Registro dei provvedimenti
n. 275 del 22 giugno 2016
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");
VISTA la segnalazione di XY nonché quelle di KW, HY, WQ, ZX, HH, WW, QQ, YY, JJ, KK, ZZ, XX, QZ, QY, QJ, KH, HZ e YH;
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del Regolamento del Garante n. 1/2000;
RELATORE il dott. Antonello Soro;
PREMESSO
1.1. Con segnalazione del 2 novembre 2015 (reiterata, con riferimenti a telefonate ulteriori, in data 11 febbraio 2016), XY ha lamentato di essere stato contattato telefonicamente, in particolare in data 3 e 4 settembre 2015, sulla sua utenza domestica per l'effettuazione di chiamate a contenuto promozionale nell'interesse di Telecom Italia s.p.a. (di seguito Telecom). Il segnalante, precisando che la propria utenza è iscritta al registro pubblico delle opposizioni di cui al d.P.R. 7 settembre 2010, n. 178, ha rappresentato, allegando la pertinente documentazione, che:
a. le chiamate provenivano da Sentel s.r.l. (di seguito Sentel), società nei confronti della quale lo stesso si era immediatamente rivolto, esercitando i diritti previsti dall'art. 7, con nota del 4 settembre 2015 (cfr. all. 12 al verbale del 3 maggio 2016);
b. detta società, con comunicazione del 9 settembre 2015 (allegata alla segnalazione), gli aveva rappresentato di averlo contattato su indicazione di Telecom che aveva fornito a Sentel medesima i dati a lui riferiti per l'effettuazione di chiamate a contenuto promozionale.
In particolare, il segnalante ha lamentato di essere stato contattato nonostante non avesse manifestato il proprio consenso all'utilizzo della propria utenza in sede di conclusione del contratto (cfr. segnalazione 2 novembre 2015, p. 2), circostanza (incontroversa in quanto) espressamente confermata in una nota del 16 settembre 2013 di Telecom inviata al Garante nell'ambito di un precedente procedimento su ricorso attivato presso l'Autorità e conclusosi con la decisione del 21 novembre 2013, n. 529 (doc. web n. 2937048).
1.2. Il segnalante ha inoltre rappresentato, comprovando le proprie dichiarazioni con la pertinente documentazione, di essersi anche, in più occasioni, opposto al trattamento dei dati a sé riferiti da parte di Telecom per finalità di marketing, segnatamente con le comunicazioni a/r del 23 maggio 2013 e 13 giugno 2013, seguite dal ricorso al Garante in data 10 luglio 2013 (nel quale ribadiva la propria opposizione), nonché, in tempi successivi, con la comunicazione a/r del 4 febbraio 2014.
1.3. Il segnalante ha pure lamentato che Telecom, diversamente da quanto dichiarato nell'ambito del menzionato procedimento su ricorso, avrebbe comunicato a terzi (Sentel) i dati a sé riferiti successivamente al ricorso medesimo.
1.4. La segnalazione in esame rientra in un novero assai ampio di segnalazioni indirizzate all'Autorità, talune delle quali prese in considerazione nell'ambito degli accertamenti svolti (cfr. punti 7.3 e 9.1), nelle quali si lamenta, nei confronti di Telecom ‒ ma si tratta di fenomeno più esteso, che interessa una pluralità di operatori economici in base alle segnalazioni che pervengono all'Autorità ‒, il "contatto" per finalità promozionali, in assenza di consenso o nonostante l'opposizione (talora ripetutamente) manifestata.
2.1.1. Nell'ambito dell'istruttoria preliminare condotta dall'Ufficio per accertare le circostanze oggetto di segnalazione da parte di XY, a seguito delle richieste di informazioni formulate a Sentel e Telecom con le note del 10 e 19 novembre 2015, Sentel ha dichiarato (cfr. comunicazione 3 dicembre 2015):
a. di aver effettuato due chiamate dirette all'utenza del segnalante esclusivamente in data 3 settembre 2015;
b. di aver utilizzato per l'effettuazione di dette chiamate dati forniti «da Telecom Italia s.p.a. in virtù di apposito contratto. Il recapito [del segnalante] è stato fornito a Sentel s.r.l. da Telecom Italia in lista PR16507 rilasciata in data 1/9/2015»; «i contatti del 3 settembre u.s. sono stati effettuati […] per conto di Telecom Italia».
2.1.2. A seguito di ulteriore richiesta di informazioni del 7 marzo 2016, Sentel confermava le circostanze appena indicate e dichiarava di operare, nell'interesse e con l'approvazione di Telecom, in base ad un contratto di fornitura di servizi con altra società, Netsi s.r.l. (all. 1 alla nota del 7 marzo 2016), a sua volta partner di Telecom, nonché di aver effettuato le chiamate nell'interesse di Telecom sulla base di liste dalla medesima fornite e previa designazione quale responsabile del trattamento con comunicazione con comunicazione Telecom del 5 dicembre 2013 (cfr. allegato 5 alla nota del 7 marzo 2016).
Sentel, inoltre, dando riscontro alle richieste dell'Ufficio, ha reso disponibile una lista di contatti interessati dalla medesima campagna promozionale denominata "RECUPERO CONSENSO" (recante il n. HX); la suddetta lista (trasmessa all'Ufficio in allegato alla comunicazione del 7 marzo 2016) consta di 24.983 utenze e comprende (tra gli altri) i dati personali riferiti al segnalante. Essa rientra in una più ampia commessa rimessa a Sentel consistente di due ulteriori sottoliste facenti tutte capo alla citata lista PR16507.
2.2. Nel riscontro fornito da Telecom in data 23 dicembre 2015, e segnatamente nella scheda allegata alle dichiarazioni rese dal rappresentante della società, risulta che:
a. «il titolare dell'utenza [vale a dire il segnalante] non risulta essere attualmente cliente Telecom Italia; l'utenza è cessata nei rapporti con Telecom in data 19.4.2013 […]. Dalle verifiche effettuate è emerso che per tale utenza era stato registrato in data 24.03.2011 il diniego al trattamento dei dati personali da parte di Telecom Italia per informazioni commerciali tramite telefono […]. Relativamente alle presunte telefonate del 3 e 4 settembre u.s., lamentate dal segnalante, è emerso che l'utenza è risultata inserita, in data 1° settembre 2015, in una lista di contattabilità per la proposizione di offerte commerciali solo nel caso in cui il cliente avesse preventivamente accettato di cambiare il suo consenso che […] dal 2011 era valorizzato a "NO"»;
b. l'utenza del segnalante, «inserita nella citata lista, è stata oggetto dei contatti telefonici del 3 settembre 2015 alle ore 20,38 e alle ore 20,39 da parte del proprio partner Sentel […]».
3.1. Al fine di chiarire il contenuto della documentazione trasmessa e verificare le circostanze rappresentate nonché, più in generale, l'osservanza delle disposizioni in materia di protezione dei dati personali con riguardo all'effettuazione dell'attività di telemarketing da parte di Telecom con l'ausilio dei propri partner, l'Ufficio ha effettuato verifiche in loco dapprima presso Sentel, in data 3 maggio 2016 (punto 4.1 e ss.), e presso Netsi, in data 4 maggio 2016 (punto 5.1 e ss.) ‒ società aventi entrambe sede a Bari ‒, quindi presso Telecom (punto 6.1 e ss.).
4.1. Nel corso dell'accertamento presso Sentel ‒ in occasione del quale è stato rappresentato che socio di maggioranza di Sentel (al 51%) è Netsi s.r.l. (cfr. verbale 3 maggio 2016, p. 2) ‒ è emerso che:
a. la società (che si avvale di circa 70 collaboratori), designata responsabile del trattamento da Telecom, effettua attività di teleselling esclusivamente per conto di Telecom;
b. con l'approvazione di Telecom, Netsi ha subappaltato lo svolgimento di alcune attività di teleselling a Sentel;
c. le liste di utenti da contattare per finalità promozionali, unitamente alle rispettive numerazioni telefoniche, vengono fornite direttamente da Telecom (ogni dieci giorni circa) per il tramite di un proprio portale dedicato (definito "punto accesso unico"), cui si accede grazie a credenziali di autenticazione per effettuare il download delle liste, successivamente "caricate" sul sistema interno di Sentel denominato "GAT.CRM";
d. le chiamate sono effettuate dagli operatori del call center attraverso un cd. predictive dialer, ovvero un compositore telefonico che, prendendo numeri dal database di contatti, connette automaticamente gli operatori a quei numeri, utilizzando algoritmi statistici per minimizzare i tempi di attesa e ridurre la probabilità di chiamate senza risposta e chiamate a numeri occupati;
e. le liste fornite da Telecom hanno una validità di 15 o 28 giorni;
f. unitamente alle liste delle utenze telefoniche da chiamare, Telecom fornisce, per ogni campagna, anche i rispettivi script, vale a dire i testi cui i singoli operatori addetti al call center sono tenuti ad attenersi in occasione di ciascun contatto telefonico;
g. le liste, individuate univocamente da un identificativo alfanumerico ("ID lista"), anche ai fini della fatturazione, non possono essere modificate da Sentel e vengono dalla stessa conservate per dodici mesi e successivamente cancellate (dandone riscontro a Telecom).
h. le chiamate in uscita effettuate da Sentel appaiono in chiaro con le numerazioni: [...] e [...].
4.2. Ogni chiamata ha un "esito", registrato nel "GAT.CRM", che può essere "positivo", quando la comunicazione porta alla conclusione del contratto; "chiuso di ufficio", quando è decorso il termine di contattabilità; "PD abbattuto", quando il tenore del segnale di ritorno viene interpretato dal sistema quale numero inesistente oppure numerazione non attiva; "negativo" in diverse ipotesi, tra cui, in particolare, quella in cui l'interessato manifesta la sua volontà di non essere contattato, registrata dall'operatore come "diniego".
Il "diniego" viene registrato da Sentel in una black list (allegato n. 8 al verbale del 3 maggio 2016) che, in occasione della rendicontazione mensile, viene inviata a Telecom.
Il rappresentante di Netsi, presente nel corso degli accertamenti, ha altresì dichiarato che, senza una predefinita periodicità, un ulteriore elenco di numeri telefonici da non contattare (anch'esso denominato black list) viene tramesso da Telecom alla società.
4.3. Con particolare riguardo alla lista di contattabilità denominata "RECUPERO CONSENSI" ‒ che contiene (tra gli altri) i dati personali riferiti a XY e l'utenza telefonica dello stesso (cfr. punto 2.1.2) ‒, la società ha dichiarato di aver ricevuto da Telecom, nel corso degli ultimi dodici mesi, in quattro occasioni liste di utenze da contattare recanti detta denominazione (cfr. le mail provenienti da Telecom, aventi per oggetto "liste per recupero consensi cx TI fase 2 sul portale" del 7 ottobre 2015, 4 settembre 2015, 9 luglio 2015 e 26 giugno 2015, di cui agli allegati 2, 3, 4 e 5 al verbale del 3 maggio 2016, contenenti complessivamente 231.228 utenze telefoniche per l'attività "RECUPERO CONSENSI CX TI FASE 2" ed acquisite agli atti: cfr. all. 8 al verbale del 3 maggio 2016). Rispetto ad esse, Sentel ha dichiarato di aver effettuato le telefonate a contenuto promozionale nei seguenti periodi: 26 giugno – 25 luglio 2015; 10 luglio – 7 agosto 2015; 3 settembre – 30 settembre 2015; 8 ottobre – 5 novembre 2015.
Con riguardo alla campagna promozionale dedicata al "RECUPERO CONSENSI", lo script acquisito in atti (cfr. allegato n. 3 al verbale 3 maggio 2016) mirante all'acquisizione del consenso al trattamento dei dati per finalità promozionali degli interessati che in precedenza non lo avevano manifestato o, come nel caso del segnalante, lo avevano espressamente negato (o, ancora, si erano opposti al trattamento), contiene, in apertura di telefonata, dopo l'enunciazione del nominativo dell'operatore chiamante di Sentel, qualificata «Partner di TELECOM ITALIA/TIM», la seguente locuzione: «Ci piacerebbe acquisire il suo consenso per tenerla aggiornata sulle nostre nuove offerte, oggi più interessanti rispetto a quando lei era nostro cliente. Se è interessato la invitiamo a lasciarci il suo consenso per essere ricontattato da Telecom Italia/TIM». In base allo stesso script, ove l'utente contattato avesse manifestato la disponibilità a rendere il proprio consenso, il testo predisposto (denominato "INFORMATIVA E CONSENSO") reca il seguente contenuto: «La informiamo che, se ci fornirà il consenso, Telecom Italia potrà trattare i suoi dati (inclusi i dati di traffico e di navigazione internet) individuali e dettagliati per proporLe nuove offerte, per vendita diretta, per ricerche di mercato, anche con modalità automatizzate (es. sms, e-mail). In ogni momento potrà richiedere o visionare l'informativa, verificare i Suoi dati ed esercitare gli altri diritti previsti dall'art. 7 della normativa sulla Privacy, chiamando il 119 o consultando il link Privacy sul sito www.telecomitalia.com. Ci fornisce il Suo consenso?»
4.4. Con riferimento ai fatti lamentati da XY, ad integrazione delle dichiarazioni già rese dalla società con le comunicazioni inviate all'Autorità (v. punto 2.1) sono stati altresì acquisiti gli screen shot relativi alle telefonate effettuate da Sentel al numero telefonico di XY, verificando che in data 4 settembre 2015 nessuna telefonata risulta essere stata effettuata da Sentel al medesimo (cfr. all. 13 al verbale 3 maggio 2016).
4.5. Nell'ambito degli accertamenti è stato altresì possibile appurare che:
a. «le campagne "RECUPERO CONSENSO" possono portare alla conclusione di un contratto» (cfr. verbale del 3 maggio 2016, p. 3);
b. previa autorizzazione degli utenti, le telefonate sono registrate solo in caso di conclusione di un contratto (cd. vocal order, taluni dei quali, a campione, sono stati acquisiti: cfr. all. 7 al verbale del 3 maggio 2016), con conservazione delle stesse sui server di Telecom (ed alle quali Sentel può accedere solo per 30 giorni).
5.1. Nel corso dell'accertamento effettuato presso Netsi, società che si avvale allo stato di circa 150 collaboratori, essa pure designata da Telecom responsabile del trattamento con nota del 22 settembre 2011 (all. 20 al verbale 4 maggio 2016) ‒, sono risultate confermate tutte le circostanze concernenti le modalità tecnico-organizzative predisposte da Telecom per la trasmissione delle liste di utenti da contattare nonché le modalità di interlocuzione con gli interessati in occasione dell'effettuazione delle telefonate per finalità promozionali sopra illustrate ai punti 4.1 e 4.2 (cfr. verbale 4 maggio 2016).
È stato altresì dichiarato che le chiamate in uscita effettuate da Netsi appaiono in chiaro con le numerazioni [...].
La società ha precisato che «rispetto alle liste formate da Telecom, traendo i dati di contatto dagli elenchi pubblici, la durata è di 15 giorni; rispetto alle restanti liste la durata media è di circa 28 giorni» (cfr. verbale 4 maggio 2016, p. 2).
5.2. Nel corso degli ultimi dodici mesi la società ha ricevuto da Telecom, tra le altre, quattro liste di contattabilità recanti la denominazione "RECUPERO CONSENSI", rispetto alle quali ha contattato complessivamente 231.713 utenze telefoniche, le telefonate sono state effettuate nei seguenti periodi: 23 luglio – 14 agosto 2015; 1° settembre – 30 settembre 2015 (ID lista PR 16507); 7 ottobre – 5 novembre 2015 (ID lista PR 16758 e PR 16579); 22 ottobre – 31 ottobre (ID lista PR 16977).
6.1. Al fine di definire compiutamente i profili caratterizzanti dei trattamenti effettuati nell'ambito dell'attività di telemarketing/teleselling, al di là delle singole segnalazioni pervenute nel tempo al Garante (e tra queste quella di XY), in particolare con riguardo alle liste di contattabilità denominate "RECUPERO CONSENSI" nonché per verificare, più in generale le modalità con le quali Telecom dà riscontro all'esercizio dei diritti di cui all'art. 7, del Codice – a mente di quanto segnalato da XY e da altri segnalanti –, l'Ufficio ha effettuato nei giorni 18, 19 e 25 maggio 2016 verifiche in loco presso sedi Telecom in Roma.
6.2. In tali occasioni, a conferma di quanto emerso dalle verifiche effettuate presso Sentel e Netsi, nel corso di tali accertamenti è stato dichiarato che:
a. «sulla base di direttive aziendali, per tutti i soggetti che fanno parte della "rete vendita" Telecom (teleseller ed agenti) è prevista la designazione quale responsabile del trattamento dei dati personali» (cfr. verbale 18 maggio 2016, p. 2) nonché «nei confronti dei sub-fornitori segnalati a Telecom dai fornitori, come previsto contrattualmente» (cfr. verbale 18 maggio 2016, p. 3);
b. «le liste hanno una diversa durata a seconda che provengano dagli elenchi pubblici (15 giorni) o da altre liste (30 giorni)» e sono oggetto di conservazione da parte della Funzione "Sales" per 12 mesi «per finalità di fatturazione e controllo» (v. verbale 18 maggio 2016, p. 4).
6.3. Inoltre è stato dichiarato che:
a. una volta individuate le numerazioni relative ad una intera campagna in base ai criteri predeterminati dalla Funzione "Market Analysis e Crm" di Telecom, la Funzione "Sales", effettuate le opportune operazioni di suddivisione ‒ circostanza oggetto di verifica mediante simulazione nel corso degli accertamenti (cfr. verbale 19 maggio 2016, p. 4) ‒, provvede alla trasmissione delle liste "caricandole" «su un portale, suddivise per ciascun partner, il quale le può successivamente "scaricare" mediante l'utilizzo di credenziali di autenticazioni uniche fornite da Telecom». Questo è «l'unico canale di trasmissione delle liste» (cfr. verbale 19 maggio 2016, p. 2);
b. «per raggiungere gli obiettivi di business della società, con conseguente ampliamento dei ricavi, la Funzione "Market Analysis e Crm" analizza il database "clienti" individuando categorie di interessati (target) ai quali proporre singole campagne di marketing» (cfr. verbale 18 maggio 2016, p. 3);
c. dopo l'effettuazione di «una prova su un campione di numerazioni, denominata fase 1» (cfr. verbale 18 maggio 2016, p. 5), la campagna denominata "RECUPERO CONSENSI fase 2", effettuata con la collaborazione diretta di 8 società partner designate responsabili del trattamento, ha riguardato complessivamente 1.976.266 numerazioni telefoniche (cfr. all. 5 al verbale del 18 maggio 2016);
d. «nell'anno 2015 l'intera base dati di "clienti cessati e non consensati" ha formato oggetto, di una campagna di marketing al fine di verificare la possibilità di recuperare il consenso all'attività di marketing. Tale campagna ha interessato l'intera base dati dei "clienti cessati non consensati" (circa 2.000.000) ed ha prodotto contatti utili per circa 400.000 soggetti, all'esito della quale è stato acquisito il consenso per il 70% dei soggetti contattati». In base a stime interne «circa il 50% delle numerazioni presenti nella base dati [oggetto di contatto] sarebbe risultata inesistente» (cfr. verbale 18 maggio 2016, p. 4 s.);
e. anche la responsabile della Funzione "Sales" ha confermato che rispetto alla campagna "RECUPERO CONSENSO" «si trattava di clienti "cessati" senza il consenso per l'attività di marketing» (cfr. verbale 19 maggio 2016, p. 3).
In occasione degli accertamenti sono stati altresì acquisiti in formato elettronico tutti i dati relativi alle utenze contattate da Telecom tramite i propri partner nell'ambito della campagna "RECUPERO CONSENSO" (cfr. all. 5 al verbale del 18 maggio 2016, file denominato RC-2015.txt).
6.4. I rappresentanti della società hanno altresì precisato le modalità utilizzate per alimentare la black list trasmessa da Telecom alla propria rete di vendita (circostanza già sopra evidenziata ai punti 4.2 e 5.1), dichiarando che la stessa, contenente alla data degli accertamenti 5.096 numerazioni (cfr. all. 20 al verbale 25 maggio 2016, p. 4), fa riferimento alle utenze telefoniche:
a. «oggetto di richieste di informazioni pervenute dal Garante»;
b. «oggetto dei "reclami" che pervengono al customer care da parte dei "non clienti" riservati, ovvero iscritti nel registro pubblico delle opposizioni da più di quindici giorni, su dichiarazione dell'interessato»;
c. «riferite ai clienti attivi e cessati che nel CRM risultano con la valorizzazione del consenso "NO"»;
d. «oggetto di segnalazioni indirizzate ai vertici della società che pervengono alla Funzione Reclami Vertice Consumer» (cfr. verbale del 25 maggio 2016, p. 2 s.).
6.5. Quanto alle misure organizzative poste in essere da Telecom per tener conto del consenso degli interessati, manifestato o negato, nonché per dare attuazione ai diritti di cui all'art. 7, con particolare riferimento al diritto di opposizione al trattamento per finalità di marketing (art. 7, comma 4, lett. b), del Codice) ‒ profilo esso pure oggetto di lamentela da parte di XY (cfr. punto 1.1) e, non diversamente, da parte di una molteplicità di segnalanti che, pur avendo comprovato l'opposizione al trattamento, hanno lamentato di essere stati contattati nell'interesse di Telecom in tempi successivi rispetto all'esercizio dei diritti di cui all'art. 7 del Codice (v., in particolare, le segnalazioni menzionate al punto 9.1) ‒ il rappresentante della società ha dichiarato che, in termini generali:
a. «l'opposizione può avvenire nel corso delle campagne di telemarketing», distinguendo «a seconda che il soggetto contattato sia o meno cliente Telecom (attivo o cessato). Nel primo caso «il partner registra il diniego all'interno di una apposita schermata che si interfaccerà con il CRM al termine della campagna» (cfr. verbale 25 maggio 2016, p. 2). Nel secondo caso, «il diniego viene inviato dal partner a Telecom al termine della campagna […] e la numerazione viene inserita in una lista di esclusione per le future campagne» (cfr. verbale 19 maggio 2016, p. 3). «Oltre a ciò, per le numerazioni provenienti dagli elenchi telefonici, viene anche data l'indicazione al soggetto contattato della possibilità di iscriversi al registro delle opposizioni. Per le numerazioni provenienti da liste acquistate da terzi viene anche data l'indicazione della possibilità di opporsi direttamente nei confronti del list provider, la cui identità viene comunicata» (cfr. verbale 19 maggio 2016, p. 3);
b. l'opposizione può altresì essere manifestata «attraverso i numeri di customer care "187" e "119", per fax o posta cartacea (lettere/raccomandata etc.)». Per quanto riguarda i clienti Telecom attivi «l'operatore di customer care che riceve la telefonata accede direttamente al CRM e modifica la valorizzazione del consenso a "NO" dandone riscontro nel corso della stessa» (cfr. verbale 19 maggio 2016, p. 3); «per i "cessati" l'operatore inserisce una "esigenza" ed i sistemi operativi nel batch notturno modificano la valorizzazione del consenso. L'operatore, quindi, non può modificare direttamente tale valore nel CRM» (cfr. verbale 25 maggio 2016, p. 2). «Qualora, invece, la richiesta pervenga via fax ovvero per posta, la procedura risulta la medesima e il riscontro viene fornito per iscritto» (cfr. verbale 19 maggio 2016, p. 3). «Per quanto attiene i reclami dei "non clienti", essi vengono trattati solo se "riservati" o iscritti nel registro delle opposizioni da più di quindici giorni, in base a quanto dichiarato dal cliente. Negli altri casi il soggetto "non cliente" viene invitato ad iscriversi nel registro delle opposizioni, ma i suoi dati non vengono inseriti in black list o liste di non contattabilità» (cfr. verbale 25 maggio 2016, p. 2). Infine è stato dichiarato che «l'opposizione non può essere effettuata tramite email e/o pec» (cfr. verbale 19 maggio 2016, p. 3).
6.6. I rappresentanti di Telecom hanno dichiarato che «a partire dal mese di gennaio 2016, [la società] ha intrapreso una revisione delle procedure interne volta a definire in maniera più capillare le modalità di svolgimento delle attività di controllo di primo e secondo livello, con l'irrobustimento delle check list di controllo; la verifica della effettuazione di chiamate con le numerazioni in chiaro nonché di eventuali chiamate cd. mute. Inoltre ha specificato che è iniziata una attività formativa per tutta la forza vendita. Tali complessive attività si concluderanno in parte entro l'estate ed in via definitiva nel prossimo autunno» (cfr. verbale 18 maggio 2016, p. 4).
7.1. Alla luce degli elementi complessivamente acquisiti deve ritenersi che, con riferimento anzitutto al trattamento dei dati concernenti l'utenza telefonica di XY, Telecom sotto più profili abbia violato la disciplina di protezione dei dati personali. La società, infatti, ha posto in essere una pluralità di operazioni di trattamento e, tra queste, l'estrazione dei dati riferiti al segnalante dal proprio CRM, l'inserimento degli stessi nella lista di contattabilità denominata "RECUPERO CONSENSO", l'invio della stessa al partner Sentel con l'esecuzione, infine, delle chiamate telefoniche avvenute in data 3 settembre 2015, senza che fosse stato previamente acquisito il consenso dell'interessato.
Il segnalante, infatti, non solo non risulta avere prestato il proprio consenso informato e liberamente espresso ai sensi degli artt. 23 e 130, comma 3, del Codice, rispetto all'utilizzo dei dati personali a sé riferiti per finalità di marketing, ma pure rispetto ad essi si era (in più occasioni) espressamente (quanto inutilmente) opposto ai sensi dell'art. 7, comma 4, lett. b), del Codice (cfr. punto 1.2). Circostanze che sono risultate tutte confermate, sia alla luce delle dichiarazioni rese da Sentel (cfr. punto 2.1.2) e da Telecom (cfr. punto 2.2), come pure dagli elementi acquisiti nel corso degli accertamenti (cfr. punto 4.4) (per una fattispecie analoga, cfr. l'ordinanza ingiunzione emessa nei confronti di Telecom con provv. 3 ottobre 2013, n. 433, doc. web n. 2726332).
Nel corso delle ulteriori verifiche presso Telecom, è emerso che per la sua numerazione (ad integrazione di quanto già dichiarato dalla società: cfr. punto 2.2), «la data relativa all'ultima modifica risulta essere il 20.11.2015» e che «tale numerazione è presente nella campagna di "RECUPERO CONSENSO" PR16453 dell'1.09.2015» (cfr. verbale 25 maggio 2016, p. 9 e all. 14 allo stesso).
7.2. Non può ritenersi invece, come lamentato da XY (cfr. punto 1.3), che con riguardo alla vicenda in esame, vi sia stata una comunicazione di dati da parte di Telecom, titolare del trattamento, ricorrendo la stessa solo nel caso in cui la società avesse dato «conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, […] dal responsabile e dagli incaricati […]» (cfr. art. 4, comma 1, lett. l), del Codice); come si è visto, invece, nel caso di specie Sentel risulta essere stata designata responsabile del trattamento (cfr. punti 2.1.2 e 4.1).
7.3. Le verifiche condotte hanno consentito altresì di appurare che anche in relazione ad altra segnalante, HZ, la campagna "RECUPERO CONSENSO" è stata effettuata, oltre che in assenza del consenso dell'interessata, anche in violazione del diritto di opposizione di cui all'art. 7, comma 4, lett. b), del Codice. La numerazione della segnalante, infatti, è risultata «presente nelle liste di contattabilità di Telecom ed è stata inserita nella campagna "RECUPERO CONSENSO" PR15709 e PV005707» (cfr. verbale 25 maggio 2016, p. 4); la società ha altresì dichiarato che, in relazione all'esercizio del diritto di opposizione dell'interessata, la variazione effettuata sul CRM in data 18.03.2014 «non è andata purtroppo a buon fine e la data di effettiva variazione del consenso a "NO" risulta essere quella del 2 novembre 2015 a seguito di ulteriore reclamo» (all. A alla nota 9 giugno 2016).
8.1. Più radicalmente, al di là delle singole posizioni appena evidenziate, gli accertamenti svolti con riguardo all'intera campagna di Telecom "RECUPERO CONSENSO", che ha interessato circa 2.000.000 di utenze (per la precisione, 1.976.266, come detto acquisite agli atti: cfr. punto 6.3), hanno consentito di appurare che la società ha effettuato le operazioni di trattamento (sopra menzionate al punto 7.1) finalizzate allo svolgimento di attività promozionali in violazione della disciplina rilevante in materia di protezione dei dati personali, con particolare riferimento alla mancanza di consenso degli interessati, come richiesto invece dagli artt. 23 e 130, comma 3, del Codice. Ed invero l'art. 130, comma 3, del Codice, dispone che le comunicazioni per finalità promozionali sono consentite, per quanto qui interessa, ai sensi dell'art. 23 del Codice, vale a dire con il consenso informato dell'interessato, da questi manifestato in modo espresso, liberamente e specificamente (in tal senso v. già, sempre nei confronti di Telecom, ancorché con riguardo all'illecito trattamento di dati riferiti ad un'utenza "riservata", provv. 1° ottobre 2015, n. 503, doc. web n. 4449190).
Nel contattare «l'intera base dati di clienti "cessati e non consensati" […] al fine di verificare la possibilità di recuperare il consenso all'attività di marketing» (v. sopra punto 6.3) ‒ attività condotta sistematicamente nel corso del 2015 che, in base a quanto dichiarato, ha consentito alla società di addivenire a circa 400.000 "contatti utili" ‒, Telecom ha infatti operato in assenza del necessario consenso degli interessati. Circostanza che risulta anzitutto confermata, al di là della eloquente dizione utilizzata nell'intestazione dei file, come detto denominati "RECUPERO CONSENSO fase 2", dal tenore letterale che contraddistingue lo script predisposto dalla Società medesima (in relazione a detta campagna) per i suoi partner (riportato al punto 4.3): da esso risulta inequivocabilmente la volontà di acquisire il consenso dell'interessato, consenso del quale la società non disponeva (come invece necessario per effettuare le chiamate ai sensi dell'art. 130, comma 3, del Codice). E alle medesime conclusioni si deve pervenire anche alla luce delle sopra menzionate dichiarazioni, rese dai rappresentanti di Telecom, secondo cui la campagna "RECUPERO CONSENSO" ha interessato utenze per le quali Telecom non disponeva del consenso individuale ad effettuare le telefonate a contenuto promozionale (cfr. le dichiarazioni riportate al punto 6.3, lett. d) ed e).
8.2. Peraltro, la società, oltre a rendersi autrice delle violazioni di legge sopra richiamate rispetto ad una platea amplissima di interessati, ha al contempo posto in essere una condotta contraria alla prescrizione già impartita nei suoi confronti dal Garante con il provvedimento del 30 maggio 2007 (doc. web n. 1412598); in base ad essa Telecom, infatti, era tenuta ad adottare «le misure necessarie per rendere il trattamento dei dati conforme alle disposizioni vigenti per ciò che concerne, specificamente, la possibilità di effettuare chiamate di carattere pubblicitario, promozionale o commerciale solo nei confronti di soggetti per i quali risulti documentato in modo adeguato il preventivo consenso informato rispetto al contatto telefonico […]». Di tale prescrizione Telecom non ha in concreto tenuto conto in relazione alle utenze oggetto della campagna "RECUPERO CONSENSO".
8.3. Infine, in base a quanto emerso dagli accertamenti, Telecom, nel violare il diritto alla protezione dei dati personali con riguardo alle utenze oggetto della campagna "RECUPERO CONSENSO", si è anche discostata dalle modalità operative individuate dalla società medesima nel documento interno emesso dalla Funzione "Privacy" denominato "Sistema delle regole per l'applicazione della normativa privacy nel Gruppo Telecom Italia" Volume IV – Clienti, Parte I – Servizi di comunicazione elettronica, Cod. doc. 2009-00048, p. 3/121, punto 1.c) e p. 11/121, punto 2.1 (cfr. all. 2 al verbale del 18 maggio 2016), disattendendo la chiara volontà degli interessati (originariamente manifestata o a seguito di opposizione) a non essere oggetto delle campagne promozionali Telecom.
Né la società ha tenuto conto delle indicazioni operative formulate nel menzionato "Sistema delle regole" secondo il quale «i contraenti i quali […] si siano opposti al trattamento dei propri dati per le suddette finalità [promozionali] nei confronti di un determinato Titolare, non possono essere contattati da quel Titolare, anche se non si iscrivono nel Registro Pubblico delle Opposizioni (es. i clienti o ex clienti Telecom Italia con consenso I1 uguale a NO)» (p. 6/121).
Ancorché Telecom abbia fornito elementi volti a comprovare lo svolgimento di attività di monitoraggio e verifica rispetto alla condotta tenuta dai propri partner commerciali nello svolgimento dell'attività di telemarketing (cfr. la documentazione di cui agli all.ti 1, 3 e 4 al verbale del 18 maggio 2016), ed anzi abbia manifestato l'intenzione di incrementare il livello di attenzione rispetto alla tematica in esame, avendo già posto in essere azioni al riguardo (cfr. verbale 25 maggio 2016, p. 11), deve tuttavia rilevarsi che gli accertamenti hanno reso manifesto come il "Sistema delle regole" sia stato integralmente pretermesso in occasione dello svolgimento della campagna "RECUPERO CONSENSO" dalla società medesima, in ragione delle determinazioni adottate dalla sua struttura apicale nella materia considerata.
8.4. Alla luce delle considerazioni sopra esposte e considerato l'art. 11, comma 2, del Codice, i dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non potranno essere ulteriormente utilizzati per la menzionata finalità di marketing.
Il Garante dispone quindi, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice il divieto per la Telecom di trattare ulteriormente i dati riferiti ai segnalanti XY (cfr. punto 7.1) e HZ (cfr. punto 7.3) nonché tutti i dati personali concernenti le utenze oggetto della campagna "RECUPERO CONSENSO" per finalità promozionali, ivi compresi i dati di coloro che, a seguito di tale trattamento illecito, abbiano prestato il proprio consenso (punto 8.1).
9.1. Anche le modalità di riscontro da parte della società alle richieste volte a far valere i diritti di cui all'art. 7 del Codice, ed in particolare il diritto di opposizione da parte dell'interessato al trattamento dei dati personali per finalità promozionali, si rileva che non sono conformi alla disciplina di protezione dei dati personali. In particolare:
a. l'esclusione di taluni canali comunicativi da parte dell'interessato per l'esercizio dei diritti di cui all'art. 7 nei confronti della società, segnatamente la previsione per cui «l'opposizione non può essere effettuata tramite email e/o pec» (cfr. punto 6.5 sub lett. b), si pone in contrasto con l'art. 8, comma 1, del Codice, secondo il quale i diritti di cui all'art. 7 del Codice possono essere esercitati «con richiesta rivolta senza formalità al titolare o al responsabile, anche per il tramite di un incaricato […]» e con l'art. 9, comma 1, del Codice, secondo il quale «la richiesta rivolta al titolare o al responsabile può essere trasmessa anche mediante lettera raccomandata, telefax o posta elettronica». A questo proposito, ad esempio, con riferimento ai fatti segnalati da HY, che nel corso dell'istruttoria ha comprovato l'invio via PEC dell'istanza di esercizio diritti previsti dall'art. 7 in data 15 novembre 2014 (e nuovamente l'8 gennaio 2015), si è appurato, in sede di verifica (cfr. scheda allegata al riscontro fornito da Telecom al Garante l'8 maggio 2015), che «non risulta pervenuta alle funzioni competenti di customer la comunicazione datata 15.11.2014 […] inviata dal segnalante a Telecom Italia»;
b. le modalità operative utilizzate per tenere conto delle istanze degli interessati (cfr. punto 6.5 sub lett. a) dal punto di vista, anzitutto, della tempestività del riscontro: a questo riguardo, come è noto, l'art. 8, comma 1, del Codice, prevede che idoneo riscontro sia fornito all'interessato «senza ritardo». Inoltre, al fine di assicurarne la tutela (prevista dagli artt. 145 ss.), l'art. 146 del Codice prescrive che il riscontro all'interessato sia «fornito entro quindici giorni» dal ricevimento della richiesta e «se le operazioni necessarie per un integrale riscontro alla richiesta sono di particolare complessità, ovvero ricorre altro giustificato motivo, il titolare o il responsabile ne danno comunicazione all'interessato. In tal caso, il termine per l'integrale riscontro è di trenta giorni dal ricevimento della richiesta medesima». A questo proposito, ad esempio, in sede di verifica dei fatti segnalati da HZ il consenso della stessa è risultato «valorizzato a NO» ma la data relativa all'ultima variazione, al 18.03.2014 (ed oggetto di comunicazione da parte della società all'interessata con nota, in atti, del 27 marzo 2014), non è in realtà «andata a buon fine fino al 2 novembre 2015 a seguito di ulteriore reclamo» (cfr. in tal senso all. A alla comunicazione del 9 giugno 2016). Non diversamente, in sede di verifica dei fatti segnalati da KH «la data relativa alla apertura dell'esigenza dell'opposizione [dell'interessato] risulta essere 09.07.2015» (con riscontro in tal senso fornito all'interessato l'11 luglio 2015) ma «l'esigenza di variazione consenso aperta il 9 luglio 2015 è stata bonificata inserendo la valorizzazione del consenso a "NO" a far data dal 1° giugno 2016» (cfr. All. A alla comunicazione del 9 giugno 2016), vale a dire circa 10 mesi dopo. Così pure rispetto ai fatti segnalati da QZ, "l'esigenza di variazione consenso aperta il 7 luglio 2015 è stata bonificata inserendo la valorizzazione del consenso a NO a far data dal 1° giugno 2016» (cfr. all. A alla comunicazione del 9 giugno 2016);
c. il mancato inserimento in black list o in liste di non contattabilità dei dati personali dei "non clienti" che vengono invece invitati ad iscriversi nel registro delle opposizioni (punto 6.5 sub lett. b): a questo riguardo deve osservarsi che tale prassi non trova alcun riscontro nella legge, atteso che il diritto di opposizione previsto dall'art. 7, comma 4, lett. b), del Codice che l'interessato intende espressamente far valere nei confronti della società non può in alcun modo essere soggetto alla condizione della previa iscrizione dell'utenza nel registro pubblico delle opposizioni (iscrizione che, peraltro, ricorrendo talune condizioni, non potrebbe neanche essere pretesa dall'interessato).
Più in generale deve poi ricordarsi che, risiedendo il "nucleo duro" del diritto alla protezione dei dati personali nell'esercizio dei diritti previsti dall'art. 7 del Codice, le discipline di protezione dei dati personali (e, non diversamente, della disciplina vigente) si caratterizzano per il favor verso l'esercizio delle ricordate situazioni giuridiche soggettive (in tal senso depongono, oltre alle disposizioni sopra richiamate, la gratuità del diritto d'accesso, come pure l'art. 10, del Codice, secondo il quale «per garantire l'effettivo esercizio dei diritti di cui all'articolo 7 il titolare del trattamento è tenuto ad adottare idonee misure volte, in particolare: a) ad agevolare l'accesso ai dati personali da parte dell'interessato […]; b) a semplificare le modalità e a ridurre i tempi per il riscontro al richiedente […]»), sì che le misure tecnico-organizzative che ciascun titolare del trattamento è tenuto a porre in essere devono essere ispirate a questi principi).
Al di là delle puntuali disposizioni richiamate, la cui violazione comporta l'illiceità del trattamento, deve altresì rilevarsi che, sotto diverso profilo, condotte che ostacolano o comunque comportano un più oneroso esercizio dei diritti per l'interessato rispetto al paradigma fissato dal legislatore integrano in capo al titolare del trattamento una violazione del principio di correttezza sancito all'art. 11, comma 1, lett. a), del Codice.
9.2. All'interno della descritta cornice normativa devono pertanto inscriversi le modalità di riscontro all'esercizio dei diritti di cui all'art. 7 del Codice cui Telecom deve conformarsi.
In questa prospettiva la società ha già trasmesso all'Autorità, con comunicazione del 9 giugno, integrata dagli elementi trasmessi il 16 giugno 2016, due documenti interni (denominati "Gestione dei reclami inerenti chiamate promo commerciali clientela consumer di rete fissa" e "Nota operativa per la gestione di chiamate indesiderate – Rete mobile") che già tengono conto delle principali criticità emerse in sede di accertamento (sopra segnalate al punto 9.1).
Tuttavia, considerate le violazioni rilevate che si sono testé richiamate, salva l'adozione delle misure tecnico-organizzative idonee a garantire il tempestivo e effettivo riscontro all'interessato che ha esercitato uno dei diritti di cui all'art. 7, del Codice, con particolare riferimento del diritto di opposizione al trattamento per finalità di marketing, secondo quanto previsto dalla legge, il Garante ritiene che Telecom, quale misura opportuna, fornisca all'interessato il riscontro su un supporto durevole (ad es., mediante comunicazione scritta, sms, e-mail, etc.) ovvero, con riguardo all'esercizio dei diritti esercitato in forma orale (rispetto al quale l'incaricato già deve provvedere ad apposita annotazione: cfr. art. 9, comma 1, del Codice), gli venga comunicato un codice univoco di conferma (ticket). Tali misure – peraltro in parte già in essere presso la società (cfr. punto 6.5 sub lett. b, quanto ai riscontri in forma scritta) –, che opportunamente dovrebbero essere impartite anche ai partner della società che effettuano le chiamate, potranno infatti, consentire in modo più agevole all'interessato di documentare l'esercizio del/i diritto/i fatto/i valere.
10.1. L'Autorità provvederà, con autonomo procedimento, a contestare le violazioni amministrative concernenti i profili afferenti all'accertata mancanza del consenso degli interessati rispetto al trattamento dei dati nell'ambito della campagna "RECUPERO CONSENSO" per finalità di marketing (artt. 23 e 130, comma 3, nonché162, comma 2 bis), considerato altresì quanto disposto dall'art. 164 bis del Codice (cfr. punti 7.1, 7.3 e 8.1).
L'Autorità si riserva di valutare, con autonomo procedimento, la sussistenza dei presupposti per contestare le violazioni amministrative concernenti l'inosservanza del provvedimento prescrittivo del 30 maggio 2007 ai sensi dell'art. 162, commi 2 ter, del Codice (cfr. punto 8.2).
11.1. Con riguardo, infine, ad alcune delle segnalazioni (anch'esse richiamate in premessa) in relazione alle quali è stata lamentata la persistenza di chiamate effettuate nell'interesse di Telecom nonostante l'esercizio del diritto di opposizione da parte dell'interessato o in assenza, in base a quanto dichiarato, di un suo previo consenso allo svolgimento dell'attività di marketing, alla luce dei controlli effettuati sui sistemi informativi della società nel corso degli accertamenti svolti presso Telecom il 25 maggio 2016, le utenze considerate non sono risultate inserite nelle lista di numeri contattabili da Telecom per fini promozionali e/o commerciali.
Si tratta peraltro di circostanza già in più occasioni manifestatasi, sia nell'ambito di procedimenti attivati su segnalazioni pervenute all'Autorità, come pure nell'ambito di procedimenti su ricorso definiti avanti al Garante (cfr. provv.ti 4 dicembre 2014, n. 577, doc. web n. 3723820; 5 febbraio 2015, n. 77, doc. web n. 3848458; 17 dicembre 2015, n. 676, doc. web n. 4699542).
Con riguardo a tale fenomeno, che manifesta evidenti antinomie tra quanto oggetto di segnalazione al Garante e gli elementi emersi nel corso delle verifiche, l'Autorità si riserva di avviare autonomi procedimenti al fine di acclarare le circostanze di fatto legate alla segnalata persistenza nella ricezione di telefonate indesiderate effettuate, stando alle segnalazioni, nell'interesse della società.
TUTTO CIÒ PREMESSO IL GARANTE
ai sensi degli artt. 143, comma 1, lett. b) e c), 144 e 154, comma 1, lett. c) e d), del Codice, rilevato che i dati personali di cui è stato accertato l'illecito trattamento non possono essere ulteriormente utilizzati (art. 11, comma 2, del Codice),
1. vieta a Telecom Italia s.p.a. l'ulteriore trattamento per finalità di marketing dei dati personali riferiti alle utenze oggetto della campagna "RECUPERO CONSENSO", e tra questi quelli riferiti a XY e HZ, trattati in assenza di un consenso legittimamente manifestato ai sensi degli artt. 23 e 130, comma 3, del Codice (punto 8.4);
2. ai sensi dell'art. 157 del Codice, invita Telecom Italia s.p.a., entro 60 giorni dal ricevimento del presente provvedimento, a comunicare all'Autorità quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento, con l'avvertenza che il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all'art. 164 del Codice.
Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.
Roma, 22 giugno 2016
IL PRESIDENTE
Soro
IL RELATORE
Soro
IL SEGRETARIO GENERALE
Busia
