Carenza dell’informativa sul trattamento dei dati i sensi dell’art. 13 GDPR, equiparata ad una pratica commerciale scorretta (AGCM, provvedimento n. 28601/2021)
Con il provvedimento 9 marzo 2021, n. 28601 (testo in calce) l’Autorità Garante della Concorrenza e del Mercato sanziona per due milioni di euro Telepass per aver condiviso le informazioni sui propri utenti con compagnie e intermediari di assicurazione – con cui hanno concluso contratti di distribuzione di polizze – senza averli adeguatamente informati sulla raccolta e sul modo di utilizzo dei loro dati, anche a fini commerciali.
Il procedimento concerne il comportamento posto in essere dalle società Telepass e Telepass Broker relativo alle modalità con cui viene fornita l’informazione circa il servizio di preventivazione e intermediazione di polizze RC Auto. Le condotte esaminate riguardano:
a) l’assenza di informativa circa la gestione, la conservazione e il trasferimento dei dati dei clienti dalle compagnie assicurative partner a Telepass, la quale potrà farne un uso commerciale;
b) l’assenza di indicazioni sulle modalità, sulle procedure, sui parametri di riferimento e di selezione del preventivo RC Auto proposto: vengono enfatizzate la particolare facilità e convenienza della proposta effettuata attraverso l’APP, senza indicare i criteri, i parametri di riferimento e le procedure di scelta della compagnia e del preventivo proposto.
Valutazioni dell’Autorità
Per quanto concerne la condotta sub a) le società Telepass e Telepass broker, nell’esercizio dell’attività di collocamento di servizi assicurativi per conto delle compagnie con le quali hanno concluso contratti di distribuzione delle polizze RC Auto, ricevono, senza che il consumatore ne sia adeguatamente informato, flussi di informazioni attinenti ai dati dell’utente che richiede il preventivo. Il processo di condivisione di tali informazioni tra le società del Gruppo Telepass e le Compagnie/Intermediari di assicurazione avviene senza che i potenziali aderenti ai preventivi delle polizze proposte vengano adeguatamente informati sulla raccolta e sul modo con cui i loro dati vengono utilizzati dalle società interessate, anche a fini commerciali. L’utente interessato al preventivo RC Auto viene informato solo all’interno dell’informativa privacy, cui viene fatto meramente rinvio all’inizio del funnel[1] di preventivazione, del fatto che le società raccolgono le informazioni necessarie per il calcolo del preventivo e le trattano per finalità di marketing.
Tale circostanza confonde gli utenti in ordine al tipo di informazioni acquisite dai professionisti: da un lato, il consumatore riceve alcune informazioni sul livello di riservatezza dei dati personali, mentre dall’altro lato non apprende chiaramente quali siano le modalità di gestione, di conservazione e di utilizzo dei suoi dati. Per il resto, l’informazione fornita in sede di presentazione del servizio di preventivazione si limita a enfatizzare la semplicità e velocità, nonché la convenienza della procedura e della visualizzazione del preventivo della polizza RC Auto sull’app, potendosi poi acquistare il prodotto direttamente tramite l’app usufruendo inoltre di un particolare sconto.
Secondo l’AGCM, la circostanza che in sede di presentazione del servizio il consumatore non viene informato sull’utilizzo commerciale dei propri dati non viene sanata dal fatto che nell’informativa sul trattamento dei dati, cui viene meramente fatto rinvio all’inizio del funnel viene ricordata la finalità commerciale sottostante alla raccolta, al mantenimento e alla gestione dei propri dati, poiché le società adottano un processo di ‘patrimonializzazione’ dei dati assoggettati a sfruttamento economico, di cui l’utente finale deve venire a conoscenza.
I dati dei clienti vengono conservati fino ai 13 mesi successivi alla cessazione del rapporto, salvo previa opposizione espressa. Le società del gruppo hanno dunque tutto il tempo di sfruttare e di gestire in via autonoma e indipendente i dati dei clienti sotto l’aspetto commerciale.
Prive di pregio sono state ritenute le argomentazioni sollevate dalle società in ordine alla possibilità per l’interessato di opporsi in qualunque momento alla ricezione di comunicazioni di natura commerciale e/o promozionale, attraverso varie modalità. Al riguardo, si sostiene che gli strumenti messi a disposizione per opporsi a ricevere comunicazioni promozionali (quali gli indirizzi e-mail, riportati nell’informativa privacy, e il link unsubscribe presente nelle singole e-mail ricevute), afferiscono ad aspetti strumentali, riconducibili alla sfera di disponibilità dei dati personali dei consumatori, che esulano dall’ambito di una corretta e trasparente informativa da diffondere ai consumatori per allertarli dell’eventuale sfruttamento commerciale dei dati forniti utilizzando il servizio, ponendosi anzi in un momento successivo a quello in cui tale informativa dovrebbe essere prodotta.
Infine, non può essere accolta l’argomentazione fornita dalle società circa l’indiscussa avvedutezza e consapevolezza del consumatore medio in ordine al livello di percezione dell’utilizzo commerciale dei dati dallo stesso forniti, in quanto come sostenuto da consolidata giurisprudenza “La qualifica di consumatore medio deve essere, anche, rapportata al contesto di diffusione dei messaggi e alla tipologia di prodotto e quindi, in particolare nei settori ad alta evoluzione tecnologica e nel contesto di nuovi e diversificati servizi, i consumatori possono essere non dotati delle competenze specifiche necessarie per rilevare e fronteggiare l’esistenza di pericoli connessi alla loro fruizione[2]”. Nel caso di specie, proprio la nuova modalità distributiva utilizzata dalle società del Gruppo Telepass attraverso il proprio applicativo, tecnologicamente avanzato, determina la necessità di un maggior rigore informativo a carico delle suindicate società nei confronti dei consumatori.
Per quanto concerne la condotta sub b), rileva l’Autorità che i clienti non hanno alcuna cognizione dell’effettiva rappresentatività delle compagnie di assicurazioni RC Auto oggetto di preventivazione.
Sull’APP e sul sito sono unicamente riportati i loghi dei partner, ma alcuni di essi sono dei meri intermediari assicurativi che agiscono come agenti mandatari di non individuate “Compagnie emittenti”. Inoltre, non vi è alcuna informazione sui criteri ed i parametri in base ai quali è selezionato il preventivo proposto.
Dalla documentazione contrattuale in atti, infatti, emergono due elementi di incertezza sui preventivi ottenibili tramite l’app di Telepass: (i) l’utente, al momento del preventivo, non conosce l’effettivo perimetro delle compagnie oggetto di confronto, tenuto conto che i principali partner assicurativi di Telepass broker operano per conto di non bene identificate ‘Compagnie emittenti’; (ii) i preventivi ottenibili sono il risultato di un algoritmo, il cui funzionamento non è specificato al consumatore, che seleziona la polizza con il premio RC Auto più contenuto a parità di massimale minimo offerto da ciascun partner.
Inoltre, gli atti del fascicolo evidenziano l’esistenza di una specifica opzione commerciale di preferenza accordata a partner selezionati, anche in presenza di soluzioni meno onerose da parte di altri operatori. Tale opzione, in grado evidentemente di influenzare le scelte dei consumatori interessati, non viene affatto resa nota agli stessi.
Conclusioni
Il provvedimento appare particolarmente rilevante in quanto affronta il tema attualissimo della patrimonializzazione del dato personale di cui il consumatore oggi non è consapevole.
Già lo scorso 10 gennaio 2020 il Tar Lazio si è pronunciato sul punto con le sentenze nn. 260, 261 stabilendo che “A fronte della tutela del dato personale quale espressione di un diritto della personalità dell’individuo, e come tale soggetto a specifiche e non rinunciabili forme di protezione, quali il diritto di revoca del consenso, di accesso, rettifica, oblio, sussiste pure un diverso campo di protezione del dato stesso, inteso quale possibile oggetto di una compravendita, posta in essere sia tra gli operatori del mercato che tra questi e i soggetti interessati. Il fenomeno della “patrimonializzazione” del dato personale, tipico delle nuove economie dei mercati digitali, impone agli operatori di rispettare, nelle relative transazioni commerciali, quegli obblighi di chiarezza, completezza e non ingannevolezza delle informazioni previsti dalla legislazione a protezione del consumatore, che deve essere reso edotto dello scambio di prestazioni che è sotteso alla adesione ad un contratto per la fruizione di un servizio, quale è quello di utilizzo di un “social network”.
Dello stesso avviso il Consiglio di Stato, il quale con la sentenza 29 marzo 2021, n. 2631 ha confermato la natura di pratica commerciale scorretta posta in essere da Facebook che omette informazioni rilevanti di cui il consumatore necessita al fine di assumere una decisione consapevole di natura commerciale quale è quella di registrarsi alla piattaforma per usufruire dell’omonimo servizio di social network. Facebook non informa l’utente con chiarezza e immediatezza in merito alla raccolta e all’utilizzo, a fini remunerativi, dei dati dell’utente da parte del Professionista e, conseguentemente, dell’intento commerciale perseguito, volto alla monetizzazione dei medesimi; le informazioni fornite risultano generiche ed incomplete senza adeguatamente distinguere tra, da un lato, l’utilizzo dei dati funzionale alla personalizzazione del servizio con l’obiettivo di facilitare la socializzazione con altri utenti ‘consumatori’, dall’altro, l’utilizzo dei dati per realizzare campagne pubblicitarie mirate.
Nel caso in questione l’ammontare della sanzione comminata è stata anche parametrata alla particolare natura del profilo di scorrettezza accertato, caratterizzato da rilevanti carenze informative sul trattamento dei dati degli utenti, che costituiscono patrimonio di rilevante valore economico per gli stessi e che vengono utilizzati per finalità ulteriori e diverse rispetto a quelle per cui sono raccolti (fornitura del preventivo), nonché alle modalità di erogazione del servizio, che rappresentano elementi fondamentali per la scelta consapevole sull’eventuale adesione al servizio; al rilievo internazionale e all’elevata notorietà delle società sanzionate, facenti parte del Gruppo Atlantia, leader nel settore italiano dei servizi legati alla mobilità ed infine alla capillarità della diffusione a tutto il territorio nazionale della condotta attraverso la app ed internet.