Marketing e consenso privacy: il caso Wind

Il caso

Il 27 ottobre 2016, ai sensi degli artt. 143, comma 1, lett. b) e c), 144 e 154, comma 1, lett. c) e d), del D.lgs. 196 del 2003 e s.m.i. (di seguito Codice privacy), il Garante per il trattamento dei dati personali ha emanato il provvedimento con il quale ha rilevato che i dati personali trattati da Wind Telecomunicazioni S.p.A. sono stati usati in violazione della disciplina rilevante in materia di trattamento dei dati personali e pertanto non possono essere ulteriormente utilizzati per la finalità di marketing in applicazione dell’art. 11, comma 2, del Codice privacy.

Cosa dice la normativa in merito all’acquisizione del consenso per l’attività di marketing?

Secondo il Garante, la compagnia telefonica ha usato i dati personali dei propri clienti per finalità promozionali in violazione dell’art. 130 del Codice privacy e delle linee guida in materia di attività promozionale e contrasto allo spam emanate dal Garante il 4 luglio 2013. Nello specifico, ai trattamenti effettuati a fini promozionali tramite strumenti automatizzati, o a questi equiparati, si applica l’art. 130, commi 1 e 2, del Codice privacy, in base al quale il loro utilizzo è consentito solo con il consenso preventivo del contraente o utente (c.d. opt-in).

Inoltre la normativa precisa che, ai fini della legittimità della comunicazione promozionale effettuata, non è lecito:

• con la medesima, avvisare della possibilità di opporsi a ulteriori invii,
• chiedere, con tale primo messaggio promozionale, il consenso al trattamento dati per finalità promozionali.

Pertanto, senza il consenso preventivo non è possibile inviare comunicazioni promozionali con i predetti strumenti, nemmeno nel caso in cui i dati personali siano tratti da registri pubblici, elenchi, siti web atti o documenti conosciuti o conoscibili da chiunque.

Come va acquisito il consenso per finalità di marketing?

A norma dell’art. 23, comma 3 del Codice privacy, il consenso acquisito per la finalità di invio di comunicazioni promozionali deve essere:

• libero,
• preventivo,
• informato,
• specifico,
• con riferimento a trattamenti chiaramente individuati,
• documentato in forma scritta.

Gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte in ordine al trattamento dei loro dati personali e, a tal fine, devono ricevere un’adeguata informativa, chiara, specifica e completa.

Cosa ha fatto Wind in violazione della privacy?

La compagnia telefonica, nel periodo compreso fra agosto 2015 e agosto 2016, ha inviato 5 milioni di SMS promozionali ad altrettanti clienti che non avevano manifestato il consenso a riceverli, avente il seguente tenore:

«Gentile cliente, grazie per averci scelto! La informiamo che ad oggi non ci risulta il suo consenso ai contatti commerciali e promozionali di Wind. Se desidera entrare nel mondo delle ESCLUSIVE promozioni di Wind, rilasci il suo consenso ai contatti commerciali chiamando gratuitamente il 158 entro il 31 agosto 2016! Per info privacy visiti il sito wind.it».

In particolare il Garante conferma che le utenze riceventi questo SMS promozionale avevano contrassegnato con il “NO” sulla propria area personale del sito web Wind.it, sia l’opzione relativa all’attività promozionale effettuata direttamente dalla Società che quella concernente l’effettuazione di analoga attività da parte di partners commerciali della stessa.

Cosa ha prescritto il garante privacy a Wind?

Il Garante privacy con specifico provvedimento, ha vietato a Wind Telecomunicazioni S.p.A. l’ulteriore trattamento per finalità promozionali dei dati personali, concernenti le utenze oggetto di tali campagne, in assenza del consenso degli interessati legittimamente manifestato ai sensi dell’art. 130, commi 1 e 2, del Codice.

Tuttavia, anche se in contrasto con le indicazioni normative, la suddetta prescrizione fa salvo comunque l’uso da parte di Wind delle utenze che abbiano prestato il proprio consenso per finalità promozionali, decorso l’intervallo temporale indicato nei messaggi SMS loro inviati.

Infine, il Garante privacy ha prescritto al gestore di registrare l’opposizione degli interessati al trattamento dei propri dati personali prevista dall’art. 7 del Codice privacy, entro il termine di 15 giorni dall’esercizio dei diritti degli interessati di cui all’art. 7 del Codice privacy.

Per finire, entro il 27 dicembre, la compagnia ha maturato l’obbligo di comunicare all’Autorità “quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento, con l’avvertenza che il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all’art. 164 del Codice”.

Quali conclusioni si possono trarre da tale provvedimento?

Il provvedimento è utile, rivolgendoci alle aziende, per confermare l’obiettivo del Garante di mantenere elevata l’attenzione sui trattamenti a fini marketing. Il principio del consenso preventivo (metodo opt-it) viene confermato come fondamentale anche per mettere fine a campagne ‘acchiappa-consensi’ attuate sempre più spesso e non solo dall’operatore TLC coinvolto nel caso specifico. Si ricorda, infatti, che questo non è l’unico provvedimento prescrittivo emanato ultimamente dal Garante in merito all’uso di dati personali per finalità di marketing senza preventiva acquisizione del consenso. In particolare, si invita a leggere i seguenti provvedimenti:

• 27 ottobre 2016, titolato Servizi online: richiesta di consenso “obbligato” per finalità promozionali, che vede vietare alla società specializzata in ambito energetico e imprenditoriale il trattamento per finalità di marketing dei dati personali riferiti alla propria clientela, di cui è ancora in possesso, e raccolti mediante il sito societario, perché in assenza di un consenso liberamente manifestato ai sensi dell’art. 130, commi 1 e 2, del Codice privacy.
• 5 maggio 2016, titolato Ricezione di messaggi di posta elettronica indesiderati a contenuto promozionale con il quale il Garante vieta il trattamento per finalità promozionali dei dati personali raccolti in occasione dell’iscrizione degli interessati ad un portale online di offerte di lavoro, perché anche in tale occasione non è adeguatamente documentata l’acquisizione di un consenso libero e specifico;
• 11 febbraio 2016, dal titolo Trattamento di dati personali per l’invio di comunicazioni promozionali, che vieta la società di utilizzare i dati acquisiti da un’altra società senza apposito e documentato consenso espresso degli interessati alla comunicazione a terzi per finalità di marketing di questi ultimi.