Ordinanza di ingiunzione nei confronti di OneDirect S.r.l.

Violato il diritto degli utenti di opporsi all’uso dei propri dati

Il diritto degli utenti di opporsi all’uso dei dati a fini di Direct marketing va rispettato e i meccanismi di ricezione delle loro istanze devono essere efficienti e presidiati.

È questo il principio ribadito dal Garante per la privacy che ha emesso un’ordinanza di ingiunzione nei confronti di OneDirect S.r.l. per non aver dato riscontro alle richieste di alcuni utenti che non volevano ricevere email promozionali, chiedendo inoltre di adottare misure organizzative necessarie per fornire una risposta immediata a chi si oppone al Direct marketing.

L’attività istruttoria

I reclami giunti al Garante per la protezione dei dati, avevano ad oggetto lamentele connesse alla ricezione di diverse comunicazioni promozionali via e-mail da parte di OneDirect S.r.l, nonostante l’opposizione manifestata via pec, nonché l’impossibilità di interrompere gli invii tramite il tasto unsubscribe delle e-mail e l’assoluta mancanza di riscontro alle richieste di esercizio dei diritti previsti dagli artt. 15 ss del Regolamento.

Sulla base di tali istanze, l’Ufficio ha inviato due diverse richieste di informazioni rimaste tuttavia inevase nonostante la conferma di corretta ricezione. A seguito di un secondo invio delle richieste rimasto anch’esso inevaso, è stato necessario procedere incaricando il Nucleo speciale privacy della Guardia di Finanza di acquisire tutte le informazioni richieste dal momento che anche le comunicazioni di avvio del procedimento sanzionatorio per violazione dell’art. 157 del Codice erano rimaste prive di riscontro.

Nell’ambito degli accertamenti svolti è stata riscontrata la corretta ricezione delle istanze dei reclamanti e la relativa assenza di risposta, così come la corretta ricezione delle richieste inviate dal Garante. In merito all’oggetto dei reclami, che hanno dato il via all’attività istruttoria, la Società ha dichiarato che l’attività di marketing è affidata alla capogruppo francese OneDirect S.A., che opera quale responsabile del trattamento di cui OneDirect è titolare.

OneDirect ha successivamente fatto pervenire al Nucleo speciale privacy la documentazione integrativa oggetto di riserva, dalla quale è emerso che la Società ha richiesto ai reclamanti di inoltrare i file delle e-mail oggetto di contestazione per effettuare ulteriori verifiche utili a comprendere l’origine dei dati e le modalità di invio.

La Società, inoltre, ha inviato un registro delle attività di trattamento redatto dalla capogruppo francese OneDirect SA, nominata responsabile rispetto ai trattamenti di cui OneDirect è titolare, ma non ha fatto pervenire il proprio registro dei trattamenti, malgrado questo fosse espressamente oggetto di riserva.

A seguito dell’attività istruttoria l’Autorità ha riscontrato che la Società ha inviato diversi messaggi promozionali ai reclamanti senza essere in grado di documentare l’acquisizione di un idoneo consenso integrando così la violazione degli artt. 6, par. 1, lett. a) e 7, par. 1 del Regolamento, nonché dell’art. 130, commi 1 e 2 del Codice rendendosi necessario, ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, rivolgere un ammonimento alla OneDirect circa l’illiceità di tale trattamento dovendo altresì imporre, ai sensi dell’art. 58, par. 2, lett. f) il divieto di utilizzare per finalità promozionali i dati personali che la Società ha acquisito senza poter documentare l’esistenza di un idoneo consenso.

I reclamanti hanno lamentato inoltre l’impossibilità di interrompere l’arrivo di comunicazioni indesiderate, non ricevendo alcun riscontro alle richieste inviate. Come è emerso dagli accertamenti svolti, il titolare ha correttamente ricevuto le pec ma non ha fornito riscontro in quanto la casella di posta non sarebbe stata monitorata per diversi mesi.

In tal caso la mancanza di indicazioni chiare, all’interno delle stesse e-mail, circa le modalità con cui contattare la Società, unitamente alla mancanza di adeguate misure tecniche e organizzative, che avrebbero dovuto consentire il funzionamento del tasto unsubscribe e il corretto monitoraggio della posta elettronica, hanno provocato l’impossibilità per i reclamanti di esercitare i propri diritti, comportando altresì l’invio di comunicazioni promozionali anche in presenza di una espressa opposizione.

È stata contestata alla Società la mancanza di un registro delle attività di trattamento. La memoria difensiva pervenuta in replica infatti, non conteneva alcuna menzione al riguardo non chiarendo neanche se esista tale registro.

Risultando violate varie disposizioni del Regolamento e del Codice in relazione a trattamenti effettuati da OneDirect è stata inflitta dal Garante una sanzione pecuniaria dal valore di 30.000 euro.

Il Garante ha invitato altresì il titolare del trattamento destinatario del provvedimento, a comunicare entro 30 giorni dalla data di ricezione dello stesso, quali iniziative siano state intraprese al fine di dare attuazione a quanto prescritto nel provvedimento e di fornire comunque riscontro adeguatamente documentato.

Fonte: garanteprivacy.it