconsente, il consenso non sarà valido. […] Di conseguenza, il consenso non sarà considerato libero se l’interessato non può rifiutarlo o revocarlo senza subire pregiudizio” e aggiunge che, in presenza di servizi realmente equivalenti messi a disposizione dell’interessato da parte dello stesso titolare, il conferimento del consenso non potrà ritenersi condizionato. Diverso è invece il caso in cui tali servizi presumibilmente equivalenti siano da ricercarsi presso altri titolari del trattamento. In questo caso, il Comitato ritiene che il consenso non possa considerarsi prestato liberamente perché la libertà di scelta dipenderebbe dagli altri operatori del mercato, con tutte le variabili connesse all’andamento dell’offerta, e dal fatto che l’interessato ritenga che i servizi offerti dall’altro titolare del trattamento siano effettivamente equivalenti.

Quanto premesso consente dunque di escludere che la Società potesse avvalersi della facoltà di condizionare il consenso perché tale obbligo avrebbe comportato un pregiudizio agli interessati che non ha giustificazione. Occorre infatti ricordare che il servizio offerto dalla Dental Leader consiste nella vendita di prodotti per l’attività odontoiatrica; vendita a fronte della quale l’acquirente corrisponde una somma di denaro perfezionando un rapporto a prestazioni corrispettive; il conferimento di un consenso per le finalità di marketing, dunque, appare del tutto estraneo al rapporto sinallagmatico in questione dal momento che il pagamento del prezzo di vendita è condizione sufficiente a concludere il contratto. La possibilità di inviare messaggi promozionali ai clienti, subordinata all’ottenimento del menzionato consenso, sarebbe finalizzata unicamente ad attribuire una facoltà aggiuntiva al titolare del trattamento che, dunque, non sarebbe necessaria all’esecuzione del contratto, stante la natura del tutto autonoma del trattamento per finalità promozionali rispetto ad un rapporto obbligazionario già perfezionabile con il pagamento del prezzo di vendita, in contrasto con il disposto dell’art. 7, par. 4 del Regolamento.

Tanto più se si tiene presente che l’ordinamento già conferisce una facoltà al titolare, in deroga all’obbligo di acquisizione del consenso, di utilizzare le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio per promuovere prodotti o servizi analoghi a quelli oggetto della vendita, purché l’interessato, debitamente informato, non rifiuti tale uso inizialmente o in occasione delle successive comunicazioni (cfr. art. 130, comma 4 del Codice).
Si ritengono pertanto integrate le violazioni dell’art. 6, par. 1, lett. a) e dell’art. 7, par. 4 del Regolamento nonché dell’art. 130 del Codice e si rende necessario, ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonire sulla necessità di acquisire previamente un consenso libero, specifico e informato degli interessati per l’invio di comunicazioni promozionali; ai sensi dell’art. 58, par. 2, lett. f), si rende necessario imporre alla Dental Leader il divieto di trattamento per finalità promozionali dei dati personali raccolti con le descritte modalità. Inoltre, in aggiunta a tali misure, si ritiene di dover infliggere al titolare una sanzione amministrativa pecuniaria ai sensi dell’art. 58, par. 2, lett.i) del Regolamento.

3. ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Per quanto sopra riferito, si ritiene di dover adottare un’ordinanza ingiunzione ai sensi degli art. 166, comma 7 del Codice per l’applicazione nei confronti di Dental Leader della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) e b) del Regolamento per le violazioni di cui ai menzionati artt. 5, par. 1, lett. a) - 6, par. 1, lett. a) – 7, par. 4 – 12 e 13 del Regolamento nonché dall’art. 130 del Codice.

Risulta applicabile l'art. 83, par. 3, del Regolamento, in base al quale, se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento viola, con dolo o colpa, varie disposizioni del Regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave con conseguenziale applicazione della sola sanzione prevista dall’art. 83, par. 5 del Regolamento.

In particolare, ai fini della quantificazione della sanzione amministrativa, per le violazioni richiamate, il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione, che deve “in ogni caso  [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del  Regolamento (UE) 2016/679), individuando, a tal fine, una serie di elementi, elencati al par. 2, , da valutare all’atto di quantificarne il relativo importo.

In adempimento di tale previsione, nel caso di specie, devono essere considerate le seguenti circostanze:

1. l’ampia portata dei trattamenti che, sulla base degli elementi forniti e in mancanza di altre specificazioni in merito, si possono ritenere di carattere sistemico e dunque estesi alla generalità dei clienti o dei potenziali clienti (art. 83, par. 2, lett. a) del Regolamento);

2. la gravità delle violazioni rilevate, in ragione del fatto che l’espressione del consenso al trattamento per finalità promozionali è stata fortemente condizionata dalle modalità adottate per la conclusione del contratto per di più sulla base di un’informativa recante indicazioni non corrette in merito alle basi giuridiche del trattamento (art. 83, par. 2, lett. a) del Regolamento);

Quali elementi attenuanti, si ritiene di dover tener conto:

1. della natura dei dati oggetto di violazione, rientranti nei dati comuni;

2. delle misure adottate da Dental Leader per modificare l’informativa, l’area personale dei clienti e le modalità di acquisizione del consenso;

3. il grado di cooperazione con l’Autorità di controllo;

4. l’assenza di precedenti violazioni pertinenti commesse dal titolare del trattamento;

5. il carattere non doloso della violazione.

In una complessiva ottica di necessario bilanciamento fra diritti degli interessati e libertà di impresa, e in via di prima applicazione delle sanzioni amministrative pecuniarie previste dal Regolamento, occorre valutare prudentemente i suindicati criteri, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali della Società.

Pertanto si ritiene che - in base al complesso degli elementi sopra indicati, debba applicarsi alla Dental Leader la sanzione amministrativa del pagamento di una somma pari allo 0,05% della sanzione edittale massima di 20 milioni di euro, corrispondente a euro 10.000,00 (diecimila). La sanzione edittale massima è individuata con riferimento al disposto dell’art. 83, comma 5, tenuto conto che il 4% del fatturato di Dental Leader risulta inferiore ai 20 milioni di euro.

In tale quadro, si ritiene altresì – in considerazione dell’invasività dei trattamenti illeciti contestati rispetto ai diritti fondamentali degli interessati e dell’elevato numero dei soggetti potenzialmente coinvolti - che, ai sensi dell’art. 166, comma 7, del Codice, e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito web del Garante, a titolo di sanzione accessoria.

Si rileva che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Si ricorda che ai sensi dell’art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni e che, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa la sanzione di cui all’art. 83, par. 5, lett. e), del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione e adotta i seguenti provvedimenti correttivi nei confronti di Dental Leader S.p.A., con sede legale in Milano, viale Monza 259, P.IVA 06448560968:

a) ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, vieta ogni ulteriore trattamento per finalità promozionali dei dati acquisiti, con le modalità descritte, senza garantire l’espressione di un consenso libero e specifico;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce sulla necessità di acquisire previamente un consenso libero, specifico e informato degli interessati per l’invio di comunicazioni promozionali nonché sulla necessità di fornire agli interessati informazioni chiare e coerenti in merito ai trattamenti svolti ed alla relativa base giuridica;

c) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

ORDINA

d) ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, alla predetta Dental Leader S.p.A., in persona del suo legale rappresentante, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

e) alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;

DISPONE

f) ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione per intero del presente provvedimento sul sito web del Garante.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 27 gennaio 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei

 

(1) Si veda, a tal proposito, quanto chiarito dal Comitato europeo per la protezione dei dati nelle Linee guida sul consenso - Guidelines 05/2020 on consent under Regulation 2016/679, adottate il 4 maggio 2020: “i requisiti per il consenso ai sensi del regolamento generale sulla protezione dei dati non sono considerati un “obbligo supplementare”, bensì condizioni preliminari per la liceità del trattamento. Pertanto, tali requisiti sono applicabili alle situazioni che rientrano nel campo di applicazione della direttiva relativa alla vita privata e alle comunicazioni elettroniche”.

(2) Se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni.