Telemarketing: nuovo intervento del Garante privacy. Sanzione milionaria per Sky

Telemarketing © Unico Settimanale

Il Garante per la protezione dei dati personali interviene nuovamente  sulla delicata questione del telemarketing selvaggio e infligge a Sky  una sanzione di oltre 3 milioni di euro.
Il provvedimento arriva dopo una lunga e complessa attività  istruttoria avviata a seguito di decine di segnalazioni e reclami di  persone che lamentavano la ricezione di telefonate indesiderate,  effettuate per promuovere i servizi offerti da Sky, sia direttamente  sia tramite call center di altre società.
L’Autorità ha rilevato, nelle proprie indagini, molte criticità tra le  quali l’effettuazione di chiamate promozionali senza informativa e  senza consenso, utilizzando liste non verificate, acquisite da altre  società.
L’analisi dell’ordinanza ingiunzione emessa dal Garante offre  importanti spunti di riflessione e mette in luce alcuni passaggi delle  attività di telemarketing idonei a costituire delle “linee guida” per  lo svolgimento corretto delle stesse.
Si ritorna al delicato equilibrio tra business, trattamento dei dati e  protezione degli stessi.
La protezione dei dati personali non deve, così come espressamente  indicato dall’art. 1 del Regolamento europeo, essere un ostacolo per  le attività economiche.
Si tratta di contemperare due esigenze diverse (business e protezione  dei dati) che solo apparentemente sono inconciliabili, spesso  considerate tali per una mancata approfondita conoscenza della  normativa.

La procedura per il telemarketing
Il telemarketing consiste in una tecnica utilizzata dalle aziende per  la promozione dei propri prodotti. Nel caso specifico, analizzato  dall’ordinanza ingiunzione dell’Autorità, Sky acquisiva da società  terze liste di utenti da contattare con espresse finalità di marketing.
La procedura per lo svolgimento di questa attività, secondo le  disposizioni del Regolamento europeo sulla protezione dei dati  personali, prevede i seguenti passaggi:
Acquisizione da parte della società terza in outsourcing del consenso  dell’utente a comunicare i propri dati a terzi.
Acquisizione dei nominativi da parte di Sky.
Utilizzo, da parte di Sky, delle liste acquisite contattando il  cliente e fornendo allo stesso la propria informativa.
Acquisizione, sempre da parte di Sky, del consenso dell’utente a  formulare proposte commerciali e solo dopo tale acquisizione,  possibilità, da parte dell’operatore, di formulare la proposta  commerciale.
Secondo l’istruttoria svolta dal Garante la procedura seguita per  l’attività promozionale da Sky era carente di alcuni elementi  essenziali, limitandosi all’utilizzo dei nominativi acquisiti dalle  società terze già “consensati”.
Il punto fondamentale è esattamente questo: il consenso fornito  dall’utente alla società terza rappresentava una valida base giuridica  unicamente per la comunicazione dei nominativi a Sky e non anche  l’ulteriore l’utilizzo degli stessi per finalità di marketing da parte  di quest’ultima.
Si aggiunga, inoltre, che Sky avrebbe dovuto, prima di effettuare  qualunque operazione, controllare attraverso le proprie black list che  le persone da contattare non avessero espresso la loro contrarietà a  ricevere telefonate pubblicitarie proprio dei suoi prodotti.

La PEC come canale idoneo per l’esercizio dei diritti dell’interessato
Ulteriore elemento degno di nota riguarda i canali messi a  disposizione degli utenti per l’esercizio dei propri diritti.
L’Autorità, infatti, ha prescritto a Sky di inserire tra i canali di  ricezione delle dichiarazioni di opposizione al trattamento, anche  l’indirizzo PEC indicato nel registro delle imprese, indirizzo che  finora non era stato ritenuto un valido punto di contatto per la  privacy.

Le società di outsourcing e la qualifica di responsabile del trattamento
L’ordinanza ingiunzione chiarisce, infine, un ulteriore importante  aspetto, ossia la qualificazione delle società terze che formano le  liste di nominativi utilizzati per finalità di marketing, ribadendo,  ancora una volta, come già fatto in passato, che le agenzie di  outsourcing non possano essere qualificate come titolari autonomi del  trattamento.
Il provvedimento in commento, in particolare, espressamente sottolinea  che “all’asserita titolarità formale non corrispondono, anche in  termini concreti, i poteri tassativamente previsti dal Codice per la  configurazione e l’esercizio della titolarità, che sono e restano  appannaggio esclusivo dei preponenti. Tra questi, innanzitutto:-  assumere decisioni relative alle finalità del trattamento dei dati dei  destinatari di campagne promozionali ai fini di invio di materiale  pubblicitario o di vendita diretta o di ricerche commerciali o di  comunicazione commerciale effettuate da soggetti terzi che agiscono in  outsourcing per lo svolgimento delle richiamate attività di promozione  e di commercializzazione di beni, prodotti e servizi;-impartire  istruzioni e direttive vincolanti nei confronti degli outsourcer,  sostanzialmente corrispondenti alle istruzioni che il titolare del  trattamento deve impartire al responsabile;-svolgere funzioni di  controllo rispetto all’operato degli outsourcer medesimi”.
Ne deriva, quindi, come naturale conseguenza che tali soggetti  dovranno ricevere anche una espressa e formale designazione a  responsabili del trattamento, secondo il disposto dell’art. 29  Regolamento.