Con provvedimento n. 9856345 del 15 dicembre 2022, pubblicato il 21 febbraio 2023, il Garante Privacy ha sanzionato per € 4.900.000,00 l’azienda, attiva nel settore di fornitura di energia elettrica e gas, per violazioni correlate al trattamento degli utenti nell’ambito delle chiamate per scopi promozionali.
A seguito della complessa attività istruttoria eseguita dall’Autorità, sono emerse plurime inosservanze correlate al trattamento dei dati degli utenti posto in essere dal titolare nell’ambito delle attività di telemarketing. In particolare, le principali contestazioni mosse a Edison hanno riguardato:
- l’acquisizione di schede anagrafiche da un soggetto terzo cessionario senza svolgere le dovute verifiche circa il consenso prestato;
- l’inidonea gestione dell’opposizione espressa dagli utenti prospect nel contesto della telefonata;
- l’insufficiente attività di verifica sulle numerazioni presenti nelle liste acquisite da partner;
- la raccolta di consensi per il perseguimento di finalità non concretamente oggetto dei trattamenti eseguiti dal titolare.
Pur ribadendo una serie di principi già espressi in precedenza con riferimento ad attività di trattamento dati recanti finalità analoghe, per mezzo del provvedimento in esame, l’Autorità ha certamente fornito utili indicazioni con riferimento al rapporto intercorrente tra il diritto di opposizione degli utenti e le attività di telemarketing. In particolare, stando all’orientamento espresso dal Garante Privacy, se l’utente dice “no” alla telefonata commerciale indesiderata, il call center e/o la società che lo ha contattato deve annotare subito tale volontà e cancellare il nominativo dalle liste utilizzate per il telemarketing. In buona sostanza, l’opposizione espressa nel corso della telefonata non deve essere (ulteriormente) confermata per mezzo di successive comunicazioni a mezzo e-mail o altre modalità - come invece viene spesso richiesto da parte degli operatori - risultando valida anche per le campagne promozionali future. A tanto si aggiunga come, anche con riferimento al caso di specie, l’Autorità abbia avuto modo di ribadire l’importanza di assicurare un’effettiva gestione dell’opposizione, ricorrendo, se del caso – ipotesi certamente sussistente a fronte di un numero elevato di interessati – a delle soluzioni che, nel concreto, risultino frutto dei principi di privacy by design e by default. Utilizzare una mera lista, aggiornata manualmente, con l’indicazione del solo numero telefonico “non contattabile” non costituirebbe una soluzione adeguata alla gestione del diritto di opposizione degli interessati e non consentirebbe di comprendere quando e come l’interessato abbia espresso il consenso e quando e come lo abbia revocato.
Nel caso in esame, l’Autorità ha inoltre ribadito l’importanza di porre in essere, preventivamente rispetto all’attività di telemarketing, delle adeguate attività di verifica (anche a campione) sulle numerazioni presenti nelle liste acquisite dai partner. In dettaglio, non è risultata all’uopo sufficiente l’impostazione adottata da Edison per cui il controllo sulle utenze da contattare per finalità di marketing veniva realizzato solo successivamente all’effettuazione del contatto telefonico e alla sottoscrizione di contratti conclusi tramite operazioni di teleselling. Si aggiunga che, sempre a mente del Garante, l’esecuzione di una verifica dei siti web da cui vengono raccolti i dati - che Edison ha sostenuto di effettuare costantemente prima di ogni campagna promozionale - pur risultando potenzialmente utile a prevenire la circolazione indebita di dati personali, non potrebbe tuttavia surrogare l’assenza dei predetti controlli sulle numerazioni fornite dai partner.
Da ultimo, in via più generale rispetto all’attività di telemarketing, il provvedimento in analisi si è soffermato sull’importanza di garantire un effettivo rispetto del principio di trasparenza. In dettaglio, dall’istruttoria eseguita è emerso che: i) i dati raccolti da Edison per finalità di profilazione fossero utilizzati per realizzare analisi interne di tipo generale e che, solo in prospettiva, avrebbero potuto costituire materiale utile per il marketing profilato; ii) la comunicazione dei dati a terzi per finalità di marketing diretto, per la quale era richiesto un consenso specifico in occasione della sottoscrizione del contratto tramite sito internet, pur configurando un obiettivo di Edison, non risultava concretamente svolta all’epoca della raccolta. Pertanto, dal momento che, su esplicita ammissione del titolare, non risultano perseguite le finalità di profilazione individuale e di comunicazione dei dati a terzi, lo scollamento fra il piano formale e il piano fattuale delle attività risulterebbe idoneo ad ingenerare il ragionevole dubbio sugli effettivi trattamenti svolti da Edison.
Questi i principali spunti (innovativi) di un provvedimento certamente destinato a costituire una delle componenti di quel “manuale d’istruzioni per il telemarketing” che sempre più si sta costituendo sulla scorta delle pronunce dell’Autorità e delle connesse misure sanzionatorie.
Avv. Pietro Maria Mascolo e Dott. Lapo Lucani
