Con il provvedimento n. 224 del 12 novembre 2020, il Garante per la protezione dei dati personali ha multato Vodafone per oltre 12 milioni di euro. La decisione del Garante si fonda sulla sussistenza di un trattamento illecito di dati personali attuato dalla multinazionale di telefonia ai fini di telemarketing aggressivo.
Come si legge nel testo del provvedimento “il procedimento trae origine da una complessa istruttoria avviata dall’Autorità a seguito della ricezione di centinaia di segnalazioni e reclami inviati da interessati che lamentavano e ancora oggi lamentano continui contatti telefonici indesiderati effettuati da Vodafone e dalla sua rete di vendita per promuovere i servizi di telefonia e internet offerti dalla stessa”.
La vicenda non è una novità per la Società la quale è già stata destinataria di diversi provvedimenti e sanzioni per lo svolgimento di telefonate e per l’invio di messaggi promozionali senza aver ottenuto dai soggetti raggiunti un preventivo consenso a tal fine (si ricordino i provvedimenti n. 140 dell’8 marzo 2018 e n. 412 del 5 luglio 2018).
Gli accertamenti dell’Autorità Garante hanno, dunque, evidenziato le seguenti violazioni:
- violazione degli artt. 5, parr. 1 e 2, e 25, par. 1, del GDPR in quanto nonostante l’elevato numero di segnalazioni, Vodafone non ha assunto misure tecniche ed organizzative volte al rispetto dei principi in materia di protezione dei dati fin dal momento del primo contatto del potenziale cliente. In particolare, l’istruttoria ha posto in luce un dato particolarmente significativo ovvero numerosi contatti telefonici promozionali effettuati utilizzando numerazioni non appartenenti alla rete di vendita ufficiale di Vodafone. Le suddette numerazioni non sono, inoltre, iscritte al ROC e i contatti promozionali con esse effettuati superano ampiamente quelli realizzati con la rete di vendita ufficiale di Vodafone. Tale situazione, nonché la sua impunità, determina un aumento delle chiamate fraudolente effettuate in Italia, “a riprova che un approccio non incisivo per la risoluzione del complessivo problema può determinare il consolidamento di pratiche non soltanto invasive e dannose per gli utenti, ma anche idonee a alimentare ulteriori sacche di illegalità”;
- violazione dell’art. 5, parr. 1 e 2, dell’art. 6, par. 1, e dell’art. 7 del Regolamento poiché Vodafone ha ottenuto da partners liste di anagrafiche acquisite da terzi. Tale assunzione di dati si è concretizzata in carenza del consenso, di cui gli artt. 6 par. 1 lett. a) e 7, necessario per il trasferimento di dati tra diversi titolari del trattamento. “La violazione ha coinvolto circa 4.500.000 interessati nell’anno 2019”;
- violazione degli artt. 5, 6, 7 e 21 del GDPR, nonché dell’art. 130, commi 1, 2, 3 e 3-bis del Codice della Privacy in quanto l’indicazione, da parte della Società, di generici errori umani o disguidi di sistemi alla base di indebiti contatti non è idonea a far venir meno la responsabilità della stessa, dovendosi attuare, nel rispetto del Regolamento UE, qualsivoglia misura idonea ad evitare tali errori;
- violazione degli artt. 24 e 32 del Regolamento, in relazione ai continui accessi ai database societari contenenti dati anagrafici, numeri di telefono, traffico telefonico e dati di pagamento. Nello specifico, erano già pervenuti al Garante reclami di utenti contattati da finti operatori di Vodafone con il fine di svolgere attività fraudolente. Data la comprovata conoscenza di tale fenomeno da parte della Società di telefonia si considera la violazione dell’art. 33, par. 1, del Regolamento, per aver omesso di presentare al Garantela notificazione di una violazione di dati personali. Vodafone, infatti, avuto conoscenza di tali fatti, su richiesta dell’Autorità, si limitava a presentare una relazione in data 14 Novembre 2019 che, non solo non viene considerata strumento di notifica idoneo, ma risulta anche tardiva rispetto alla constatazione delle violazioni, in quanto già dal 4 giugno del 2019 la società aveva avuto conoscenza di un indebito accesso ai dati di 230 contraenti, di cui 222 erano stati contattati da ignoti che avevano ottenuto i documenti di ben 79 utenti. Sul punto deve sottolinearsi che il Garante prende atto delle numerose iniziative, in tema di sicurezza, che Vodafone ha attuato nel tempo al fine di far fronte all’accesso abusivo nei propri database ma non le ritiene sufficienti a contrastare il fenomeno.
- violazione degli artt. 15, par. 1, e 16 del Regolamento, per aver omesso di dare piena attuazione a richieste di esercizio dei diritti degli interessati.
Alla luce delle violazioni riscontrate, il Garante Privacy non solo ha applicato la sanzione di cui sopra ma ha anche imposto a Vodafone di attuare una serie di misure volte al rispetto della normativa europea e nazionale in materia di dati personali, tra le quali:
- l’introduzione di sistemi che permettano di provare che i trattamenti finalizzati al telemarketing si svolgano previo consenso;
- l’irrobustimento di misure di sicurezza volte ad impedire accessi abusivi ai database;
- l’attivazione di contratti solo a seguito di chiamate promozionali svolte attraverso numerazioni iscritte al ROC.
Il Garante, infine, ha vietato a Vodafone ogni ulteriore trattamento di dati con finalità promozionali o commerciali svolto mediante l’acquisizione di liste anagrafiche da soggetti terzi, senza che questi ultimi abbiano acquisito un consenso specifico, libero e informato da parte degli interessati per la comunicazione dei loro dati.
Marta Strazzullo
