Garante Privacy sanziona Verisure per 400.000 euro: marketing e consenso sotto la lente

Il Garante per la Protezione dei Dati ha irrogato una sanzione amministrativa di 400.000 euro a Verisure, al termine di un’istruttoria avviata a seguito di un reclamo e di una segnalazione riguardanti l’invio di comunicazioni commerciali indesiderate.

Il provvedimento conferma la centralità del rispetto dei diritti degli interessati e dei principi fondamentali del GDPR, in particolare quelli di liceità, trasparenza, limitazione della conservazione e accountability.
Tra le violazioni accertate, il Garante ha rilevato il tardivo riscontro alle richieste di cancellazione e opposizione, con la prosecuzione dell’invio di comunicazioni promozionali anche dopo l’esercizio dei diritti e oltre i termini previsti dall’art. 12 GDPR. Tali ritardi sono stati ritenuti espressione di una carenza organizzativa e di un’inadeguata gestione dei dati da parte di Verisure

Ulteriori criticità hanno riguardato il trattamento dei dati per finalità di marketing e teleselling, fondato su un consenso invalido. La raccolta dei dati avveniva mediante un unico meccanismo che accorpava la richiesta di un preventivo all’accettazione delle comunicazioni promozionali, senza consentire una scelta libera, specifica e informata, in violazione dell’art. 7 GDPR.

Il Garante ha anche contestato l’eccessivo termine di conservazione dei dati per finalità di teleselling, fissato in 12 mesi dalla richiesta di contatto, ritenuto sproporzionato e non adeguatamente giustificato, soprattutto in assenza di una chiara informativa agli interessati. Analoga censura è stata mossa per la mancata indicazione dei tempi di conservazione dei dati di clienti ed ex clienti.

La decisione chiarisce che la durata della conservazione deve essere coerente con la finalità effettivamente perseguita. Il Garante non ha sanzionato la Società per il mero periodo temporale individuato, ma per la finalità che giustificava tale conservazione.
In particolare, qualora il trattamento sia dichiarato come finalizzato a ricontattare il cliente per concludere la vendita mediante teleselling, e tale contatto avvenga, ad esempio, dopo quattro mesi dalla raccolta del dato, non sussiste una base legittima per conservarlo nei successivi otto mesi, in assenza di un’ulteriore finalità distinta.
Diversamente, se l’intento è quello di svolgere attività di marketing, tale finalità deve essere esplicitata sin dall’origine, mediante un’informativa chiara e la raccolta di un consenso specifico, libero e informato, distinto rispetto a quello prestato per finalità precontrattuali o di vendita.