Telemarketing aggressivo - nuova sanzione a Vodafone

Fonte: newsletter 31 luglio 2018

Il Garante per la protezione dei dati personali ha ordinato a Vodafone il pagamento di una sanzione amministrativa di 800 mila euro per aver svolto attività di marketing in violazione della normativa antecedente al Regolamento europeo.

L'ingiunzione fa seguito ad un precedente provvedimento con il quale il Garante aveva vietato all'operatore telefonico l'invio di sms e l'effettuazione di chiamate per finalità di marketing a chi non avesse manifestato uno specifico consenso o avesse addirittura chiesto di non essere più disturbato con offerte commerciali. La decisione era stata adottata dal Garante all´esito di una complessa istruttoria e di accertamenti ispettivi – avviati sulla base di innumerevoli segnalazioni - dai quali era emerso che in meno di due anni  milioni di persone erano state contattate attraverso telefonate o sms senza il loro consenso. Le campagne promozionali avevano riguardato sia  clienti attuali, sia  quelli potenziali, sia quanti avevano cambiato compagnia.

Il Garante, quindi, ha contestato a Vodafone le violazioni previste dalla normativa privacy per  l'effettuazione delle telefonate promozionali e l'invio di sms a un rilevante numero di utenti di telefonia fissa e mobile senza il loro consenso, nonché quella per aver realizzato gli illeciti utilizzando banche dati di particolare rilevanza e dimensioni.

Il Garante, pur considerando in termini favorevoli l'atteggiamento della società che ha intrapreso una serie di misure volte a mettersi in regola, ha ritenuto che le violazioni commesse fossero di maggiore gravità rispetto a precedenti applicazioni di sanzioni della medesima specie, tenuto conto sia dell'elevatissimo numero di contatti realizzati in meno di due anni, sia dei differenti canali di contatto utilizzati (telefono fisso, mobile, sms) che hanno innalzato in modo esponenziale il livello di invasività delle campagne promozionali, sia la grandezza dell'operatore.

Per quanto riguarda la prima violazione Vodafone si è avvalsa del pagamento in misura ridotta ed ha definito subito la questione.

In merito alla seconda violazione, invece, per la quale non è possibile avvalersi di questa facoltà, l'Autorità ha applicato la sanzione prevista per i casi di violazioni commesse, anche in tempi diversi, in relazione a banche di dati di particolare rilevanza o dimensione, aumentata del quadruplo avendo ritenuto che in ragione delle condizioni economiche del contravventore la sanzione pecuniaria così determinata risultasse inefficace, come previsto dall'art. 164-bis, comma 4, del Codice; in virtù di tali circostanze, quindi, l'importo della sanzione è stato aumentato da € 200.000 a € 800.000.
 

Flotte aziendali, sistemi GPS con privacy incorporata

La privacy va tutelata fin dalla fase di progettazione di un prodotto o di un servizio. L'Autorità, in applicazione del Regolamento Ue, ha ingiunto per la prima volta a un fornitore di servizi di geolocalizzazione, di incorporare il "diritto alla privacy" direttamente nelle funzionalità del prodotto, attenendosi al principio di minimizzazione dei dati e a quello di privacy by design e privacy by default. Il cliente potrà cosi usufruire di un sistema pienamente adattabile alle proprie esigenze organizzative e di sicurezza [doc. web n. 9023246].

Il servizio "standard" dovrà essere rimodulato con particolare riguardo agli intervalli temporali di rilevazione della posizione geografica dei veicoli (allo stato fissati, rispettivamente, tra i 30 e i 120 secondi) ed ai tempi di conservazione dei dati (ora stabiliti in 365 giorni) nonché alla memorizzazione e messa a disposizione delle mappe di tutti i percorsi effettuati. La società dovrà, inoltre, informare chiaramente i propri clienti circa la possibilità di adattare le caratteristiche del servizio alle concrete finalità perseguite. La funzione che consente la disattivazione del GPS dovrà essere resa disponibile per tutti i tipi di abbonamento al servizio senza eccessivi costi aggiuntivi. L'intervento del Garante ha preso l'avvio dalla segnalazione di un dipendente di una società che utilizza il servizio di localizzazione sulla propria flotta aziendale e si è reso necessario a causa della diffusione sul mercato del servizio le cui caratteristiche non sono risultate conformi alla normativa in materia di protezione dei dati e a quella sui controlli a distanza dei lavoratori.

Dagli accertamenti, svolti dall'Autorità anche con la collaborazione ispettiva della Guardia di Finanza,  è emerso, infatti, che il sistema, delle cui caratteristiche peraltro i dipendenti non erano stati informati, consentiva il monitoraggio continuo dell'attività del dipendente, in violazione dei principi di necessità e proporzionalità. Per di più, visto che le autovetture potevano essere utilizzate anche al di fuori dell'orario di lavoro e pure da congiunti dei dipendenti, tale sproporzionata attività di raccolta e conservazione dei dati tratti dalla geolocalizzazione del veicolo consentiva di fornire informazioni sul lavoratore non rilevanti rispetto allo svolgimento dell'attività lavorativa (in violazione di legge, in particolare dell'art. 8 dello Statuto dei lavoratori) nonché su terzi estranei.

Il Garante, quindi, ha vietato l'ulteriore trattamento dei dati alla società che ha installato il sistema ed ha altresì prescritto al fornitore di adeguare il sistema alla disciplina europea sulla protezione dei dati.