[doc. web n. 9871886]

Provvedimento prescrittivo e sanzionatorio nei confronti di Problem Solving s.r.l. - 23 febbraio 2023

Registro dei provvedimenti
n. 50 del 23 febbraio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Agostino Ghigliia.

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con atto n. 14987/22 dell’11 marzo 2022 (notificato in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente richiamato, l’Ufficio ha avviato, ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti di Problem Solving s.r.l. (di seguito “Problem Solving” o “la Società”), in persona del legale rappresentante pro-tempore, con sede legale in Roma, viale Palmiro Togliatti, n. 1640, C.F. 02587440609.

Il procedimento trae origine da un’istruttoria avviata dall’Autorità a seguito dell’adozione di un provvedimento correttivo nei confronti della compagnia telefonica Vodafone Italia S.p.A. (provvedimento n. 224 del 12 novembre 2020, in www.gpdp.it, doc. web n. 9485681). In tale provvedimento, con riferimento a Problem Solving, si evidenziava che:

- “Problem Solving s.r.l. è un teleseller partner di Vodafone che si avvale del list provider AdOpera”;

- “L’accordo quadro che regola le attività del teleseller per conto di Vodafone, che ha per oggetto l’esecuzione di servizi di gestione di chiamate outbound e inbound per la promozione di campagne commerciali, non fa menzione di attività di acquisizione di liste di anagrafiche per conto di Vodafone […]. Il medesimo accordo quadro di cui sopra regola anche i rapporti fra Vodafone e Problem Solving s.r.l., ragione per cui anche in questo caso, si è osservato che le liste fornite da AdOpera (delle quali non si fa menzione negli script di chiamata) risultano acquisite da Problem Solving in qualità di autonomo titolare e successivamente riversate nei sistemi Vodafone realizzando una ulteriore cessione dei medesimi dati (in assenza, pertanto, di specifico consenso all’ulteriore comunicazione)”;

- “Vodafone ha […] illustrato le principali caratteristiche in termini di ruoli, attività ed implicazioni, dei due principali modelli di business utilizzati nell’ambito delle attività di vendita a distanza. Il primo modello prevede che il soggetto che effettua la promozione (teleseller) utilizzi liste proprie o acquistate da un soggetto terzo (list provider) in qualità di autonomo titolare del trattamento. Tale soggetto, che comunque viene designato da Vodafone quale responsabile per la successiva parte di contrattualizzazione, fornisce alla Società le liste esclusivamente per la scrematura delle anagrafiche presenti nel registro delle opposizioni e nelle black-list di Vodafone. Tale modello di business consente di mantenere inalterato, per le aziende che effettuano i contatti promozionali, il valore delle liste di cui dispongono, valore che verrebbe di fatto svuotato se per tali liste fosse necessario un doppio passaggio di consenso per poter essere lecitamente utilizzate con riferimento alle campagne promozionali dei soggetti committenti”;

- “Con riferimento a […] Problem Solving […], Vodafone ha specificato che la fornitura di liste di anagrafiche da parte di queste società si realizza in base al primo modello di business illustrato nei riscontri alla richiesta di informazioni e nella memoria difensiva. In base a tale modello Vodafone può autorizzare l'utilizzo di liste che essi stessi hanno acquisito da list provider. In questo contesto i partner si qualificano quali titolari autonomi del trattamento delle liste di anagrafiche acquisite e possono utilizzarle per tutti i propri committenti in vari settori merceologici. Secondo tale impostazione, che sarebbe utilizzata anche da tutte le altre società che si avvalgono di teleseller e agenzie, Vodafone essendo estranea al rapporto principale di acquisto delle liste, diviene titolare di anagrafiche solo ed esclusivamente in caso di successiva contrattualizzazione dell'utente finale”.

- “Anche in questi casi, pertanto, si è realizzata una doppia comunicazione di dati, la prima, dal soggetto che ha formato le liste di anagrafiche alle agenzie partner di Vodafone, la seconda dalle predette agenzie a Vodafone stessa, nell’ambito dell’attività di telemarketing della quale la Società ha assunto la piena titolarità”.

1.2. La richiesta di informazioni formulata dall’Autorità

Al fine di stabilire gli ambiti operativi di pertinenza di Problem Solving nel quadro dei trattamenti svolti per promuovere i prodotti e i servizi di Vodafone, l’Autorità ha quindi rivolto una richiesta di informazioni ed esibizione di documenti, ai sensi dell’art. 157 del Codice, a cui la Società ha dato riscontro con nota del 5 novembre 2021.

In essa è stato rappresentato che Problem Solving, agenzia monomandataria partner di Vodafone, ha acquisito e comunicato a quest’ultima, fra il 2019 e il 2020, liste di contatti contenenti circa 4 milioni e 300 mila anagrafiche. Le anagrafiche sono state acquisite dalle società Ad-Opera s.r.l. e, dal 2020, da BR Pharma s.r.l. (entrambe con sede legale a Roma).

La Società ha inteso rappresentare di non aver avuto alcun ruolo decisionale sull’utilizzo di eventuali liste, limitandosi secondo gli accordi convenuti e la prassi vigente al loro “caricamento” sul sistema “Vodafone Deduplica Liste” (ad esempio quelle acquistate dal fornitore Ad-Opera), così da ottenerne la “validazione” da parte del committente e da agire nel rispetto della volontà e delle finalità del Titolare del trattamento. Problem Solving si è avvalsa nel tempo sempre di un unico fornitore, al fine di fissare i parametri di affidabilità dell’interlocutore e di valutare un eventuale decadimento qualitativo delle forniture.

Nel 2019 e nei primi mesi del 2020 le liste sono state fornite da Ad-Opera S.r.l., azienda con cui Problem Solving aveva rapporti sin da 2012. Nel corso del 2020 nel quadro di una serie di iniziative volte ad elevare il livello qualitativo dell’attività da svolgere per conto dell’operatore telefonico committente, è stato individuato un nuovo fornitore (BR Pharma Srl) ritenuto più adeguato agli standard prefissati. Il passaggio da Ad-Opera a BR Pharma è stato preceduto da una serie di valutazioni sulla fornitura in essere (ricerca di mercato volta ad individuare una potenziale alternativa idonea allo scopo prestabilito, analisi ponderale delle caratteristiche di ciascun presumibile “subentrante” all’originario fornitore; comparazione tra i possibili soggetti indirizzata ad ottenere la preliminare identificazione di quello maggiormente corrispondente alle aspettative; valutazione in termini di costi e benefici; formulazione di una richiesta di offerta vincolata al rispetto di specifiche caratteristiche della fornitura di interesse; trattativa commerciale, stipula del contratto).

Il passaggio di dati da Ad-Opera a Problem Solving è avvenuto in base ad una informativa predisposta dal titolare originario che riportava testualmente: “La nostra Società AD-Opera Srl, […] acquisirà e tratterà unicamente dati anagrafici e di contatto per dar seguito alla vostra richiesta per finalità di marketing e pubblicitarie in applicazione della legge. Nome […] Cognome […] Telefono […] Cellulare […] Email […]. La base giuridica del trattamento è costituita dal consenso dell’interessato, espresso al momento dell’invio della richiesta. […] Il conferimento dei dati è necessario per consentirci di dare esecuzione alle richieste dell’utente. L’eventuale rifiuto a fornire, in tutto o in parte, i dati personali in oggetto potrebbe comportare l’impossibilità di dare seguito alla richiesta dell’interessato. […] Destinatari dei dati. I dati possono essere conosciuti dal personale autorizzato dalla nostra Società AD-Opera srl ed in particolare, verrà a conoscenza dei dati il personale addetto area commerciale, area tecnica, area amministrativa. Il trattamento potrà essere effettuato anche da terzi che forniscono specifici servizi elaborativi, amministrativi e strumentali necessari al raggiungimento delle finalità sopraindicate.”. Ad-Opera acquisiva dagli interessati anche un consenso e, al riguardo, Problem Solving ha esibito lo screenshot tratto da una pagina del sito web di Ad-Opera, che reca un form per la raccolta dei dati personali e due box con la richiesta di consenso. Nel primo si legge “i Suoi dati potranno essere comunicati a primarie società di direct marketing, specificamente individuate in una apposita pagina del sito internet www.ad-opera.it” e nel secondo vi è un richiamo all’informativa della società.

Per quanto riguarda il passaggio di dati da BR Pharma a Problem Solving, quest’ultima ha esibito copia dell’informativa che riporta testualmente: “Titolare del trattamento: Il titolare del trattamento è BR PHARMA SRL […] Tipologia di dati trattati. Il trattamento riguarda i seguenti dati personali: dati anagrafici: nome, cognome, dati di contatto: numero di telefono e indirizzo mail, dati di traffico telematico: log e indirizzo IP. Finalità del trattamento. La finalità del trattamento è la cessione dei suoi dati a terzi per ricevere offerte promozionali. Destinatari della cessione (Cessionario). I dati raccolti saranno ceduti esclusivamente alla PROBLEM SOLVING SRL (di seguito “cessionario”) partner Vodafone Italia S.p.A. che potrà contattarla per fornirle informazioni in merito all’offerta promozionale per la quale ha dimostrato interesse. Motivo della cessione permettere a PROBLEM SOLVING SRL di contattarla e di fornirle informazioni in merito all’offerta promozionale per la quale ha dimostrato interesse. Dati di contatto del cessionario: info@problemsolvingsrl.it. Dati oggetto della cessione nome, cognome (facoltativi) e numero di telefono. In assenza del numero di telefono i dati non potranno essere ceduti al cessionario. […]. Base giuridica art. 6 par.1 lett. a. Liceità del trattamento. Consenso alla cessione”. In ordine alla prova del consenso acquisito da BR Pharma per la comunicazione dei dati, Problem Solving ha esibito un elenco di 2308 leads nei quali è riportata la data e l’ora della creazione, il numero di telefono, il nominativo, l’indirizzo email, l’identificativo lead e l’indirizzo IP del soggetto interessato.

Con riferimento al processo di acquisizione delle liste, la Società ha dichiarato: “si tiene a rimarcare che tutte le attività di riscontro di conformità ai fini del rispetto delle norme in materia di dati personali (qui inclusa la verifica dell’informativa resa ai soggetti interessati dai fornitori AD-OPERA e BR PHARMA Srl) sono contrattualmente condivise con Vodafone Italia SpA”; “Problem Solving non procede ad alcun ulteriore utilizzo delle liste anagrafiche in questione, limita il loro impiego alle attività svolte in nome e per conto di Vodafone”. La Società ha altresì rappresentato che “Vodafone considera le liste fornite dai call center un prodotto “grezzo” e non consente l’uso di elenchi se non dopo un rigoroso procedimento di riscontro che si articola in un controllo sulla conformità in materia di privacy (idoneità del modello di informativa fornita agli interessati; modalità di acquisizione del consenso; verifica della presenza di numerazioni già clienti; verifica della presenza delle numerazioni nella black list della società ; incrocio delle numerazioni messe a disposizione dal partner con il Registro pubblico delle opposizioni; controllo della presenza delle numerazioni in liste fornite da altri partner)” restituendo solo all’esito di tale controllo alla struttura che esegue le chiamate una lista di nominativi da contattare”.

1.3. Contestazione delle violazioni amministrative

L’Ufficio ha preso atto che Problem Solving svolge una duplice attività che si innesta nel rapporto di partnership con Vodafone. La prima attività consiste nell’acquisire liste di anagrafiche da soggetti terzi, anagrafiche che, con la “deduplica” operata mediante l’utilizzo della piattaforma VDL (di proprietà di Vodafone), entrano a far parte delle liste di contattabilità della compagnia telefonica. La seconda attività è invece quella tipicamente di natura promozionale e di vendita dei servizi e consiste nel contattare le persone inserite nelle liste di anagrafiche acquisite (e autorizzate da Vodafone) per promuovere i servizi della compagnia telefonica. Nel caso in cui il soggetto contattato si dimostri interessato ad aderire all’offerta di Vodafone, Problem Solving procede alla compilazione della PDA su piattaforma elettronica proprietaria, ai controlli di qualità e all’invio della PDA sui sistemi amministrativi Vodafone.

Nell’atto di contestazione si evidenzia che le seconde attività sono operate da Problem Solving nella sua qualità di responsabile del trattamento ritualmente designato da Vodafone (come rappresentato dalla stessa compagnia telefonica nel corso dell’istruttoria dalla quale ha tratto origine il richiamato provvedimento n. 224 del 12 novembre 2020), mentre l’acquisizione delle liste di anagrafiche risulterebbe operata da Problem Solving in qualità di titolare autonomo del trattamento. Ciò emergerebbe, in primis, dai contratti che hanno regolato e regolano i rapporti fra Problem Solving e i fornitori: in quello stipulato con Ad-Opera non vi è alcuna menzione della circostanza che Problem Solving abbia operato l’acquisto delle liste in nome e per conto oppure con la compartecipazione o il consenso per accettazione di Vodafone. Il contratto stipulato con Br Pharma non ha per oggetto la cessione di liste anagrafiche ma l’erogazione di “servizi di consulenza aziendale” in base ad un piano di lavoro impostato e gestito da Problem Solving “con l’intento di dare visibilità sul web e sui Social Network Digitali al fine di trovare nuovi clienti, avviare il processo di comunicazione con il potenziale cliente, ottenere la fiducia del cliente nel tempo”.

Nella contestazione si evidenzia che anche la procedura di sostituzione del precedente fornitore di liste con quello contrattualizzato nel 2020 ha dimostrato che Problem Solving ha agito in prima persona, sulla base di autonome valutazioni aziendali anche in termini di qualità dei prodotti e di costi/benefici dell’offerta.

Dall’analisi delle informative emergerebbe inoltre che quella di Ad-Opera risulta gravemente carente e non reca alcuna indicazione della comunicazione dei dati a terzi, che viene esplicitata, in termini generici, soltanto nel box per la richiesta del consenso presente nella pagina web della società contenente un form di raccolta dei dati. Quella resa da Br Pharma, pur menzionando Vodafone quale partner commerciale di Problem Solving, qualifica quest’ultima società come “cessionario” dei dati e soggetto che effettuerà eventuali successivi contatti promozionali.

Problem Solving, pertanto, sulla base degli atti, avrebbe acquisito circa 4 milioni e 300 mila anagrafiche dalle società Ad-Opera e BR Pharma, che avrebbe poi comunicato a Vodafone per l’effettuazione di campagne promozionali realizzando una cessione tra autonomi titolari del trattamento. Con riferimento a tale cessione non risulterebbe che Problem Solving abbia fornito agli interessati una propria informativa ai sensi degli artt. 13 e 14 del Regolamento e abbia acquisito dai medesimi il consenso previsto dagli artt. 6 e 7 del medesimo Regolamento.

L’Ufficio ha pertanto adottato il sopra richiamato atto di avvio del procedimento amministrativo n. 14987/22 dell’11 marzo 2022, con il quale ha contestato a Problem Solving le seguenti ipotesi di violazione:

a) artt. 13, del Regolamento, per avere effettuato comunicazioni di dati personali di interessati presenti nelle liste di anagrafiche fornite dalle società Ad-Opera e Br Pharma, senza aver fornito ai medesimi le necessarie preventive informazioni sul trattamento dei dati personali;

b) artt. 5, comma 1, lett. a), 6 e 7 del Regolamento, per aver comunicato i dati di cui al punto a) a terzi senza aver acquisito dagli interessati il prescritto consenso.

2. OSSERVAZIONI DIFENSIVE E VALUTAZIONI DELL’AUTORITÀ

2.1. La memoria difensiva e l’audizione di Problem Solving.

La Società ha fatto pervenire nei termini (11 aprile 2022) una memoria difensiva e ha chiesto di essere ascoltata in audizione. Tale audizione si è svolta in video-conferenza, per ragioni di cautela legate alla attuale pandemia, in data 10 maggio 2022 ed i suoi contenuti sono stati riassunti in un verbale sottoscritto dall’Ufficio e dalla Società.

Nella memoria difensiva Problem Solving ha in primo luogo premesso che, nel riscontro alla richiesta di informazioni del 5 novembre 2021 la Società, per mero refuso, ha trasmesso la sola prima informativa che BR Pharma esibiva ai propri utenti, richiamata nel capitolo 1.2 e non la seconda, adottata formalmente nel febbraio 2021 ma già formulata nel settembre 2020, e quindi in epoca antecedente alla data di adozione del provvedimento del Garante nei confronti di Vodafone, nella quale si rappresenta che “i dati raccolti saranno ceduti esclusivamente alla Vodafone SpA (di seguito “cessionario”) partner Problem Solving Srl che potrà contattarla per fornire informazioni in merito all’offerta promozionale per la quale ha mostrato interesse. Motivo della cessione permettere a Vodafone SpA di contattarla attraverso il partner Problem Solving Srl e di fornirle informazioni in merito all’offerta promozionale per la quale ha dimostrato interesse. Dati di contatto del partner: info@problemsolvingsrl.it”. Esibendo uno scambio di mail intercorso fra Vodafone e Problem Solving, la Società ha quindi evidenziato che la compagnia telefonica, sulla base della nuova informativa, ha riconosciuto il proprio ruolo di titolare del trattamento anche nella fase di acquisizione delle liste anagrafiche e ha riconfermato quello di responsabile del trattamento di Problem Solving, anche durante tale processo.

Problem Solving ha inoltre ribadito di aver sempre agito, anche nella fase di acquisizione delle liste anagrafiche, quale intermediario di Vodafone e responsabile del trattamento dei dati della compagnia telefonica, avendo destinato le liste acquisite al solo utilizzo di Vodafone, essendosi attenuta alle disposizioni di volta in volta impartite dalla compagnia, essendo stata sottoposta ad un processo di severi audit da parte di quest’ultima e avendo dovuto rispondere anche della scelta delle aziende fornitrici e dei criteri con le quali tali aziende raccoglievano i dati personali destinati al contatto promozionale.

La Società ha richiamato anche il contenuto delle Linee guida EDPB 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR, evidenziando che tali concetti sono “funzionali più che formali” e che, proprio sulla base dei dati fattuali sopra indicati (assenza da parte di Problem Solving di potere decisionale, intervento di Vodafone in tutte le fasi del trattamento, audit nei confronti di Problem Solving, valutazione in ordine alla scelta dei fornitori) Vodafone si deve qualificare inequivocabilmente come titolare del complessivo trattamento che inizia con la raccolta dei dati presso i list-editor e si conclude con il contatto promozionale e l’eventuale perfezionamento della proposta di acquisto.

Anche in sede di audizione la Società ha evidenziato la costante attenzione di Problem Solving in ordine agli aspetti legati alla protezione dei dati personali, con verifiche costanti, portate sempre a conoscenza di Vodafone, anche con riferimento alla materia della titolarità dei trattamenti e, a questo proposito ha ricordato che, proprio in virtù di tali verifiche, Vodafone sin dal settembre 2020 ha inteso modificare l’informativa relativa ai trattamenti di dati acquisiti per il tramite di Problem Solving, in particolare quelli provenienti da Premialoo.it, attribuendo correttamente a sé stessa la veste giuridica del titolare del trattamento. Quanto al periodo precedente, se è vero che l’informativa recava altri elementi, è pur vero che la stessa era stata dettata da Vodafone, soggetto che di tutta evidenza era dotato di una forza contrattuale ampiamente superiore a quella di Problem Solving. Tuttavia, andando al di là del dato meramente formale, anche prima del settembre 2020 il trattamento dei dati personali finalizzato all’acquisizione di nuove liste anagrafiche si innestava nel complesso dei trattamenti finalizzati al contatto promozionale dei potenziali clienti, trattamenti che vedevano indiscutibilmente Vodafone quale unico titolare.

Problem Solving ha ribadito che anche il vecchio modello di informativa, adottato nel periodo 2019/2020, era stato imposto da Vodafone e che già in quel periodo Problem Solving era soggetta ai serrati controlli di qualità e di coerenza delle procedure predisposti dalla compagnia telefonica, giacché l’audit della Società si è svolto proprio nel 2019.

La Società ha quindi sottolineato che anche queste circostanze evidenziano il ruolo di responsabile, e non di titolare, rivestito da Problem Solving e il ristrettissimo margine di manovra concesso a quest’ultima da parte di Vodafone, margine di manovra che si limitava ad aspetti meramente tecnici del trattamento o alla individuazione del migliore soggetto dal quale acquisire liste di anagrafiche, in virtù della consolidata esperienza di Problem Solving nel settore. Tuttavia, ogni attività posta in essere dalla Società è stata effettuata solo nell’interesse di Vodafone, senza spazi autonomi di impresa e, soprattutto, senza che i dati acquisiti siano mai stati comunicati o ceduti ad altri soggetti estranei al trattamento del titolare Vodafone.

Infine Problem Solving ha inteso porre l’attenzione sul fatto che il trasferimento di dati acquisiti dai partner nella piattaforma VDL di Vodafone avveniva contestualmente all’acquisizione da parte della Società, elemento che esclude quindi il cd. “doppio passaggio” dai partner a Problem Solving e da Problem Solving a Vodafone.

2.2. Le osservazioni dell’Autorità.

Le argomentazioni addotte dalla Società non appaiono idonee ad escludere la responsabilità della medesima in relazione alle condotte contestate.

In primo luogo, deve osservarsi che già con il provvedimento n. 224 del 12 novembre 2020 risultava accertato, per ammissione di Vodafone e in base ai documenti prodotti, che Problem Solving avesse agito quale autonomo titolare nei trattamenti di dati personali connessi all’acquisizione di liste anagrafiche da soggetti terzi (list provider). Tale ammissione da parte della compagnia telefonica non ha modificato la valutazione dell’Autorità in ordine alle responsabilità sulle violazioni commesse, cosicché deve ritenersi che la stessa non fosse funzionale ad una ricostruzione di comodo circa lo svolgimento delle operazioni di trattamento ma corrispondesse ai reali rapporti intercorrenti fra Vodafone e Problem Solving.

Tuttavia, l’Ufficio ha inteso correttamente coinvolgere in prima persona Problem Solving nella fase istruttoria, richiedendo alla Società di fornire informazioni ed esibire documenti dai quali potessero ricavarsi elementi non emersi in precedenza sull’esistenza di accordi o direttive, anche non esplicitati nella forma contrattuale, che consentissero di ricondurre le acquisizioni di liste anagrafiche al complesso dei trattamenti di dati personali svolti in qualità di responsabile del trattamento per conto di Vodafone (punto 3 della richiesta di informazioni ex art. 157 del Codice: “modalità di acquisizione delle liste e base giuridica prevista per la comunicazione delle predette liste a Vodafone”). Ciò proprio al fine di superare il dato formale e qualificare in concreto ruoli e responsabilità delle due società.

I riscontri forniti da Problem Solving non hanno fatto emergere elementi significativi nel senso indicato dalla Società e al riguardo si devono richiamare i numerosi punti di criticità già evidenziati nell’atto di avvio del procedimento, nel quale, ad esempio, ci si sofferma sui rapporti contrattuali intercorsi fra fornitori di liste e Problem Solving: in quello stipulato con Ad-Opera non vi è alcuna menzione della circostanza che Problem Solving abbia operato l’acquisto delle liste in nome e per conto oppure con la compartecipazione o il consenso di Vodafone. Il contratto stipulato con Br Pharma non ha per oggetto la cessione di liste di anagrafiche ma l’erogazione di “servizi di consulenza aziendale” in base ad un piano di lavoro impostato e gestito da Problem Solving “con l’intento di dare visibilità sul web e sui Social Network Digitali al fine di trovare nuovi clienti, avviare il processo di comunicazione con il potenziale cliente, ottenere la fiducia del cliente nel tempo”.

Se è vero che l’individuazione del titolare del trattamento deve andare oltre il dato formale, ciò non può certo significare che quanto emerge dai contratti sia da considerare un mero simulacro giuridico, e in questo caso i contratti rivelano non solo che Problem Solving ha agito in prima persona nella formalizzazione delle obbligazioni reciproche con i fornitori di liste, ma ha anche ampliato il perimetro operativo con una delle due società (Br Pharma) includendo attività di consulenza e valorizzazione dei propri asset a beneficio di sé stessa e non certo di Vodafone.

Deve inoltre richiamarsi quanto indicato in contestazione con riferimento al processo di “selezione” del partner che avrebbe dovuto sostituire Ad-Opera nell’attività di raccolta dei dati destinati al contatto promozionale, evidenziando che in tale fase, per ammissione di Problem Solving, la Società ha agito con ampia autonomia, sulla base di autonome valutazioni aziendali anche in termini di qualità dei prodotti e di costi/benefici dell’offerta.

Appare inoltre insormontabile quanto rilevato dalla circostanza, dedotta anche dai rapporti contrattuali intercorrenti fra Problem Solving e Vodafone emersi nel corso dell’istruttoria principale (Accordo Quadro sottoscritto fra le due aziende il 1° ottobre 2019), che l’oggetto della collaborazione fra le due società è lo svolgimento di chiamate inbound e outbound per conto di Vodafone e non l’acquisizione di liste anagrafiche, attività che viene presa in considerazione quale facoltà della Società, che in tale caso agirebbe fuori dalla disciplina contrattuale e quindi quale autonomo titolare.

Quanto al contenuto delle informative, si prende atto del nuovo documento prodotto in sede di memoria difensiva relativo all’informativa adottata da Br Pharma dal febbraio 2021, sul quale ovviamente incombono le medesime considerazioni in ordine alla prevalenza dell’elemento fattuale rispetto ai dati meramente formali richiamate nelle Linee Guida EDPB 07/2020, ma si deve osservare che in esso è chiaramente indicato il titolare del trattamento (Br Pharma) e il cessionario (Vodafone) senza chiarire né il ruolo di Problem Solving nell’acquisizione dei dati, né il processo di trasferimento dei dati medesimi che, per le sue caratteristiche più volte rappresentate sia da Vodafone che dalla stessa Problem Solving, evidenzia il cd. “doppio passaggio” fra diversi titolari del trattamento senza escludere che ciascuno di essi possa operare, riscontrandone la convenienza, autonomi utilizzi delle liste anagrafiche nella loro disponibilità.

Le considerazioni di cui sopra devono estendersi anche ai trattamenti svolti con l’utilizzo delle anagrafiche fornite da Ad-Opera, in ordine ai quali devono ribadirsi le gravi criticità desunte dal testo dell’informativa resa da Ad-Opera medesima e dalle modalità di raccolta del consenso.

Sulla base delle considerazioni di cui sopra si devono confermare le osservazioni svolte in sede di contestazione e affermare la responsabilità di Problem Solving la quale ha acquisito da soggetti terzi liste anagrafiche entrando in contatto in maniera autonoma con tali soggetti, sottoscrivendo in proprio i relativi contratti che, nel caso di Br Pharma avevano anche una portata più ampia della comunicazione dei dati, acquisendo direttamente le liste e riversandole poi nel sistema VDL, di proprietà di Vodafone. In tale modo si è realizzato il cd. “doppio passaggio” dei dati, dai list provider a Problem Solving e da Problem Solving a Vodafone, a nulla rilevando la destinazione esclusiva dei dati medesimi (che rappresentava solamente una garanzia nell’interesse dei list provider) e la preventiva autorizzazione e successiva validazione dei dati da parte di Vodafone (funzionale esclusivamente all’ingresso delle liste nei database societari).

3. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di Problem Solving in ordine alle seguenti violazioni:

a) artt. 13, del Regolamento, per avere effettuato comunicazioni di dati personali di interessati presenti nelle liste di anagrafiche fornite dalle società Ad-Opera e Br Pharma, senza aver fornito ai medesimi le necessarie preventive informazioni sul trattamento dei dati personali;

b) artt. 5, comma 1, lett. a), 6 e 7 del Regolamento, per aver comunicato i dati di cui al punto a) a terzi senza aver acquisito dagli interessati il prescritto consenso.

Accertata altresì l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario:

- imporre a Problem Solving, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati acquisiti da Ad-Opera e Br-Pharma;

- prescrivere alla Società, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, di prevedere una procedura di acquisizione delle liste anagrafiche che renda chiaro agli interessati la titolarità dei diversi trattamenti posti in essere e la base giuridica delle eventuali comunicazioni di dati;

-  adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Problem Solving della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento.

4. ORDINANZA-INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Problem Solving della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento (pagamento di una somma fino a € 20.000.000);

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento.

Nel caso in esame, assumono rilevanza:

1) la gravità della violazione (art. 83, par. 2, lett. a) del Regolamento), in ragione del carattere di pervasività dei trattamenti in ambito del telemarketing, della durata dei trattamenti medesimi e del numero particolarmente elevato di interessati coinvolti, elementi mitigati dalla circostanza che le condotte poste in essere da Problem Solving sono state in parte influenzate dalla compagnia telefonica committente;

2) quale fattore attenuante, l’apprezzabile collaborazione con l’Autorità nell’ambito dell’istruttoria (art. 83, par. 2, lett. f) del Regolamento);

3)  quali fattori ulteriori da tenere in considerazione per parametrare la sanzione (art. 83, par. 2, lett. k) del Regolamento), i dati in ordine alla capacità economica della Società, desunti dal bilancio d’esercizio per l’anno 2020.

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, in via di prima applicazione delle sanzioni amministrative pecuniarie previste dal Regolamento, anche al fine di limitare l’impatto della sanzione in un periodo contrassegnato dalle ricadute economiche della grave emergenza pandemica, si ritiene debba applicarsi alla medesima la sanzione amministrativa del pagamento di una somma di euro 54.609,62, pari al 2 % del fatturato della Società riportato nell’ultimo bilancio disponibile.

Nel caso in argomento si ritiene che debba trovare applicazione la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti e del numero di soggetti coinvolti, nonché degli elementi di rischio per l’esercizio dei diritti degli interessati;

Ricorrono infine i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione del provvedimento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

TUTTO CIO’ PREMESSO IL GARANTE

a) impone a Problem Solving, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati acquisiti da Ad-Opera e Br-Pharma;

b) prescrive alla Società, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di prevedere una procedura di acquisizione delle liste anagrafiche che renda chiaro agli interessati la titolarità dei diversi trattamenti posti in essere e la base giuridica delle eventuali comunicazioni di dati;

c) ingiunge a Problem Solving, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento

ORDINA

a Problem Solving s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Roma, viale Palmiro Togliatti, n. 1640, C.F. 02587440609, di pagare la somma di euro 54.609,62 (cinquantaquattromilaseicentonove/62) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata.

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 54.609,62 (cinquantaquattromilaseicentonove/62), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

L’applicazione della sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dagli artt. 166, comma 7 del Codice e 16 del Regolamento del Garante n. 1/2019, e l’annotazione del medesimo nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la sede il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Roma, 23 febbraio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia                                                 

IL SEGRETARIO GENERALE
Mattei