g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Studio Colli Aniene Verderocca S.r.l. - 10 febbraio 2022 [9756869]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9756869]

Ordinanza ingiunzione nei confronti di Studio Colli Aniene Verderocca S.r.l. - 10 febbraio 2022

Registro dei provvedimenti
n. 49 del 10 febbraio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale ha preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza, componente, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l’adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;   

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

Con il reclamo del 14 maggio 2021 presentato a questa Autorità ai sensi dell’art. 77 del Regolamento, il signor XX ha lamentato la ricezione di “periodiche telefonate” indesiderate tese a promuovere i servizi dell’Agenzia Tecnocasa in merito ad un immobile di sua proprietà ed ha, inoltre, rappresentato di non aver ricevuto riscontro alla richiesta di esercizio dei diritti, di cui agli artt. 15 e 17 del Regolamento, inviata via pec il 17 febbraio 2020 all’Affiliata Studio Colli Aniene Verderocca S.r.l. (di seguito «Studio Colli Aniene», o «Società») “intestataria dei numeri telefonici” chiamanti; il medesimo reclamante ha evidenziato il perpetuarsi di ulteriori contatti indesiderati da parte della citata Società sino alla data di proposizione del reclamo.

Al riguardo, l’Ufficio ha avviato un’attività istruttoria, con richieste di informazioni formulate nelle date del 19 maggio e 24 giugno 2021 (quest’ultima sollecitata il 2 settembre 2021, ai sensi dell’art. 157 del Codice), al fine di acquisire elementi di valutazione che hanno consentito di escludere violazioni in capo a Tecnocasa Franchising S.p.A. riguardo ai contatti promozionali lamentati nel reclamo, in quanto effettuati dalla società Studio Colli Aniene Verderocca S.r.l., quale autonomo titolare del trattamento, sulla base di una propria autonoma raccolta di dati.

In risposta alla predette richieste di informazioni, la Società, con note dell’8 giugno e 3 settembre 2021, ha dichiarato di aver contattato il reclamante in solo due circostanze (6 febbraio e 14 maggio 2020), aggiungendo di aver richiesto il consenso al trattamento dei dati personali per finalità promozionali, di ricerche di mercato e di profilazione, in occasione della prima telefonata e provvedendo, in tale circostanza, a registrare il diniego opposto dal signor XX, salvo poi ricontattare quest’ultimo per “mero errore commesso in totale buona fede”. La Società, che ha assicurato di aver cancellato i dati del reclamante dai propri database, ha inoltre rappresentato di aver trattato lecitamente i medesimi dati in quanto reperiti in Internet, consultando i siti web www.trovanumeri.com e www.psicologi.it e svolgendo un’indagine nominale sul motore di ricerca “Google”.

Il reclamante, nelle osservazioni inviate a questa Autorità il 23 giugno 2021 e formulate in merito al riscontro dell’8 giugno 2021, con riguardo alle telefonate ricevute, ha eccepito l’esiguità delle stesse nei termini rappresentati dalla Società, evidenziando, al contrario, che la medesima avrebbe sottaciuto “le numerose altre telefonate, anche negli anni precedenti, dove già era stato fatto presente, con estrema cortesia, di non gradire chiamate con offerta di servizi non richiesti, non mancando di invitare, con altrettanta gentilezza, alla cancellazione dei propri dati e della propria moglie dalle loro banche dati”.

2. LA CONTESTAZIONE DELLE VIOLAZIONI E L’ESERCIZIO DEL DIRITTO DI DIFESA

2.1. La contestazione

Alla luce di quanto emerso dall’istruttoria preliminare nei termini sopra sintetizzati, anche sulla base delle affermazioni della Società di cui il dichiarante risponde ai sensi dell’art. 168 del Codice, il 12 novembre 2021 è stata notificata a Studio Colli Aniene la comunicazione di avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice.

Va evidenziato preliminarmente che Studio Colli Aniene è da ritenersi titolare del trattamento dei dati personali, dal momento che lo stesso risulta aver stabilito sia le finalità che le modalità di contatto (v. art. 28 del Regolamento); alla medesima Società sono, dunque, direttamente riconducibili tanto gli adempimenti posti dalla normativa in materia di protezione dei dati personali quanto la responsabilità per le violazioni rilevate.

Ciò premesso l’Ufficio, in particolare, ha osservato che, indipendentemente dal numero dei contatti lamentati, risultano essere state effettuate operazioni di trattamento di dati personali, sia con riguardo alla raccolta sistematica di dati reperiti in rete che alla successiva attività di contatto commerciale (quantomeno il 6 febbraio e 14 maggio 2020) in assenza del necessario preventivo consenso informato dell’interessato in relazione all’attività di marketing e in difetto di un’altra idonea base giuridica, integrando, così, la violazione degli artt. 6 e 7 del Regolamento e 130 del Codice.

Inoltre, non è risultato che la Società abbia fornito all’interessato le informazioni di cui all’art. 14 del Regolamento per i dati non raccolti direttamente presso il medesimo, né che la stessa abbia riscontrato la richiesta di esercizio dei diritti (inviata tramite pec dal reclamante) nei termini previsti dall’art. 12, par. 3, del Regolamento la cui ricezione non è stata, peraltro, smentita. Nel corso del procedimento, la Società non ha fornito spiegazioni in ordine alla mancata risposta, nonostante ciò sia stato espressamente richiesto dell’Ufficio, e non emerge neanche che abbia adeguatamente recepito l’opposizione manifestata dall’interessato nel corso dei contatti lamentati, considerata l’ammissione da parte della medesima Società dell’effettuazione, per un asserito errore, di un’ulteriore telefonata indesiderata. Pertanto non risulta che Studio Colli Aniene abbia adottato un sistema che agevoli l’esercizio dei diritti degli interessati; quindi, complessivamente, è stata rilevata la possibile violazione degli artt. 12, par. 3, 14, 15, 17 e 21 del Regolamento;

Peraltro le informazioni richieste dall’Ufficio ad integrazione del primo riscontro (dell’8 giugno 2021) sono risultate tardive (essendo pervenute soltanto a seguito del sollecito formulato il 2 settembre 2021, ai sensi dell’art. 157 del Codice) e complessivamente non soddisfacenti. In particolare la Società, con comunicazione del 3 settembre 2021, si è limitata a confermare quanto già espresso con il primo citato riscontro e a dichiarare genericamente di svolgere “un’attività di marketing e di ricerca, finalizzata a far incontrare la domanda e l’offerta immobiliare in una determinata zona, svolgendo il proprio lavoro in ottemperanza a quanto stabilito dalla legge”. Inoltre non ha prodotto i vari ulteriori elementi richiesti, con particolare riguardo alla numerosità dei dati raccolti online per la campagna promozionale, all’eventuale profilazione svolta e alle misure adottate per garantire l’esercizio del diritto di opposizione degli interessati. 

Tale condotta, dunque, risulta in contrasto con le previsioni contenute negli artt. 5, par. 2, e 24 del Regolamento che inquadrano le competenze del titolare in un’ottica di responsabilizzazione (accountability) finalizzata alla capacità di garantire l’attuazione degli adempimenti previsti dal Regolamento e di comprovare, al momento opportuno (in particolare eventualmente in seguito a richieste dell’Ufficio oppure, ancora prima, ad istanze degli interessati), gli adempimenti effettuati.

3. VALUTAZIONI DI ORDINE GIURIDICO

Come già emerso in premessa (par. 1), si osserva che la Società ha dichiarato di aver richiesto il consenso al trattamento dei dati personali per finalità promozionali, di ricerche di mercato e di profilazione, in occasione della prima telefonata all’interessato (che Studio Colli Aniene riconduce alla data del 6 febbraio 2020), confermando, pertanto, di aver realizzato il suddetto trattamento in assenza del necessario fondamento giuridico dell’attività commerciale. Tale telefonata, finalizzata ad ottenere il consenso per fini di marketing, è da considerarsi «comunicazione commerciale», come stabilito recentemente dalla giurisprudenza di legittimità (Cass. civ., Sez. I, ord. 26 aprile 2021, n. 11019) che – nel confermare la validità del provvedimento del Garante del 22 giugno 2016 n. 275 (doc. web 5255159) sulla l’illiceità delle telefonate per il “recupero del consenso” degli interessati -  ha, ancora una volta, evidenziato che “La finalità alla quale è imprescindibilmente collegato il consenso richiesto per il trattamento non può non concorrere a qualificare il trattamento stesso, ragione per cui il trattamento dei dati dell'interessato per chiedere il consenso per fini di marketing è esso stesso un trattamento per finalità di marketing” (v. nel medesimo senso le Linee guida in materia di attività promozionale e contrasto allo spam - 4 luglio 2013; doc. web n. 2542348). Ne deriva che il contatto, anche se effettuato esclusivamente per ottenere il consenso per finalità promozionali, avrebbe eluso il fondamentale principio di autodeterminazione dell’interessato in ordine al trattamento dei suoi dati personali che si manifesta nel correlato adempimento del consenso libero, specifico e documentato per la citata finalità commerciale.

Si evidenzia, inoltre, che la telefonata indesiderata ricevuta dall’interessato per “mero errore commesso in totale buona fede” non vale a sollevare la Società dalla responsabilità derivante dalla violazione delle menzionate disposizioni né consente di applicare l’esimente, pur invocata dalla medesima Società, di cui all’art. 3 della legge n. 689/1981, non essendo stata in grado di dimostrare l’inevitabilità.

Inoltre, in sede di riscontro, Studio Colli Aniene non ha prodotto, in un’ottica collaborativa e proattiva, risposte adeguate circa gli elementi richiesti, tali cioè da far comprendere meglio la dinamica fattuale e la propria politica di trattamento, replicando con formule generiche e standardizzate e impedendo una valutazione più approfondita dei trattamenti da parte della Autorità. Come già sottolineato, infatti, a fronte della richiesta dell’Ufficio del 24 giugno 2021, tesa ad integrare le informazioni rese con il primo riscontro dell’8 giugno 2021, la Società non ha fornito risposta alcuna, se non dopo essere stata in tal senso sollecitata con la nota del 2 settembre 2021, formulata ai sensi dell’art. 157 del Codice. Al riguardo, occorre ricordare che gli elementi utili a definire il quadro di indagine andrebbero forniti tempestivamente dai destinatari delle richieste dell’Autorità nella competente sede istruttoria per evitare un allungamento e un appesantimento dell’iter procedimentale, come avvenuto nel caso di specie (v. al riguardo ord. ing. 13 maggio 2021, doc. web 9670025; provv. 16 dicembre 2021, doc. web n. 9735672).

Peraltro, nella lacunosa rappresentazione fornita, la Società si è limitata ad assicurare di aver proceduto alla cancellazione dei dati personali del reclamante, senza tuttavia dare evidenza delle azioni intraprese, soprattutto in un quadro più articolato di misure e interventi che, a livello aziendale, dovrebbero essere previsti per la gestione di tali problematiche.

Il carattere negligente, da ritenersi gravemente colposo, della condotta con cui la Società non ha fornito le informazioni richieste, fa emergere una grave falla negli obblighi di trasparenza di Studio Colli Aniene (artt. 5, par. 1 lett. a) e 12, par. 1, del Regolamento) che, nell’opacità del suo operato, ha violato le citate fondamentali garanzie previste ex lege.

Con riguardo alla raccolta in rete di dati personali e all’utilizzo di questi per finalità di marketing (come accaduto per i dati del signor XX raccolti consultando i siti internet www.psicologi.it e www.trovanumeri.com e svolgendo una indagine nominale sul motore di ricerca Google), si è ritenuto di poter verosimilmente dedurre che tali pratiche rientrino tra le consuete modalità operative o, per lo meno, non siano considerate in contrasto con esse. Come già descritto sopra, la Società ha ribadito la propria convinzione in merito alla liceità dell’acquisizione in rete delle liste anagrafiche relative ai numeri di telefonia da utilizzare per finalità di marketing, quale modalità operativa preordinata all’esecuzione dei successivi contatti commerciali. Nel caso di specie, dunque, Studio Colli Aniene ha utilizzato i dati raccolti in Internet per promuovere i propri servizi e prodotti, perseguendo una finalità diversa e incompatibile con quella originaria per la quale i dati medesimi sono stati resi pubblici (come agevolare i contatti dell’interessato con i propri potenziali clienti, con limitato riguardo all’esercizio della propria professione) e quindi non rientrante fra le legittime aspettative del reclamante che, peraltro, dagli atti, non risulta aver mai espresso e pubblicizzato la volontà di mettere in vendita il proprio immobile.

Al riguardo, è opportuno ricordare come il Garante abbia più volte chiarito che “l’agevole reperibilità di dati personali in internet (quali recapiti telefonici o indirizzi di posta elettronica) non comporta la libera disponibilità degli stessi né autorizza il trattamento di tali dati per qualsiasi finalità, ma - in osservanza ai principi di correttezza e finalità (v. art. 5, par. 1, lett. a) e b), Regolamento) - soltanto per gli scopi sottesi alla loro pubblicazione” (v. provv. generale in materia di propaganda elettorale e comunicazione politica - 18 aprile 2019; doc. web n. 9105201; Linee guida in materia di spam, cit.). Quindi, anche per quanto riguarda l’attività di marketing, deve evidenziarsi il generale divieto di utilizzo a tal fine dei dati reperiti sul web, senza uno specifico consenso informato alla suddetta finalità (v. artt. 6, 7 e 14, Regolamento; per un’analoga fattispecie, relativa a servizi immobiliari oggetto di comunicazioni promozionali inviate a dati di contatto tratti dal web, e in particolare dal social network Linkedin, in deviazione dalla finalità per la quale i dati stessi sono stati pubblicati: v. ordinanza  ingiunzione 16 settembre 2021, doc. web n. 9705632). La condotta descritta ha pertanto comportato, come sopra evidenziato, che il trattamento dei dati – concretizzatosi nella raccolta dei dati stessi e nell’effettuazione di telefonate per finalità promozionali - sia avvenuto in assenza di un’idonea base giuridica, non essendo riconducibile ad alcuna delle condizioni di liceità di cui all’art. 6, par. 1, del Regolamento.

Preso atto che la Società non ha presentato scritti difensivi né ha richiesto di essere ascoltata dall’Autorità, si ritiene di dover confermare le violazioni contestate.

Pertanto, si rende necessario, ai sensi dell’art. 58, par. 2, lett. f), vietare il trattamento per finalità promozionali dei dati personali reperiti in Internet e di cui la Società non sia in grado di comprovare l’acquisizione di un idoneo consenso da parte degli interessati. Inoltre, dal momento che la Società non ha fornito riscontro alle richieste del reclamante, se non dopo l’intervento del Garante, si ritiene di dover ingiungere a Studio Colli Aniene, ai sensi dell’art. 58, par. 2, lett. d), di adottare idonee procedure volte a garantire un pieno ed effettivo riscontro all’esercizio dei diritti. Risulta necessario, peraltro, ingiungere alla Società di rilasciare agli interessati un’idonea informativa preventiva rispetto al trattamento dei loro dati.

Infine, con riguardo ai trattamenti già realizzati e con finalità dissuasiva, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, mediante la seguente ordinanza ingiunzione.

4. ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

In base a quanto sopra rappresentato, stanti le violazioni richiamate, si rende applicabile la sanzione prevista dall’art. 83, par. 5, del Regolamento.

Ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione, che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del  Regolamento), individuando, a tal fine, una serie di elementi elencati al par. 2 dell’art. 83 in parola, da valutare all’atto di quantificarne il relativo importo.

Quali circostanze aggravanti, nel caso di specie, devono essere considerati:

1. la dimensione soggettiva della condotta, da ritenersi gravemente colposa, con particolare riferimento al carattere reiterato ed insistente dei contatti telefonici lamentati anche dopo l’opposizione al trattamento, nonché alla perdurante sostanziale elusione delle informazioni richieste sia dall’interessato che dall’Autorità (lett. b);

2. il non adeguato grado di cooperazione mostrato nelle interlocuzioni con l’Autorità non avendo la Società fornito, pure a fronte di due richieste di informazioni, le integrazioni necessarie ad una valutazione adeguata dei trattamenti (lett. f);

3. la difformità della condotta della Società rispetto alla consistente attività provvedimentale dell’Autorità (lett. k).

Quali elementi attenuanti, si ritiene di dover invece tener conto:

1. della natura dei dati trattati, di tipo comune (lettere a, g);

2. il carattere isolato della doglianza che, per quanto è stato possibile accertare, stante il difetto di cooperazione della Società, ha riguardato un solo interessato (lett. a);

3. del limitato volume d’affari relativo all’anno 2020, come risultante dal “modello IVA 2021” (circa 125.000 euro);

4. dell’assenza di precedenti procedimenti avviati a carico della Società (lett. e).

In base al complesso degli elementi sopra indicati, in applicazione dei principi di effettività, proporzionalità e dissuasività indicati nell’art. 83, par. 1, del Regolamento, tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali della Società in misura proporzionata al fatturato risultante dal bilancio di esercizio della società, si ritiene debba applicarsi a Studio Colli Aniene Verderocca S.r.l.  – anche tenendo in considerazione altri casi analoghi (v. ad es. il provv. 16 settembre 2021, cit.) - la sanzione amministrativa del pagamento di una somma di euro 5.000.00 (cinquemila/00), pari allo 0,05% del massimo edittale di 20 milioni di euro.

Nel caso in argomento si ritiene che debba applicarsi altresì la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della materia oggetto di istruttoria, vale a dire il fenomeno del marketing indesiderato, rispetto al quale questa Autorità ha adottato numerosi provvedimenti sia a carattere generale sia diretti a determinati titolari del trattamento e su cui è elevata l’attenzione dell’utenza.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione da parte di Studio Colli Aniene Verderocca S.r.l., con sede in Roma, Viale Sacco e Vanzetti 191, P.IVA n. 07803151005, e conseguentemente:

- ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, ordina la limitazione definitiva del trattamento dei dati personali degli interessati reperiti sul web e per i quali non disponga di un consenso informato, libero e specifico per la finalità promozionale o di un’altra idonea e documentata base giuridica ai sensi degli artt. 6 e 7 del Regolamento;

- ai sensi dell’art. 58, par. 2, lett. d), ingiunge alla Società di adottare idonee procedure per garantire un completo e tempestivo riscontro all’esercizio dei diritti degli interessati nonché il rilascio di un’idonea preventiva informativa rispetto al trattamento dei loro dati personali, ai sensi degli artt. 13 e 14 del Regolamento.

ORDINA

a Studio Colli Aniene Verderocca S.r.l., con sede in Roma, Viale Sacco e Vanzetti 191, P.IVA n. 07803151005, di pagare la somma di euro 5.000,00 (cinquemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata.

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 5.000,00 (cinquemila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

quale sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, la pubblicazione sul sito del Garante del presente provvedimento e, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Il Garante, ai sensi dell’art. 58, par. 1, del Regolamento, invita altresì il titolare del trattamento a comunicare, entro 30 giorni dalla data di ricezione del presente provvedimento, quali iniziative siano state intraprese al fine di dare attuazione a quanto prescritto nel presente provvedimento e di fornire comunque riscontro adeguatamente documentato. Si ricorda che il mancato riscontro alla richiesta ai sensi dell’art. 58 è punito con la sanzione amministrativa di cui all’art. 83, par. 5, lett. e), del Regolamento.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 10 febbraio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei