Il Garante Privacy sanziona la mancata registrazione del rifiuto dell’utente

Uno dei settori maggiormente influenzati dal GDPR è sicuramente quello del telemarketing e dei call center.

Non vi è dubbio che tale attività può ledere i diritti degli interessati e porsi in contrasto con la normativa privacy.

Al fine di chiarire e comprendere la portata della novità introdotta dal Garante in questa materia, occorre soffermarsi brevemente sul telemarketing, la normativa di riferimento e le sue implicazioni.

Il telemarketing consiste nell'attività promozionale e di vendita che prevede che l'azienda contatti, in modo diretto o affidandosi a call center esterni, i propri clienti o potenziali clienti.

Al fine di raggiungere i propri scopi promozionali, le aziende solitamente si muovono tra due comportamenti diametralmente opposti: da un lato, c'è chi si disinteressa completamente della regolamentazione e di qualsiasi controllo pur di conquistare i propri clienti e, dall'altro lato, c'è chi invece si paralizza dinanzi ai limiti imposti dalla normativa e abbandona qualsiasi iniziativa in tal senso.

Tuttavia, in medio stat virtus: fare telemarketing oggi è possibile a patto che si rispettino alcuni paletti posti a presidio dei diritti dei destinatari di tale attività.

Il punto di partenza è sicuramente la base giuridica per il legittimo trattamento dei dati: ai sensi dell'art. 129, c. 2, Codice Privacy e ai sensi dell'art. 6, c. 1, lett. a) GDPR, il trattamento dei dati dell'interessato è lecito se vi sia il suo consenso, che per essere valido ed efficace deve essere stato prestato liberamente, in modo specifico ed in forma espressa a fronte di una idonea e chiara informativa ex art.13 GDPR.

Tali dati potranno essere acquisiti in due modi: la prima possibilità prevede che sia l'imprenditore stesso ad acquisire i dati del potenziale cliente (es. sul web tramite la compilazione di un form di contatto) e pertanto in questo caso sarà sempre l'imprenditore titolare del trattamento che previa idonea informativa dovrà acquisire il consenso dell'interessato all'utilizzo dei suoi dati in modo specifico per finalità di marketing; l'altra possibilità, decisamente più frequente nella prassi, prevede che l'imprenditore acquisiti liste di nominativi di potenziali clienti da società terze (c.d. cold list). In quest'ultimo caso, il principio di accountabilityex art. 24 GDPR prevede che il titolare del trattamento sia responsabile del trattamento dei dati e per questo debba dimostrare di aver adottato tutte le procedure adeguate e idonee ad evitare la perdita di dati e che il loro trattamento avvenga secondo quanto previsto dal GDPR.

Alla luce di questo principio, nel caso in cui l'imprenditore acquisti liste di contatti da società terze è doveroso che l'imprenditore chieda una dichiarazione da parte della società fornitrice della legittima acquisizione del consenso degli interessati nel rispetto del GDPR e che chieda anche una campionatura dell'informativa e del consenso.

Inoltre, anche le modalità di opposizione degli interessati ad essere contattati dai call center per fini promozionali sono state oggetto di maggiore tutela da parte del Garante.

In particolare, oltre al Registro Pubblico delle Opposizioni (RPO) che permette di annullare tutti i consensi al telemarketing e alla cessione a terzi di dati personali eventualmente rilasciati in precedenza per finalità promozionali, esistono misure più immediate per potersi opporre ab origine al ricevimento di ulteriori chiamate promozionali senza dover confermare via mail o con altre modalità il rifiuto espresso a voce durante la telefonata?

La stessa domanda se l'è posta anche il Garante per la Protezione dei Dati Personali in questa interessante newsletter del 21 febbraio 2023: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9856345

In questo contributo è stato chiarito una volta per tutte che nel caso in cui l'utente dice “no” alla telefonata commerciale indesiderata, il call center o l'azienda che lo ha contattato direttamente deve annotare subito la sua volontà e cancellare il nominativo dalle liste utilizzate per il telemarketing. Ciò al fine di consentire un agevole e rapido esercizio del diritto di opposizione, come prescritto dall'art. 21, par. 2, del GDPR.

Quindi, l'opposizione non dovrà essere poi confermata via e-mail o con altre modalità, come invece spesso viene richiesto da parte degli operatori e, soprattutto, varrà anche per le campagne promozionali future. In questo modo l'incubo delle chiamate indesiderate sui cellulari a tutte le ore della giornata potrebbe ricevere una grande battuta d'arresto e i consumatori con un semplice “no” potranno ostacolare future telefonate non gradite.

Questo contributo è quindi lo spunto per fare un po' di chiarezza e prevedere maggiori garanzie in materia di telemarketing, soprattutto nel caso in cui l'imprenditore acquisti liste di contatti da società terze come accaduto nel caso oggetto del provvedimento sopra menzionato.

Il tema trattato dalla newsletter del Garante Privacy trae spunto da un provvedimento inibitorio, prescrittivo e sanzionatorio del 15 dicembre 2022, al termine di una complessa attività istruttoria, che ha rilevato diverse condotte illecite messe in atto dalla società Edison Energia S.p.A. nei confronti di un numero rilevante di utenti. Tra queste vale la pena di notare, l'aver omesso opportune verifiche circa la conformità alla normativa dei consensi acquisiti dal fornitore di liste di nominativi di potenziali clienti, aver richiesto un unico consenso sul trattamento dei dati personali senza distinguere le varie finalità di trattamento (es. marketing, profilazione, comunicazione a terzi per finalità promozionali, profilazione da parte dei medesimi terzi) e non aver garantito un agevole e rapido esercizio del diritto di opposizione al trattamento dei dati personali per finalità promozionali durante le telefonate.  L'Autorità ha quindi ingiunto alla società l'adozione di una serie di misure per mettersi in regola e le ha ordinato il pagamento di una sanzione di 4 milioni e 900 mila euro.

Alla luce di quanto illustrato, ci si auspica che tale interpretazione restrittiva del diritto di opposizioneex art. 21, par. 2, GDPR, possa davvero costituire un argine alle innumerevoli e indesiderate telefonate promozionali e un ostacolo alla scappatoia spesso utilizzata dagli operatori che richiedono per poter effettivamente bloccare tali chiamate ulteriori conferme via mail o con altre modalità.