Se il titolare del trattamento non indica all’interessato i canali di contatto da usare per l’esercizio dei suoi diritti, l’interessato può a tal fine utilizzare l’indirizzo PEC del titolare

di Muia' Pier Paolo, Referente per le sezioni dedicate a privacy, IP e internet law , responsabilità medica e civile, e condominio

Garante per la protezione dei dati personali: Ordinanza ingiunzione nei confronti di OneDirect s.r.l. n. 113 del 25 marzo 2021

 

Fatto

Il garante per la protezione dei dati personali aveva ricevuto due reclami, da parte di due soggetti che si lamentavano di aver ricevuto diverse comunicazioni promozionali tramite email da parte della società OneDirect s.r.l. nonostante i medesimi avessero espresso tramite PEC la propria opposizione alla ricezione di comunicazioni pubblicitarie (in un caso anche tramite diffida da parte di un legale). In secondo luogo, i reclamanti avevano evidenziato di non aver avuto neanche la possibilità di interrompere la ricezione delle comunicazioni utilizzando l’apposito tasto di disiscrizione alla newsletter (il c.d. tasto “unscribe”) e di non aver ricevuto alcun riscontro dalla società nonostante avessero chiesto di poter esercitare i propri diritti previsti dal Regolamento europeo per la protezione dei dati personali (GDPR).

Il Garante privacy aveva quindi chiesto chiarimenti alla società e, non avendo ricevuto riscontro, aveva inviato la Guardia di Finanza per acquisire documenti e informazioni necessarie per la valutazione del caso.

Dagli accertamenti effettuati durante l’accesso della Guardia di finanza era emerso che:

  • l’attività di marketing era stata affidata alla società capogruppo avente sede in Francia, che pertanto riveste la qualifica di responsabile del trattamento dei dati di cui la società italiana OneDirect è invece titolare;
  • i dati di uno dei due reclamanti non erano presenti nei sistemi della società ed invece rispetto all’altro reclamante risultava annotato il suo rifiuto a ricevere comunicazioni e non risultava alcun invio di email verso il suo indirizzo nei tredici mesi precedenti;
  • la OneDirect aveva richiesto ai reclamanti di inviare le email oggetto di contestazione (per poter verificare la provenienza e capire le modalità di invio) e nonostante l’invio delle medesime non aveva dato riscontro alla reclamante né risultava che la società avesse compiuto le verifiche promesse;
  • la OneDirect aveva inviato un registro delle attività di trattamento redatto dalla capogruppo francese, ma non aveva un proprio registro dei trattamenti.

ISCRIVITI AL NOSTRO CORSO

La decisione del Garante

Il Garante privacy, dopo aver acquisito e valutato le argomentazioni difensive della società ha deciso di accogliere i reclami, ritenendo sussistenti diverse violazioni della normativa privacy da parte della OneDirect.

In primo luogo, il Garante ha evidenziato che la società ha inviato numerose email promozionali ai reclamanti senza che però sia stata in grado di dimostrare di aver acquisito un idoneo consenso degli interessati. Infatti, rispetto ad uno dei reclamanti era presente addirittura il suo rifiuto a ricevere dette comunicazioni, mentre rispetto all’altra reclamante non risultava presente alcun suo dato personale, ma la stessa ha dimostrato di aver ricevuto numerose email e anche di averle inviate alla OneDirect su richiesta di quest’ultima perché la società potesse effettuare le opportune verifiche (che però non sono state fatte).

In considerazione di ciò, il Garante ha ritenuto che la società abbia violato il GDPR e compiuto un trattamento illecito e conseguentemente ha ammonito la OneDirect e le ha ordinato di non utilizzare i dati personali dei reclamanti per finalità promozionali. Inoltre, il Garante ha ritenuto di applicare alla società anche una sanzione pecuniaria, in considerazione del fatto che la medesima non è stata in grado di effettuare un controllo circa l’invio dei propri messaggi promozionali.

Nel prendere la suddetta decisione, il Garante ha ritenuto di rigettare l’eccezione sollevata dalla OneDirect circa il fatto che l’indirizzo email utilizzato per l’invio dei messaggi in questione a uno dei reclamanti fosse non personale. Infatti, secondo il Garante l’art. 130 del Codice privacy tutela espressamente il contraente e quindi anche le persone giuridiche.

In secondo luogo, il Garante ha ritenuto che il comportamento della OneDirect di non dare riscontro alle richieste dei reclamanti di interrompere la ricezione delle comunicazioni indesiderate, configura altresì una violazione dei diritti riconosciuti all’interessato dalla normativa privacy.

Il Garante a tal proposito ha ritenuto di rigettare l’eccezione sollevata dalla società, secondo cui i reclamanti avrebbero potuto e dovuto esercitare i loro diritti attraverso il modulo presente al link contattaci del sito web www.onedirect.it, come indicato nell’informativa privacy pubblicata su detto sito web.

A tal proposito l’Autorità ha evidenziato che dal contenuto delle email indesiderate ricevute dai reclamanti è possibile ricavare soltanto le seguenti informazioni per contattare la società: denominazione sociale, numero di partita IVA, indirizzo fisico e numero di telefono e fax. Invece, non era contenuto alcun riferimento all’indirizzo del sito web menzionato dalla OneDirect, né tanto meno si accennava all’esistenza di detto sito. Inoltre, il testo “unscribe” contenuto nelle email indesiderate non era funzionante.

In considerazione della mancata indicazione – all’interno delle email indesiderate – delle modalità con cui i reclamanti avrebbero potuto contattare la società e del mancato funzionamento del tasto unscribe, il Garante ha ritenuto che i reclamanti hanno correttamente inviato le richieste di esercizio dei loro diritti attraverso la PEC ufficiale della società, come ricavabile dai pubblici registri inserendo la partita IVA e la denominazione societaria.

Pertanto, il Garante ha sanzionato la società con l’ammonimento circa la necessità di garantire agli interessati la conoscenza dei canali per contattare la società medesima e attraverso cui poter esercitare i diritti riconosciuti loro dalla normativa in materia di privacy.

In terzo luogo, il Garante ha inflitto una sanzione pecuniaria alla OneDirect in considerazione della riscontrata assenza del registro dei trattamenti, non essendo stata documentata da quest’ultima l’esistenza di detto registro. A tal proposito, il Garante ha ritenuto che non fosse sufficiente a superare detto addebito il fatto che la OneDirect avesse incaricato uno studio legale di adeguare i propri trattamenti di dati personali alla normativa vigente.

Infine, il Garante ha ritenuto altresì violata la normativa in materia di privacy per lo scarso grado di cooperazione avuto dalla società durante il procedimento: quest’ultima, infatti, non aveva dato riscontro alle richieste di informazioni del Garante e lo aveva costretto a inviare il Nucleo della Guardia di Finanza per acquisire dette informazioni.

Volume consigliato

I rischi nel trattamento dei dati - e-Book in pdf

I rischi nel trattamento dei dati - e-Book in pdf

Michele Iaselli, 2021, Maggioli Editore

L’ebook analizza gli aspetti pratici dell’attività di analisi dei rischi connessi al trattamento dei dati, partendo dal quadro normativo e fornendo risposte alle principali FAQ in materia di DPIA. Michele IaselliAvvocato, Funzionario del Ministero della Difesa, Docente a...



Diventa autore di Diritto.it

© RIPRODUZIONE RISERVATA

pier-paolo-muia

Muia' Pier Paolo

Co-founder dello Studio Legale "MMP Legal", svolge la professione di avvocato in Firenze, Prato e Pistoia, occupandosi in via principale con il suo staff di responsabilità professionale e civile; internet law, privacy e proprietà intellettuale nonchè diritto tributario. In particolare, svolge attività di assistenza e difesa sia di professionisti destinatari di richieste di risarcimento  danni per inadempimento professionale sia di soggetti danneggiati da sinsitri, soprattutto per malpractice medica; consulenza relativamente alla gestione e alla tutela dei dati personali in ogni area e settore di attività nonché assistenza e difesa, stragiudiziale e giudiziale, per quanto riguarda i contratti e i rapporti tramite internet ed in generale tutte le problematiche relative ai servizi on line ed ai correlati diritti; redazione di accordi di licenza e cessione di marchi, dei diritti di sfruttamento economico delle opere dell'ingegno, di know-how e di brevetti; difesa giudiziale per la tutela dei diritti d'autore e di brevetti, marchi e disegni, nonché avverso attività di concorrenza sleale; difesa e rappresentanza nei giudizi dinanzi alle commissioni tributarie. Per Diritto.it è Referente delle sezioni dedicate a privacy, IP e internet law , responsabilità medica e civile, e condominio. Pagina Facebook: https://www.facebook.com/studiolegalemasimuia/?ref=br_rs Pagina Instagram: https://www.instagram.com/mmp_studiolegale/


Per la tua pubblicità sui nostri Media:
maggioliadv@maggioli.it  |  www.maggioliadv.it

Gruppo Maggioli
www.maggioli.it

Ricevi tutte le novità di Diritto.it attraverso le nostre newsletter. 

Non abbandonare Diritto.it
senza iscriverti alle newsletter!