Garante Privacy sanziona Verisure per 400.000 euro: marketing e consenso sotto la lente

Il Garante per la Protezione dei Dati ha irrogato una sanzione amministrativa di 400.000 euro a Verisure. Questo è avvenuto al termine di un’istruttoria avviata a seguito di un reclamo e di una segnalazione riguardanti l’invio di comunicazioni commerciali indesiderate.

Il provvedimento conferma la centralità del rispetto dei diritti degli interessati e dei principi fondamentali del GDPR. In particolare, conferma quelli di liceità, trasparenza, limitazione della conservazione e accountability.
Tra le violazioni accertate, il Garante ha rilevato il tardivo riscontro alle richieste di cancellazione e opposizione. Di conseguenza si è verificata la prosecuzione dell’invio di comunicazioni promozionali anche dopo l’esercizio dei diritti e oltre i termini previsti dall’art. 12 GDPR. Tali ritardi sono stati ritenuti espressione di una carenza organizzativa e di un’inadeguata gestione dei dati da parte di Verisure.

Ulteriori criticità hanno riguardato il trattamento dei dati per finalità di marketing e teleselling, fondato su un consenso invalido. Inoltre, la raccolta dei dati avveniva mediante un unico meccanismo che accorpava la richiesta di un preventivo all’accettazione delle comunicazioni promozionali. Non veniva quindi consentita una scelta libera, specifica e informata, ciò in violazione dell’art. 7 GDPR.

Il Garante ha anche contestato l’eccessivo termine di conservazione dei dati per finalità di teleselling, fissato in 12 mesi dalla richiesta di contatto. Questo termine è stato ritenuto sproporzionato e non adeguatamente giustificato, soprattutto in assenza di una chiara informativa agli interessati. Inoltre, analoga censura è stata mossa per la mancata indicazione dei tempi di conservazione dei dati di clienti ed ex clienti.

La decisione chiarisce che la durata della conservazione deve essere coerente con la finalità effettivamente perseguita. Il Garante non ha sanzionato la Società per il mero periodo temporale individuato. Piuttosto ha sanzionato per la finalità che giustificava tale conservazione.
In particolare, qualora il trattamento sia dichiarato come finalizzato a ricontattare il cliente per concludere la vendita mediante teleselling, e tale contatto avvenga, ad esempio, dopo quattro mesi dalla raccolta del dato, non sussiste una base legittima per conservarlo nei successivi otto mesi, in assenza di un’ulteriore finalità distinta.
Diversamente, se l’intento è quello di svolgere attività di marketing, tale finalità deve essere esplicitata sin dall’origine. Bisogna fornire un’informativa chiara e raccogliere un consenso specifico, libero e informato. Questo consenso deve essere distinto rispetto a quello prestato per finalità precontrattuali o di vendita.