VEDI ANCHE Newsletter del 28 novembre 2022

[doc. web n. 9826417]

Ordinanza ingiunzione nei confronti di Vodafone Italia S.p.A. - 10 novembre 2022

Registro dei provvedimenti
n. 379 del 10 novembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Premessa

Con atto dell’8 agosto 2022, n. 42684/22 (notificato in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente riprodotto, l’Ufficio ha avviato, ai sensi dell’art. 166, comma 5, del Codice, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti di Vodafone Italia S.p.A., (di seguito “Vodafone” o “la Società”), in persona del legale rappresentante pro-tempore, con sede legale in Ivrea (TO), via Jervis 13, C.F. 08539010010.

Il procedimento trae origine da una istruttoria avviata dall’Autorità, a seguito della ricezione di un reclamo proposto per conto della sig.ra XX da parte di suo figlio XX. Con il reclamo si rappresentava che la sig.ra XX, di anni 85, veniva contattata, nei primi giorni di dicembre 2020, da un call-center della rete di vendita di Vodafone, con il quale la stessa concludeva, a suo dire senza avvedersene, un contratto per l’attivazione di servizi telefonici di linea fissa e correlata portabilità della numerazione in Vodafone.

Resasi conto di quanto accaduto, la reclamante richiedeva il recesso dal contratto, in data 3 dicembre 2020, al quale faceva seguito una richiesta di recupero spese, pari a € 173,49, inviata all’interessata da parte di una società su incarico di Vodafone. La reclamante provvedeva a esercitare il proprio diritto di accesso ai sensi dell’art. 15 del Regolamento, chiedendo a Vodafone informazioni sull’origine dei dati personali e sulle modalità di trattamento e di comunicazione dei medesimi. La compagnia telefonica riscontrava la richiesta indicando i dati in proprio possesso e rappresentando di aver “provveduto a revocare il consenso commerciale, precedentemente rilasciato in fase di attivazione in data 05/11/2020”. Indicava anche i dati del documento d’identità della reclamante, come acquisiti nel corso della vendita del servizio telefonico. La reclamante, ritenendo che Vodafone, nel corso del contatto telefonico finalizzato alla vendita di un servizio e nel riscontro alla richiesta di accesso, non avesse posto in essere condotte conformi alle disposizioni del Regolamento, richiedeva l’intervento dell’Autorità.

1.2.  Le richieste di informazioni formulate dall’Autorità

L’Ufficio, ricevuto il reclamo, provvedeva a richiedere a Vodafone proprie osservazioni sull’accaduto e la compagnia telefonica, con nota del 5 agosto 2021, faceva presente che “relativamente all’acquisizione del consenso, precedente al contatto del Partner Vodafone che ha perfezionato la vendita tramite Vocal Recording, dalle evidenze ricevute dallo stesso Partner, risulta che la Signora XX, in data 5/11/2020 alle 13:33 abbia effettuato con il suo numero fisso [...] una chiamata verso l’IVR avente numero 08119043605, all’epoca appartenente al sub fornitore Wocs del Partner PROMARKETING SHPK” e che “conseguentemente la Signora XX, avendo prestato il proprio consenso al ricontatto, veniva ricontattata in recall dallo stesso Partner che finalizzava poi l’attivazione del contratto “Tutto Facile Fisso” tramite registrazione vocale che, in data odierna, la Scrivente ha provveduto ad inviare al Signor XX. Il contatto alla Signora XX è stato pertanto effettuato a fronte del consenso acquisito attraverso il precedente contatto inbound effettuato dalla stessa. Il rilascio del consenso commerciale veniva confermato dalla Signora XX anche in fase di registrazione vocale; poi revocato da Vodafone in data 24/02/2021, su richiesta della cliente. Infine, per quanto concerne la correttezza del numero di Carta d’Identità, si fa presente che il numero del documento presente sui sistemi di Vodafone è lo stesso [...] che la Signora XX forniva in fase di registrazione vocale effettuata a novembre 2020”.

A seguito di replica della reclamante, che contestava di aver mai effettuato chiamate dirette ai call-center di Vodafone per rilasciare consensi al ricontatto promozionale, la compagnia telefonica comunicava la propria “disponibilità a ricevere dalla signora XX elementi oggettivi in merito all’assenza di chiamate dalla linea [...] a lei intestata verso l’IVR del Partner commerciale (e.g. dettaglio del traffico uscente del mese di novembre 2020).Ciò in quanto Vodafone ha ricevuto dal proprio Partner commerciale e fornito nel proprio riscontro all’Autorità il print screen della chiamata in entrata ricevuta dalla linea [...] verso l’IVR del Partner commerciale, pertanto ne ha preso atto e, in mancanza di evidenze contrarie, non può che confermare e ribadire quanto già esplicitato nel proprio riscontro del 7 agosto 2021”.

L’Ufficio, dopo lo scambio di missive delle parti, provvedeva a inviare una nuova richiesta di informazioni a Vodafone, ai sensi dell’art. 157 del Codice, per l’acquisizione della “registrazione della conversazione telefonica avvenuta in data 5 novembre 2020, alle ore 13.33, fra la sig.ra XX e l’operatore del sub fornitore Wocs del partner Vodafone Promarketing shpk, conversazione telefonica nel corso della quale la sig.ra XX avrebbe prestato il consenso al ricontatto per finalità di vendita dei prodotti e servizi Vodafone e avrebbe fornito gli estremi del proprio documento d’identità”.

Vodafone, in riscontro alla richiesta, inviava la registrazione telefonica nella quale “la signora XX, nell’ambito della vocalizzazione del contratto, confermava all’operatore gli estremi del proprio documento d’identità, del codice fiscale e del codice di migrazione della linea […], precedentemente forniti, e prestava altresì il consenso per finalità commerciali di cui l’operatore indicava la modalità di revoca in qualunque momento contattando il Servizio Clienti Vodafone. Consenso poi revocato da Vodafone in data 24/02/2021, su richiesta della cliente”.

Tale registrazione, sulla base di quanto riportato al minuto 6 e 25” della medesima e ribadito al minuto 6 e 30”, risulta essere stata realizzata in data 4 novembre 2020 (quindi un giorno prima dell’asserita chiamata della sig.ra XX al call-center, per rilasciare il proprio consenso al contatto promozionale).

1.3. Contestazione delle violazioni

L’Ufficio, all’esito dell’istruttoria, adottava il sopra richiamato atto di contestazione n. 42684/22 nel quale, in primo luogo, si osservava che le informazioni e i documenti raccolti avevano confermato la versione della reclamante che ha sempre negato di aver contattato autonomamente un call-center di Vodafone per fornire il proprio consenso al ricontatto promozionale, con conseguente impossibilità di ricondurre i trattamenti operati dalla Società ad un idoneo consenso prestato dall’interessato.

Quindi si evidenziava che, in sede di esercizio dei diritti, i riscontri forniti da Vodafone, in particolare con riferimento all’esibizione di copia del documento d’identità della reclamante presente negli archivi aziendali, non risultavano compiuti.

Nell’atto di contestazione, inoltre si rappresentava che dall’esame della registrazione vocale della vendita del servizio di telefonia alla reclamante, era emerso che l’operatore avrebbe sottoposto alla sig.ra XX la seguente formula di consenso: “Nel rispetto della legge sulla privacy i dati personali raccolti durante la registrazione saranno utilizzati da Vodafone e comunicati ad altri operatori di telecomunicazioni per attivare il servizio da lei richiesto. Ci autorizza inoltre a trattare i suoi dati per inviare materiale pubblicitario su iniziative o offerte Vodafone tramite posta, email, telefono, sms, mms, push notification, via app e invio con modalità similari”. Si osservava quindi che tale formula risultava, in taluni punti della registrazione, difficilmente comprensibile e solamente dopo numerosi riascolti, atteso che l’operatore era riuscito a pronunciare ben 63 parole nell’arco di 16 secondi, e che la stessa prevedeva l’acquisizione di un consenso indifferenziato e univoco, sia per le comunicazioni dei dati ad altri operatori telefonici, al fine dell’attivazione del servizio (tipologia di trattamento per la quale doveva invece essere indicata la diversa base giuridica di cui all’art. 6, par. 1, lett. b) del Regolamento), sia per le molteplici modalità di contatto dell’interessato (“posta, email, telefono, sms, mms, push notification, via app e invio con modalità similari”).

In base a quanto indicato nell’atto di contestazione, l’esame della registrazione vocale faceva emergere ulteriori elementi di criticità connessi alla scelta dell’operatore di call-center di sottoporre alla reclamante il contratto per l’attivazione dei servizi mediante una lettura svolta ad una velocità stimata di circa 200 parole al minuto per oltre sei minuti di registrazione, tecnica che rendeva il contratto medesimo incomprensibile e invalutabile, con conseguente lesione del principio di correttezza e trasparenza del trattamento dei dati personali.

Nell’atto di contestazione infine si evidenziava che i riscontri forniti da Vodafone alle richieste di informazioni dell’Autorità risultavano inidonei avendo la Società riproposto l’irrealistica versione dell’agenzia di call-center del contatto spontaneo operato dalla reclamante per fornire al call-center medesimo il consenso ad un successivo ricontatto promozionale e avendo omesso di chiarire in sede di riscontro che la registrazione vocale fornita era quella della vendita del servizio e che tale vendita era avvenuta in epoca antecedente a quella dell’asserito contatto spontaneo della reclamante.

L’Ufficio, pertanto, contestava a Vodafone le seguenti ipotesi di violazione:

a) artt. 12, par. 1, e 13, del Regolamento, per avere effettuato un contatto promozionale nei confronti della reclamante, per il tramite della società di diritto albanese Wocs Shpk, con sede in Tirana, responsabile del trattamento designato da Vodafone, senza avere reso all’interessata la necessaria informativa nelle forme e nei tempi di cui alle richiamate disposizioni;

b) artt. 5, par. 1, 6 e 7 del Regolamento, nonché 130, comma 3, del Codice, per aver effettuato il contatto promozionale di cui sopra senza aver acquisito dall’interessata il prescritto consenso;

c) artt. 5, par. 1, lett. a), 6 e 7 del Regolamento, nonché 130, commi 1, 2 e 3, per aver acquisito dall’interessata, nel corso del contatto promozionale di cui sopra un consenso indifferenziato e unico per le diverse tipologie di contatto, consenso poi registrato nei sistemi Vodafone;

d) artt. 5, par. 1, lett. a), del Regolamento per aver effettuato trattamenti di dati personali finalizzati alla conclusione di un contratto per l’attivazione di servizi telefonici in capo alla reclamante, in violazione dei principi di correttezza e trasparenza del trattamento;

e) art. 15, par. 3, del Regolamento, per aver fornito alla reclamante un inidoneo riscontro alla richiesta di esercizio del diritto di accesso ai propri dati personali, con specifico riferimento al documento d’identità acquisito;

f) art. 157 del Codice, per aver fornito all’Autorità riscontri inesatti alle richieste di informazioni e esibizioni di documenti.

2. LA DIFESA DEL TITOLARE

La parte ha fatto richiesta di audizione davanti all’Autorità, in base a quanto previsto dall’art. 166, comma 6, del Codice e dall’art. 13 del regolamento del Garante n. 1/2019, audizione che si è svolta il 7 ottobre 2022.

Vodafone, in tale occasione, ha rappresentato che il caso si colloca in un periodo temporale coincidente con il provvedimento dell’Autorità nei confronti della Società in tema di telemarketing. All’epoca, la finalizzazione dei contratti attraverso vocal order era molto più utilizzata di quanto lo sia oggi, giacché nei tempi attuali tale tecnica è stata quasi del tutto sostituita con la sottoscrizione tramite firma digitale. Il vocal order viene ancora oggi utilizzato per i soggetti che possono avere maggiori difficoltà con il mezzo elettronico, quali ad esempio i consumatori delle fasce di età più anziane. Il vocal order, secondo Vodafone, è quindi una forma di ratifica di opzioni contrattuali che vengono sottoposte al cliente nel corso della parte non registrata della telefonata, quando le stesse sono illustrate puntualmente e in forma discorsiva, affinché chi ascolta ne abbia piena conoscenza. È ciò che è avvenuto nel caso del contatto lamentato dalla reclamante, nel corso del quale l’operatore del call center ha proceduto alla registrazione del vocal order solo dopo aver illustrato alla sig.ra XX le diverse offerte e aver riscontrato da parte sua un orientamento favorevole alla conclusione del contratto e dopo aver acquisito dalla stessa i dati necessari, fra i quali anche gli estremi del documento di riconoscimento. A tale riguardo, Vodafone ha sottolineato che il vocal order contiene i dati che vengono acquisiti, nella parte della telefonata non soggetta a registrazione, e tali dati non sono, né potrebbero essere già presenti nei sistemi Vodafone poiché alcuni di loro, quale ad esempio il codice di migrazione, è a conoscenza del solo intestatario del contratto.

Vodafone ha quindi evidenziato che effettivamente nel caso sollevato dalla reclamante emerge una discrepanza fra quanto indicato nel cartellino della chiamata relativa al rilascio del consenso, che sarebbe stata effettuata il 5 novembre 2020, e il vocal order della vendita, nel quale l’operatore indica la data del 4 novembre 2020, tuttavia non vi è alcuna possibilità di risalire alla causa di tale discrepanza e soprattutto, se essa derivi da un errore dell’operatore nel corso della registrazione o da un errore nel cartellino. Anche per questa ragione Vodafone aveva richiesto alla reclamante la documentazione in ordine al traffico telefonico in uscita, non per mettere in dubbio le indicazioni della sig.ra XX ma per acquisire un elemento documentale idoneo a fare chiarezza sulla questione ed eventualmente appurare se fosse stato formato un cartellino di chiamata falso e chiederne conto al teleseller.

In un documento prodotto nel corso dell’audizione Vodafone ha evidenziato che, nonostante nel vocal order l’operatore faccia riferimento, per un possibile errore, alla data del 4 novembre 2020, il file audio riporta (nella denominazione dello stesso del file) la data del 5 novembre; parimenti la creazione dell’anagrafica della sig.ra XX e l’attivazione della nuova linea fissa, risultano entrambe risalenti al 5 novembre 2020.

Dalla impossibilità di individuare correttamente l’origine della discrepanza come sopra richiamata, consegue, a parere di Vodafone, stante il possibile errore dell’ operatore sulla data del vocal order, avvalorato dagli elementi di prova in ordine alla circostanza che la vendita sarebbe avvenuta il 5 novembre 2020 e non il 4 novembre, che dovrebbe escludersi una qualsiasi forma di violazione dell’art. 157 del Codice per la carenza di idonei elementi oggettivi ad avvalorare tale contestazione, oltre che di idonei elementi soggettivi che possano imputare, anche solo a titolo di colpa, tale contestazione alla Società.

A parere di Vodafone, anche la circostanza che la chiamata con la quale si è proceduto alla vendita del servizio alla reclamante sia avvenuta nell’ambito di una campagna denominata “Vodafone Outbound”, non prova che essa non possa essere stata preceduta da una chiamata della medesima reclamante per prestare il proprio consenso al ricontatto: “la dicitura “Vodafone Outbound” indica proceduralmente che l’operatore, a seguito della richiesta di contatto in inbound, abbia correttamente proceduto in outbound a ricontattare l’interessata per esporre l’offerta di interesse della Signora XX e, pertanto, abbia in tal senso riportato la suddetta dicitura nel sistema […]. Queste ultime considerazioni, oltre che a rafforzare quanto sopra indicato in merito ad una assenza di violazione dell’art. 157 Cod. Priv., portano altresì la scrivente a ritenere che non è fondata la presunta contestazione elevata (vedasi la contestazione di cui al pt. 4, lett. b) della Comunicazione) in materia di assenza di consenso al contatto promozionale, dal momento che quest’ultimo è avvenuto in base ad una azione spontanea dell’interessata”.

Da quanto sopra riportato consegue, a parere di Vodafone che “essendo stata sopra provata la condotta dell’interessata di richiesta di ricontatto da parte del teleseller”, anche la contestazione in tema di informativa non avrebbe pregio poiché, di regola, al momento del primo contatto “spontaneo” da parte di un interessato, il sistema di risposta automatica del teleseller fornisce una sintetica informativa (nome del teleseller, del committente e richiesta di consenso per il ricontatto promozionale, che può essere fornito premendo i tasti “#1”)

Con riferimento alle modalità di acquisizione del consenso nel corso del vocal order, Vodafone ha inteso rappresentare che la prima parte della formula presa in esame non era necessaria, poiché i trattamenti ai quali si fa riferimento sono quelli connessi all’esecuzione del contratto e all’erogazione del servizio. Sul consenso per finalità di marketing, non essendo prevista una differenziazione della raccolta del consenso in ragione delle diverse modalità di contatto, la formula così come espressa appare corretta, anche se sono riportate modalità di contatto ormai obsolete (quali fax o mms) che ormai non vengono più utilizzate e che contribuiscono ad appesantire la formula e che la Società si è impegnata ad eliminare per semplificare le procedure a vantaggio del cliente.

Quanto alle modalità di riscontro alle richieste di esercizio dei diritti, Vodafone ha osservato che la reclamante ha esercitato tale facoltà dopo oltre tre mesi dalla chiusura della complessiva vicenda, quando ormai il contratto era stato risolto in virtu’ della richiesta di disattivazione della reclamante, ancor prima del completamento della portabilità del suo numero in Vodafone, e comunque ha fatto presente che il riscontro è stato il più ampio possibile e nei termini previsti, come da consolidata procedura della Società.

Allo stesso modo, Vodafone ha tenuto a precisare che la collaborazione con il Garante è stata, come sempre, massima e improntata alla disponibilità, come, ad esempio, nella produzione del vocal order relativo alla vendita, fornito non per eludere la richiesta della registrazione della chiamata nella quale la reclamante ha espresso il consenso al ricontatto, non presente negli archivi Vodafone, ma con l’intento di offrire all’Autorità il più ampio supporto documentale per una compiuta valutazione della vicenda.

3. VALUTAZIONI DELL’AUTORITÀ

Va in primo luogo rappresentato che le osservazioni di Vodafone fornite nel corso dell’audizione appaiono idonee a escludere la responsabilità della Società per ciò che riguarda la contestazione di cui ai punti e) ed f) della rubrica, atteso che non appare provato un inidoneo riscontro da parte della medesima alle richieste di esercizio dei diritti della reclamante, con specifico riferimento alla produzione di copia del documento d’identità e deve ritenersi prodotto in buona fede, e non con l’intento di fuorviare l’istruttoria, il vocal order della vendita del servizio telefonico in luogo del richiesto file audio relativo all’acquisizione del consenso della sig.ra XX.

Quanto ai capi a) e b) dell’atto di contestazione, gli stessi riguardano la principale questione sollevata dalla reclamante, e cioè che Vodafone ha operato, per il tramite della sua rete di vendita, un contatto promozionale nei confronti della sig.ra XX, senza aver reso alla stessa la necessaria informativa e senza aver acquisito il previsto consenso. Al riguardo giova ricordare che la reclamante ha rappresentato - con dichiarazione che in caso di mendacio soggiace alla sanzionabilità penale prevista dall’art. 168 del Codice - che la sig.ra XX “non ha mai rilasciato, nel passato, alcun consenso al trattamento dei propri dati a Vodafone né per fini contrattuali né, tantomeno, per fini di marketing”.

Sul punto la linea di Vodafone nel corso dell’audizione del 7 ottobre 2022 è stata di piena conferma delle dichiarazioni rese in sede istruttoria che così ricostruiscono i fatti: la sig.ra XX avrebbe, sua sponte, contattato un call center gestito da un teleseller di diritto albanese che opera per conto di Vodafone, e avrebbe espresso, ad un risponditore automatico (IVR), la propria disponibilità ad essere ricontattata per ricevere offerte promozionali. Tale scelta sarebbe stata operata consapevolmente, dopo aver ricevuto una sintetica informativa, digitando una combinazione di tasti sul telefono. Successivamente la sig.ra XX sarebbe stata effettivamente ricontattata dal teleseller che avrebbe realizzato la vendita di un servizio telefonico con portabilità della numerazione fissa della reclamante verso Vodafone. Solo dopo circa un mese dall’episodio, la reclamante avrebbe deciso di recedere dal contratto, decisione da cui conseguiva il rientro della numerazione all’originario operatore telefonico e l’addebito alla sig.ra XX di € 173,49 per recupero spese (successivamente stornate per intero da Vodafone).

Tale ricostruzione, oltre che basarsi sull’inverosimile assunto che qualcuno, peraltro appartenente ad una fascia di clientela non caratterizzata, per età e caratteristiche sociali, da particolare propensione alla migrazione da un gestore telefonico all’altro, possa decidere motu proprio di contattare un call center (la cui numerazione non è dato sapere in quale modo sia conoscibile) per ricevere offerte promozionali in successive comunicazioni telefoniche, appare contraddetta da diversi elementi, il primo dei quali, lo si ribadisce, è la dichiarazione della reclamante in base alla quale la stessa “non ha mai rilasciato, nel passato, alcun consenso al trattamento dei propri dati a Vodafone né per fini contrattuali né, tantomeno, per fini di marketing”.

La sopra richiamata dichiarazione avrebbe dovuto indurre Vodafone a operare un vaglio accurato delle circostanze riferite dal partner della propria rete di vendita, da cui sarebbe certamente emersa la prima e più evidente contraddizione, e cioè che la “chiamata entrante” della sig.ra XX era stata annotata nei sistemi Vodafone come facente parte di una campagna “outbound”, termine con il quale si definiscono le iniziative commerciali caratterizzate da chiamate “in uscita” dalla rete del committente verso i potenziali clienti.

Vodafone, sul punto, ha invece affermato che le campagne promozionali originate da un contatto spontaneo dell’interessato possono definirsi “outbound” se il successivo ricontatto avviene con chiamate “in uscita”, ma ciò non appare convincente poiché non si comprende come un evento successivo (la chiamata di ricontatto) possa modificare un’annotazione di sistema che si colloca in un momento logicamente antecedente (la chiamata “entrante” da parte del cliente che chiede di essere ricontattato), annotazione che, peraltro, si riferisce alle modalità di acquisizione del consenso dell’interessata e non alle modalità di svolgimento della campagna promozionale.

La seconda contraddizione, non meno rilevante, è quella circa la data della vendita del servizio telefonico alla sig.ra XX, che risulterebbe essere stata realizzata il 4 novembre 2020, un giorno prima, quindi, della decisione della stessa sig.ra XX di contattare il call center per rilasciare il proprio consenso al ricontatto.

Al riguardo Vodafone, pur ammettendo che affettivamente gli elementi dalla stessa forniti risultano in contraddizione fra loro, ha affermato che non è possibile stabilire quale sia l’elemento in contrasto con la realtà, e cioè se sia stato il call center ad annotare falsamente che la sig.ra XX ha effettuato una chiamata il 5 novembre 2020 alle ore 13.33, manifestando la volontà di essere ricontattata, oppure sia stato l’operatore a dichiarare erroneamente nel vocal order, che il contratto era stato perfezionato il 4 novembre 2020.

Da tale incertezza, tuttavia, non discende una insufficienza degli elementi probatori idonea a determinare l’insussistenza della responsabilità della Società in ordine alle contestazioni di cui ai capi a) e b), posto che, ai sensi dell’art. 5, par. 2, del Regolamento, nonché del correlato considerando n. 42, è proprio Vodafone a dover comprovare di aver reso all’interessata una idonea informativa e acquisito il previsto consenso prima dell’effettuazione del contatto promozionale e tale prova non può certo risiedere in documenti contraddittori dei quali la stessa Società mette in dubbio la reale consistenza, adombrando un possibile errore dell’operatore nella “ratifica” dell’accordo contrattuale tramite il vocal order, o addirittura la possibile falsificazione del cartellino di chiamata da parte del teleseller in relazione all’asserita chiamata “spontanea” della sig.ra XX.

Pertanto, alla luce delle contraddizioni emerse in ordine al rilascio di un’idonea informativa nei confronti della reclamante e all’acquisizione del suo consenso per finalità promozionali, contraddizioni che rafforzano la dichiarazione della sig.ra XX che ha affermato di non aver mai contattato la rete di vendita della Società per rilasciare il proprio consenso ad eventuali successivi contatti promozionali, risulta confermata la responsabilità di Vodafone in relazione ai capi a) e b) dell’atto di contestazione.

Per completezza va osservato che, anche volendo ammettere che la chiamata “in entrata” da parte della reclamante sia stata effettivamente realizzata, il contenuto della stessa, come ricostruito da Vodafone (sintetica informativa rilasciata da Vodafone attraverso un risponditore automatico e consenso al trattamento dei dati per finalità promozionali espresso dall’interessata mediante la digitazione dei tasti “#1” del proprio dispositivo), non appare idoneo a costituire un quadro di legittimità dei successivi trattamenti, in ragione della carenza sia degli elementi informativi minimi offerti all’interessata sia dell’elemento dell’inequivocabilità del consenso medesimo (che non sembra poter essere assicurata dalla semplice digitazione di una sequenza alfanumerica di due elementi).

Con riferimento alle contestazioni sub c) e d), che riguardano le modalità di acquisizione del consenso dell’interessata nell’ambito del vocal order e la compatibilità della complessiva procedura con i principi di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), del Regolamento, deve in primo luogo tenersi conto delle osservazioni difensive di Vodafone che, da un lato, ha affermato che nessuna disposizione del Regolamento o del Codice vieta al titolare di richiedere un consenso indifferenziato con riferimento alle diverse modalità di contatto promozionale dell’interessato. Da tale assunto deriverebbe quindi l’insussistenza della contestazione di cui al capo c).

Sul punto è necessario collocare l’elemento della formula del consenso nel contesto del complessivo vocal order che, sebbene sia considerato da Vodafone alla stregua di una ratifica formale dell’incontro delle volontà della compagnia telefonica e del cliente nell’ambito della vendita di un servizio, deve essere considerato come l’unico elemento documentale in grado di cristallizzare il momento decisionale dell’interessata sia in ordine al consenso per il trattamento dei propri dati personali, sia, più complessivamente, per ciò che riguarda la decisione di aderire alle offerte di Vodafone. Ridurre tale documento ad una mera formalità, priva di significato sostanziale, può favorire un uso distorto dello strumento del vocal order, nonostante lo stesso sia ormai riservato, per esplicita ammissione di Vodafone, a categorie di clienti più anziani o comunque poco avvezzi all’uso di strumenti tecnologici, con la conseguenza, rappresentata in tutta la sua evidenza nel caso in argomento, che le diverse e complesse opzioni contrattuali, oltre che le diverse finalità e modalità del trattamento dei dati personali, sono state elencate in rapidissima sequenza da parte dell’operatore di call center (circa 200 parole al minuto per oltre sei minuti), sottoponendo quindi l’interlocutore ad un insostenibile bombardamento concettuale che è ragionevole ritenere abbia impedito alla cliente di avere piena contezza della portata delle proprie scelte.

Sotto questo profilo, l’analisi della cd. “formula del consenso”, costituita da oltre 60 parole pronunciate dall’operatore in circa 16 secondi, appare essere un esercizio di scarsa utilità, se si considera che, sopra ogni altra considerazione, prevale la constatazione che tale formula è risultata a malapena comprensibile soltanto dopo ripetuti ascolti.

Nello specifico tuttavia, tale formula risulta errata, in primo luogo perché inserisce nel medesimo contesto trattamenti aventi differenti finalità (esecuzione di un contratto e contatto promozionale). A nulla vale la considerazione difensiva che, in ogni caso, i trattamenti aventi finalità contrattuali sarebbero sottratti all’obbligo di consenso, poiché l’inserimento dei medesimi nell’indistinto novero dei trattamenti “consensati” introduce un ulteriore elemento di confusione in un quadro di per sé già inficiato dalle sopra evidenziate criticità, dal quale discende, in estrema sintesi, che l’interessata avrebbe prestato il consenso al trattamento dei propri dati personali per finalità promozionali e con le più diverse modalità di contatto, in un caso dopo l’ascolto di un messaggio preregistrato e la digitazione di una combinazione alfanumerica di due elementi e, successivamente, a seguito dell’ascolto di una formula letta a velocità oggettivamente insostenibile per un’adeguata comprensione, nella quale sono condensate, in sedici secondi, sia le finalità del trattamento per le quali non è necessario prestare il consenso, sia quelle promozionali (senza alcuna distinzione legata alle modalità di contatto).

Quanto poi alla considerazione che, con riferimento ai contatti promozionali, nessuna norma vieta al titolare di richiedere un consenso indifferenziato con riferimento alle diverse modalità di contatto (modalità automatizzate ovvero contatti telefonici effettuati da operatore umano), deve rappresentarsi che tale elemento di semplificazione è stato introdotto dal Garante con il provvedimento n. 242 del 15 maggio 2013 (in www.gpdp.it, doc. web n. 2543820), con il quale è stato comunque sottolineato come le esigenze di snellimento degli adempimenti burocratici debbano in ogni caso consentire “all´interessato, proprio in presenza di forme di comunicazione commerciale particolarmente invasive ed onerose, la possibilità di controllo dell´utilizzo dei propri dati personali, attraverso l´espressione consapevole e specifica del consenso”. Pertanto “dall´informativa rilasciata dal titolare […] e dalla richiesta di consenso dovrà risultare chiaro che, con riguardo ai trattamenti svolti per finalità di "marketing diretto", il consenso dell´interessato acquisito ai sensi dell´art. 130, commi 1 e 2, del Codice, riguarda le modalità di comunicazione non solo  automatizzate, ma anche tradizionali” e “inoltre, con riguardo alla riconosciuta possibilità per l´interessato di esprimere la propria volontà di ricevere comunicazioni commerciali e promozionali esclusivamente attraverso modalità tradizionali di contatto, spetterà al titolare del trattamento richiamarla espressamente nell´informativa e rendere tale volontà esercitabile in maniera agevole e gratuitamente”. La formula di consenso predisposta da Vodafone e inserita nel vocal order della reclamante non contiene alcun riferimento all’impianto sopra delineato e deve pertanto ritenersi del tutto inefficace a realizzare il contemperamento fra le esigenze di semplificazione degli adempimenti da parte del titolare e la facoltà di delimitare la portata del consenso accordata all’interessata, con la conseguenza che, nel caso in argomento, il consenso prestato risulta generico e indifferenziato, in contrasto quindi con i principi oggi presenti negli artt. 4, n. 11 e 7 del Regolamento, nonché nel correlato considerando n. 32.

Quanto poi alla contestazione sub d), relativa alla violazione dei principi di correttezza e trasparenza con riferimento ai trattamenti connessi alla vendita del servizio telefonico alla reclamante, così come documentata dal vocal order prodotto dalla Società, appare inconferente il riferimento di Vodafone alla pacifica capacità di curare autonomamente i propri interessi da parte della sig.ra XX, capacità che non risulta essere mai stata messa in discussione e che, in ogni caso, potrebbe riguardare esclusivamente aspetti legati all’eventuale annullabilità del contratto.

In questo caso, si deve ribadire quanto osservato nell’atto di contestazione (“la scelta dell’operatore di call-center, evidentemente autorizzato da una prassi comune ben nota a Vodafone che dispone delle registrazioni vocali dei contratti e dovrebbe sottoporli a controlli di qualità, di sottoporre alla reclamante il contratto per l’attivazione dei servizi mediante una lettura svolta ad una velocità stimata di circa 200 parole al minuto per oltre sei minuti di registrazione, cosicché l’intero contratto risulta del tutto incomprensibile e, soprattutto, invalutabile da parte di chi deve decidere se aderire o meno, rende l’intero trattamento, e non soltanto la prodromica parte promozionale, illegittimo”), e evidenziare che non le caratteristiche soggettive della reclamante ma le oggettive anomalie della vendita telefonica suggellata da un documento audio che costituisce a tutti gli effetti la base contrattuale e che risulta in massima parte incomprensibile ad un normale ascoltatore, rende ogni trattamento svolto in relazione a tale contratto, irrimediabilmente viziato proprio in quegli elementi di correttezza che dovrebbero rappresentare la prima e insostituibile garanzia nell’accordo che intercorre fra una grande azienda di servizi ed il consumatore.

Il principio di correttezza non si sovrappone a quello di liceità ma ne amplifica la portata richiamando ogni titolare non solo a rispettare le specifiche disposizioni di legge, ma a fare proprio il senso complessivo e lo spirito della normativa in materia di protezione dei dati personali al fine di agevolare le scelte dell’interessato, in base ai medesimi canoni utilizzati in sede civilistica per individuare la correttezza del debitore e del creditore (art 1175 c.c.) e la buona fede nell’esecuzione del contratto (art. 1375 c.c.), più ampiamente ricompresi nel principio di solidarietà sociale di cui all’art. 2 della Costituzione.

Proprio in ragione dei richiamati canoni interpretativi, la condotta di Vodafone, nella vendita del servizio telefonico operata nei confronti della sig.ra XX, appare ampiamente lacunosa e giustifica la reazione della reclamante che, nonostante avesse ormai ottenuto dalla compagnia telefonica il ripristino della situazione quo ante e lo storno degli addebiti per il recesso dal contratto, si è rivolta all’Autorità per una questione di principio legata alla corretta declinazione del rapporto fra titolare e interessato, questione che, alla luce delle evidenze istruttorie connesse in particolare alla formazione della volontà della reclamante così come documentata nel vocal order, deve ritenersi ampiamente fondata.

Deve quindi confermarsi la responsabilità di Vodafone in ordine alle violazioni contestate ai capi c) e d).

4. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di Vodafone in ordine alle seguenti violazioni:

a) artt. 12, par. 1, e 13, del Regolamento, per avere effettuato un contatto promozionale nei confronti della reclamante, per il tramite della società di diritto albanese Wocs Shpk, con sede in Tirana, responsabile del trattamento designato da Vodafone, senza avere reso all’interessata la necessaria informativa nelle forme e nei tempi di cui alle richiamate disposizioni;

b) artt. 5, par. 1, 6 e 7 del Regolamento, nonché 130, comma 3, del Codice, per aver effettuato il contatto promozionale di cui sopra senza aver acquisito dall’interessata il prescritto consenso;

c) artt. 5, par. 1, lett. a), 6 e 7 del Regolamento, nonché 130, commi 1, 2 e 3, per aver acquisito dall’interessata, nel corso del contatto promozionale di cui sopra un consenso indifferenziato e unico per le diverse tipologie di contatto, consenso poi registrato nei sistemi Vodafone;

d) artt. 5, par. 1, lett. a), del Regolamento per aver effettuato trattamenti di dati personali finalizzati alla conclusione di un contratto per l’attivazione di servizi telefonici in capo alla reclamante, in violazione dei principi di correttezza e trasparenza del trattamento.

Accertata altresì l’illiceità delle condotte della Società con riferimento ai trattamenti presi in esame, si rende necessario:

- imporre a Vodafone, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati della reclamante;

- adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Vodafone della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento

5. ORDINANZA-INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Le violazioni sopra indicate impongono l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Vodafone della sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 3 e 5, del Regolamento (pagamento di una somma fino a € 20.000.000,00 ovvero, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore);

Per la determinazione del massimo edittale della sanzione pecuniaria, occorre pertanto fare riferimento al fatturato di Vodafone, come ricavato dall’ultimo bilancio d’esercizio disponibile (marzo 2022) in accordo con i precedenti provvedimenti adottati dall’Autorità, e quindi si determina tale massimo edittale, nel caso in argomento, in euro 220.154.181,56

Per la determinazione dell’ammontare della sanzione occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento;

Nel caso in esame, assumono rilevanza:

1) la gravità delle violazioni (art. 83, par. 2, lett. a) del Regolamento), tenuto conto dell’oggetto e delle finalità dei dati trattati, riconducibili al fenomeno complessivo del telemarketing, in ordine al quale l’Autorità ha adottato, in particolare negli ultimi tre anni, numerosi provvedimenti che hanno compiutamente preso in esame i molteplici elementi di criticità fornendo ai titolari numerose indicazioni per adeguare i trattamenti alla normativa vigente e per attenuare l’impatto delle chiamate di disturbo nei confronti degli interessati;

2) quale fattore aggravante, la circostanza che Vodafone risulta essere stata destinataria di un provvedimento correttivo e sanzionatorio in tema di telemarketing (art. 83, par. 2, lett. e) del Regolamento), n. 224 del 12 novembre 2020 (in www.gpdp.it, doc. web n. 9485681);

3) quale fattore attenuante, la circostanza che Vodafone abbia tempestivamente ripristinato la situazione precedente alla vendita del servizio telefonico alla sig.ra XX, stornando altresì le somme richieste a titolo di rimborso spese per il recesso tardivo (art. 83, par. 2, lett. c) del Regolamento);

4) quale fattore attenuante da tenere in considerazione per parametrare la sanzione (art. 83, par. 2, lett. k) del Regolamento), il contesto socio-economico generale, caratterizzato da una profonda crisi economica a seguito delle gravi emergenze tuttora in corso e la circostanza che il caso accertato risulta essere isolato.

In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba applicarsi a Vodafone la sanzione amministrativa del pagamento di una somma di euro 500.000,00 (cinquecentomila).

Nel caso in argomento si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti e delle condotte della Società, nonché degli elementi di rischio per i diritti e le libertà degli interessati.

Ricorrono infine i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIO’ PREMESSO IL GARANTE

a) impone a Vodafone, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni ulteriore trattamento dei dati della reclamante;

b) ingiunge a Vodafone, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alla misura imposta; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafo 5, del Regolamento

ORDINA

a Vodafone Italia S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Ivrea (TO), via Jervis 13, C.F. 08539010010, di pagare la somma di euro 500.000,00 (cinquecentomila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata.

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 500.000,00 (cinquecentomila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

L’applicazione della sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dagli artt. 166, comma 7 del Codice e 16 del Regolamento del Garante n. 1/2019, e l’annotazione del medesimo nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la sede il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Roma, 10 novembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei