Le sanzioni privacy colpiscono ancora: arriva il turno di TIM

Dopo la sanzione irrogata ad Eni Gas e luce (Egl), adesso ad essere sotto i riflettori è la società Tim S.p.A: recentemente il Garante Privacy ha irrogato una sanzione di più di 27 milioni di euro alla società di telecomunicazioni, per illecito trattamento dei dati personali di milioni di utenti, in violazione della normativa europea in materia di protezione dati.

 

Le violazioni della normativa

Dall’attività istruttoria condotta a seguito di centinaia di segnalazioni (giunte tra il 2017 e il 2019) e svolta in collaborazione con Nucleo Privacy della Guardia di Finanza, l’Autorità ha rilevato che:

  • Le società di call center incaricate da Tim hanno, in molti casi, contattato gli interessati senza il loro consenso;
  • in circa duecentomila casi, sono state contattate anche numerazioni “fuori lista”, cioè non presenti negli elenchi delle persone contattabili di Tim;
  • sono state rilevate poi condotte illecite come l’assenza di controllo da parte della società sull’operato di alcuni call center;
  • l’errata gestione e il mancato aggiornamento delle black list dove vengono registrate le persone che non vogliono ricevere pubblicità;
  • l’acquisizione obbligata del consenso a fini promozionali per poter aderire al programma “Tim Party” con i suoi sconti e premi;
  • nella gestione di alcune app destinate alla clientela, sono state fornite informazioni non corrette e non trasparenti sul trattamento dei dati e sono state adottate modalità di acquisizione del consenso non valide. In alcuni casi è stata utilizzata modulistica cartacea con richiesta di un unico consenso per diverse finalità, inclusa quella di marketing;
  • la gestione dei data breach non è risultata efficiente, così come inadeguate sono risultate l’implementazione e la gestione da parte della Società dei sistemi che trattano dati personali (con violazione del principio di privacy by design);
  • sono emerse incongruenze tra le black list di Tim e quelle dei call center incaricati, così come per le registrazioni audio dei contratti stipulati telefonicamente (verbal order);
  • le utenze di clienti di altri operatori, detenute da Tim in quanto gestore delle Reti, sono state conservate per un tempo superiore ai limiti di legge e inserite, senza il consenso degli interessati, in alcune campagne promozionali.

 

Divieti e prescrizioni imposti dall’Autorità

Oltre ad irrogare la sanzione di circa 27 milioni di euro (che la società dovrà pagare entro 30 giorni), l’Autorità ha imposto alla società l’adozione di alcune misure correttive: in particolare ha vietato a Tim l’uso dei dati a fini di marketing di chi aveva espresso ai call center il proprio diniego a ricevere telefonate promozionali, dei soggetti presenti in black list e dei “non clienti” che non avevano dato il consenso.

La società non potrà più utilizzare neanche i dati della clientela raccolti mediante le app “My Tim”, “Tim Personal” e “Tim Smart Kid” per finalità diverse dall’erogazione dei servizi senza un consenso libero e specifico.

Tim dovrà inoltre rivedere il programma “Tim Party” e consentire l’accesso dei clienti a sconti e concorsi a premi eliminando il consenso obbligato al marketing. L’azienda dovrà anche verificare la procedura per l’attivazione di tutte le app, specificare sempre, con linguaggio chiaro e comprensibile, i trattamenti svolti con l’indicazione delle finalità perseguite e delle modalità di trattamento utilizzate, nonché acquisire un valido consenso. La Società dovrà inoltre implementare le misure tecniche ed organizzative relative alla gestione delle istanze di esercizio dei diritti degli interessati e rafforzare le misure volte ad assicurare la qualità, l’esattezza e il tempestivo aggiornamento dei dati personali trattati.

[Fonte immagine: Pexels.com]