Con tre provvedimenti emessi l’11 marzo 2021 [n. 9577042; n. 9577065; n. 9577371], il Garante per la protezione dei dati personali ha sanzionato tre compagnie di call center e, precisamente Plurima s.r.l., Mediacom s.r.l. e Planet Group s.p.a. per un importo complessivo di € 100.000,00 a seguito di un trattamento illecito dei dati personali degli utenti nell’ambito di attività promozionali e, segnatamente, attività di telemarketing aggressivo.
I fatti
Dall’attività istruttoria ed ispettiva del Garante è emerso che le tre società avevano chiamato telefonicamente numerose persone non incluse nelle liste ufficiali fornite dal committente, utilizzando delle cosiddette utenze “fuori lista” riferibili, cioè, a soggetti che non avevano fornito un libero e specifico consenso ad essere contattati per promozioni commerciali o, addirittura, a persone suggerite da qualche familiare o conoscente c.d. contatti referenziati.
I principi rilevanti
Alla luce dei fatti, emerge con chiarezza che, da parte delle summenzionate compagnie di call center, non sono state assicurate sufficienti ed idonee garanzie al trattamento sotto il duplice profilo dell’accountability e della privacy by default.
La qualificazione giuridica
Le predette società, contribuendo a stabilire sia le finalità promozionali che le modalità di contatto, ed, inoltre, organizzandole senza istruzioni operative da parte della committente – la quale le ha di fatto accettate recependo i contratti conclusi e incassando le relative utilità – hanno operato eccedendo rispetto al ruolo di mero responsabile del trattamento ed operando quale titolare o contitolare del trattamento medesimo. Il tutto senza porre in essere misure idonee di compliance al GDPR e al Codice Privacy come, ad esempio, la mancata verifica né dell’iscrizione al registro delle opposizioni dell’utenza telefonica, né dando atto della manifesta volontà degli utenti a non essere più disturbati e di essere inseriti nelle cosiddette black list.
La base giuridica per il trattamento del soggetto referenziato o fuori lista
Con il provvedimento del 15 gennaio 2020 [n. 9256486] il Garante ha precisato che “non può invocarsi quale base giuridica… quella del legittimo interesse alle attività di marketing, magari unitamente al presunto interesse del soggetto ‘referenziante’, che coinvolge nella promozione l’amico o il parente. Va poi evidenziato che il legittimo interesse, di cui all'art. 6, par. 1, lett. f), del Regolamento non può surrogare - in via generale - il consenso dell’interessato quale base giuridica del marketing”.
Quindi con il presente ha confermato che per il trattamento dei dati dei soggetti “fuori lista” o “referenziati” è necessario il preventivo consenso degli stessi.
La sanzione amministrativa
Il Garante ha, infine, comminato, non solo la sanzione amministrativa pecuniaria ex art. 83, par. 5 GDPR, ma, ha anche indicato, in base alla gravità delle violazioni commesse, una percentuale della sanzione edittale massima che è pari allo 0,40% nel caso Planet Group s.p.a. e allo 0,075% nel caso Mediacom s.r.l. – sanzionate rispettivamente al pagamento di €80.000 e €15.000 – creando, in tal modo, precedenti che hanno lo scopo di scoraggiare senza alcun dubbio il perpetrarsi di queste condotte illecite.
Avv. Vincenzo Colarocco e Dott. Lorenzo Pinci
