Europa Factor S.p.A.
Ordinanza ingiunzione o revoca
Sintesi del provvedimento
Il Garante ha accertato che Europa Factor S.p.A., titolare del trattamento, ha violato gli articoli 5, par. 1, lettere a) e d) e par. 2, e 24 del Regolamento (UE) 2016/679 in relazione al trattamento di dati personali di un debitore nell'ambito di attività di recupero crediti. In particolare, è stata rilevata l'acquisizione illegittima di un numero telefonico del debitore non comunicato dallo stesso e non trasmesso dal titolare al responsabile del trattamento (Spinbridge S.p.A.), nonché l'inosservanza delle istruzioni fornite al responsabile. Il Garante ha inoltre rilevato l'insufficienza delle misure di controllo e verifica adottate nei confronti del responsabile del trattamento. A fronte di diverse circostanze attenuanti, tra cui il carattere colposo della violazione, l'adozione di misure correttive durante il procedimento, la collaborazione dell'interessato e l'assenza di precedenti violazioni pertinenti, è stata irrogata una sanzione di euro 50.000,00.
Approfondimento
Soggetti coinvolti
Un interessato (Sig. XX)
Riferimenti normativi
Lettura del caso
Temi affrontati — Trattamento dei dati personali nell'ambito di attività di recupero crediti; violazione dei principi di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a) GDPR); violazione del principio di integrità e riservatezza (art. 5, par. 1, lett. d) GDPR); acquisizione illegittima di dato di contatto telefonico; inosservanza delle istruzioni fornite al responsabile del trattamento; insufficienza delle misure di controllo e verifica nei confronti del responsabile del trattamento
Conseguenze — Il Garante dichiara l'illiceità del trattamento effettuato da Europa Factor S.p.A. per la violazione degli articoli 5, par. 1, lettere a) e d), par. 2 e 24 del Regolamento, e ordina/ingiunge alla società di pagare una sanzione amministrativa pecuniaria di euro 50.000,00 entro trenta giorni dalla notifica. Dispone inoltre la pubblicazione dell'ordinanza ingiunzione e del presente provvedimento sul sito internet del Garante, nonché l'annotazione delle violazioni nel registro interno dell'Autorità.
Natura dei dati (informazioni non riconducibili a categorie particolari); numero limitato di interessati (un solo interessato); tipologia della violazione (principi generali di cui all'art. 5, par. 1 GDPR e principio di responsabilizzazione); carattere colposo della violazione; prevalente dipendenza dall'inosservanza delle istruzioni fornite al responsabile del trattamento; adozione di prime misure di verifica già in epoca precedente alle verifiche del Garante; spontanea implementazione durante il procedimento di specifiche procedure di controllo; attiva collaborazione del titolare con l'Autorità; assenza di precedenti violazioni pertinenti e assenza di precedenti provvedimenti relativamente allo stesso oggetto; ulteriori iniziative assunte dalla società; misure organizzative complessive adottate nel processo di gestione delle agenzie di recupero credito; condizioni economiche della società determinate in base al volume d'affari e al bilancio d'esercizio per l'anno 2024
Acquisizione da fonte esterna (fornitore SERVIZISICUR) di dato di contatto telefonico non trasmesso dal titolare al responsabile del trattamento e non comunicato dall'interessato; insufficiente controllo e verifica delle modalità di acquisizione dei dati da parte del responsabile; difetto di istruzioni specifiche fornite al responsabile in merito alle fonti ammissibili di acquisizione dati; contesto di attività di recupero crediti che richiede particolare attenzione alla protezione dei dati personali dei debitori
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.