Il Garante per la Privacy ha inflitto una sanzione pari a 27,8 milioni di euro a TIM per “numerosi trattamenti illeciti di dati legati all’attività di marketing” che hanno coinvolto “alcuni milioni di persone”.
Scrive l’Autorità garante:
Dal gennaio 2017 ai primi mesi del 2019, sono pervenute all’Autorità centinaia di segnalazioni relative, in particolare, alla ricezione di chiamate promozionali indesiderate effettuate senza consenso o nonostante l’iscrizione delle utenze telefoniche nel Registro pubblico delle opposizioni, oppure ancora malgrado il fatto che le persone contattate avessero espresso alla società la volontà di non ricevere telefonate promozionali. Irregolarità nel trattamento dei dati venivano lamentate anche nell’ambito dell’offerta di concorsi a premi e nella modulistica sottoposta agli utenti da Tim.
Le indagini, portate avanti in collaborazione con il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza, hanno fatto emergere numerose e gravi violazioni della disciplina in materia di protezione dei dati personali:
- “Tim ha dimostrato di non avere sufficiente contezza di fondamentali aspetti dei trattamenti di dati effettuati”;
- “le società di call center incaricate da Tim hanno, in molti casi, contattato gli interessati senza il loro consenso, arrivando addirittura a chiamare una sola persona per ben 155 volte e chiamando a più riprese 200.000 utenti non presenti negli elenchi dei contattabili”;
- “assenza di controllo da parte della società sull’operato di alcuni call center”;
- “errata gestione e il mancato aggiornamento delle black list dove vengono registrate le persone che non vogliono ricevere pubblicità”;
- “acquisizione obbligata del consenso a fini promozionali per poter aderire al programma Tim Party con i suoi sconti e premi”;
- “nella gestione di alcune app destinate alla clientela, inoltre, sono state fornite informazioni non corrette e non trasparenti sul trattamento dei dati e sono state adottate modalità di acquisizione del consenso non valide”;
- “la gestione dei data breach non è poi risultata efficiente, così come inadeguate sono risultate l’implementazione e la gestione da parte della Società dei sistemi che trattano dati personali (con violazione del principio di privacy by design). Disallineamenti sono emersi tra le black list di Tim e quelle dei call center incaricati, così come per le registrazioni audio dei contratti stipulati telefonicamente (verbal order). Le utenze di clienti di altri operatori, detenute da Tim in quanto gestore delle Reti, sono state conservate per un tempo superiore ai limiti di legge e inserite, senza il consenso degli interessati, in alcune campagne promozionali”.
Oltre alla sanzione, l’Autorità Garante ha inflitto a TIM 20 misure correttive nelle proprie pratiche abituali tra le quali il divieto dell’uso dei dati della clientela raccolti tramite le app My Tim, Tim Personal e Tim Smart Kid.
Fra le prescrizioni, il Garante ha ingiunto a Tim di verificare la consistenza delle black list utilizzate e di acquisire tempestivamente quelle eventualmente formate dai call center per riversarle nella propria black list.
Tim dovrà inoltre rivedere il programma “Tim Party” e consentire l’accesso dei clienti a sconti e concorsi a premi eliminando il consenso obbligato al marketing.
L’azienda dovrà anche verificare la procedura per l’attivazione di tutte le app, specificare sempre, con linguaggio chiaro e comprensibile, i trattamenti svolti con l’indicazione delle finalità perseguite e delle modalità di trattamento utilizzate, nonché acquisire un valido consenso.
La Società dovrà inoltre implementare le misure tecniche ed organizzative relative alla gestione delle istanze di esercizio dei diritti degli interessati e rafforzare le misure volte ad assicurare la qualità, l’esattezza e il tempestivo aggiornamento dei dati personali trattati dai diversi sistemi della società.
Le misure e le implementazioni richieste dovranno essere introdotte e comunicate all’Autorità in tempi stabiliti, mentre il pagamento della sanzione dovrà essere effettuato entro trenta giorni.
