di Federica De Stefani, avvocato e responsabile Aidr Regione Lombardia
Il Garante per la protezione dei dati personali interviene nuovamente
sulla delicata questione del telemarketing selvaggio e infligge a Sky
una sanzione di oltre 3 milioni di euro.
Il provvedimento arriva dopo una lunga e complessa attività
istruttoria avviata a seguito di decine di segnalazioni e reclami di
persone che lamentavano la ricezione di telefonate indesiderate,
effettuate per promuovere i servizi offerti da Sky, sia direttamente
sia tramite call center di altre società.
L’Autorità ha rilevato, nelle proprie indagini, molte criticità tra le
quali l’effettuazione di chiamate promozionali senza informativa e
senza consenso, utilizzando liste non verificate, acquisite da altre
società.
L’analisi dell’ordinanza ingiunzione emessa dal Garante offre
importanti spunti di riflessione e mette in luce alcuni passaggi delle
attività di telemarketing idonei a costituire delle “linee guida” per
lo svolgimento corretto delle stesse.
Si ritorna al delicato equilibrio tra business, trattamento dei dati e
protezione degli stessi.
La protezione dei dati personali non deve, così come espressamente
indicato dall’art. 1 del Regolamento europeo, essere un ostacolo per
le attività economiche.
Si tratta di contemperare due esigenze diverse (business e protezione
dei dati) che solo apparentemente sono inconciliabili, spesso
considerate tali per una mancata approfondita conoscenza della
normativa.
La procedura per il telemarketing
Il telemarketing consiste in una tecnica utilizzata dalle aziende per
la promozione dei propri prodotti. Nel caso specifico, analizzato
dall’ordinanza ingiunzione dell’Autorità, Sky acquisiva da società
terze liste di utenti da contattare con espresse finalità di marketing.
La procedura per lo svolgimento di questa attività, secondo le
disposizioni del Regolamento europeo sulla protezione dei dati
personali, prevede i seguenti passaggi:
Acquisizione da parte della società terza in outsourcing del consenso
dell’utente a comunicare i propri dati a terzi.
Acquisizione dei nominativi da parte di Sky.
Utilizzo, da parte di Sky, delle liste acquisite contattando il
cliente e fornendo allo stesso la propria informativa.
Acquisizione, sempre da parte di Sky, del consenso dell’utente a
formulare proposte commerciali e solo dopo tale acquisizione,
possibilità, da parte dell’operatore, di formulare la proposta
commerciale.
Secondo l’istruttoria svolta dal Garante la procedura seguita per
l’attività promozionale da Sky era carente di alcuni elementi
essenziali, limitandosi all’utilizzo dei nominativi acquisiti dalle
società terze già “consensati”.
Il punto fondamentale è esattamente questo: il consenso fornito
dall’utente alla società terza rappresentava una valida base giuridica
unicamente per la comunicazione dei nominativi a Sky e non anche
l’ulteriore l’utilizzo degli stessi per finalità di marketing da parte
di quest’ultima.
Si aggiunga, inoltre, che Sky avrebbe dovuto, prima di effettuare
qualunque operazione, controllare attraverso le proprie black list che
le persone da contattare non avessero espresso la loro contrarietà a
ricevere telefonate pubblicitarie proprio dei suoi prodotti.
La PEC come canale idoneo per l’esercizio dei diritti dell’interessato
Ulteriore elemento degno di nota riguarda i canali messi a
disposizione degli utenti per l’esercizio dei propri diritti.
L’Autorità, infatti, ha prescritto a Sky di inserire tra i canali di
ricezione delle dichiarazioni di opposizione al trattamento, anche
l’indirizzo PEC indicato nel registro delle imprese, indirizzo che
finora non era stato ritenuto un valido punto di contatto per la
privacy.
Le società di outsourcing e la qualifica di responsabile del trattamento
L’ordinanza ingiunzione chiarisce, infine, un ulteriore importante
aspetto, ossia la qualificazione delle società terze che formano le
liste di nominativi utilizzati per finalità di marketing, ribadendo,
ancora una volta, come già fatto in passato, che le agenzie di
outsourcing non possano essere qualificate come titolari autonomi del
trattamento.
Il provvedimento in commento, in particolare, espressamente sottolinea
che “all’asserita titolarità formale non corrispondono, anche in
termini concreti, i poteri tassativamente previsti dal Codice per la
configurazione e l’esercizio della titolarità, che sono e restano
appannaggio esclusivo dei preponenti. Tra questi, innanzitutto:-
assumere decisioni relative alle finalità del trattamento dei dati dei
destinatari di campagne promozionali ai fini di invio di materiale
pubblicitario o di vendita diretta o di ricerche commerciali o di
comunicazione commerciale effettuate da soggetti terzi che agiscono in
outsourcing per lo svolgimento delle richiamate attività di promozione
e di commercializzazione di beni, prodotti e servizi;-impartire
istruzioni e direttive vincolanti nei confronti degli outsourcer,
sostanzialmente corrispondenti alle istruzioni che il titolare del
trattamento deve impartire al responsabile;-svolgere funzioni di
controllo rispetto all’operato degli outsourcer medesimi”.
Ne deriva, quindi, come naturale conseguenza che tali soggetti
dovranno ricevere anche una espressa e formale designazione a
responsabili del trattamento, secondo il disposto dell’art. 29
Regolamento.
