Nuovo caso di molteplici violazioni privacy in ambito telemarketing, come accertato dal Garante privacy in un recente provvedimento sanzionatorio (del 15 dicembre 2022 ma pubblicato in questi giorni) verso una società del settore energetico, Edison Energia S.p.A..
Questa volta la sanzione comminata è di quasi 5 milioni di euro (0,1% del fatturato), più la pubblicazione del provvedimento sul sito del Garante. Oltre all’inibizione dall’uso dei dati illecitamente raccolti e trattati.
Il caso è interessante perché ricco di annotazioni e indicazioni utili da parte dell’Autorità, per comprendere come sia meglio affrontare il sempre dilagante fenomeno del telemarketing abusivo e indesiderato, dal punto di vista degli operatori professionali. Vediamo di seguito le principali annotazioni sul caso.
Trattare male i dati dei clienti costa caro: la sanzione privacy ad Areti sia monito a tutti
Indice degli argomenti
I fatti accertati dal Garante privacy
Come parte la vicenda? La società titolare è stata indicata in numerosi reclami e segnalazioni al Garante, da parte di più utenti. Le violazioni lamentate erano imperniate perlopiù sull’effettuazione di proposte commerciali telefoniche, indesiderate, non rispettose dei limiti imposti dalla normativa e di inadeguate operazioni di revoca e opposizione al trattamento.
Per la precisione il Garante, in seguito a istruttoria, ha accertato diverse prassi:
- è emerso che alcune numerazioni telefoniche chiamanti non risultavano censite nel Registro degli Operatori di Comunicazione (c.d. ROC – vi sono obbligati all’iscrizione i soggetti della delibera 666/08/CONS dell’AGCOM, come i call center) e non erano riconducibili alla rete di vendita ufficiale della titolare – cosa che ha indotto la stessa a sporgere denuncia per tutelare il proprio buon nome (si concretizzava perfino uno storno della clientela di Edison sulla base di false informazioni);
- è stato verificato che alcune utenze chiamate sono state inserite nella lista di contattabilità di Edison, sulla base di consensi specifici per il marketing e alla comunicazione dei dati a terzi; i dati pertanto non erano raccolti direttamente dalla titolare bensì da terzi (list provider, spesso con dataset combinati e ripuliti da terzi aggregatori di dataset), in vario modo – ad es. in occasione della compilazione da parte degli interessati di form di raccolta dati per la registrazione a siti web o per la partecipazione a concorsi a premi on-line; tali terzi (di cui a volte non era evidente il ruolo privacy) avrebbero inoltre, a vario titolo, ceduto o licenziato i database di contatti alla società Edison; per stessa ammissione di Edison, tali dati (cioè le numerazioni telefoniche) non sarebbero stati oggetto di un “carotaggio” a campione, ex ante, per verificarne la liceità, ma solo a verifiche sui touchpoint di provenienza: i siti web di raccolta, le informative adottate e i relativi consensi;
- è vero che la titolare manteneva una “lista nera” di numeri non contattabili (cioè di utenti che non volevano essere più contattati), però veniva gestita manualmente senza precisare “la data del diniego, né dell’inserimento in lista, né dell’identità dell’interessato, non consentendo di accertare la liceità dei contatti promozionali e la corretta gestione dell’opposizione effettuata dagli interessati”;
- oltre a ciò, sono emersi da controlli del Garante – effettuati sul CRM aziendale – dati di utenti cessati da oltre 11 anni, senza che vi fosse una giustificazione né che fossero cancellati o anonimizzati; dall’indagine sarebbe tuttavia emersa idonea giustificazione, ovvero che vi fossero dei contenziosi in corso con quasi tutti tali utenti (morosi) e il Garante l’ha accolta come valida;
- un altro punto riguarda l’annotazione interna di eventuali opposizioni o revoche del consenso, oralmente durante la chiamata, da parte degli utenti telefonici; il Garante ha accertato che spesso si effettuava così un’annotazione interna, per escluderli solo dalla singola campagna, non da ulteriori comunicazioni – costringendo l’utente che non volesse essere più contattato, in assoluto, a un procedimento aggravato, istruito sull’inviare un’email apposita di richiesta alla titolare e persino al list provider terzo da cui erano giunti i dati d’origine;
- non mancano problemi con i consensi acquisiti direttamente dalla titolare, tramite sito web e app: dall’indagine del Garante sarebbero emersi consensi indebitamente “multipli” (cioè unici per più fini, ad es. sia di promozione che di profilazione); in altri casi specificati dalla titolare nemmeno sarebbero stati effettivamente utilizzati per tali fini (non sarebbe stata, affermava, nemmeno in grado di effettuare profilazione né avrebbe comunicato dati a terzi).
Detto delle violazioni, possiamo di seguito trarre preziose indicazioni dalle valutazioni giuridiche e operative del Garante per le violazioni sopra accertate, quasi a costituire un piccolo vademecum per l’accountability degli operatori del settore telemarketing.
Le chiamate effettuate da terzi non abilitati: come impedirle
Si tratta di una delle violazioni che più ammorbano il settore: terzi – non facenti parte della propria rete di vendita – che chiamano gli utenti, spendendo il nome della società. Edison avrebbe però adottato, in corso d’opera, un proprio sistema chiamato “Watson”, e mirato a impedire la contrattualizzazione di chiamate da parte di soggetti estranei alla rete di vendita (generanti chiamate “fuori lista”, bloccate alla radice). Un sistema centralizzato, messo a disposizione altresì dei propri call center da parte della titolare. Il Garante stesso ammette che un apparato di questo tipo è idoneo ad arginare il fenomeno, può rappresentare una misura efficace.
In sostanza, il Garante ricorda che il titolare deve adottare misure di garanzia tali da dimostrare che contratti e attivazioni registrati provengano da contatti gestiti in maniera conforme a normativa.
Consensi “multipli” e “contrattualizzati”: come separarli
Palesemente errata è la diversa prassi, constata dal Garante, di attirare utenti con iniziative di buoni regalo per poi costringerli a un’unica manifestazione di volontà per più scopi. Come imposto dal GDPR e sanzionato più volte in altri casi, il Garante rammenta che anzitutto va tenuta distinta l’accettazione di eventuali contratti (come il regolamento dell’iniziativa premio) dai consensi privacy, i quali vanno suddivisi per tutte le distinte finalità ipotizzate (in un caso indagato, ben cinque: marketing della titolare; profilazione da parte della medesima; comunicazione a terzi per le loro finalità promozionali; profilazione da parte dei medesimi terzi).
Non si può certo ravvisare un consenso libero e specifico se tutto ciò viene “riassunto” in un’unica, indistinta manifestazione di volontà.
È vero che dall’analisi del Garante pare fosse comunque disponibile una sorta di sotto-menù con box distinti, per una distinzione e scelta separata dei consensi, se l’utente avesse voluto discernerli – tuttavia ciò non può sanare la illecita riunione di questi consensi nel primo “multiplo”, unificato.
Nel caso Edison, il Garante segnala che l’illiceità così creata non è stata cagionata da Edison, bensì da una società slovacca terza che ha raccolti i dati, in seguito cedendo il proprio pacchetto dati e trasmettendo così a Edison le medesime illiceità d’origine. Come avrebbe dovuto agire la società energetica, cessionaria? Con adeguata verifica (due diligence) della compliance normativa del terzo quanto alla liceità dati ceduti, e che avrebbe dovuto concentrarsi sul processo di acquisizione dei consensi (il mero testo dell’informativa utilizzata non avrebbe potuto rivelare la falla principale).
Peraltro la società, dalla narrazione del Garante, aveva persino appaltato a una società terza proprio i controlli sui dataset acquisiti. Come che sia, i controlli vanno effettuati ex ante, sulle singole numerazioni, e non ex post (ad es. prima di una campagna, a dato già incamerato e utilizzato, come emerso dalle indagini). Per il Garante, il vaglio preventivo a campione quale processo standardizzato è misura essenziale di conformità al principio di privacy by design. La realizzazione di tale principio passa, tra l’altro, dalla comprovabilità – per tutto il ciclo di vita dei dati – del rispetto dei principi del trattamento.
Nel caso di specie, si menziona il fatto che i controlli ex post fossero in ogni modo tarati su un campione del 5%: sulla adeguatezza del campione il Garante purtroppo non ci fornisce approfondimenti, aspetto che sarebbe stato utile delucidare, date le numerose incertezze che spesso gli operatori patiscono in merito. Dovendo bilanciare la compliance con l’operatività e il dispendio di risorse e tempo che queste operazioni possono comportare.
L’uso corretto delle liste contatti di terzi
Il Garante dà inoltre atto che, in corso di istruttoria, la società avrebbe corretto il suo agire tramite un sistema sperimentale. Questo sistema permetterebbe di inserire nelle predette black list di numeri non contattabili (coloro che hanno esplicitato di non voler ricevere comunicazioni) anche altri dati, non solo il numero telefonico (di per sé ritenuto insufficiente). Per ricostruire e contestualizzare la volontà degli interessati.
Solo così si potrà sapere con certezza se e quando l’interessato abbia consentito o revocato, oltre al “come” l’abbia fatto. Invece, ricostruire ex post i dati e la volontà, con l’incrocio di varie comunicazioni, effettuato alla bisogna, non rappresenterebbe affatto una corretta accountability. Né tantomeno un processo privacy by design.
Oltretutto il Garante, nel suo excursus, conferma la illiceità di un’altra prassi, già censurata più volte in passato, ovvero il passaggio di dati a più riprese tra più titolari, senza che si provveda agli adempimenti dovuti.
È noto, infatti, che un consenso specifico per la comunicazione dei dati a terzi non può andare oltre la prima comunicazione, ragion per cui eventuali passaggi di dati verso terzi – che volessero ricevere e utilizzare gli stessi dati – dovrebbero richiedere e ottenere un nuovo consenso. Non si può “riciclare”, insomma, il primo consenso per effettuare infinite catene di transito dei dati tra titolari (c.d. “doppio passaggio”).
È doveroso notare come nel caso di specie il Garante avesse ipotizzato in prima battuta tale violazione, per poi lasciarla cadere a fronte della precisazione dei ruoli privacy da parte di Edison: il terzo coinvolto (l’aggregatore di liste contatti) sarebbe stato un mero responsabile e non già un titolare. Quindi non sarebbe avvenuto un ulteriore passaggio di dati tra titolari.
La revoca (telefonica) del consenso: facile da esercitare
Se, in qualche misura, sono ormai diffuse varie modalità di registrare i consensi, le osservazioni del Garante testimoniano come sia molto meno curata la fase – altrettanto importante – della revoca del consenso (o dell’opposizione, se parliamo di interesse legittimo). Il Garante si attende che il titolare abbia una procedura interna ad hoc e documenti annessi.
Tra questi, troviamo gli script telefonici per gli operatori e call center, prodotti nell’indagine che, afferma il Garante, hanno documentato una prassi difforme da quella dichiarata (e priva, per l’appunto, di procedura formale). In ogni caso, la richiesta di revoca/opposizione/cancellazione dell’utente non può essere appesantita da prassi aggravate e molteplici reindirizzamenti per l’esercizio dei diritti tra più titolari (come detto sopra, quanto i dati erano frutto di condivisione tra più società). Deve essere invece agevole e rapido, il suo esercizio. In particolare, il consenso va revocato con stessa facilità con cui lo si rende.
Di conseguenza lo script dell’operatore deve già indicare chiaramente, durante la chiamata, “il titolare a cui dovrà essere indirizzata la richiesta di cancellazione dei dati personali e che vi provvederà in via definitiva”. Potendo l’utente opporsi in qualsiasi momento, certo anche durante la conversazione con l’operatore, debitamente istruito.
Informative e consensi trasparenti ed effettivi
Si è detto che nel caso di specie la titolare aveva raccolto addirittura più consensi rispetto ai trattamenti effettivamente praticati, come accadeva per la profilazione e la comunicazione a terzi. Due trattamenti a consenso non reali, non attuati dalla titolare, non comprovati – anzi smentiti durante l’indagine.
Ciò violerebbe la dovuta trasparenza: le finalità e relati consensi devono sempre rispondere – per aversi davvero trasparenza – a trattamenti concreti, effettivi. Diversamente, si vizia la validità degli stessi consensi acquisiti. Ovviamente la cosa è aggravata se, ancor più, si legano i consensi all’accettazione di un contratto, come accaduto a Edison.
Si tenga però conto che il Garante afferma, d’altro canto, che “una volta acquisito il consenso per finalità di marketing e di profilazione e raccolto i relativi dati, il trattamento deve intendersi pienamente posto in essere anche in caso di sola conservazione dei medesimi in attesa che nuove circostanze rendano possibili le ulteriori operazioni finalizzate al marketing e alla profilazione”. Sarebbe dunque sufficiente l’idoneità dei dati conservati alla profilazione, potenzialmente “in attesa”, per dirsi attuato il trattamento e valido il consenso? Il passaggio non è chiarissimo.
Telemarketing illegale, l’ultima speranza è il Codice di Condotta tra operatori
Conclusioni
Resta un implicito ulteriore memento del Garante, si evince dalla lettura dell’intero provvedimento: la necessità di piena e pronta collaborazione durante l’indagine.
Nel calcolare la sanzione e motivare la sua ordinanza, il Garante sottolinea che spesso il titolare è stato contraddittorio, non ha fornito prove di svariate dichiarazioni, oppure ha prodotto prove insufficienti.
Tuttavia ha valutato positivamente come, in varie occasioni, Edison abbia dimostrato un atteggiamento proattivo, quanto alla cessazione di determinate condotte e adozione di misure rimediali. Il grado elevato di cooperazione ha dunque pesato nel calcolo (al ribasso) della sanzione.
D’altro canto, restano indicate come aggravanti tra le varie voci sia la mole di interessati coinvolti, sia la violazione di norme e provvedimenti del Garante ormai consolidati e patrimonio degli operatori da diverso tempo.
Solo il tempo ci dirà se questo sarà uno degli ultimi provvedimenti, pure in forza della sua sanzione, ad aver contribuito a mutare qualcosa nelle (peggiori) prassi di telemarketing. In attesa del codice di condotta per il telemarketing.
