Il Garante per la protezione dei dati personali ha di recente approvato, ai sensi degli articoli 40 e 41 del GDPR, il Codice di Condotta promosso da associazioni rappresentative di committenti, call center, teleseller, list provider e associazioni di consumatori.
Il Codice, che disciplina tutti gli aspetti relativi al trattamento dei dati personali svolti nel contesto delle attività di telemarketing e teleselling, è stato sottoposto a consultazione con i soggetti maggiormente rappresentativi delle categorie interessate dal 21 luglio 2022 al 9 settembre 2022 e finalmente approvato dal Garante con provvedimento del 9 marzo 2023.
Analizziamo di seguito gli impatti più rilevanti sulle imprese.
Codice di Condotta contro il telemarketing selvaggio: come fare perché funzioni davvero
Gli obblighi e le misure
Uno degli aspetti di maggior rilievo di questo nuovo Codice consiste nell’aver disciplinato un tema che è stato finora solo protagonista della Giurisprudenza del Garante per la protezione dei dati personali: il monitoraggio di tutta la filiera del trattamento svolto nel contesto delle attività di telemarketing e teleselling.
Trattasi di una circostanza di non poco conto, se si considera che ad oggi – pur in assenza di una specifica regolamentazione – molte imprese del settore sono state destinatarie di sanzioni significative da parte dell’Autorità, proprio per non aver posto in essere verifiche ad hoc sui partner commerciali.
Si comprende allora la portata del fenomeno: se fino ad oggi molti player del settore si sono celati dietro la carenza di riferimenti normativi e hanno potuto obiettare che talune sanzioni venivano comminate in assenza di regolamentazione, con il Codice di Condotta il quadro si è fatto più chiaro ed è stato messo nero su bianco il valore, in termini di accountability, del monitoraggio di filiera.
Le misure tecnico-organizzative
Il Codice individua infatti una serie di misure tecnico-organizzative volte a svelare coni d’ombra e a contrastare eventuali trattamenti illeciti.
Tra queste, in particolare:
- l’adozione di una procedura per la gestione delle richieste relative all’esercizio dei diritti degli interessati e di una procedura per la gestione dei data breach;
- l’attuazione di piani di formazione rivolti al personale a cadenza periodica, almeno annuali, relativi al trattamento dei dati personali, sia da parte dei Titolari, sia da parte dei Responsabili;
- implementazione di controlli di filiera, allo scopo di monitorare il rispetto delle istruzioni impartite ai Responsabili, tramite meccanismi di audit – quali, ad esempio, le “numerazioni civetta” (numerazioni proprie all’interno della lista delle numerazioni contattabili) – e controlli a campione.
Le prescrizioni rivolte ai committenti
Ma non solo. Il Codice fornisce infatti una serie di prescrizioni rivolte proprio ai committenti[1] che svolgono attività di telemarketing tramite provider esterni, e nello specifico:
- mettere a disposizione dei fornitori uno script contenente le istruzioni da seguire per effettuare i contatti nel corso delle singole campagne; nel corso della telefonata, l’operatore dovrà essere in grado di indicare, su richiesta, le generalità dell’eventuale responsabile, le finalità e le modalità del trattamento nonché le modalità di esercizio dei diritti da parte dell’interessato; inoltre, prima di procedere alla raccolta di qualsiasi dato personale dell’interessato o su richiesta dello stesso, l’operatore deve indicare dove può essere reperita l’informativa estesa, che verrà comunque rilasciata prima dell’eventuale stipula del contratto;
- fornire il testo dell’informativa da sottoporre agli interessati;
- predisposizione di una piattaforma per la registrazione delle proposte di contratto in modo tale che sia garantita la tracciabilità delle operazioni svolte, adottando, ad esempio, procedure di autenticazione;
- in tutti i casi di acquisizione di dati di contatto da un list provider[2], i committenti – oltre allo scontro della lista di contatti con il Registro Pubblico delle Opposizioni ed eventuali blacklist – sono tenuti ad effettuare dei controlli sulle modalità di acquisizione dei consensi degli interessati, anche mediante verifiche a campione.
Ma come vengono garantiti, da un lato il rispetto dell’obbligo di monitoraggio, e dall’altro quello di collaborazione da parte dei fornitori? Di tale aspetto si occupa la sezione IV del Codice, la quale prevede una serie di strumenti a garanzia del controllo di filiera.
Oltre, infatti, a conferire al Titolare del trattamento poteri ispettivi e di verifica documentale sulle attività dei responsabili, per espressa previsione contrattuale, il Codice prevede che gli accordi che regolano i rapporti commerciali con i fornitori richiamino gli obblighi di controllo e collaborazione derivanti dal Codice stesso.
Quale misura deterrente allo svolgimento di pratiche illecite contrarie alle disposizioni previste, infine, il Codice introduce meccanismi di risoluzione e/o altra misura negoziale, anche sotto forma di penale, prevista all’interno degli stesi accordi con i provider.
Le imprese destinatarie del Codice e gli impatti dell’adesione
Ma a quali imprese è rivolto questo strumento?
Il perimetro è definito all’interno dell’articolo 1 del Codice di Condotta, che ne traccia l’ambito di applicazione: tutte le attività di trattamento dei dati personali effettuati, da soggetti operanti in territorio italiano o estero, per promuovere e/o offrire beni o servizi, tramite il canale telefonico, a soggetti ubicati nel territorio dello Stato italiano.
Sono quindi escluse dal Codice le promozioni in app e il digital advertising[3], nonché i contatti telefonici con finalità esclusivamente limitata alla rilevazione del grado di soddisfazione della clientela, a sondaggi e/o ricerche di mercato senza alcuna finalità commerciale, nonché tutte le modalità di contatto sviluppate tramite canali diversi da quello telefonico quale, ad esempio, il canale SMS, e le attività di contatto – e quelle a ciò connesse – dirette verso soggetti diversi da persone fisiche, liberi professionisti e imprese individuali, al netto delle disposizioni specifiche previste dallo stesso Codice.
Il Codice, d’altronde, nasce con uno scopo specifico: contrastare le pratiche di telemarketing aggressivo lesive del diritto alla tranquillità individuale, nonché accrescere la fiducia, ormai crollata, da parte degli utenti nei confronti delle attività promozionali veicolate tramite il telefono, indicando un modus operandi etico e condiviso.
La scelta di aderire al codice di condotta, per gli operatori del settore in perimetro, è del tutto facoltativa. Pur tuttavia, si qualifica come un elemento di grandissimo impatto in termini di accountability sotto diversi punti di vista, in quanto il solo fatto di aver aderito al Codice di Condotta viene preso in considerazione dall’Autorità:
- nel momento in cui un Titolare del trattamento è chiamato a dimostrare di essere compliant rispetto agli obblighi previsti dal GDPR (il Codice di Condotta, sotto questo aspetto, è richiamato peraltro dall’art. 24, par. 3, del GDPR);
- nel momento in cui a un Responsabile del trattamento sia chiesto di dimostrare le garanzie di cui all’articolo 28, par. 1 e 4, del GDPR;
- nel corso di una valutazione di impatto, ai sensi dell’art. 35, par 8, del GDPR;
- al momento di stabilire se comminare una sanzione amministrativa pecuniaria e nel determinarne l’ammontare, ex articolo 82, par. 2, del GDPR.
Aderendo al Codice, infatti, le società si impegneranno, nello svolgimento delle rispettive attività, a garantire il rispetto dei principi di liceità, proporzionalità, correttezza e trasparenza nei confronti degli interessati, adottando le specifiche misure ivi previste, alcune delle quali esplorate nel paragrafo precedente.
L’iter per l’approvazione finale e l’Organismo di monitoraggio
Per quanto in dirittura d’arrivo, il lungo iter di approvazione del Codice non è ancora giunto al termine.
Acquisirà, infatti, piena efficacia solo a seguito della sua pubblicazione in Gazzetta Ufficiale, una volta accreditato dall’Organismo di monitoraggio (“Odm”).
Cos’è l’Odm
Cos’è l’Odm?
Si tratta di un organismo indipendente e figura cardine all’interno del Codice di condotta, non solo perché ha un ruolo centrale nell’iter della sua approvazione, ma soprattutto poiché, nella fase di piena operatività del Codice, sarà affidatario di una serie di compiti, e nello specifico:
- accertarsi che i soggetti aderenti osservino le disposizioni del Codice, tramite poteri di verifica e controllo, sia da remoto, sia tramite ispezioni presso la sede degli aderenti, i quali, per parte loro, sono tenuti alla massima collaborazione;
- gestire i reclami degli utenti;
- fornire periodicamente, con cadenza almeno annuale, al Garante, alle Associazioni promotrici e agli aderenti informazioni sul funzionamento del Codice;
- fornire al Garante e agli aderenti resoconti riassuntivi periodici, con cadenza almeno semestrale, relativi alle attività svolte, ivi inclusi i controlli e le verifiche effettuate, nonché mettere a disposizione degli aderenti, con cadenza annuale, una rendicontazione economica inerente alle attività svolte;
L’Odm sarà peraltro dotato di tutta una serie di poteri di promozione e sviluppo, al fine di indirizzare la corretta interpretazione e applicazione del Codice, come meglio indicati nell’articolo 18 dello stesso.
Conclusioni
Come possiamo intuire, dunque, il Codice non si configura come un semplice insieme di regole e “comandamenti” nelle mani dei player del settore telemarketing per potersi definire virtuosi, ma si qualifica come uno strumento volto a disciplinare un’architettura complessa, di cui fanno parte diversi soggetti, pubblici e privati, intenzionati a regolamentare insieme il settore, tenendo in debito conto delle esigenze di imprese e business.
Note
- Il Codice, all’articolo 2, lett. f), definisce “committente” “il soggetto che, operando in qualità di titolare del trattamento, incarica terzi, ad esempio, call center, teleseller e agenzie, per lo svolgimento di contatti commerciali telefonici per finalità di teleselling e telemarketing;” ↑
- Il Codice, all’articolo 2, lett. g), definisce “list provider” o “editore” “il soggetto che, anche in via non principale rispetto alla propria attività, operando in qualità di titolare del trattamento, procede, in virtù del consenso degli interessati, alla comunicazione dei dati personali, autonomamente raccolti, a soggetti terzi per finalità di teleselling e telemarketing;” ↑
- Il Codice, all’articolo 2, lett. t), definisce il “digital advertising” “qualsiasi forma pagata di presentazione e promozione non personale di idee, beni e servizi a scopo informativo o commerciale, attraverso tecnologie digitali/internet come applicazioni, siti web, piattaforme on line, testate e pubblicazioni on line, messaggistica, chat, social network e similari, da parte di un committente identificato;” ↑
