Il Garante per la protezione dei dati personali ha recentemente emesso un provvedimento che ha portato a una sanzione significativa per un’agenzia immobiliare. Le motivazioni? Pratiche di trattamento dati ritenute non conformi al GDPR. Questo caso evidenzia errori comuni e offre importanti spunti per le aziende che desiderano evitare rischi simili.
Sanzione ad un’agenzia immobiliare: i fatti
Il provvedimento è scaturito da un reclamo presentato da una cittadina, che aveva ricevuto una telefonata promozionale indesiderata. L’azienda non era in grado di dimostrare la liceità del trattamento dei dati personali utilizzati per contattarla. I dati erano stati acquisiti anni prima tramite un list provider e successivamente conservati su supporto cartaceo senza adeguate misure di sicurezza.
Ulteriori violazioni sono emerse quando l’azienda non ha fornito un riscontro tempestivo alla richiesta dell’interessata di conoscere l’origine dei suoi dati personali e di ottenerne la cancellazione, come previsto dagli articoli 12, paragrafo 3, e 15 del GDPR.
Per saperne di più > Il Garante sanziona una agenzia immobiliare: i dati degli utenti Linkedin non possono essere usati a finalità di marketing
Le violazioni principali
Tra le principali violazioni evidenziate dall’Autorità, emergono alcuni aspetti critici. Innanzitutto, la raccolta e il trattamento dei dati personali sono risultati privi di una base giuridica valida, rendendo illecite le attività svolte. Inoltre, l’informativa fornita agli interessati era carente, con informazioni incomplete e non conformi agli obblighi di trasparenza previsti dal GDPR. La durata della conservazione dei dati era gestita in modo inadeguato: l’agenzia non aveva definito tempi certi, mantenendo i dati più a lungo del necessario. Infine, Il Garante ha riscontrato un’importante carenza nelle misure di sicurezza adottate, che non garantivano una protezione sufficiente contro rischi come accessi non autorizzati o perdita dei dati. In dettaglio:
- Mancanza di liceità del trattamento:
l’agenzia immobiliare non è riuscita a dimostrare la sussistenza dei requisiti di liceità per i dati raccolti dal list provider. Inoltre, non erano disponibili evidenze di un consenso valido per le chiamate promozionali, in violazione dell’articolo 7. - Inadeguate misure di sicurezza:
i dati personali erano conservati su un supporto cartaceo accessibile a chiunque. A loro protezione, l’agenzia immobiliare non ha posto alcuna misura organizzativa o tecnica adeguata. Questo rappresenta una violazione degli articoli 5, paragrafo 1, lettera f) e 32 del GDPR, che richiedono di proteggere i dati contro accessi non autorizzati. - Mancanza di trasparenza:
l’azienda non ha fornito tempestivamente informazioni richieste dall’interessata in merito all’origine dei dati e alla loro cancellazione, contravvenendo agli obblighi di trasparenza e ai diritti dell’interessato definiti dagli articoli 12 e 15 del GDPR. - Assenza di formazione del personale:
l’errore umano invocato dall’azienda come causa del trattamento illecito è stato considerato indice di una carente formazione dei collaboratori e di insufficienti misure organizzative, in violazione dell’articolo 24 del GDPR.
Sanzione all’agenzia immobiliare: come evitare rischi simili
Questo caso offre preziosi insegnamenti per le aziende che vogliono evitare violazioni della normativa sulla protezione dei dati personali:
- Verificare la liceità dei dati raccolti:
prima di utilizzare liste di contatti o dati personali, è fondamentale verificare che siano stati raccolti nel rispetto del GDPR. Devono essere disponibili documenti che attestino il consenso o altre basi giuridiche valide. - Implementare misure di sicurezza adeguate:
i dati personali devono essere protetti con misure tecniche e organizzative idonee. Evitare il salvataggio su supporti non sicuri o accessibili da personale non autorizzato. - Rispondere tempestivamente alle richieste degli interessati:
le aziende devono garantire riscontri chiari e completi entro il termine massimo di un mese, come stabilito dall’articolo 12, paragrafo 3 del GDPR. - Formare il personale:
tutti i collaboratori devono ricevere una formazione adeguata sulle norme di protezione dei dati e sulle procedure aziendali per ridurre il rischio di errori umani. - Formalizzare i rapporti con fornitori di dati:
ogni collaborazione con fornitori o list provider deve essere regolata da contratti che definiscano chiaramente i ruoli e le responsabilità di ciascuna parte. Ciò è previsto dall’articolo 28 del GDPR.
Il Provvedimento completo del Garante per la Protezione dei dati personali è disponibile qui.
Per concludere
Questo caso dimostra come la mancata adozione di misure adeguate possa esporre le aziende a sanzioni significative e a danni reputazionali. Investire in conformità normativa, sicurezza dei dati e formazione rappresenta non solo un obbligo legale, ma anche un fattore critico per il successo e la fiducia dei clienti.
Per ulteriori informazioni o supporto nella gestione della conformità al GDPR, il nostro team di esperti è a disposizione per guidare le aziende verso una gestione sicura e conforme dei dati personali.
