Sanzione di 16.729.600 Euro a Wind Tre SpA

Rispondi
admin
Site Admin
Messaggi: 101
Iscritto il: mar feb 18, 2020 1:11 pm

Sanzione di 16.729.600 Euro a Wind Tre SpA

Messaggio da admin »

Continua la saga dei furbetti del quartierino che non combinano di tutti i colori a danno degli utenti dei servizi telefonici.
Ma questa volta a Wind Tre SpA è andata molto male, e infatti il Garante per la protezione dei dati personali ha irrogato una multa di quasi DICIASSETTE MILIONI di Euro, ai furbetti del quartierino.
Bellissimo, molto istruttivo, molto completo ed articolato il provvedimento dell'ordinanza di ingiunzione, dove si racconta con dovizia di particolari le indagini svolte e gli illeciti riscontrati.
Sono circa 35 anni che mi occupo della materia, ma mai mi era capitato un caso un cui un trasgressore violasse così tante norme e disposizioni: complimenti Wind Tre, avete fatto l'en-plein!.

Di seguito trovate il testo dell'ordinanza di ingiunzione.

https://www.garanteprivacy.it/home/docw ... eb/9435753

Ordinanza ingiunzione nei confronti di Wind Tre S.p.A. - 9 luglio 2020

Registro dei provvedimenti
n. 143 del 9 luglio 2020

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTI i reclami e le segnalazioni pervenuti al Garante, con riguardo a vari trattamenti di dati personali effettuati da parte di Wind Tre S.p.A. (di seguito indicata anche come: “Wind Tre” o “la Società”);

VISTI gli esiti degli accertamenti ispettivi condotti nei confronti di Wind Tre e di alcuni partner commerciali della stessa;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

Con una pluralità di segnalazioni e reclami sono stati portati all’attenzione dell’Autorità diversi trattamenti di dati personali posti in essere da Wind Tre, prevalentemente (ma non esclusivamente) riconducibili a condotte finalizzate all’attività promozionale.

Tenuto conto che la Società è stata già destinataria di un provvedimento inibitorio e prescrittivo per trattamenti analoghi effettuati in vigenza del precedente quadro normativo (cfr. provv. 22 maggio 2018, n. 313, in www.garanteprivacy.it, doc. web n. 8995285), l’istruttoria condotta ha preso in considerazione solo le istanze pervenute dopo il 25 maggio 2018, che sono state oggetto di istruttoria cumulativa ai sensi dell’art. 10, comma 4, del regolamento interno del Garante n. 1/2019 (doc. web n. 9107633). Tale prima attività istruttoria verrà indicata nel corso del presente provvedimento anche come “procedimento A”.

Con diverso procedimento (cfr. fascicoli 139150, 139507, 139505, 140416, 141133) sono stati poi presi in considerazione altri aspetti dell’attività del titolare connessi a segnalazioni pervenute all’Autorità che informavano di attività promozionali, poste in essere per esso dalla filiera di subagenti di un fornitore accreditato, contattando i clienti di un altro operatore telefonico i cui dati personali venivano acquisiti con modalità illegittime.

Questo secondo procedimento verrà indicato di seguito anche come “procedimento B”.

All’esito di dette attività sono emerse diverse violazioni delle norme in materia di protezione dei dati personali.

2. ESITI DELL’ISTRUTTORIA

Le istruttorie condotte hanno comportato l’esame di oltre 100 fascicoli, oltre allo svolgimento di accertamenti ispettivi presso la stessa Wind Tre, presso alcuni partner e presso un altro operatore telefonico. Si deve inoltre considerare l’attualità della condotta o, comunque, dei suoi effetti, date le istanze, di analogo contenuto, pervenute all’Autorità anche successivamente alla formale contestazione inviata alla Società in data 13 maggio 2020, da intendersi qui integralmente richiamata e alla quale si rimanda per ogni elemento di dettaglio.

2.1. Attività promozionale mediante sms, e-mail, fax, telefonate e chiamate automatizzate

Nel periodo preso in esame, come accennato, sono pervenuti al Garante numerosi reclami e segnalazioni relativi alla ricezione di contatti promozionali indesiderati effettuati tramite telefono, sms, e-mail, fax o chiamate automatizzate. In molti casi è stata lamentata la ricezione di contatti anche dopo la revoca del consenso o l’esercizio del diritto di opposizione.

In risposta a specifiche richieste di informazioni, la Società,

1. in alcuni casi, ha documentato l’acquisizione di uno specifico consenso mediante esibizione dei contratti (proposte di acquisto - pda) sottoscritti dagli interessati;

2. in altri ha documentato l’acquisizione di un consenso che, alla luce degli accertamenti condotti, si è rivelato inidoneo;

3. nei rimanenti casi non è stata in grado di documentare l’avvenuta acquisizione del consenso.

2.1.1. Contatti effettuati senza consenso

La Società, in alcuni riscontri forniti, ha dichiarato che il contatto è avvenuto per errore (cfr. fascicoli 128119, 127661, 130539, 123638,134545, 142932, 121112); in altri casi, che la revoca non era stata tempestivamente recepita per problemi legati alla gestione della corrispondenza o all’identificazione dell’interessato, di cui si dirà meglio in seguito (cfr. fascicoli 141011, 134392, 130266,130344, 145996, 124985, 134434, 133063, 133372, 134997, 128000, 128805, 130356, 129952, 127784).

2.1.2. Contatti effettuati sulla base di un consenso da ritenersi non idoneo

In altri casi, la Società ha risposto alle specifiche richieste di informazioni documentando l’acquisizione di un consenso che, alla luce delle valutazioni compiute, si è rivelato inidoneo.

2.1.2.1. Consensi risalenti e non conformi al nuovo quadro normativo introdotto dal Regolamento

In particolare, in tre casi (cfr. fascicoli 133088, 134927, 131464), il consenso è stato documentato allegando i contratti sottoscritti dai clienti. Questi, tuttavia, risalenti agli anni 1998/99 non risultano più idonei rispetto al quadro normativo vigente in quanto non consentono di documentare una volontà libera, specifica e informata dell’interessato essendo previsto un solo consenso per finalità di trattamento diverse (attività promozionale del titolare, di terzi, valutazione della soddisfazione della clientela, tutela del credito); a tal proposito si richiamano gli artt. 4, punto 11, e 7 nonché il contenuto del considerando n. 171 del Regolamento in base al quale «qualora il trattamento si basi sul consenso a norma della direttiva 95/46/CE, non occorre che l'interessato presti nuovamente il suo consenso, se questo è stato espresso secondo modalità conformi alle condizioni del presente regolamento, affinché il titolare del trattamento possa proseguire il trattamento in questione dopo la data di applicazione del presente regolamento». Pertanto, è onere del titolare valutare se i consensi già acquisiti siano da considerarsi ancora conformi alle norme vigenti; tra queste, si richiamano anche le modifiche normative intervenute successivamente al 1999 volte a disciplinare, con disposizioni di carattere speciale, il trattamento posto in essere nell’ambito dei servizi di comunicazione elettronica (art. 130 del Codice e disposizioni in materia di Registro delle opposizioni) da considerarsi ormai note a tutti gli operatori del settore, anche alla luce delle numerose pronunce del Garante.

2.1.2.2. Consensi acquisiti direttamente dai partner commerciali

In un caso (cfr. fascicolo 130729), la ricezione di un sms indesiderato è stata giustificata sostenendo che l’invio risultava effettuato direttamente dalla XX Srl, senza utilizzare liste di Wind Tre, sulla base di un consenso autonomamente acquisito per la promozione di servizi di terzi (peraltro non esibito unitamente alla risposta).

A tale proposito si rileva che la Società, con allegato 1 alla nota del 15 luglio 2019, ha fornito la copia di una comunicazione inviata ai propri partner commerciali per richiamarli al rispetto della normativa vigente in materia di marketing. Tra le prescrizioni presenti in tale comunicazione si evidenzia quanto indicato al punto I) dove la Società richiede di “verificare che, nell’eventualità attuiate attività di promozione di nostre offerte, siano contattate solo le numerazioni consensate per i contatti commerciali delle quali Wind Tre è titolare oppure legittimamente acquisite da Voi in proprio e delle quali siete legittimamente titolari, analogamente consensate ai contatti commerciali e alla comunicazione a Società di telecomunicazioni”.

Da tale comunicazione e sulla base di quanto dichiarato in merito alla segnalazione relativa al fascicolo 130729, si evince che la Società prevede, tra le modalità di effettuazione delle campagne promozionali, anche la possibilità di affidare tale trattamento a terzi in qualità di autonomi titolari senza tuttavia garantire che tali contatti non pregiudichino la volontà, specificamente espressa dagli interessati nei confronti di Wind Tre, di non ricevere contatti promozionali.

2.1.2.3. Consensi acquisiti mediante le app MyWind e My3.

In altri casi, la Società ha documentato il consenso fornendo la schermata del sistema informativo interno da cui risulta prestato un consenso tramite “canali interattivi” o “SelfcareAppAndroid”.

Dall’esame della documentazione allegata si evince che i consensi sono stati forniti dagli interessati accedendo alla propria area personale tramite l’app MyWind o My3.

In particolare, in tre casi (cfr. fascicoli 134496, 138094 e 140940) il consenso, originariamente non presente, risulta acquisito a seguito di una registrazione informatica descritta come “variazione”, che, secondo quanto successivamente illustrato dalla Società, indicherebbe il fatto che l’interessato stesso, operando direttamente tramite i canali Selfcare (di cui le app sono uno strumento) avrebbe richiesto una modifica dello status dei consensi, conferendoli ove non presenti. In due di essi (fascicoli 134496 e 138094) tale variazione risulta effettuata nel mese di dicembre 2018, data in cui è stata implementata una modifica dell’app. Inoltre, in due circostanze (fascicoli 138094 e 140940), tale variazione risulta contestualmente prestata per tutte le tipologie di trattamento elencate nella pagina iniziale dell’app (marketing, profilazione, arricchimento dati, geolocalizzazione, trasferimento a terzi). A tale ultimo riguardo uno dei reclamanti (cfr. fascicolo 138094), in replica al riscontro della Wind Tre, ha ribadito le proprie perplessità in merito ai consensi che risultavano conferiti, evidenziando di non avere idea, per alcuni trattamenti, neanche del significato di quanto riportato (ad esempio per l’”arricchimento dei dati”) e ha altresì osservato che non avrebbe avuto motivo di fornire all’operatore tutti i consensi in un momento in cui, a causa dei numerosi disservizi, non era più soddisfatto del servizio fornito.

A tal proposito, si osserva che il funzionamento delle app MyWind e My3, preposte alla gestione del profilo utente connesso al servizio telefonico, è stato portato all’attenzione del Garante con una pluralità di altre segnalazioni e reclami (fascicoli 116325, 133895, 133630, 132819, 132840, 132535, 134089, 135405). Tutte le istanze ricevute hanno lamentato, in maniera analoga e con allegazione dei relativi screenshot, che le app in questione obbligavano l’utente a fornire, ad ogni nuovo accesso, una serie di consensi per diverse finalità di trattamento (marketing, profilazione, comunicazione a terzi, arricchimento e geolocalizzazione) salvo poi consentire di revocarli trascorse 24 ore.

Con nota del 17 aprile 2019 la Società, nel dichiarare di aver apportato nell’ultimo trimestre 2018 alcune modifiche alle app in questione, ha allegato le schermate di accesso di entrambe, analoghe a quelle già presentate dai segnalanti, dalle quali è emerso quanto segue:

- veniva enunciata la volontà del titolare di effettuare i cinque trattamenti descritti;

- vi si leggeva che “se preferisci puoi scegliere […] quali consensi prestare su Gestione consensi. Premendo Accetto consenti a Wind Tre di raccogliere e utilizzare le informazioni sopra elencate e da te personalizzate. Dichiaro inoltre di accettare i termini e condizioni e di aver preso visione dell’informativa privacy”;

- premendo il tasto “Annulla”, non era possibile utilizzare l’app perché, a detta della Società, non risultavano accettati termini e condizioni e non risultava la presa visione dell’informativa.

Wind Tre, al riguardo, ha affermato che non v'era alcun vincolo a fornire i consensi poiché questi erano previamente gestibili dal link "Gestioni consensi" presente nel corpo del testo e "probabilmente alcuni utenti possono aver frainteso i contenuti della pagina". Infatti, andando in Gestione consensi si potevano scegliere le singole preferenze; poi "effettuata tale scelta, il cliente tornando alla pagina precedente e premendo accetta conferma la scelta sui consensi appena effettuata e al contempo accetta termini e condizioni”.

In tali casi, pertanto, si evidenzia come la procedura seguita fosse complessa, inadeguata all’utilizzo rapido, tipico di una applicazione per smartphone e, per tali ragioni, idonea ad ingenerare errori da parte dell’interessato con dirette ricadute sulla legittima espressione del consenso. La Società, in ogni caso, nonostante le segnalazioni di volta in volta ricevute, non ha ritenuto di dover intervenire tempestivamente nella configurazione descritta.

Allo stesso modo, occorre considerare, in via generale, che le app del tipo di My3 e MyWind assolvono alla essenziale funzione di consentire all’utente di monitorare i consumi e le soglie di utilizzo dei servizi e, quindi, di controllare la complessiva spesa telefonica. L’impossibilità di tenere sotto controllo le spese correnti può aver rappresentato un ulteriore elemento negativo per l’interessato, nella sua veste di consumatore.

Inoltre, con reclamo dell’8 gennaio 2020 (fascicolo 145970), è stata documentata la conversazione tenuta in chat con operatori del servizio clienti che confermano che “...i consensi sono revocati. se li hai trovati temporaneamente concessi potrebbe essere stato a causa dell'ultimo aggiornamento dell'area clienti perché, per poter accedere, ti viene prima richiesto di prestare i consensi e poi possono nuovamente essere revocati”.

Con nota del 17 febbraio 2020 la Società, nel ribadire che l’espressione di specifici consensi era sempre possibile attraverso il link “Gestione consensi”, ha aggiunto che, al fine di rendere più snello l’utilizzo dell’app, premendo il tasto “Accetta” il cliente poteva confermare contestualmente l’accettazione di termini e condizioni ma anche dei consensi facoltativi non precedentemente espressi, salvo poi la possibilità di modificarli successivamente. La stessa ha, inoltre, aggiunto che “il signor … ha più volte modificato la sua volontà prestando e revocando i consensi precedentemente rilasciati”.

Infine, con reclamo del 5 febbraio 2020 (fascicolo 146873) è stata lamentata ancora una volta l’impossibilità di utilizzare l’app senza necessariamente cliccare sul tasto “Accetta” e senza che si potessero chiaramente comprendere gli effetti di tale manifestazione di volontà. La reclamante ha documentato che, una volta indicato “Accetta”, i consensi presenti nell’area personale risultavano tutti conferiti. La stessa ha inoltre allegato uno scambio di corrispondenza con la casella privacy@h3g.it dalla quale è emerso che la Società ha fornito riscontro indicando, in un primo momento che “una volta effettuato l’accesso all’App potrà modificare i consensi alla sezione Strumenti – Impostazioni – Gestione Consensi”. Alle successive osservazioni contrariate della cliente, la Società ha risposto che “Al solo fine di agevolare e rendere più snello il primo accesso all’App My3 da parte dei nostri Clienti, abbiamo previsto, nel caso in cui il Cliente non voglia andare nella sezione dedicata Gestione Consensi per evitare un ulteriore passaggio, operazione questa comunque effettuabile in qualsiasi momento, di prevedere un tasto Accetto sia per le Condizioni del Servizio sia per i Consensi non precedentemente manifestati. L’Accetto riferito invece all’informativa privacy è da intendersi non come un vincolo dei consensi per usufruire delle funzionalità ma piuttosto quale presa visione delle modalità e finalità del trattamento”.

Tali giustificazioni fornite dalla Società non sono state ritenute accoglibili ed è stata pertanto formulata una specifica contestazione ai sensi dell’art. 166, par. 5 del Regolamento. In base a quanto affermato da Wind Tre, infatti, l’intento della richiesta sarebbe stato quello di far accettare le condizioni contrattuali e dimostrare la presa visione dell’informativa. A ciò evidentemente doveva però aggiungersi anche l’intenzione di acquisire consensi in precedenza non manifestati.

In base a quanto dichiarato, dunque, queste tre diverse manifestazioni di volontà (all’apertura dell’app, con una sola domanda, veniva chiesto: 1) di accettare le condizioni contrattuali; 2) di accettare l’informativa; 3) di fornire – o “convalidare” tutti i consensi richiesti) si sarebbero dovute esprimere con un’unica azione, consistente nella selezione del pulsante “Accetta”. Se anche si volesse ammettere un’utilità di tale tipo di procedura, si dovrebbe rilevare il mancato rispetto di quanto contenuto nell’art. 7, par. 2 del Regolamento nonché nei considerando 42 e 43 in merito alla consapevolezza del soggetto che esprime un consenso nel contesto di una dichiarazione scritta che contempli anche altre questioni.

Inoltre, la proposizione delle menzionate richieste appare anche priva di senso logico dal momento che non è dato comprendere per quale motivo queste venissero reiterate ad ogni accesso all’app. In tal senso, anche avendo voluto considerare la richiesta solo come una conferma di presa visione dell’informativa, essa appare del tutto pretestuosa in mancanza di modifiche dell’informativa stessa che ne rendessero necessaria la riproposizione. Analoga considerazione può essere fatta in merito alle condizioni contrattuali, che si suppongono rese note al momento della sottoscrizione del contratto di servizio (e non modificate ad ogni singolo accesso).

Le numerose segnalazioni pervenute (tutte di analogo contenuto) portano a ritenere che, dietro la mancanza di chiarezza, si celi dunque una regola di raccolta dei consensi preordinata a forzare la volontà degli utenti, regola che non è stata modificata neanche dopo la ricezione delle numerose segnalazioni.

La previsione di una modalità di scelta (asseritamente preventiva) tramite il link “Gestione Consensi”, oltre a dimostrarsi difficilmente comprensibile, appare anche giuridicamente insufficiente a garantire l’espressione di un valido consenso dal momento che, in mancanza di specificazioni in tal senso, si sarebbe sempre potuta considerare superata dalla manifestazione di volontà successivamente espressa premendo il tasto “Accetta”. E, soprattutto, non appare giustificata nella sua reiterazione.

Del tutto insufficiente è da considerarsi, infine, il rimedio consistente nella possibilità di revocare (peraltro non prima di 24 ore) i consensi espressi involontariamente, dal momento che, come noto, l’espressione della volontà deve essere libera e preventiva. La stessa Wind Tre ha dato atto che, in diversi casi, i consensi risultavano prestati e poi revocati più volte. Rimanendo da sottolineare il rischio di utilizzo dei dati nel corso delle predette 24 ore.

Un tale trattamento, dunque, non può considerarsi lecito e i consensi raccolti con le modalità sopra descritte non posso considerarsi idonei a comprovare una manifestazione di volontà libera e specifica degli interessati.

Con la memoria difensiva del 15 giugno 2020 la Società ha dichiarato che, ad oggi, le due app sono state sostituite dall’unica app WINDTRE, che non richiede più di manifestare il consenso all’accesso.

2.1.2.4. Consensi prestati con modalità non legittime (manifestazione del consenso non libera).

Come evidenziato al punto 2.1., in numerosi casi la Società ha documentato l’acquisizione del consenso fornendo copia dei contratti sottoscritti dai clienti (cd. pda).

Fatte salve le specifiche anomalie già indicate sopra, si vogliono ora esaminare le modalità generali di raccolta del consenso all’atto della sottoscrizione di un contratto per l’acquisto di una utenza mobile o fissa. Ciò in quanto più volte negli anni è stata portata all’attenzione del Garante, la difficoltà di esprimere un consenso libero e specifico per tutte le finalità del trattamento, nonostante le dichiarazioni della Società in merito alle istruzioni impartite in tal senso ai propri partner.

Da ultimo si richiama una segnalazione del 13 marzo 2020 (cfr. fascicolo 148352) con la quale, con note inviate anche a Wind Tre, è stata lamentata l’impossibilità di esprimere un consenso libero per finalità promozionali, sia preventivamente che successivamente alla sottoscrizione del contratto attivato presso un rivenditore.

Si richiama, inoltre, il reclamo (cfr. fascicolo 136370) con il quale è stato rappresentato, in maniera molto puntuale, che l’operatore addetto alla vendita ha predisposto un contratto con tutte le caselle relative ai consensi già preselezionate e, dopo qualche resistenza opposta alle richieste del cliente, ha modificato solo le selezioni a sistema senza ristampare il contratto. La Società, interpellata in merito, ha risposto con nota del 17 luglio 2019 rappresentando che la volontà del cliente è stata probabilmente equivocata dall’operatore. Sulla base di tali elementi, l’Ufficio aveva disposto la chiusura dell’istruttoria in data 20 novembre 2019. Tuttavia, alla luce di alcuni fatti sopravvenuti, che di seguito si illustrano, deve essere considerato nuovamente quanto emerso anche dalla descritta istruttoria valutando diversamente la buona fede delle dichiarazioni a suo tempo fornite dalla Società

Infatti, con un reclamo del 17 giugno 2019 (cfr. fascicolo 139604) è stato lamentato che, per l’attivazione di una nuova utenza presso un dealer, sarebbe stato da questi predisposto per la firma un contratto contenente i consensi già selezionati senza aver previamente richiesto al cliente di manifestare una volontà in tal senso; date le dimensioni dei caratteri con cui era scritto il testo relativo alla manifestazione dei consensi, non sarebbe stato possibile accorgersi immediatamente di quanto veniva presentato per la firma; per ottenere la stampa di un nuovo contratto senza i consensi selezionati sarebbero state opposte molte resistenze da parte dell’addetto alla vendita.

In questo caso l’Ufficio ha richiesto un accertamento ispettivo presso il rivenditore XX S.r.l. di Merano, dove era stata attivata l’utenza in questione e che operava in qualità di responsabile del trattamento di Wind Tre. L’attività ispettiva, delegata al Nucleo speciale privacy, è stata effettuata nei giorni 11 e 12 dicembre 2019 e ne è emerso quanto segue:

la registrazione dei consensi viene effettuata utilizzando l’applicativo di Wind Tre denominato “Wind Station”;

in merito alle effettive modalità di raccolta della volontà del cliente, l’operatore ha dichiarato a verbale che “seguendo le indicazioni del capo area signor …, nel corso di ogni attivazione di sim card, l’operatore di riferimento deve flaggare d’iniziativa tutti i consensi ivi previsti. Tale operazione tra l’altro è agevolata da un apposito pulsante presente all’interno del gestionale […]. Solo qualora, in occasione della sottoscrizione del modello cartaceo stampato dal sistema e sottoposto all’attenzione dell’interessato per l’accettazione di presa visione dell’informativa e rilascio dei consensi, quest’ultimo dovesse manifestare perplessità sui consensi presenti nel modello di riferimento, l’operatore provvede a modificarli secondo le indicazioni fornite direttamente dall’interessato”; ne consegue che l’operatore, di default, valorizza tutti i consensi e stampa il contratto, così predisposto, per la firma del cliente;

i verbalizzanti hanno acquisito la copia del contratto sottoscritto dal reclamante il 21 maggio 2019 nel quale è presente, sul lato destro in alto, un riquadro denominato “resta in contatto con Wind” contenente una dichiarazione di presa visione dell’informativa e autorizzazione al trattamento dei dati personali per finalità di marketing da parte di Wind Tre e dei propri partner; profilazione; geolocalizzazione; comunicazione a terzi e arricchimento dei dati. Le dimensioni e la spaziatura del testo contenuto in tale riquadro sono notevolmente inferiori a quelle dei caratteri che compongono l’annesso contratto tanto da risultare oggettivamente di difficile lettura sia per quanto riguarda l’intero testo sia, soprattutto, per quanto riguarda la visualizzazione di un eventuale flag nelle caselle relative ai singoli consensi;

l’operatore ascoltato al riguardo, ha dichiarato di aver ricevuto istruzioni verbali in merito alla prassi operativa sopra descritta per l’acquisizione dei consensi e, al fine di documentare quanto asserito, ha consegnato copia di due e-mail ricevute dal responsabile di Wind Tre: in una di esse, del 25 maggio 2019, è presente un grafico che descrive le percentuali di acquisizione dei consensi raggiunte dal dealer con un invito “ancora una volta di arrivare al 100% su tutto”; con la seconda e-mail, del 5 giugno 2019, il rappresentante commerciale di Wind Tre inviava al dealer un resoconto delle prestazioni effettuate ai fini della valutazione del fornitore; nel testo si legge “attenzione ai dati di qualità inseriti, in particolare i flag devono essere al 100% su tutto”; a tale mail viene allegata una tabella dalla quale si evince chiaramente che l’ottenimento di alte percentuali di flag sui consensi è annoverato fra gli indicatori di qualità;

infine, esaminando il contenuto del gestionale fornito da Wind Tre al rivenditore, è stato fatto accesso alla comunicazione pubblicata da Wind Tre il 22 marzo 2019 dal titolo “Nuovi consensi da POS NG”. Con tale avviso si informavano i partner della variazione effettuata sulla lista dei consensi a partire dal 25 marzo 2019 che riguardava, in particolare, l’accorpamento dei primi due consensi in un’unica manifestazione di volontà, presentata al sottoscrittore con il seguente testo: “Comunicazioni commerciali Wind: acconsento al trattamento dei miei dati personali per la ricezione, da parte di Wind, di comunicazioni inerenti offerte speciali, sconti e promozioni relative a prodotti e servizi Wind e di partner selezionati da Wind”; veniva così richiesto un unico consenso per ricevere comunicazioni promozionali sia di Wind Tre che di terzi. Inoltre, in caso di “modifica Offerta per i già clienti acquisiti prima del 9 gennaio 2017 sono visualizzati i soli 2 consensi old valorizzati come espressi in fase di attivazione e i nuovi 4 consensi non valorizzati (blank). È possibile modificare i primi 2 e acquisire i 4 nuovi consensi […] ma qualora il rivenditore provi nell’acquisire solo alcuni dei 4 nuovi consensi o modificarne uno dei 2 old, verrà visualizzato il warning bloccante, dove appunto verrà indicato di valorizzare tutti e 6 consensi. […]. Per i clienti acquisiti dal 9 gennaio 2017, da Modifica Offerta, risultano già valorizzati tutti e 6 i consensi con la possibilità di modificarli insieme alla variazione commerciale dell’offerta”.

2.1.2.5. Consensi di clienti di altro gestore acquisiti con modalità illegali

Vengono qui in riferimento gli esiti degli accertamenti del cd. “procedimento B” richiamato in premessa e svolti dopo che l’Autorità ha appreso, da una segnalazione, dell’esistenza in Roma di un call-center che avrebbe svolto attività di contatto di potenziale clientela e offerta di servizi telefonici per conto della Società, mediante acquisizione di dati di clienti di altro operatore telefonico con modalità non lecite e comunque fuori dalla cornice normativa delineata dal Regolamento e dal Codice.

L’Ufficio, effettuate le necessarie verifiche relative alle informazioni anagrafiche dei soggetti indicati nella segnalazione, delegava alla Guardia di finanza, Nucleo speciale tutela privacy e frodi tecnologiche, lo svolgimento di accertamenti ispettivi presso detto call-center.

L’accertamento ispettivo ha consentito di rilevare che le attività ivi svolte facevano capo alla Alessandro Corbelli Sunrise s.r.l.s. e, nonostante le stesse, in sede di accesso, fossero state presentate come attività di formazione per l’avviamento di futuri operatori di call-center, le risultanze degli accessi alle postazioni di lavoro hanno evidenziato che – proprio al momento dell’accertamento – erano in corso attività di contatti telefonici promozionali dei servizi della società Wind Tre.

I contatti telefonici dei potenziali clienti, indirizzati all’area business, prevedevano la fissazione di appuntamenti per la compilazione delle proposte di contratto, appuntamenti che venivano “caricati” nelle agende elettroniche delle persone che si sarebbero dovuto recare presso i clienti.

Nel call-center veniva rinvenuta ingente modulistica contrattuale di Wind, predisposta per la clientela business, e numerose sim-card a marchio Wind.

Le attività di contatto venivano svolte in sette postazioni di lavoro mediante l’utilizzo di personal computer e telefoni cellulari. Nella cronologia dei predetti telefoni è stata rinvenuta traccia di centinaia di telefonate effettuate nei tre giorni antecedenti l’intervento ispettivo. Dagli accessi ai computer in uso agli operatori è stato possibile acquisire numerosi file in formato excel contenenti elenchi costituiti da informazioni anagrafiche e di contatto telefonico di aziende e persone fisiche. Tutti gli operatori interpellati hanno dichiarato che tali file venivano quotidianamente caricati sul desktop dei pc da parte del referente e che gli stessi contenevano i nominativi e i numeri di telefono dei soggetti da contattare. Nel pc del referente e in un’altra postazione di lavoro venivano rinvenuti file excel contenenti dati personali (nome, cognome, ragione sociale, codice fiscale, numero di telefono fisso e numero di telefono mobile) di oltre 500.000 utenti. Venivano anche rinvenute tracce informatiche di accessi tramite virtual machine al database di un’altra compagnia telefonica.

Con riferimento all’origine dei dati personali rinvenuti nelle diverse postazioni di lavoro del call-center, uno specifico accertamento ispettivo effettuato presso la sede dell’operatore telefonico da cui – secondo la segnalazione sopra richiamata – questi sarebbero stati trafugati, non consentiva di acquisire piena prova in tal senso, mentre il referente presente nel call-center al momento dell’accertamento dichiarava che “l’attività in una giornata tipo di questo call center prevede che io distribuisca agli operatori le liste di soggetti da contattare che sono presenti nel mio PC delle quali non so definirne l’origine […]; con riferimento alle SIM presenti nel call center e alla documentazione contrattuale e alle brochure rappresento che tutto questo materiale proviene da agenzie di Wind di cui io non conosco la denominazione e la ragione sociale e sono destinate, presumibilmente, agli agenti […] che però io non conosco personalmente”.
Dott. Giancarlo Favero
Direttore
--------------------------------------
Capital Security Srls
Via Montenapoleone, 8
20121 Milano
Tel. 02-94750.267
Cell. 335-5950674
giancarlo.favero@capitalsecurity.it

Rispondi