Il Garante Privacy approva il Codice di condotta sul Telemarketing: le principali novità e implicazioni pratiche
In applicazione dell’art. 40 del GDPR, varie associazioni di categoria e dei consumatori, hanno elaborato un Codice di condotta per le attività di telemarketing e teleselling. Il Codice, approvato dal Garante Privacy il 9 marzo 2023 e reso pubblico il 24 marzo 2023, acquisterà efficacia una volta conclusa la fase di accreditamento dell’Organismo di Monitoraggio con la conseguente pubblicazione in Gazzetta Ufficiale.
Non esiste altro ambito che impegna i Garanti Privacy degli Stati membri tanto quanto il telemarketing. Oltre alle ingenti sanzioni irrogate, il tema è centrale in considerazione della serie di iniziative preordinate a contrastare le pratiche del c.d. “telemarketing selvaggio”. A tal proposito, si menziona, tra gli altri: (i) l’emanazione della legge n. 5/2018 – introduttiva del nuovo modello di RPO – e del successivo DPR n. 26/2022 che ne ha esteso l’applicabilità ai numeri mobili; (ii) il servizio telematico per le segnalazioni al Garante delle comunicazioni indesiderate; (iii) il tavolo di lavoro presso l’AGCOM per l’individuazione di misure tecniche volte al contrasto dello spoofing telefonico; (iv) il codice procedurale OIC-Assocontact in materia di telemarketing.
L’approvazione del Codice determina, pertanto, il completamento del framework normativo-regolamentare di questo settore.
Le associazioni promotrici del Codice in commento hanno tentato di elaborare un testo comprensivo delle molteplici linee interpretative condivise dal Garante nei vari provvedimenti che si sono susseguiti nel corso degli ultimi anni al fine di promuovere comportamenti virtuosi lungo tutta la filiera. L’obiettivo primario è, dunque, quello di fornire chiarimenti univoci relativamente alle differenti problematiche interpretative che sono sorte in una materia che, considerando il numero di operatori e la rilevanza degli interessi in gioco, risulta essere particolarmente rilevante.
1. Obblighi per il titolare
Tra le novità principali apportate dal Codice di condotta, devono essere necessariamente evidenziati gli obblighi previsti in capo alle parti e, soprattutto, al titolare del trattamento.
In particolare, l’art. 5 del Codice prescrive in capo al titolare l’obbligo di privilegiare, nella scelta dei partner commerciali per le attività di telemarketing e teleselling, le società aderenti al Codice di condotta.
A conferma della notevole rilevanza che il Codice attribuisce al controllo della liceità delle varie operazioni poste in essere nelle attività di telemarketing e teleselling, l’art. 14, comma 2 del Codice impone al titolare di garantire il pieno e costante controllo dell’intera filiera di soggetti coinvolti in qualunque fase preparatoria o di esecuzione della campagna promozionale.
Con specifico riferimento all’informativa, l’art. 11 del Codice ammette la possibilità di fornire, in occasione del contatto commerciale, un’informativa in forma semplificata. A tal proposito, la disposizione elenca gli elementi minimi che devono essere comunque forniti nella stessa. Inoltre, prima di procedere alla raccolta di qualsiasi dato personale dell’interessato – o su richiesta dello stesso – l’operatore indica dove può essere reperita l’informativa estesa, che dovrà essere inderogabilmente fornita prima dell’eventuale stipula del contratto.
Nell’ipotesi in cui a seguito dei controlli sopracitati emergano contratti per i quali risulti viziato il primo contatto, detti contratti possono continuare ad avere esecuzione a condizione che il committente informi l’interessato circa la natura viziata del contratto e lo stesso interessato confermi la volontà di volerlo mantenere.
2. Obblighi per i fornitori
Un ruolo centrale è svolto dai fornitori, ossia da quei soggetti che materialmente effettuano la campagna di promozione in qualità di responsabili del trattamento.
A tal proposito, l’art. 7, comma 1 del Codice prevede che chiunque effettui attività di telemarketing/teleselling (inclusi contact center e agenzie) “è tenuto a iscriversi al ROC di cui alla delibera AGCOM n. 666/08/CONS del 26 novembre 2008, comunicando, altresì, tutte le numerazioni telefoniche messe a disposizione del pubblico e utilizzate per i servizi di telemarketing e teleselling”. Inoltre, nell’ottica di contrastare la pratica dello spoofing telefonico, viene data rilevanza centrale a soluzioni che consentano di ricontattare l’operatore chiamante.
Il fornitore, tra i vari obblighi da adempiere deve inoltre: (i) fornire ai committenti un report dettagliato entro 15 giorni dalla chiusura delle singole campagne promozionali; (ii) registrare in apposite black list eventuali richieste di cancellazione dei dati, di revoca del consenso precedentemente prestato ed esercizio del diritto di opposizione – provvedendo altresì all’inoltro delle stesse al committente entro 24 ore; (iii) inviare al titolare – entro 15 giorni dalla chiamata – i dati identificativi e il numero di telefono degli interessati che hanno manifestato interesse o direttamente aderito alla promozione.
3. Il consenso
Il consenso acquisito per finalità di telemarketing e teleselling – libero, specifico, inequivocabile e documentabile mediante elementi precisi e circostanziati – è ritenuto valido solo se adeguatamente informato ai sensi degli artt. 13 e 14 del GDPR.
Recependo l’impostazione adottata dal Garante nel Provvedimento inibitorio, prescrittivo e sanzionatorio nei confronti di Edison Energia S.p.A. del 15 dicembre 2022, l’art. 12 del Codice stabilisce che il diniego alla ricezione di contatti commerciali espresso nel corso della telefonata promozionale, anche in forma orale, deve essere inteso quale revoca del consenso o come opposizione al trattamento della numerazione per finalità di telemarketing e teleselling. Tale diniego deve essere prontamente annotato, con conseguente cancellazione della relativa numerazione dalle liste. Pertanto, l’opposizione espressa nel corso della telefonata non deve essere ulteriormente confermata, come invece spesso è accaduto nella prassi applicativa del settore.
4. Rapporti tra committenti e list provider
Ai sensi dell’art. 6, comma 1 del Codice nella selezione dei list provider, i committenti adottano la massima diligenza e valutano la presenza di tutti gli elementi di garanzia necessari. In particolare, il Codice impone ai committenti la valutazione delle corrette modalità di acquisizione del consenso e la documentazione mediante modalità informatiche idonee a garantire l’immodificabilità della data e dell’origine del consenso stesso.
Pertanto, al committente è richiesta un’attività istruttoria caratterizzata da una “diligente valutazione” della presenza di tutti gli elementi di garanzia necessari, ivi compresa l’analisi – prettamente tecnica – circa l’adeguatezza dello strumento informatico utilizzato rispetto alle garanzie richieste dal Codice. A tal proposito, viene prescritta la conservazione sia della coppia IP – timestamp del soggetto che ha fornito il consenso on line, sia l’invio al medesimo soggetto di un messaggio di notifica della registrazione del consenso (ovvero l’adozione di meccanismi c.d. double opt-in dove il consenso acquisito on line viene successivamente confermato dall’interessato rispondendo ad un messaggio con richiesta di conferma).
Per quanto concerne i list provider che raccolgono i dati alla stregua di autonomi titolari, l’art. 6, comma 3 del Codice prescrive l’obbligo di fornire un’autocertificazione che attesti la correttezza, liceità e aggiornamento di tutti i consensi raccolti.
5. L’organismo di monitoraggio
Altra novità introdotta dal Codice in commento è rappresentata dalla costituzione, ai sensi dell’art. 41 del GDPR, dell’Organismo di Monitoraggio chiamato a verificare l’osservanza del Codice di condotta da parte degli aderenti e a gestire la risoluzione dei reclami.
L’OdM è esterno rispetto all’organizzazione delle associazioni promotrici ed è composto da un numero massimo di 9 componenti – individuati sulla base delle candidature presentate dalle associazioni promotrici – che devono garantire e mantenere per l’intera durata dell’incarico i necessari requisiti di onorabilità, indipendenza, imparzialità e competenza.
Al fine di garantire la piena indipendenza e imparzialità dei componenti dell’OdM, esso non sarà soggetto ad alcuna forma di controllo da parte degli aderenti al Codice. Le attività dell’OdM – debitamente rendicontate – saranno finanziate da parte di ciascun aderente al Codice.
Nonostante il dovere per l’OdM di gestire i reclami eventualmente insorti tra aderenti al Codice e interessati – o tra gli stessi aderenti – relativamente a violazioni e/o modalità applicative del Codice, resta salvo il diritto dell’interessato a presentare un reclamo al Garante e/o ad avviare procedure giudiziali di tutela dei propri diritti ai sensi degli artt. 77 e 79 del GDPR.
Il contenuto di questo elaborato ha valore meramente informativo e non costituisce, né può essere interpretato, quale parere professionale sugli argomenti in oggetto. Per ulteriori informazioni si prega di contattare Marco Cappa e Matteo Calì.
