Ventimila euro di multa per una mail promozionale inviata da un servizio di marketing esterno. Una vera e propria stangata quella arrivata Occhiali24.it S.r.l., società domiciliata a Brunico, e “figlia” della germanica Supervista con sede a Schönefeld. L’ingiunzione del Garante è datata 22 ottobre 2022. La vicenda ha contorni sorprendenti e fa capire che alcune realtà commerciali prendano sotto gamba le severe normative della privacy. Basta letteralmente una sola persona che non digerisca una email non richiesta per incorrere in guai seri.

Questi i fatti descritti nel provvedimento del Garante. Un cittadino ha lamentato la ricezione, in data 23 giugno 2021, di una comunicazione indesiderata proveniente da un indirizzo di posta non direttamente ricollegabile alla società di Brunico ed avente ad oggetto, invece, la promozione di prodotti offerti dalla società pusterese. La persona che ha poi inviato il reclamo al Garante ha dichiarato di non aver mai conferito il consenso alla ricezione della comunicazione promozionale ed ha lamentato il mancato riscontro alla richiesta di esercizio dei diritti di cui agli artt. 15, 17 e 21 del Regolamento generale sulla protezione dei dati  (UE/2016/679), inoltrata via e-mail il 28 giugno 2021 agli indirizzi indicati nell’informativa privacy rinvenibili nel sito internet della Società

In particolare secondo l’art 15 l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e chiedere fra le altre cose la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento e qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine. Sempre in base all’articolo 15 del Regolamento l’interessato ha il diritto di proporre reclamo a un'autorità di controllo.

In sostanza, il cittadino ha ricevuto una email promozionale, ha chiesto alla società autrice della promozione come aveva avuto la sua email, nessuno ha risposto e quindi ha presentato reclamo all’authority.

L’Ufficio del Garante, il  2 settembre 2021, ha chiesto alla società pusterese informazioni per acquisire maggiori elementi di valutazione. Non essendo pervenuto nemmeno in questo caso alcun riscontro nei termini indicati, il 22 settembre 2021, la Società è stata contattata al recapito telefonico. Solo a seguito di quest’ultima, la Società, con comunicazione del 30 settembre 2021 ha dichiarato “la propria estraneità in relazione alla condotta lamentata nel reclamo, precisando che i dati dell’interessato sono risultati presenti nelle liste di contatti di un’altra società di cui la medesima si avvale per finalità di marketing". Ma questo, come vedremo, non crea problemi alla società di marketing ma inguaia la società committente.

"Occhiali24 non è stata capace di controllare efficacemente la filiera dei partner che effettuano attività promozionale a suo vantaggio”.

Alla luce di quanto emerso dall’istruttoria preliminare, dice il Garante, sulla base della documentazione complessivamente acquisita, il 12 novembre 2021 è stata notificata a Occhiali24 la comunicazione di avvio del procedimento.
L’Ufficio del garante, in particolare, “ha osservato che la comunicazione ricevuta dal signor XX, sebbene disconosciuta dalla Società, reca nel contenuto la promozione di prodotti offerti da Occhiali24 corroborata, peraltro, dalla possibilità di ottenere un coupon che rinvia al sito della Società medesima. La comunicazione commerciale denunciata nel reclamo, pertanto, inequivocabilmente associa la ricezione del messaggio promozionale ad un’iniziativa della Società. Occhiali24, quindi, non è stata in grado di comprovare l’adozione di adeguate misure tecniche e organizzative, come richiesto dal Regolamento, tenuto conto che il riscontro fornito dalla Società è da ritenersi indicativo dell’incapacità di controllare efficacemente la filiera dei partner che effettuano attività promozionale a suo vantaggio”.

In ultima istanza, a meno che i contratti stipulati non dicano qualcosa di diverso, la responsabilità si verificare se nella mailing list le persone abbiano dato l’ok al trattamento dei dati è quindi in capo al committente e non alla società di marketing.

Vale la pena di leggere l’incredibile triangolazione e il tentativo multiplo di “scaricare” barili.

"Con gli scritti difensivi, inoltrati il 12 novembre 2021, Occhiali24.it  ha chiesto a questa Autorità “la sospensione del procedimento in corso nei [suoi] confronti” attribuendo la responsabilità della condotta lamentata in capo alla società di marketing. A conferma di ciò, occhiali24 ha fornito copia della comunicazione del 13 ottobre 2021, inoltrata al reclamante, con la quale la società dichiarante ha dichiarato di non essere titolare del trattamento e di essere stata incaricata da Occhiali24 per l’effettuazione della campagna promozionale oggetto di reclamo per la quale si è avvalsa di collaboratori esterni, tra cui XX, con sede in Spagna, “che ha provveduto direttamente all’invio di messaggi promozionali tra cui quello” ricevuto dal reclamante. La difesa della società reclamante Il 10 novembre 2021 ha trasmesso al reclamante una nota con la quale ha dichiarato di aver agito in forza di un consenso “al trattamento ed alla cessione dei dati personali finalizzati all’invio di comunicazioni commerciali” acquisito il 7 aprile 2018 in occasione della registrazione ad un sito internet gestito dalla società XX, con sede legale a Londra. Ha infine assicurato di aver proceduto alla cancellazione dei dati dell’interessato dal proprio database “e da quelli detenuti da Società” a sé collegate".

Gli uffici del Garante, accedendo al portale archive.org che conserva le istantanee delle home page dei siti internet hanno quindi appurato che il sito indicato come fonte di acquisizione dei dati in realtà fosse una mera vetrina di un soggetto terzo, senza alcuna informativa, né form di acquisizione dei dati e neppure richieste di consenso da selezionare per le distinte finalità promozionali e per la cessione dei dati a terzi per scopi pubblicitari. Inoltre, come da verifiche svolte dal reclamante, la società di marketing è risultata iscritta nel registro delle imprese inglese dal 2021, quindi tre anni dopo l’asserita acquisizione del consenso che avrebbe legittimato la comunicazione promozionale lamentata.

Perché dunque la responsabilità ricade su occhiali24.it?

Scrive il Garante: “Nel confezionare risposte standard nelle quali più volte ha invocato per sé la qualifica di mero committente privo di un ruolo nel trattamento in parola, Occhiali24, esercitando di fatto le prerogative di titolare nei termini sopra chiariti, non ha prodotto riscontri sui criteri adottati per la selezione del partner che avrebbe agito nel suo interesse, né sulle istruzioni che sarebbero state impartite per la realizzazione della campagna promozionale nel rispetto della normativa. Peraltro, non ha fornito informazioni ed esibito documenti dai quali poter ricavare elementi sull’esistenza di accordi o direttive, anche non esplicitati nella forma contrattuale, che consentissero di ricostruire il contesto giuridico nel quale si è realizzato il trattamento e di qualificare, in concreto, ruoli e responsabilità della Società e dell’intera filiera. Non risulta che Occhiali24 abbia mai chiesto a XX di documentare la provenienza dei dati, né la base giuridica sottesa al loro trattamento per fini di marketing.

Per queste e altre ragioni più tecniche il Garante ordina a Occhiali24 di pagare la somma di euro 20.000,00 a titolo di sanzione amministrativa pecuniaria. Per quanto possa contare nonostante due email e una telefonata anche per Salto.bz non è stato possibile avere ulteriori informazioni da parte dell’azienda che ha sede a Brunico. Ci deve essere qualche problema nella casella di posta elettronica.