Dott.ssa Susanna Caruso
Garante contesta l’ateneo telematico per violazione della privacy e mancato rispetto dei diritti degli utenti (Provvedimento n. 393/2023) per l’invio di Sms promozionali.
Il 4 gennaio 2022 una reclamante ha presentato un reclamo al Garante Privacy, denunciando di ricevere sms promozionali non autorizzati da una rinomata università telematica italiana e di non aver ricevuto risposte alle sue reiterate richieste di esercizio dei diritti.
La reclamante ha inizialmente inviato una comunicazione all’indirizzo email indicato nell’informativa sulla privacy, chiedendo la cancellazione dei suoi dati personali. Tuttavia, non avendo ricevuto alcuna risposta e continuando a ricevere sms indesiderati, ha deciso di rinnovare la sua richiesta inviandola anche all’indirizzo del Responsabile della protezione dei dati (DPO) dell’ateneo.
Nonostante la totale mancanza di risposte da parte dell’università e il persistente invio di sms indesiderati, la reclamante si è rivolta al Garante Privacy. Il Garante si è pronunciato in merito con il Provvedimento 18 luglio 2023, n. 393, che è stato reso pubblico attraverso la newsletter del 23 ottobre 2023.
Contestazioni mosse all’ateneo dopo l’invio degli SMS promozionali
Le segnalazioni e i reclami pervenuti al Garante, compreso quello precedentemente menzionato, hanno evidenziato una grave carenza nelle procedure dell’ateneo per rispondere alle richieste di esercizio dei diritti da parte degli interessati.
Nonostante tali richieste fossero state inviate ai recapiti indicati nell’informativa privacy, incluso il DPO stesso, sono state completamente ignorate nonostante i numerosi solleciti. L’Autorità ha rilevato un totale disinteresse nell’affrontare queste richieste, con risposte tardive fornite solo dopo ripetuti solleciti. In particolare, il Garante ha sottolineato che la risposta dell’ateneo al caso specifico della signora sopra citata è stata sia tardiva che insufficiente per esonerare l’università dalle proprie responsabilità.
Infatti, la risposta non conteneva informazioni utili ed adeguate per l’interessata e, nonostante la presunta cancellazione dei dati, la reclamante continuava a ricevere sms indesiderati.
Inoltre, indipendentemente dalla validità del riscontro, il comportamento lamentato dalla signora non era stato interrotto, anzi. Passando alla seconda condotta contestata, le denunce dei segnalanti e della reclamante riguardavano principalmente la ricezione di comunicazioni promozionali indesiderate tramite sms e, in un caso, tramite telefono con operatore che promuovevano i servizi dell’ateneo universitario.
L’ateneo aveva dichiarato di aver acquisito i dati in seguito alla compilazione di un modulo online nel 2016. Tuttavia, nel documento prodotto per dimostrare il consenso al trattamento per finalità promozionali, emersa la sua totale incomprensibilità e l’incapacità di dimostrare la specifica volontà di ricevere messaggi promozionali da parte dell’ateneo. Inoltre, precisa il Garante, anche se ci fosse stato un consenso regolarmente acquisito inizialmente, nessuna base giuridica avrebbe potuto essere invocata per giustificare l’invio dei messaggi promozionali dopo le ripetute opposizioni dell’interessata. Inoltre, come già anticipato, l’Università non aveva mai documentato un consenso adeguato né aveva chiarito in modo adeguato l’origine dei dati.
La decisione del Garante
Dalla valutazione delle condotte descritte nel paragrafo precedente, il Garante ha ritenuto sussistere la violazione di diverse disposizioni del Regolamento UE 2016/679 (GDPR) e del Codice Privacy. Inoltre, nella valutazione delle condotte dell’ateneo, l’Autorità ha considerato una serie di circostanze aggravanti. In primo luogo, sono state prese in considerazione la durata e la gravità dei trattamenti, che si sono protratti per anni e sono stati interrotti solo dopo l’intervento del Garante. Questi trattamenti hanno comportato l’invio di messaggi promozionali non desiderati agli interessati, senza alcun consenso e senza la possibilità di interromperli.
In secondo luogo, il Garante ha valutato la condotta dell’università come gravemente negligente, constatando che essa non ha considerato affatto i diritti degli interessati, non fornendo risposte adeguate e tempestive, nonostante fosse già a conoscenza delle numerose lamentele ricevute.
Il terzo aspetto riguarda il grado di responsabilità del titolare, tenendo conto del fatto che non sono state adottate misure tecniche e organizzative adeguate per prevenire la ripetizione di tali condotte. Infine, l’ultimo elemento considerato e certamente grave è stata la scarsa cooperazione con l’Autorità di controllo da parte dell’ateneo.
Il Garante ha addirittura riscontrato ostacoli da parte dell’ateneo, il quale ha inizialmente richiesto di essere ascoltato, ma ha poi continuamente rimandato la data dell’audizione e infine ha disertato l’udienza senza giustificazioni. Questo comportamento ha comportato uno spreco di risorse pubbliche e ha causato un significativo allungamento dei tempi del procedimento. Per quanto riguarda gli elementi attenuanti, sono stati presi in considerazione solo il numero limitato di interessati coinvolti, poiché le denunce erano solo due, l’assenza di precedenti simili e la natura dei dati trattati, che consistevano principalmente in dati anagrafici comuni e di contatto.
Conclusioni: la sanzione
Preso in considerazione quanto precedentemente menzionato, il Garante ha deciso di impostare una sanzione pecuniaria nei confronti dell’ateneo, ammontante a 75.000 euro.
Tuttavia, c’è la possibilità per l’università di effettuare un pagamento entro 30 giorni pari alla metà della somma. Inoltre, l’Autorità ha ordinato all’ateneo di rivedere le proprie misure tecniche e organizzative, assicurando che i tempi di conservazione dei dati siano adeguati.
È stato inoltre imposto un divieto di trattamento dei dati a fini promozionali, a meno che l’università non sia in grado di dimostrare di avere ottenuto un consenso valido. Ai sensi dell’art. 166, comma 7, del Codice, è altresì stato stabilito che il provvedimento completo venga pubblicato sul sito web del Garante.
