Garante Privacy, ordinanza 10 novembre 2022, n. 379
Garante Privacy, ordinanza 10 novembre 2022, n. 379
Ordinanza ingiunzione nei confronti di Vodafone Italia S.p.A.
- 10 novembre 2022 [9826417]
VEDI ANCHE Newsletter del 28 novembre 2022
[doc. web n. 9826417]
Ordinanza ingiunzione nei confronti di Vodafone Italia S.p.A. - 10 novembre 2022
Registro dei provvedimenti
n. 379 del 10 novembre 2022
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la
prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza,
componenti e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016,
relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché
alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla
protezione dei dati, di seguito "Regolamento");
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come
modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento
dell'ordinamento nazionale al citato Regolamento (di seguito "Codice");
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del
Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;
RELATORE la prof.ssa Ginevra Cerrina Feroni;
1. L'ATTIVITÀ ISTRUTTORIA SVOLTA
1.1. Premessa
Con atto dell'8 agosto 2022, n. 42684/22 (notificato in pari data mediante posta elettronica
certificata), che qui deve intendersi integralmente riprodotto, l'Ufficio ha avviato, ai sensi dell'art.
166, comma 5, del Codice, un procedimento per l'adozione dei provvedimenti di cui all'art. 58, par.
2, del Regolamento nei confronti di Vodafone Italia S.p.A., (di seguito "Vodafone" o "la Società"),
in persona del legale rappresentante pro-tempore, con sede legale in Ivrea (TO), via Jervis 13,
C.F. 08539010010.
Il procedimento trae origine da una istruttoria avviata dall'Autorità, a seguito della ricezione di un
reclamo proposto per conto della sig.ra XX da parte di suo figlio XX. Con il reclamo si
rappresentava che la sig.ra XX, di anni 85, veniva contattata, nei primi giorni di dicembre 2020, da
un call-center della rete di vendita di Vodafone, con il quale la stessa concludeva, a suo dire
senza avvedersene, un contratto per l'attivazione di servizi telefonici di linea fissa e correlata
portabilità della numerazione in Vodafone.
Resasi conto di quanto accaduto, la reclamante richiedeva il recesso dal contratto, in data 3
dicembre 2020, al quale faceva seguito una richiesta di recupero spese, pari a € 173,49, inviata
all'interessata da parte di una società su incarico di Vodafone. La reclamante provvedeva a
esercitare il proprio diritto di accesso ai sensi dell'art. 15 del Regolamento, chiedendo a Vodafone
informazioni sull'origine dei dati personali e sulle modalità di trattamento e di comunicazione dei
medesimi. La compagnia telefonica riscontrava la richiesta indicando i dati in proprio possesso e
rappresentando di aver "provveduto a revocare il consenso commerciale, precedentemente
rilasciato in fase di attivazione in data 05/11/2020". Indicava anche i dati del documento d'identità
della reclamante, come acquisiti nel corso della vendita del servizio telefonico. La reclamante,
ritenendo che Vodafone, nel corso del contatto telefonico finalizzato alla vendita di un servizio e
nel riscontro alla richiesta di accesso, non avesse posto in essere condotte conformi alle
disposizioni del Regolamento, richiedeva l'intervento dell'Autorità.
1.2. Le richieste di informazioni formulate dall'Autorità
L'Ufficio, ricevuto il reclamo, provvedeva a richiedere a Vodafone proprie osservazioni
sull'accaduto e la compagnia telefonica, con nota del 5 agosto 2021, faceva presente che
"relativamente all'acquisizione del consenso, precedente al contatto del Partner Vodafone che ha
perfezionato la vendita tramite Vocal Recording, dalle evidenze ricevute dallo stesso Partner,
risulta che la Signora XX, in data 5/11/2020 alle 13:33 abbia effettuato con il suo numero fisso [...]
una chiamata verso l'IVR avente numero 08119043605, all'epoca appartenente al sub fornitore
Wocs del Partner PROMARKETING SHPK" e che "conseguentemente la Signora XX, avendo
prestato il proprio consenso al ricontatto, veniva ricontattata in recall dallo stesso Partner che
finalizzava poi l'attivazione del contratto "Tutto Facile Fisso" tramite registrazione vocale che, in
data odierna, la Scrivente ha provveduto ad inviare al Signor XX. Il contatto alla Signora XX è
stato pertanto effettuato a fronte del consenso acquisito attraverso il precedente contatto inbound
effettuato dalla stessa. Il rilascio del consenso commerciale veniva confermato dalla Signora XX
anche in fase di registrazione vocale; poi revocato da Vodafone in data 24/02/2021, su richiesta
della cliente. Infine, per quanto concerne la correttezza del numero di Carta d'Identità, si fa
presente che il numero del documento presente sui sistemi di Vodafone è lo stesso [...] che la
Signora XX forniva in fase di registrazione vocale effettuata a novembre 2020".
A seguito di replica della reclamante, che contestava di aver mai effettuato chiamate dirette ai call-
center di Vodafone per rilasciare consensi al ricontatto promozionale, la compagnia telefonica
comunicava la propria "disponibilità a ricevere dalla signora XX elementi oggettivi in merito
all'assenza di chiamate dalla linea [...] a lei intestata verso l'IVR del Partner commerciale (e.g.
dettaglio del traffico uscente del mese di novembre 2020).Ciò in quanto Vodafone ha ricevuto dal
proprio Partner commerciale e fornito nel proprio riscontro all'Autorità il print screen della chiamata
in entrata ricevuta dalla linea [...] verso l'IVR del Partner commerciale, pertanto ne ha preso atto e,
in mancanza di evidenze contrarie, non può che confermare e ribadire quanto già esplicitato nel
proprio riscontro del 7 agosto 2021".
L'Ufficio, dopo lo scambio di missive delle parti, provvedeva a inviare una nuova richiesta di
informazioni a Vodafone, ai sensi dell'art. 157 del Codice, per l'acquisizione della "registrazione
della conversazione telefonica avvenuta in data 5 novembre 2020, alle ore 13.33, fra la sig.ra XX
e l'operatore del sub fornitore Wocs del partner Vodafone Promarketing shpk, conversazione
telefonica nel corso della quale la sig.ra XX avrebbe prestato il consenso al ricontatto per finalità di
vendita dei prodotti e servizi Vodafone e avrebbe fornito gli estremi del proprio documento
d'identità".
Vodafone, in riscontro alla richiesta, inviava la registrazione telefonica nella quale "la signora XX,
nell'ambito della vocalizzazione del contratto, confermava all'operatore gli estremi del proprio
documento d'identità, del codice fiscale e del codice di migrazione della linea [...],
precedentemente forniti, e prestava altresì il consenso per finalità commerciali di cui l'operatore
indicava la modalità di revoca in qualunque momento contattando il Servizio Clienti Vodafone.
Consenso poi revocato da Vodafone in data 24/02/2021, su richiesta della cliente".
Tale registrazione, sulla base di quanto riportato al minuto 6 e 25" della medesima e ribadito al
minuto 6 e 30", risulta essere stata realizzata in data 4 novembre 2020 (quindi un giorno prima
dell'asserita chiamata della sig.ra XX al call-center, per rilasciare il proprio consenso al contatto
promozionale).
1.3. Contestazione delle violazioni
L'Ufficio, all'esito dell'istruttoria, adottava il sopra richiamato atto di contestazione n. 42684/22 nel
quale, in primo luogo, si osservava che le informazioni e i documenti raccolti avevano confermato
la versione della reclamante che ha sempre negato di aver contattato autonomamente un call-
center di Vodafone per fornire il proprio consenso al ricontatto promozionale, con conseguente
impossibilità di ricondurre i trattamenti operati dalla Società ad un idoneo consenso prestato
dall'interessato.
Quindi si evidenziava che, in sede di esercizio dei diritti, i riscontri forniti da Vodafone, in
particolare con riferimento all'esibizione di copia del documento d'identità della reclamante
presente negli archivi aziendali, non risultavano compiuti.
Nell'atto di contestazione, inoltre si rappresentava che dall'esame della registrazione vocale della
vendita del servizio di telefonia alla reclamante, era emerso che l'operatore avrebbe sottoposto
alla sig.ra XX la seguente formula di consenso: "Nel rispetto della legge sulla privacy i dati
personali raccolti durante la registrazione saranno utilizzati da Vodafone e comunicati ad altri
operatori di telecomunicazioni per attivare il servizio da lei richiesto. Ci autorizza inoltre a trattare i
suoi dati per inviare materiale pubblicitario su iniziative o offerte Vodafone tramite posta, email,
telefono, sms, mms, push notification, via app e invio con modalità similari". Si osservava quindi
che tale formula risultava, in taluni punti della registrazione, difficilmente comprensibile e
solamente dopo numerosi riascolti, atteso che l'operatore era riuscito a pronunciare ben 63 parole
nell'arco di 16 secondi, e che la stessa prevedeva l'acquisizione di un consenso indifferenziato e
univoco, sia per le comunicazioni dei dati ad altri operatori telefonici, al fine dell'attivazione del
servizio (tipologia di trattamento per la quale doveva invece essere indicata la diversa base
giuridica di cui all'art. 6, par. 1, lett. b) del Regolamento), sia per le molteplici modalità di contatto
dell'interessato ("posta, email, telefono, sms, mms, push notification, via app e invio con modalità
similari").
In base a quanto indicato nell'atto di contestazione, l'esame della registrazione vocale faceva
emergere ulteriori elementi di criticità connessi alla scelta dell'operatore di call-center di sottoporre
alla reclamante il contratto per l'attivazione dei servizi mediante una lettura svolta ad una velocità
stimata di circa 200 parole al minuto per oltre sei minuti di registrazione, tecnica che rendeva il
contratto medesimo incomprensibile e invalutabile, con conseguente lesione del principio di
correttezza e trasparenza del trattamento dei dati personali.
Nell'atto di contestazione infine si evidenziava che i riscontri forniti da Vodafone alle richieste di
informazioni dell'Autorità risultavano inidonei avendo la Società riproposto l'irrealistica versione
dell'agenzia di call-center del contatto spontaneo operato dalla reclamante per fornire al call-
center medesimo il consenso ad un successivo ricontatto promozionale e avendo omesso di
chiarire in sede di riscontro che la registrazione vocale fornita era quella della vendita del servizio
e che tale vendita era avvenuta in epoca antecedente a quella dell'asserito contatto spontaneo
della reclamante.
L'Ufficio, pertanto, contestava a Vodafone le seguenti ipotesi di violazione:
a) artt. 12, par. 1, e 13, del Regolamento, per avere effettuato un contatto promozionale nei
confronti della reclamante, per il tramite della società di diritto albanese Wocs Shpk, con
sede in Tirana, responsabile del trattamento designato da Vodafone, senza avere reso
all'interessata la necessaria informativa nelle forme e nei tempi di cui alle richiamate
disposizioni;
b) artt. 5, par. 1, 6 e 7 del Regolamento, nonché 130, comma 3, del Codice, per aver
effettuato il contatto promozionale di cui sopra senza aver acquisito dall'interessata il
prescritto consenso;
c) artt. 5, par. 1, lett. a), 6 e 7 del Regolamento, nonché 130, commi 1, 2 e 3, per aver
acquisito dall'interessata, nel corso del contatto promozionale di cui sopra un consenso
indifferenziato e unico per le diverse tipologie di contatto, consenso poi registrato nei sistemi
Vodafone;
d) artt. 5, par. 1, lett. a), del Regolamento per aver effettuato trattamenti di dati personali
finalizzati alla conclusione di un contratto per l'attivazione di servizi telefonici in capo alla
reclamante, in violazione dei principi di correttezza e trasparenza del trattamento;
e) art. 15, par. 3, del Regolamento, per aver fornito alla reclamante un inidoneo riscontro alla
richiesta di esercizio del diritto di accesso ai propri dati personali, con specifico riferimento al
documento d'identità acquisito;
f) art. 157 del Codice, per aver fornito all'Autorità riscontri inesatti alle richieste di
informazioni e esibizioni di documenti.
2. LA DIFESA DEL TITOLARE
La parte ha fatto richiesta di audizione davanti all'Autorità, in base a quanto previsto dall'art. 166,
comma 6, del Codice e dall'art. 13 del regolamento del Garante n. 1/2019, audizione che si è
svolta il 7 ottobre 2022.
Vodafone, in tale occasione, ha rappresentato che il caso si colloca in un periodo temporale
coincidente con il provvedimento dell'Autorità nei confronti della Società in tema di telemarketing.
All'epoca, la finalizzazione dei contratti attraverso vocal order era molto più utilizzata di quanto lo
sia oggi, giacché nei tempi attuali tale tecnica è stata quasi del tutto sostituita con la sottoscrizione
tramite firma digitale. Il vocal order viene ancora oggi utilizzato per i soggetti che possono avere
maggiori difficoltà con il mezzo elettronico, quali ad esempio i consumatori delle fasce di età più
anziane. Il vocal order, secondo Vodafone, è quindi una forma di ratifica di opzioni contrattuali che
vengono sottoposte al cliente nel corso della parte non registrata della telefonata, quando le
stesse sono illustrate puntualmente e in forma discorsiva, affinché chi ascolta ne abbia piena
conoscenza. È ciò che è avvenuto nel caso del contatto lamentato dalla reclamante, nel corso del
quale l'operatore del call center ha proceduto alla registrazione del vocal order solo dopo aver
illustrato alla sig.ra XX le diverse offerte e aver riscontrato da parte sua un orientamento
favorevole alla conclusione del contratto e dopo aver acquisito dalla stessa i dati necessari, fra i
quali anche gli estremi del documento di riconoscimento. A tale riguardo, Vodafone ha sottolineato
che il vocal order contiene i dati che vengono acquisiti, nella parte della telefonata non soggetta a
registrazione, e tali dati non sono, né potrebbero essere già presenti nei sistemi Vodafone poiché
alcuni di loro, quale ad esempio il codice di migrazione, è a conoscenza del solo intestatario del
contratto.
Vodafone ha quindi evidenziato che effettivamente nel caso sollevato dalla reclamante emerge
una discrepanza fra quanto indicato nel cartellino della chiamata relativa al rilascio del consenso,
che sarebbe stata effettuata il 5 novembre 2020, e il vocal order della vendita, nel quale
l'operatore indica la data del 4 novembre 2020, tuttavia non vi è alcuna possibilità di risalire alla
causa di tale discrepanza e soprattutto, se essa derivi da un errore dell'operatore nel corso della
registrazione o da un errore nel cartellino. Anche per questa ragione Vodafone aveva richiesto alla
reclamante la documentazione in ordine al traffico telefonico in uscita, non per mettere in dubbio le
indicazioni della sig.ra XX ma per acquisire un elemento documentale idoneo a fare chiarezza
sulla questione ed eventualmente appurare se fosse stato formato un cartellino di chiamata falso e
chiederne conto al teleseller.
In un documento prodotto nel corso dell'audizione Vodafone ha evidenziato che, nonostante nel
vocal order l'operatore faccia riferimento, per un possibile errore, alla data del 4 novembre 2020, il
file audio riporta (nella denominazione dello stesso del file) la data del 5 novembre; parimenti la
creazione dell'anagrafica della sig.ra XX e l'attivazione della nuova linea fissa, risultano entrambe
risalenti al 5 novembre 2020.
Dalla impossibilità di individuare correttamente l'origine della discrepanza come sopra richiamata,
consegue, a parere di Vodafone, stante il possibile errore dell' operatore sulla data del vocal
order, avvalorato dagli elementi di prova in ordine alla circostanza che la vendita sarebbe
avvenuta il 5 novembre 2020 e non il 4 novembre, che dovrebbe escludersi una qualsiasi forma di
violazione dell'art. 157 del Codice per la carenza di idonei elementi oggettivi ad avvalorare tale
contestazione, oltre che di idonei elementi soggettivi che possano imputare, anche solo a titolo di
colpa, tale contestazione alla Società.
A parere di Vodafone, anche la circostanza che la chiamata con la quale si è proceduto alla
vendita del servizio alla reclamante sia avvenuta nell'ambito di una campagna denominata
"Vodafone Outbound", non prova che essa non possa essere stata preceduta da una chiamata
della medesima reclamante per prestare il proprio consenso al ricontatto: "la dicitura "Vodafone
Outbound" indica proceduralmente che l'operatore, a seguito della richiesta di contatto in inbound,
abbia correttamente proceduto in outbound a ricontattare l'interessata per esporre l'offerta di
interesse della Signora XX e, pertanto, abbia in tal senso riportato la suddetta dicitura nel sistema
[...]. Queste ultime considerazioni, oltre che a rafforzare quanto sopra indicato in merito ad una
assenza di violazione dell'art. 157 Cod. Priv., portano altresì la scrivente a ritenere che non è
fondata la presunta contestazione elevata (vedasi la contestazione di cui al pt. 4, lett. b) della
Comunicazione) in materia di assenza di consenso al contatto promozionale, dal momento che
quest'ultimo è avvenuto in base ad una azione spontanea dell'interessata".
Da quanto sopra riportato consegue, a parere di Vodafone che "essendo stata sopra provata la
condotta dell'interessata di richiesta di ricontatto da parte del teleseller", anche la contestazione in
tema di informativa non avrebbe pregio poiché, di regola, al momento del primo contatto
"spontaneo" da parte di un interessato, il sistema di risposta automatica del teleseller fornisce una
sintetica informativa (nome del teleseller, del committente e richiesta di consenso per il ricontatto
promozionale, che può essere fornito premendo i tasti "#1")
Con riferimento alle modalità di acquisizione del consenso nel corso del vocal order, Vodafone ha
inteso rappresentare che la prima parte della formula presa in esame non era necessaria, poiché i
trattamenti ai quali si fa riferimento sono quelli connessi all'esecuzione del contratto e
all'erogazione del servizio. Sul consenso per finalità di marketing, non essendo prevista una
differenziazione della raccolta del consenso in ragione delle diverse modalità di contatto, la
formula così come espressa appare corretta, anche se sono riportate modalità di contatto ormai
obsolete (quali fax o mms) che ormai non vengono più utilizzate e che contribuiscono ad
appesantire la formula e che la Società si è impegnata ad eliminare per semplificare le procedure
a vantaggio del cliente.
Quanto alle modalità di riscontro alle richieste di esercizio dei diritti, Vodafone ha osservato che la
reclamante ha esercitato tale facoltà dopo oltre tre mesi dalla chiusura della complessiva vicenda,
quando ormai il contratto era stato risolto in virtu' della richiesta di disattivazione della reclamante,
ancor prima del completamento della portabilità del suo numero in Vodafone, e comunque ha fatto
presente che il riscontro è stato il più ampio possibile e nei termini previsti, come da consolidata
procedura della Società.
Allo stesso modo, Vodafone ha tenuto a precisare che la collaborazione con il Garante è stata,
come sempre, massima e improntata alla disponibilità, come, ad esempio, nella produzione del
vocal order relativo alla vendita, fornito non per eludere la richiesta della registrazione della
chiamata nella quale la reclamante ha espresso il consenso al ricontatto, non presente negli
archivi Vodafone, ma con l'intento di offrire all'Autorità il più ampio supporto documentale per una
compiuta valutazione della vicenda.
3. VALUTAZIONI DELL'AUTORITÀ
Va in primo luogo rappresentato che le osservazioni di Vodafone fornite nel corso dell'audizione
appaiono idonee a escludere la responsabilità della Società per ciò che riguarda la contestazione
di cui ai punti e) ed f) della rubrica, atteso che non appare provato un inidoneo riscontro da parte
della medesima alle richieste di esercizio dei diritti della reclamante, con specifico riferimento alla
produzione di copia del documento d'identità e deve ritenersi prodotto in buona fede, e non con
l'intento di fuorviare l'istruttoria, il vocal order della vendita del servizio telefonico in luogo del
richiesto file audio relativo all'acquisizione del consenso della sig.ra XX.
Quanto ai capi a) e b) dell'atto di contestazione, gli stessi riguardano la principale questione
sollevata dalla reclamante, e cioè che Vodafone ha operato, per il tramite della sua rete di vendita,
un contatto promozionale nei confronti della sig.ra XX, senza aver reso alla stessa la necessaria
informativa e senza aver acquisito il previsto consenso. Al riguardo giova ricordare che la
reclamante ha rappresentato - con dichiarazione che in caso di mendacio soggiace alla
sanzionabilità penale prevista dall'art. 168 del Codice - che la sig.ra XX "non ha mai rilasciato, nel
passato, alcun consenso al trattamento dei propri dati a Vodafone né per fini contrattuali né,
tantomeno, per fini di marketing".
Sul punto la linea di Vodafone nel corso dell'audizione del 7 ottobre 2022 è stata di piena
conferma delle dichiarazioni rese in sede istruttoria che così ricostruiscono i fatti: la sig.ra XX
avrebbe, sua sponte, contattato un call center gestito da un teleseller di diritto albanese che opera
per conto di Vodafone, e avrebbe espresso, ad un risponditore automatico (IVR), la propria
disponibilità ad essere ricontattata per ricevere offerte promozionali. Tale scelta sarebbe stata
operata consapevolmente, dopo aver ricevuto una sintetica informativa, digitando una
combinazione di tasti sul telefono. Successivamente la sig.ra XX sarebbe stata effettivamente
ricontattata dal teleseller che avrebbe realizzato la vendita di un servizio telefonico con portabilità
della numerazione fissa della reclamante verso Vodafone. Solo dopo circa un mese dall'episodio,
la reclamante avrebbe deciso di recedere dal contratto, decisione da cui conseguiva il rientro della
numerazione all'originario operatore telefonico e l'addebito alla sig.ra XX di € 173,49 per recupero
spese (successivamente stornate per intero da Vodafone).
Tale ricostruzione, oltre che basarsi sull'inverosimile assunto che qualcuno, peraltro appartenente
ad una fascia di clientela non caratterizzata, per età e caratteristiche sociali, da particolare
propensione alla migrazione da un gestore telefonico all'altro, possa decidere motu proprio di
contattare un call center (la cui numerazione non è dato sapere in quale modo sia conoscibile) per
ricevere offerte promozionali in successive comunicazioni telefoniche, appare contraddetta da
diversi elementi, il primo dei quali, lo si ribadisce, è la dichiarazione della reclamante in base alla
quale la stessa "non ha mai rilasciato, nel passato, alcun consenso al trattamento dei propri dati a
Vodafone né per fini contrattuali né, tantomeno, per fini di marketing".
La sopra richiamata dichiarazione avrebbe dovuto indurre Vodafone a operare un vaglio accurato
delle circostanze riferite dal partner della propria rete di vendita, da cui sarebbe certamente
emersa la prima e più evidente contraddizione, e cioè che la "chiamata entrante" della sig.ra XX
era stata annotata nei sistemi Vodafone come facente parte di una campagna "outbound", termine
con il quale si definiscono le iniziative commerciali caratterizzate da chiamate "in uscita" dalla rete
del committente verso i potenziali clienti.
Vodafone, sul punto, ha invece affermato che le campagne promozionali originate da un contatto
spontaneo dell'interessato possono definirsi "outbound" se il successivo ricontatto avviene con
chiamate "in uscita", ma ciò non appare convincente poiché non si comprende come un evento
successivo (la chiamata di ricontatto) possa modificare un'annotazione di sistema che si colloca in
un momento logicamente antecedente (la chiamata "entrante" da parte del cliente che chiede di
essere ricontattato), annotazione che, peraltro, si riferisce alle modalità di acquisizione del
consenso dell'interessata e non alle modalità di svolgimento della campagna promozionale.
La seconda contraddizione, non meno rilevante, è quella circa la data della vendita del servizio
telefonico alla sig.ra XX, che risulterebbe essere stata realizzata il 4 novembre 2020, un giorno
prima, quindi, della decisione della stessa sig.ra XX di contattare il call center per rilasciare il
proprio consenso al ricontatto.
Al riguardo Vodafone, pur ammettendo che affettivamente gli elementi dalla stessa forniti risultano
in contraddizione fra loro, ha affermato che non è possibile stabilire quale sia l'elemento in
contrasto con la realtà, e cioè se sia stato il call center ad annotare falsamente che la sig.ra XX ha
effettuato una chiamata il 5 novembre 2020 alle ore 13.33, manifestando la volontà di essere
ricontattata, oppure sia stato l'operatore a dichiarare erroneamente nel vocal order, che il contratto
era stato perfezionato il 4 novembre 2020.
Da tale incertezza, tuttavia, non discende una insufficienza degli elementi probatori idonea a
determinare l'insussistenza della responsabilità della Società in ordine alle contestazioni di cui ai
capi a) e b), posto che, ai sensi dell'art. 5, par. 2, del Regolamento, nonché del correlato
considerando n. 42, è proprio Vodafone a dover comprovare di aver reso all'interessata una
idonea informativa e acquisito il previsto consenso prima dell'effettuazione del contatto
promozionale e tale prova non può certo risiedere in documenti contraddittori dei quali la stessa
Società mette in dubbio la reale consistenza, adombrando un possibile errore dell'operatore nella
"ratifica" dell'accordo contrattuale tramite il vocal order, o addirittura la possibile falsificazione del
cartellino di chiamata da parte del teleseller in relazione all'asserita chiamata "spontanea" della
sig.ra XX.
Pertanto, alla luce delle contraddizioni emerse in ordine al rilascio di un'idonea informativa nei
confronti della reclamante e all'acquisizione del suo consenso per finalità promozionali,
contraddizioni che rafforzano la dichiarazione della sig.ra XX che ha affermato di non aver mai
contattato la rete di vendita della Società per rilasciare il proprio consenso ad eventuali successivi
contatti promozionali, risulta confermata la responsabilità di Vodafone in relazione ai capi a) e b)
dell'atto di contestazione.
Per completezza va osservato che, anche volendo ammettere che la chiamata "in entrata" da
parte della reclamante sia stata effettivamente realizzata, il contenuto della stessa, come
ricostruito da Vodafone (sintetica informativa rilasciata da Vodafone attraverso un risponditore
automatico e consenso al trattamento dei dati per finalità promozionali espresso dall'interessata
mediante la digitazione dei tasti "#1" del proprio dispositivo), non appare idoneo a costituire un
quadro di legittimità dei successivi trattamenti, in ragione della carenza sia degli elementi
informativi minimi offerti all'interessata sia dell'elemento dell'inequivocabilità del consenso
medesimo (che non sembra poter essere assicurata dalla semplice digitazione di una sequenza
alfanumerica di due elementi).
Con riferimento alle contestazioni sub c) e d), che riguardano le modalità di acquisizione del
consenso dell'interessata nell'ambito del vocal order e la compatibilità della complessiva
procedura con i principi di correttezza e trasparenza di cui all'art. 5, par. 1, lett. a), del
Regolamento, deve in primo luogo tenersi conto delle osservazioni difensive di Vodafone che, da
un lato, ha affermato che nessuna disposizione del Regolamento o del Codice vieta al titolare di
richiedere un consenso indifferenziato con riferimento alle diverse modalità di contatto
promozionale dell'interessato. Da tale assunto deriverebbe quindi l'insussistenza della
contestazione di cui al capo c).
Sul punto è necessario collocare l'elemento della formula del consenso nel contesto del
complessivo vocal order che, sebbene sia considerato da Vodafone alla stregua di una ratifica
formale dell'incontro delle volontà della compagnia telefonica e del cliente nell'ambito della vendita
di un servizio, deve essere considerato come l'unico elemento documentale in grado di
cristallizzare il momento decisionale dell'interessata sia in ordine al consenso per il trattamento dei
propri dati personali, sia, più complessivamente, per ciò che riguarda la decisione di aderire alle
offerte di Vodafone. Ridurre tale documento ad una mera formalità, priva di significato sostanziale,
può favorire un uso distorto dello strumento del vocal order, nonostante lo stesso sia ormai
riservato, per esplicita ammissione di Vodafone, a categorie di clienti più anziani o comunque
poco avvezzi all'uso di strumenti tecnologici, con la conseguenza, rappresentata in tutta la sua
evidenza nel caso in argomento, che le diverse e complesse opzioni contrattuali, oltre che le
diverse finalità e modalità del trattamento dei dati personali, sono state elencate in rapidissima
sequenza da parte dell'operatore di call center (circa 200 parole al minuto per oltre sei minuti),
sottoponendo quindi l'interlocutore ad un insostenibile bombardamento concettuale che è
ragionevole ritenere abbia impedito alla cliente di avere piena contezza della portata delle proprie
scelte.
Sotto questo profilo, l'analisi della cd. "formula del consenso", costituita da oltre 60 parole
pronunciate dall'operatore in circa 16 secondi, appare essere un esercizio di scarsa utilità, se si
considera che, sopra ogni altra considerazione, prevale la constatazione che tale formula è
risultata a malapena comprensibile soltanto dopo ripetuti ascolti.
Nello specifico tuttavia, tale formula risulta errata, in primo luogo perché inserisce nel medesimo
contesto trattamenti aventi differenti finalità (esecuzione di un contratto e contatto promozionale).
A nulla vale la considerazione difensiva che, in ogni caso, i trattamenti aventi finalità contrattuali
sarebbero sottratti all'obbligo di consenso, poiché l'inserimento dei medesimi nell'indistinto novero
dei trattamenti "consensati" introduce un ulteriore elemento di confusione in un quadro di per sé
già inficiato dalle sopra evidenziate criticità, dal quale discende, in estrema sintesi, che
l'interessata avrebbe prestato il consenso al trattamento dei propri dati personali per finalità
promozionali e con le più diverse modalità di contatto, in un caso dopo l'ascolto di un messaggio
preregistrato e la digitazione di una combinazione alfanumerica di due elementi e,
successivamente, a seguito dell'ascolto di una formula letta a velocità oggettivamente
insostenibile per un'adeguata comprensione, nella quale sono condensate, in sedici secondi, sia
le finalità del trattamento per le quali non è necessario prestare il consenso, sia quelle
promozionali (senza alcuna distinzione legata alle modalità di contatto).
Quanto poi alla considerazione che, con riferimento ai contatti promozionali, nessuna norma vieta
al titolare di richiedere un consenso indifferenziato con riferimento alle diverse modalità di contatto
(modalità automatizzate ovvero contatti telefonici effettuati da operatore umano), deve
rappresentarsi che tale elemento di semplificazione è stato introdotto dal Garante con il
provvedimento n. 242 del 15 maggio 2013 (in www.gpdp.it, doc. web n. 2543820), con il quale è
stato comunque sottolineato come le esigenze di snellimento degli adempimenti burocratici
debbano in ogni caso consentire "all ́interessato, proprio in presenza di forme di comunicazione
commerciale particolarmente invasive ed onerose, la possibilità di controllo dell ́utilizzo dei propri
dati personali, attraverso l ́espressione consapevole e specifica del consenso". Pertanto
"dall ́informativa rilasciata dal titolare [...] e dalla richiesta di consenso dovrà risultare chiaro che,
con riguardo ai trattamenti svolti per finalità di "marketing diretto", il consenso dell ́interessato
acquisito ai sensi dell ́art. 130, commi 1 e 2, del Codice, riguarda le modalità di comunicazione
non solo automatizzate, ma anche tradizionali" e "inoltre, con riguardo alla riconosciuta possibilità
per l ́interessato di esprimere la propria volontà di ricevere comunicazioni commerciali e
promozionali esclusivamente attraverso modalità tradizionali di contatto, spetterà al titolare del
trattamento richiamarla espressamente nell ́informativa e rendere tale volontà esercitabile in
maniera agevole e gratuitamente". La formula di consenso predisposta da Vodafone e inserita nel
vocal order della reclamante non contiene alcun riferimento all'impianto sopra delineato e deve
pertanto ritenersi del tutto inefficace a realizzare il contemperamento fra le esigenze di
semplificazione degli adempimenti da parte del titolare e la facoltà di delimitare la portata del
consenso accordata all'interessata, con la conseguenza che, nel caso in argomento, il consenso
prestato risulta generico e indifferenziato, in contrasto quindi con i principi oggi presenti negli artt.
4, n. 11 e 7 del Regolamento, nonché nel correlato considerando n. 32.
Quanto poi alla contestazione sub d), relativa alla violazione dei principi di correttezza e
trasparenza con riferimento ai trattamenti connessi alla vendita del servizio telefonico alla
reclamante, così come documentata dal vocal order prodotto dalla Società, appare inconferente il
riferimento di Vodafone alla pacifica capacità di curare autonomamente i propri interessi da parte
della sig.ra XX, capacità che non risulta essere mai stata messa in discussione e che, in ogni
caso, potrebbe riguardare esclusivamente aspetti legati all'eventuale annullabilità del contratto.
In questo caso, si deve ribadire quanto osservato nell'atto di contestazione ("la scelta
dell'operatore di call-center, evidentemente autorizzato da una prassi comune ben nota a
Vodafone che dispone delle registrazioni vocali dei contratti e dovrebbe sottoporli a controlli di
qualità, di sottoporre alla reclamante il contratto per l'attivazione dei servizi mediante una lettura
svolta ad una velocità stimata di circa 200 parole al minuto per oltre sei minuti di registrazione,
cosicché l'intero contratto risulta del tutto incomprensibile e, soprattutto, invalutabile da parte di chi
deve decidere se aderire o meno, rende l'intero trattamento, e non soltanto la prodromica parte
promozionale, illegittimo"), e evidenziare che non le caratteristiche soggettive della reclamante ma
le oggettive anomalie della vendita telefonica suggellata da un documento audio che costituisce a
tutti gli effetti la base contrattuale e che risulta in massima parte incomprensibile ad un normale
ascoltatore, rende ogni trattamento svolto in relazione a tale contratto, irrimediabilmente viziato
proprio in quegli elementi di correttezza che dovrebbero rappresentare la prima e insostituibile
garanzia nell'accordo che intercorre fra una grande azienda di servizi ed il consumatore.
Il principio di correttezza non si sovrappone a quello di liceità ma ne amplifica la portata
richiamando ogni titolare non solo a rispettare le specifiche disposizioni di legge, ma a fare proprio
il senso complessivo e lo spirito della normativa in materia di protezione dei dati personali al fine di
agevolare le scelte dell'interessato, in base ai medesimi canoni utilizzati in sede civilistica per
individuare la correttezza del debitore e del creditore (art 1175 c.c.) e la buona fede
nell'esecuzione del contratto (art. 1375 c.c.), più ampiamente ricompresi nel principio di solidarietà
sociale di cui all'art. 2 della Costituzione.
Proprio in ragione dei richiamati canoni interpretativi, la condotta di Vodafone, nella vendita del
servizio telefonico operata nei confronti della sig.ra XX, appare ampiamente lacunosa e giustifica
la reazione della reclamante che, nonostante avesse ormai ottenuto dalla compagnia telefonica il
ripristino della situazione quo ante e lo storno degli addebiti per il recesso dal contratto, si è rivolta
all'Autorità per una questione di principio legata alla corretta declinazione del rapporto fra titolare e
interessato, questione che, alla luce delle evidenze istruttorie connesse in particolare alla
formazione della volontà della reclamante così come documentata nel vocal order, deve ritenersi
ampiamente fondata.
Deve quindi confermarsi la responsabilità di Vodafone in ordine alle violazioni contestate ai capi c)
e d).
4. CONCLUSIONI
Per quanto sopra esposto si ritiene accertata la responsabilità di Vodafone in ordine alle seguenti
violazioni:
a) artt. 12, par. 1, e 13, del Regolamento, per avere effettuato un contatto promozionale nei
confronti della reclamante, per il tramite della società di diritto albanese Wocs Shpk, con
sede in Tirana, responsabile del trattamento designato da Vodafone, senza avere reso
all'interessata la necessaria informativa nelle forme e nei tempi di cui alle richiamate
disposizioni;
b) artt. 5, par. 1, 6 e 7 del Regolamento, nonché 130, comma 3, del Codice, per aver
effettuato il contatto promozionale di cui sopra senza aver acquisito dall'interessata il
prescritto consenso;
c) artt. 5, par. 1, lett. a), 6 e 7 del Regolamento, nonché 130, commi 1, 2 e 3, per aver
acquisito dall'interessata, nel corso del contatto promozionale di cui sopra un consenso
indifferenziato e unico per le diverse tipologie di contatto, consenso poi registrato nei sistemi
Vodafone;
d) artt. 5, par. 1, lett. a), del Regolamento per aver effettuato trattamenti di dati personali
finalizzati alla conclusione di un contratto per l'attivazione di servizi telefonici in capo alla
reclamante, in violazione dei principi di correttezza e trasparenza del trattamento.
Accertata altresì l'illiceità delle condotte della Società con riferimento ai trattamenti presi in esame,
si rende necessario:
- imporre a Vodafone, ai sensi dell'art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni
ulteriore trattamento dei dati della reclamante;
- adottare un'ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della
legge n. 689/1981, per l'applicazione nei confronti di Vodafone della sanzione amministrativa
pecuniaria prevista dall'art. 83, parr. 3 e 5, del Regolamento
5. ORDINANZA-INGIUNZIONE PER L'APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA
PECUNIARIA
Le violazioni sopra indicate impongono l'adozione di un'ordinanza ingiunzione, ai sensi degli artt.
166, comma 7, del Codice e 18 della legge n. 689/1981, per l'applicazione nei confronti di
Vodafone della sanzione amministrativa pecuniaria prevista dall'art. 83, parr. 3 e 5, del
Regolamento (pagamento di una somma fino a € 20.000.000,00 ovvero, per le imprese, fino al 4%
del fatturato mondiale annuo dell'esercizio precedente, se superiore);
Per la determinazione del massimo edittale della sanzione pecuniaria, occorre pertanto fare
riferimento al fatturato di Vodafone, come ricavato dall'ultimo bilancio d'esercizio disponibile
(marzo 2022) in accordo con i precedenti provvedimenti adottati dall'Autorità, e quindi si determina
tale massimo edittale, nel caso in argomento, in euro 220.154.181,56
Per la determinazione dell'ammontare della sanzione occorre tenere conto degli elementi indicati
nell'art. 83, par. 2, del Regolamento;
Nel caso in esame, assumono rilevanza:
1) la gravità delle violazioni (art. 83, par. 2, lett. a) del Regolamento), tenuto conto
dell'oggetto e delle finalità dei dati trattati, riconducibili al fenomeno complessivo del
telemarketing, in ordine al quale l'Autorità ha adottato, in particolare negli ultimi tre anni,
numerosi provvedimenti che hanno compiutamente preso in esame i molteplici elementi di
criticità fornendo ai titolari numerose indicazioni per adeguare i trattamenti alla normativa
vigente e per attenuare l'impatto delle chiamate di disturbo nei confronti degli interessati;
2) quale fattore aggravante, la circostanza che Vodafone risulta essere stata destinataria di
un provvedimento correttivo e sanzionatorio in tema di telemarketing (art. 83, par. 2, lett. e)
del Regolamento), n. 224 del 12 novembre 2020 (in www.gpdp.it, doc. web n. 9485681);
3) quale fattore attenuante, la circostanza che Vodafone abbia tempestivamente ripristinato
la situazione precedente alla vendita del servizio telefonico alla sig.ra XX, stornando altresì
le somme richieste a titolo di rimborso spese per il recesso tardivo (art. 83, par. 2, lett. c) del
Regolamento);
4) quale fattore attenuante da tenere in considerazione per parametrare la sanzione (art. 83,
par. 2, lett. k) del Regolamento), il contesto socio-economico generale, caratterizzato da una
profonda crisi economica a seguito delle gravi emergenze tuttora in corso e la circostanza
che il caso accertato risulta essere isolato.
In base al complesso degli elementi sopra indicati, e ai principi di effettività, proporzionalità e
dissuasività previsti dall'art. 83, par. 1, del Regolamento, e tenuto conto del necessario
bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l'impatto
economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba
applicarsi a Vodafone la sanzione amministrativa del pagamento di una somma di euro
500.000,00 (cinquecentomila).
Nel caso in argomento si ritiene che debba applicarsi la sanzione accessoria della pubblicazione
sul sito del Garante del presente provvedimento, prevista dall'art. 166, comma 7 del Codice e art.
16 del Regolamento del Garante n. 1/2019, tenuto conto della natura dei trattamenti e delle
condotte della Società, nonché degli elementi di rischio per i diritti e le libertà degli interessati.
Ricorrono infine i presupposti di cui all'art. 17 del Regolamento n. 1/2019 concernente le
procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all'esercizio
dei poteri demandati al Garante.
TUTTO CIO' PREMESSO IL GARANTE
a) impone a Vodafone, ai sensi dell'art. 58, par. 2, lett. f) del Regolamento, il divieto di ogni
ulteriore trattamento dei dati della reclamante;
b) ingiunge a Vodafone, ai sensi dell'art. 157 del Codice, di comunicare all'Autorità, nel
termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al
fine di dare attuazione alla misura imposta; l'eventuale mancato adempimento a quanto
disposto nel presente punto può comportare l'applicazione della sanzione amministrativa
pecuniaria prevista dall'art. 83, paragrafo 5, del Regolamento
ORDINA
a Vodafone Italia S.p.A., in persona del legale rappresentante pro-tempore, con sede legale
in Ivrea (TO), via Jervis 13, C.F. 08539010010, di pagare la somma di euro 500.000,00
(cinquecentomila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in
motivazione, rappresentando che il contravventore, ai sensi dell'art. 166, comma 8, del
Codice ha facoltà di definire la controversia, con l'adempimento alle prescrizioni impartite e il
pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione
irrogata.
INGIUNGE
alla predetta Società, in caso di mancata definizione della controversia ai sensi dell'art. 166,
comma 8, del Codice, di pagare la somma di euro 500.000,00 (cinquecentomila), secondo le
modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento,
pena l'adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981.
DISPONE
L'applicazione della sanzione accessoria della pubblicazione sul sito del Garante del
presente provvedimento, prevista dagli artt. 166, comma 7 del Codice e 16 del Regolamento
del Garante n. 1/2019, e l'annotazione del medesimo nel registro interno dell'Autorità -
previsto dall'art. 57, par. 1, lett. u), del Regolamento, nonché dall'art. 17 del Regolamento n.
1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo
svolgimento dei compiti e all'esercizio dei poteri demandati al Garante - relativo alle
violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.
Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente
provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso
depositato al tribunale ordinario del luogo ove ha la sede il titolare del trattamento dei dati,
entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.
Roma, 10 novembre 2022
IL PRESIDENTE
Stanzione
IL RELATORE
Cerrina Feroni
IL SEGRETARIO GENERALE
Mattei