Diritti interna

Doveri interna

ricerca avanzata

Trattamento di dati personali per finalità di marketing - 18 aprile 2018 [8983292]

[doc. web n. 8983292]

Trattamento di dati personali per finalità di marketing - 18 aprile 2018

Registro dei provvedimenti
n. 236 del 18 aprile 2018 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTA la segnalazione di XX dell’8 marzo 2017 nei confronti di BMW Italia S.p.a. (di seguito BMW);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

PREMESSO

1. Il segnalante ha lamentato di avere ricevuto sulla propria utenza mobile una chiamata indesiderata a contenuto promozionale effettuata nell’interesse di BMW, in data 8 marzo 2017 (alle ore 12.35), proveniente dalla numerazione XX ed avente ad oggetto l’offerta di un test drive. Ciò, nonostante, in base a quanto rappresentato, si fosse in precedenza più volte opposto all’utilizzo dei propri dati per finalità promozionali.

Nella segnalazione è stato altresì evidenziato che, ricontattata la numerazione chiamante, un risponditore automatico annunciava che detta numerazione faceva capo a BMW ed era dedicata all’effettuazione di chiamate di natura commerciale.

2. A seguito di una prima richiesta di informazioni da parte dell’Ufficio, avente tra l’altro ad oggetto la trasmissione di tutte le utenze oggetto di contatto da parte della menzionata numerazione nella data indicata nella segnalazione, BMW provvedeva al loro invio; nella medesima comunicazione veniva confermata la riconducibilità alla Società della numerazione chiamante, in concreto effettuata da un proprio partner contrattuale, «debitamente nominat[o] responsabile esterno» (cfr. nota 8 giugno 2017).

3. Rilevata l’assenza della numerazione oggetto di segnalazione tra quelle oggetto di comunicazione da parte della Società, veniva formulata una ulteriore richiesta di informazioni (in data 29 settembre 2017, reiterata il 15 novembre 2017, ai sensi dell’art. 157 del Codice) nella quale, espressamente, si chiedevano informazioni circa l’effettuazione nell’interesse della Società della chiamata oggetto di segnalazione (indicandone la data e l’utenza chiamata). 

Nel successivo riscontro la Società confermava che l’utenza del segnalante era «stata effettivamente contattata in data 8 marzo 2017 per proporre allo stesso la partecipazione ad un test drive», dichiarando altresì che «l’inclusione della numerazione nella lista dei soggetti da contattare a cura del proprio fornitore [… era] avvenuta per un errore tecnico» e che «tale disguido [era] già stato risolto» (cfr. comunicazione 23 novembre 2017).

4.1. Al fine di chiarire il contenuto della documentazione trasmessa e verificare le circostanze rappresentate da BMW in relazione alla segnalazione pervenuta nonché, più in generale, l’osservanza della disciplina di protezione dei dati personali nell’ambito dei trattamenti effettuati per finalità di marketing, l’Ufficio ha effettuato accertamenti ispettivi presso la sede della Società il 12 febbraio 2018.

4.2. Nel corso di tali verifiche ‒ in corrispondenza delle quali è stato acquisito lo stato dei consensi manifestati dai soggetti presenti nel sistema gestionale (CRM) rispetto all’attività promozionale nonché l’elenco delle numerazioni contattate a far data dal 1° gennaio 2017 (cfr. documentazione allegata alla comunicazione del 13 febbraio 2018) ‒ la Società ha dichiarato che l’attività di telemarketing «viene effettuata nei riguardi dei soli soggetti che risultano aver prestato il consenso per attività commerciali» (cfr. verbale 12 febbraio 2018, p. 3).

In termini generali, «una prima modalità con cui BMW Italia effettua attività di telemarketing riguarda i soggetti presenti nel database CRM, che comprende sia clienti che prospect, attraverso [un proprio partner] al quale viene affidata l’effettuazione delle chiamate con operatore di natura commerciale» (cfr. verbale 12 febbraio 2018, p. 2). Inoltre la Società alimenta con liste di nominativi provenienti da alcuni list provider il proprio CRM ‒ precisando che il «CRM centrale viene alimentato in batch con cadenza giornaliera dal CRM locale» ‒ per realizzare i successivi contatti prospect, posti in essere previa attività di deduplica.

Nei sistemi della Società il consenso manifestato dagli interessati, sia in fase di vendita che in fase di assistenza alla clientela (cfr. comunicazione 22 febbraio 2018, p. 3), viene distinto «per canale di contatto ‒ elettronico, in relazione all’invio di sms o e-mail, o tradizionale, in relazione al canale telefonico con operatore ‒ [ed] è altresì riportata la locuzione “Comunicare i dati a BMW Italia”, con possibile valorizzazione a “SI” oppure a “NO”» (cfr. verbale 12 febbraio 2018, p. 4). Tale valorizzazione del consenso, «acquisita e registrata nei sistemi dalla rete di vendita e assistenza in occasione dei contatti con il cliente (ad esempio, per acquisto o riparazione del veicolo), indica la volontà o meno del cliente di autorizzare la comunicazione dei propri dati di contatto a BMW Italia per la successiva attività di marketing. Nel caso in cui tale consenso sia valorizzato a “NO”, quindi, la Società non è autorizzata ad alcun trattamento per finalità di marketing» (cfr. verbale 12 febbraio 2018, p. 4).

4.3. Con particolare riferimento ai fatti oggetto di segnalazione, nel corso delle verifiche è risultato, «interrogando il sistema CRM centrale con il nominativo del segnalante […], che da parte dello stesso era stato negato il consenso in data 05/10/2016 alla voce “Comunicare i dati a BMW Italia”, mentre era valorizzato a “SI” il consenso alla profilazione e al marketing nella stessa data del 05/10/2016» (cfr. verbale 12 febbraio 2018, p. 4).

Dalle ulteriori verifiche effettuate dalla Società, all’esito delle quali è stato confermato il contatto «in data 8.3.2017 alle ore 12,20» (cfr. comunicazione 22 febbraio 2018, p. 5), è emerso che, in data 5 ottobre 2016, in occasione di un passaggio presso un’officina autorizzata, il segnalante aveva negato «il consenso all’attività di marketing (con strumenti automatizzati e tradizionali) che alla profilazione da parte dell’officina autorizzata», come pure aveva negato (selezionando l’apposita casella valorizzata a “NO”) la possibilità di comunicare i propri dati a BMW per finalità di marketing (cfr. comunicazione 22 febbraio 2018 e all. 4 alla medesima).

4.4. In occasione degli approfondimenti posti in essere dalla Società è altresì emerso «un disallineamento, circoscritto al periodo 02/15 al 11/17, tale per cui la negazione del consenso alla comunicazione dei dati a BMW non si sovrascriveva rispetto ai consensi precedentemente rilasciati dall’interessato. [….] In tale fattispecie è rientrata anche la posizione [del segnalante]». Tale disallineamento avrebbe interessato «esclusivamente il flusso di dati dai concessionari e officine autorizzate per il descritto periodo di tempo» e la Società, in base a quanto dichiarato, «si è attivata immediatamente intervenendo sul processo», con l’esclusione «dalle estrazioni delle liste (ivi incluse quelle per l’esecuzione di attività di telemarketing) [di] tutti i nominativi che abbiano negato il consenso alla comunicazione dei dati a BMW Italia, trattandosi di un diniego connesso all’effettuazione dell’attività di marketing» (cfr. comunicazione 22 febbraio 2018, p. 4).

Entro tale cornice, «la Società ha individuato quale ulteriore misura in fase di adozione la valorizzazione a “NO” di tutti i consensi al marketing per i quali si sia riscontrato il medesimo disallineamento», ivi compreso quindi il segnalante.

5. Alla luce degli elementi complessivamente acquisiti e sopra rappresentati deve ritenersi che BMW, con riferimento anzitutto ai dati personali riferiti al segnalante, abbia violato la disciplina di protezione dei dati personali, essendo stato questi contattato in assenza di un valido consenso al trattamento dei propri dati personali per finalità di marketing. In base a quanto dichiarato, infatti, è risultato confermato il contatto commerciale avvenuto nell’interesse della Società in assenza del consenso dell’interessato, circostanza peraltro registrata nei sistemi della Società, in violazione di quanto previsto dagli artt. 23 e 130, comma 3, del Codice (cfr. punti 3 e 4.3) (in tal senso v. già provv. 22 giugno 2016, n. 275, doc. web n. 5255159, oggetto di integrale conferma da parte di Trib. Milano, Sez. I civ., 5 maggio 2017, n. 5022; provv. 15 giugno 2017, n. 268, doc. web n. 6629169; v. pure provv. 1° ottobre 2015, n. 503, doc. web n. 4449190).

6.1. Più radicalmente, al di là della singola posizione appena evidenziata, gli accertamenti svolti con riguardo alle campagne promozionali effettuate mediante il canale telefonico nell’interesse di BMW, hanno consentito di appurare che la Società, nel contattare utenze rispetto alle quali il consenso degli interessati non è risultato manifestato o rispetto ai quali, addirittura, è risultata dalla documentazione acquisita la volontà dei singoli a non essere contattati (con consenso valorizzato a “NO” nei sistemi della Società), BMW ha operato in violazione della richiamata disciplina di protezione dei dati personali, con particolare riferimento (anche in questo caso) alla mancanza di consenso degli interessati, come richiesto invece dagli artt. 23 e 130, comma 3, del Codice (v. punti 4.4 e infra 6.2).

6.2. Sulla base della documentazione trasmessa dalla Società, attraverso un’analisi delle numerazioni inserite in campagne commerciali telefoniche nel periodo gennaio-dicembre 2017, è stata verificata infatti l’esistenza, tra le numerazioni nelle cd. liste di contattabilità formate dalla Società e da questa consegnate a seguito degli accertamenti in loco con le note del 15 e del 22 febbraio 2018, di numerazioni che non avrebbero dovuto essere contattate in una determinata campagna commerciale stante l’assenza di un valido consenso da parte degli interessati.
In particolare, dai raffronti, è emerso un numero elevato di contatti effettuati in violazione di legge, attesa la presenza delle numerazioni oggetto di contatto in assenza del necessario consenso in corrispondenza delle campagne promozionali effettuate. Sono così risultati illecitamente oggetto di contatto commerciale:

- oltre 3.900 interessati il cui consenso al trattamento per finalità di marketing era valorizzato a "NO" o non espresso, per complessivamente oltre 4.200 contatti;

- oltre 11.300 interessati il cui consenso alla comunicazione dei dati a BMW Italia per finalità di marketing era valorizzato a "NO" o non espresso, per complessivamente oltre 12.500 contatti.

7. Alla luce delle considerazioni svolte e considerato l'art. 11, comma 2, del Codice, i dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non potranno essere ulteriormente utilizzati per la menzionata finalità di marketing. 

Il Garante dispone quindi, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, il divieto per BMW di trattare ulteriormente per finalità promozionali i dati riferiti al segnalante (cfr. punto 5) nonché tutti i dati personali concernenti le utenze di coloro i quali non abbiano manifestato il proprio consenso per tale finalità (punti 6.1.e 6.2).

8. Fatti salvi gli approfondimenti ulteriori che potranno essere svolti, l'Autorità provvederà, con autonomo procedimento, a contestare le violazioni amministrative concernenti i profili afferenti all’accertata mancanza del consenso degli interessati rispetto al trattamento dei dati illecitamente trattati nell’ambito delle campagne di telemarketing (artt. 23 e 130, comma 3, nonché 162, comma 2-bis), considerato altresì quanto disposto dall’art. 164 bis , comma 3, del Codice (cfr. punti 3, 4.3 e 5 nonché e 6.2). 

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 143, comma 1, lett. b) e c), 144 e 154, comma 1, lett. c) e d), del Codice, rilevato che i dati personali di cui è stato accertato l'illecito trattamento non possono essere ulteriormente utilizzati (art. 11, comma 2, del Codice), vieta a BMW Italia s.p.a. l'ulteriore trattamento per finalità di marketing dei dati personali riferiti alle utenze oggetto della campagna, e tra questi quelli riferiti al segnalante, trattati in assenza di un consenso legittimamente manifestato ai sensi degli artt. 23 e 130, comma 3, del Codice.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 18 aprile 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia