In conseguenza dei controlli ispettivi e di connesse penetranti attività istruttorie l’Autorità ha realizzato:

– interventi sui trattamenti illeciti mediante provvedimenti cautelari previsti dalla legge (blocco e divieto) definendo altresì le misure necessarie da prescrivere perrendere il trattamento conforme alla legge (contrasto dell’illecito);

– verifiche sullo stato di attuazione delle prescrizioni adottate dal Garante nei diversi contesti applicando sanzioni all’esito di accertati inadempimenti al fine diprevenire futuri illeciti (attività preventiva);

– acquisizioni di tutti gli elementi utili a comprendere nuovi fenomeni emergenti che impattano sul diritto alla protezione dei dati personali degli interessati, in modo da definire tempestivamente le misure e gli accorgimenti che devono essere adottati da tutti i soggetti che sono coinvolti nei trattamenti (attività conoscitiva).

Con riferimento all’anno 2018, tra i provvedimenti più rilevanti adottati dalGarante sulla base degli elementi istruttori acquisiti in sede ispettiva si segnalano, inordine cronologico, i provvedimenti con i quali il Garante ha:

– vietato, ad un operatore di servizi di assistenza telefonica alla clientela e di customer care per conto di un rilevante operatore internazionale del settore della televisione a pagamento e dei servizi connessi, l’ulteriore trattamento dei dati personali dei dipendenti attraverso l’utilizzo di un software gestionale di tipo CRM (Custom Relation ship Management) che consentiva, fra l’altro, in assenza di preventiva informativa idonea, il trattamento dei suddetti dati personali su base individuale, con specifico riferimento alla “quantità” e “qualità delle prestazioni lavorative” svolte dai singoli dipendenti; tale sistema, permettendo di ricostruire, anche indirettamente, l’attività effettuata dagli operatori, costituiva uno strumento idoneo a realizzare un controllo a distanza, anche solo potenziale e in via indiretta, dell’attività lavorativadei dipendenti (provv. 8 marzo 2018, n. 139, doc. web n. 8163433);

– vietato ad uno dei maggiori operatori telefonici nazionali, alla luce degli elementi acquisiti sul trattamento di dati personali mediante il canale telefonico e sulle molteplici operazioni poste in essere per finalità di marketing (tra cui, l’estrazione dei dati riferiti agli interessati dai propri sistemi, l’inserimento degli stessi nelle liste di contattabilità e la successiva trasmissione ai propri partner per l’effettuazione deicontatti commerciali) in assenza di un valido consenso degli interessati nonché dei dovuti controlli sull’operato dei propri partner; è stato altresì vietato alla suddetta società, in assenza di un’idonea informativa e di un consenso validamente manifestato, l’ulteriore trattamento di dati di profilazione della clientela; infine, è stato prescritto alla stessa l’adozione di misure tecnico-organizzative idonee per valorizzare correttamente nelle proprie liste di esclusione l’eventuale opposizione al trattamentoda parte degli interessati e per memorizzare sui propri sistemi informativi i contatti effettuati dai partner commerciali nell’interesse della società telefonica (provv. 18 aprile 2018, n. 235, doc. web n. 9358243 – dello stesso tenore, ancorché all’esito di accertamenti ispettivi condotti precedentemente al 2018, v. pure i provv.ti 8 marzo 2018, n. 140, doc. web n. 8233539; 18 aprile 2018, n. 235, doc. web n. 9358243; 22 maggio 2018, n. 313, doc. web n. 8995285);

– accertato l’illiceità del trattamento posto in essere dalle società di un importante gruppo internazionale operante nel settore dei servizi di trasporto automobilistico privato attraverso un’applicazione mobile che mette in collegamento diretto passeggeri e autisti, con riferimento alle informazioni concernenti passeggeri e autisti trattate dal gruppo (per lo più, dati identificativi e di contatto, nonché informazioni concernenti la localizzazione, l’accounte il numero della patente di guida), in relazione all’inidoneità dell’informativa resa dalle suddette società, alla mancata acquisizione di un valido consenso degli interessati per i dati trattati ai fini dell’individuazione dell’indice di rischio frode, nonché alla mancata notificazione alGarante dei trattamenti di dati idonei a rivelare la posizione geografica degli utenti (provv. 13 dicembre 2018, n. 498, doc. web n. 9069046).

Relativamente ad alcuni dei provvedimenti sopra citati l’Autorità, accertata laviolazione di norme del Codice per le quali la legge prevede una sanzione amministrativa, ha avviato anche un procedimento sanzionatorio.

Fonte: Autorità Garante - Relazione 2018