Quello emesso il 15 Gennaio è sicuramente il primo e non sarà certo l’ultimo dei provvedimenti sanzionatori emessi dal Garante per la Privacy nei confronti di una società. E’ toccato a TIM, per il suo modo di fare telemarketing invasivo e invadente, e, nella decisione, è stato applicato integralmente il GDPR, in quanto le violazioni contestate sono tutte successive all’entrata in vigore del Regolamento Europeo 679/2016.

Non potevano passare inosservate le martellanti telefonate di call center che chiamano migliaia di utenti al giorno, per conto di TIM, senza avere il consenso o nel disprezzo delle iscrizioni nel Registro delle Opposizioni. Il Garante parla, del resto, di centinaia di segnalazioni. Tim, inoltre, sembra ci abbia messo del suo, segnalando non pochissimi data breach che hanno evidenziato disallineamenti fra i sistemi che trattano i dati personali della clientela tali da provocare, tra l’altro, l’errata attribuzione di linee telefoniche ai soggetti intestatari o l’errata associazione fra intestatari e i dati di contatto utilizzati dalla Società.

A seguito delle segnalazioni, ha preso le mosse una capillare attività istruttoria che, tra l’altro, oltre a numeri incalcolabili di telefonate a non clienti senza il loro consenso, ha rilevato la prassi di concludere contratti con non clienti in attesa del definitivo consenso (e quindi usando i dati), senza alcun controllo nei confronti delle società partner. E’ stato poi rilevata una modalità di acquisizione del consenso nell’ambito del programma Tim Party con forme che non ne garantiscono una libera e consapevole manifestazione. Allo stesso modo anche alcune App non garantivano informazioni corrette e trasparenti e, non ultima, la modulistica cartacea con richiesta di un unico consenso.

Estremamente capillare la motivazione e pesantissime le sanzioni, non solo sotto il profilo pecuniario, ma anche per quello aziendale. Una delle più gravi dal punto di vista aziendale è il sostanziale divieto di trattamento dati per finalità di marketing nei confronti di chi avesse già detto no alle proposte nonché in assenza di legittimo consenso. E’ stato inoltre ordinato a TIM di porre in essere una serie di attività che avranno un notevole impatto e correlati costi sulla propria gestione aziendale. Basti pensare a quanto possa costare ad una azienda “il rafforzamento delle misure volte ad assicurare la qualità, l’esattezza e il tempestivo aggiornamento dei dati personali trattati dai diversi sistemi della Società.”

Tra le altre misure che Tim dovrà porre in essere entro 180 giorni troviamo l’implementazione di misure tecniche ed organizzative riguardo alla gestione delle istanze di esercizio dei diritti degli interessati, in particolare il diritto di opposizione alle finalità promozionali, e l’adozione di misure organizzative e tecniche atte a documentare e rispettare i dinieghi dei soggetti “fuori lista”, nonché a far circolare tali dinieghi anche presso i propri partner, affinché questi non procedano a contattare le utenze interessate.

E’ una lista di quattordici attività da porre in essere che, aggiunte ai 27.802.946,00 Euro di sanzione amministrativa, avranno non poco pero sull’azienda. Inoltre, tutto ciò pone seri e fondati dubbi sulla sopravvivenza, perlomeno con queste modalità, di call center che, al di là di un più o meno efficace controllo da parte dell’azienda per cui lavorano, sono allo stesso modo responsabili in quanto terminale ultimo della TIM.

Questo provvedimento non è solo la prima esemplare sanzione nei confronti di una grande azienda, ma il primo importante segnale di allarme per tutti coloro che trattano dati personali e ancora non si adeguano a quanto previsto dal GDPR. Sicuramente TIM si opporrà alla decisione del Garante ma, in ogni caso, dovrà decisamente e pesantemente rivedere un’importante parte della sua struttura e dell’organizzazione. Quanto può costare? 

Ogni azienda o operatore o libero professionista, allo stesso modo deve capire che non adeguarsi al GDPR può essere molto pericoloso.