Il Garante per la protezione dei dati personali è intervenuto sanzionando una società fornitrice di dati per 100.000 euro e diverse agenzie immobiliari per 40.000 euro per aver utilizzato dati personali in modo illecito a fini di telemarketing.
La vicenda è emersa a seguito delle numerose segnalazioni di proprietari immobiliari, che si sono visti recapitare chiamate e messaggi promozionali insistenti, senza aver mai espresso un consenso valido, utilizzando elenchi di dati personali dettagliati forniti da una società specializzata.
L’intervento del Garante ha coinvolto l’intera filiera del trattamento, dalla società fornitrice dei dati fino alle singole agenzie, evidenziando gravi carenze nei controlli e nella gestione della privacy.
Indice degli argomenti
Il Garante privacy sanziona l’agenzia immobiliare e la filiera
Sullo sfondo, con il ruolo di fornitrice di dati, c’è una società, Realmaps, che ha fornito alle agenzie liste dettagliate di proprietari, basate su dati catastali numeri telefonici raccolti da registri pubblici e da fornitori terzi.
Le agenzie, a loro volta, non hanno esercitato alcun controllo sulla liceità di questi dati, delegando ogni richiesta di informazioni ai fornitori. Questo sistema ha determinato una vera e propria “schedatura di massa”, violando la normativa sulla protezione dei dati personali e portando a pesanti sanzioni.
Oltre alle sanzioni pecuniarie comminate, il Garante per la protezione dei dati ha imposto una serie di provvedimenti obbligatori per garantire il rispetto della normativa.
Tra le misure più rilevanti, ha vietato ogni ulteriore trattamento a fini promozionali con liste di dati acquisite da Realmaps senza un valido consenso degli interessati, ha ordinato la cancellazione immediata di tali dati, e ha imposto alle società coinvolte l’adozione di procedure rigorose per verificare costantemente la liceità del trattamento, inclusa la preventiva acquisizione di un consenso libero, specifico e informato.
Inoltre, ha stabilito l’obbligo di fornire agli interessati tutte le informazioni necessarie sul trattamento e di facilitare l’esercizio dei loro diritti, garantendo risposte tempestive, compreso il diritto di opposizione esercitabile in qualsiasi momento.
Come funzionava il sistema
Al centro dell’inchiesta c’era Realmaps, una società che forniva alle agenzie immobiliari liste dettagliate di proprietari di immobili in specifiche aree geografiche. Realmaps acquisiva i dati catastali degli immobili tramite l’accesso a pubblici registri, come il sistema Sister e gli archivi dell’Agenzia del Territorio.
Questi dati catastali, che includevano informazioni sugli stabili e sui relativi proprietari, confluirono in un database interno.
Successivamente, Realmaps integrava queste informazioni con anagrafiche provenienti da altri list provider, che comprendevano nome, cognome, numeri di telefono (sia fissi che mobili), codice fiscale, indirizzo di residenza e indirizzo email dei proprietari.
L’incrocio tra dati catastali e dati anagrafici avveniva attraverso un software denominato “Automatch”, che utilizzava il codice fiscale per collegare il numero telefonico al proprietario dell’immobile.
Il risultato era una lista completa e dettagliata che veniva fornita alle agenzie immobiliari, contenente tutte le informazioni necessarie per avviare attività di marketing diretto.
Le violazioni commesse
Il problema è che Realmaps non ha mai verificato che i proprietari avessero dato un consenso libero, specifico e informato all’uso dei loro dati per finalità promozionali.
Questo comportamento ha portato il Garante a infliggere una sanzione da 100mila euro, definendo il sistema come una vera e propria “schedatura di massa”.
La responsabilità delle agenzie immobiliari
Il Gdpr impone ai titolari del trattamento, come le agenzie immobiliari, non solo di rispettare le norme sulla protezione dei dati personali, ma anche di dimostrare di aver adottato tutte le misure necessarie per garantirne la sicurezza e la liceità.
Questo principio di accountability o responsabilizzazione implica che le
agenzie debbano esercitare un controllo rigoroso sull’intera filiera del trattamento, dalla raccolta dei dati fino al loro utilizzo nelle campagne promozionali.
Nel caso in esame, molte agenzie non hanno svolto verifiche adeguate sulle liste di dati acquisite dalla società fornitrice Realmaps, né hanno garantito il rispetto degli obblighi informativi e di consenso previsti dal GDPR.
Un aspetto centrale pertanto riguarda la mancata verifica del consenso valido degli interessati all’utilizzo dei loro dati personali per scopi promozionali. Secondo il GDPR, il consenso deve essere libero, specifico, informato e inequivocabile.
Tuttavia, molte agenzie non hanno accertato che tali condizioni fossero soddisfatte prima di utilizzare le liste fornite dal fornitore di dati.
In particolare, non è stato dimostrato che i proprietari degli immobili avessero prestato un consenso valido e documentato per la comunicazione dei loro dati a terzi, né che avessero autorizzato l’uso di tali dati per campagne di telemarketing.
La mancanza di questa verifica ha comportato l’invio di comunicazioni promozionali senza un’adeguata base giuridica, configurando una violazione delle norme sulla protezione dei dati.
Le agenzie immobiliari non hanno quindi svolto i controlli necessari per garantire che i dati ricevuti fossero trattati in modo corretto e legittimo.
Per questo motivo, il Garante le ha sanzionate e ha imposto loro una serie di obblighi per assicurare il rispetto delle norme sulla protezione dei dati.
Mancato riscontro agli interessati
In diversi casi, le agenzie si sono limitate a reindirizzare agli utenti le richieste di informazioni e di esercizio dei diritti (come accesso, rettifica o cancellazione) direttamente a Realmaps, senza fornire un riscontro diretto e senza assumersi la propria responsabilità in qualità di titolari del trattamento.
Questo comportamento è stato interpretato dall’Autorità come una chiara abdicazione del ruolo di controllo e trasparenza, con conseguente violazione degli obblighi previsti dagli articoli 12 e 15 del GDPR, che impongono risposte tempestive e complete alle istanze degli interessati.
Assenza di controlli sul registro pubblico delle opposizioni
Un ulteriore profilo di irregolarità ha riguardato la mancata consultazione, da parte delle agenzie immobiliari, del registro pubblico delle opposizioni (RPO).
Tale registro consente agli utenti di opporsi all’uso dei propri numeri telefonici per scopi di telemarketing. Non aver effettuato questo controllo ha rappresentato una grave omissione, poiché la verifica dell’iscrizione al RPO è condizione indispensabile per poter legittimamente avviare campagne promozionali telefoniche.
Mancata informativa e assenza di script di chiamata
Le agenzie non hanno fornito agli interessati, durante le telefonate promozionali, l’informativa completa prevista dagli articoli 13 e 14 del GDPR, che dovrebbe spiegare la natura, l’origine dei dati, la base giuridica del trattamento e i diritti riconosciuti agli interessati.
Inoltre, le società non hanno prodotto lo script utilizzato per le chiamate, elemento che avrebbe permesso di valutare se l’informativa fosse stata correttamente comunicata.
Le conseguenze delle inadempienze
Le violazioni rilevate riguardano numerosi articoli del Gdpr, in particolare quelli che regolano la liceità del trattamento, il consenso, la trasparenza, i diritti degli interessati e l’obbligo di fornire riscontro tempestivo.
In particolare, è stato evidenziato l’utilizzo illecito di dati personali provenienti da fonti pubbliche, incrociati con informazioni di terzi, senza il consenso valido degli interessati, configurando una vera e propria schedatura di massa a fini promozionali.
Il mancato rispetto di tali obblighi ha determinato l’invio di chiamate promozionali abusive, con un impatto negativo concreto sui cittadini e l’irrogazione di pesanti sanzioni alle aziende coinvolte.
