Telemarketing – il Garante privacy approva il Codice di Condotta

Il Garante privacy ha approvato il Codice di Condotta per il Telemarketing che pone oneri decisamente gravosi nella gestione della lista dei contatti e nel monitoraggio dei call center.

È stato approvato il 24 marzo 2023 dal Garante privacy il “Codice di condotta per le attività di telemarketing e teleselling” che nasce con l’obiettivo di contribuire alla corretta applicazione della normativa sul telemarketing e alla diffusione di principi e misure a tutela dei consumatori tra i call center e gli altri operatori del settore ed entrerà in vigore dopo l’accreditamento dell’Organismo di monitoraggio (Odm) e la sua pubblicazione in Gazzetta Ufficiale.

Il Codice di condotta sul telemarketing è stato promosso da diverse associazioni della filiera (committenti, call center, teleseller, list provider e associazioni di consumatori) e presentato al Garante privacy lo scorso 10 novembre 2022, ai sensi dell’art. 40 del GDPR. Non è la prima volta che il Garante privacy approva questo strumento di autodisciplina – si vedano per esempio il Codice sui SIC e quello sulle informazioni commerciali – la cui elaborazione è incoraggiata dallo stesso GDPR per favorire l’applicazione del GDPR nel rispetto delle specificità e caratteristiche dei settori di riferimento.

Il Codice di condotta sul telemarketing recepisce principi e tutele ribaditi dal Garante stesso più volte a livello normativo e provvedimentale. Vista la sua particolare sensibilità sociale, la materia è stata oggetto negli ultimi anni di molteplici interventi legislativi, da ultimo con il regolamento attuativo del nuovo RPO, e di un’intensa attività di contrasto da parte del Garante privacy, attraverso provvedimenti correttivi e sanzionatori tra i più elevati in Europa.

Ambito di applicazione del Codice di Condotta sul Telemarketing approvato dal Garante privacy

Le disposizioni del Codice di condotta, in quanto strumento di “autodisciplina”, trovano applicazione nei confronti degli operatori che svolgono attività di promozione e/o offerta di beni e servizi tramite telefono a soggetti nel territorio italiano e che vi aderiscano volontariamente. L’adesione al Codice avviene mediante istanza all’Organismo di monitoraggio.

Non sono invece regolate dal Codice di condotta: (i) le telefonate effettuate per verificare il grado di soddisfazione della clientela o per sondaggi/ricerche di mercato senza finalità commerciale; e (ii) tutte le modalità di contatto sviluppate tramite canali diversi da quello telefonico (es. App, digital advertising, SMS).

I ruoli privacy nella filiera

Dopo un richiamo generale ai principi fondanti il GDPR, il Codice di condotta chiarisce la qualifica privacy dei diversi soggetti che compongono la filiera di enti solitamente coinvolti nelle operazioni di telemarketing, ovvero:

• Titolare del trattamento è il soggetto che esegue direttamente o, più frequentemente, commissiona l’effettuazione di campagne di telemarketing e teleselling. In sostanza, è il soggetto nel cui interesse la campagna promozionale viene svolta. Nel caso in cui più soggetti definiscano le finalità della campagna questi saranno contitolari del trattamento.

Sono considerati titolari del trattamento anche i list provider quando acquisiscono autonomamente liste di contatti da cedere ad altri soggetti.

• Responsabili del trattamento sono invece tutti quei fornitori di servizi (es. call center, teleseller e agenzie incaricate dai committenti) incaricati di svolgere uno o più trattamenti connessi all’esecuzione delle campagne.

Principali obblighi dei soggetti nella filiera

Per assicurare il rispetto della normativa privacy, il Codice di condotta specifica una serie di obblighi volti a prevenire comportamenti illeciti e assicurare un controllo end-to-end della campagna promozionale.

• Scelta dei partner commerciali – i titolari sono chiamati a scegliere i partner commerciali con particolare cura, verificando che gli stessi assicurino gli standard adeguati previsti dal Codice di condotta e l’adozione di procedure interne che garantiscano il corretto trattamento dei dati degli utenti contattati.

Obblighi di verifica ad hoc sono introdotti nella selezione dei list provider, per i quali i committenti saranno tenuti a verificare l’adozione di corrette modalità di acquisizione del consenso (documentabile) dei soggetti censiti o, qualora il consenso non sia necessario, la garanzia che le liste di numerazioni siano state verificate presso il RPO prima della cessione.

Nella contrattualizzazione, i fornitori dovranno garantire l’implementazione di misure tecniche, organizzative e contrattuali idonee a impedire accessi o utilizzi non autorizzati dei dati, a garantire la rettifica dei dati inesatti, il tracciamento della filiera dei contatti e il rispetto delle istruzioni impartire agli operatori. A tal fine sono incluse nei contratti meccanismi di risoluzione e/o penali in caso di violazione. I list provider saranno inoltre tenuti a fornire una dichiarazione sottoscritta che attesti la correttezza, liceità e aggiornamento di tutti i consensi raccolti.

• Obblighi dei fornitori – sono ribaditi alcuni obblighi generali e consolidati – non strettamente connessi alla protezione dei dati personali – che coloro che effettuano attività di telemarketing/teleselling devono rispettare, ossia:
  • iscriversi al Registro degli operatori di comunicazioni (“ROC”) e utilizzo delle sole numerazioni iscritte al ROC;
  • comunicare al MISE, Ministero del lavoro, Ispettorato nazionale e Garante privacy in caso di delocalizzazione in un Paese extra-EU (e informarne l’utente all’inizio della chiamata); e
  • presentare la linea chiamante utilizzando un apposito codice prefisso (o utilizzando un numero privo di codice purché iscritto al ROC e ricontattabile).

A questi si aggiungono alcune prescrizioni connesse al rapporto di servizio instaurato con il committente, tra le quali:

• • fornire al committente entro 15 giorni dalla chiusura delle singole campagne un report dettagliato che contenga le specifiche della campagna effettuata (es. numero di telefonate su base giornaliera; numero di telefonate senza risposte; numero di opposizioni)
  • registrare su apposite black-list le richieste degli utenti (es. di opposizione, di cancellazione, di revoca del consenso) e trasmetterle entro e non oltre le 24 ore dal loro ricevimento; e
  • inviare al committente i dati identificativi e il numero di telefono degli interessati o dei contraenti che abbiano manifestato interesse o aderito alla promozione.

Inoltre, sono specificati alcuni limiti temporali che il fornitore deve rispettare per contattare l’interessato (es. le fasce orarie in cui l’utente può essere contattato e i giorni i cui non può essere contattato).

• Modalità di contatto – prima di contattare gli utenti, i committenti sono tenuti a fornire ai fornitori istruzioni dettagliate da seguire per svolgere i contatti, che includono (i) la fornitura di uno script che l’operatore sarà tenuto a utilizzare nella chiamata con l’utente; (ii) l’informativa semplificata da fornire all’utente e ulteriori informazioni utili che l’operatore possa dover comunicare all’interessato; e (iii) le modalità per la raccolta di un consenso

Nel caso in cui il contatto provenga da un elenco di un list provider, prima di procedere alle chiamate, il committente deve verificare i dati ricevuti con quelli presenti nelle proprie black list interne per escludere dalla lista di chiamati i contatti che abbiano già in precedenza esercitato la propria opposizione nei confronti del committente.

Infine, in caso di comunicazione dei dati raccolti per finalità di telemarketing a terzi per lo svolgimento di loro attività promozionali, il Codice precisa che, fermo restando l’obbligo di raccolta di un consenso e di fubbatura presso il RPO, i doveri di trasparenza nei confronti degli interessati possono essere adempiuti tramite pubblicazione nel proprio sito web di apposita lista aggiornata contenete gli estremi identificativi di tutte le terze parti – autonomi titolari –  a cui le numerazioni telefoniche sono comunicate.

• Controllo della filiera – sono introdotte misure stringenti di controllo degli operatori che compongono la filiera del

Il Codice demanda al committente la necessità di includere nei contratti o DPA sottoscritti con i propri fornitori, meccanismi idonei a consentire il “pieno, puntuale e costante controllo” della filiera di soggetti coinvolti (es. meccanismi di audit e ispezione, anche tramite “numerazioni civetta”).

Particolari procedure sono richiamate nel contesto del teleselling, al fine di consentire la tracciabilità delle operazioni svolte rispetto al perfezionamento del contratto con l’utente finale. In tal senso, il Codice richiama l’implementazione di:

• piattaforme per la registrazione delle proposte di contratto, configurate in modo tale da assicurare l’accesso tramite credenziali personali e univoche, e identificare ciascuna attività effettuata dagli operatori sulla piattaforma;
• misure tecniche che garantiscano la tracciabilità del contratto rispetto alla numerazione contattata e al nominativo del fornitore che ha eseguito il contatto;
• procedure che impediscano la registrazione di contratti riferiti a utenti non inclusi nelle originali liste di contatto;
• procedure di verifica (anche a campione) della qualità/legittimità delle chiamate e tra contraenti contattati, liste di contatto e contratti attivati; e
• misure di separazione logica degli ambienti di lavoro, in caso di fornitori plurimandatari.

Particolarmente severa è la previsione introdotta dal Codice secondo cui, ad esclusiva tutela dell’interessato, i contratti per i quali risulti viziato il primo contatto possono continuare ad avere esecuzione purché il committente informi l’interessato dell’origine viziata del contratto e che lo stesso confermi la volontà di volerlo mantenere. A tal fine, il contratto con l’affidatario del servizio dovrà espressamente prevedere un meccanismo sanzionatorio sotto forma di penale e mancata corresponsione o annullamento della provvigione per ogni contratto predisposto in assenza di un contatto legittimo, ferma restando la possibilità di risoluzione da parte del committente.

Dai requisiti sopra indicati si evince come i contenuti del Codice di Condotta sul Telemarketing introducano obblighi decisamente gravosi a carico dei committenti che potrebbero essere difficilmente gestibili da società di medio-piccole dimensioni che di fatto sarebbero discriminate. Vedremo se il Garante renderà i requisiti previsti dal Codice la regola da seguire qualora sia svolta una attività di telemarketing da qualsiasi società.

Su di un simile argomento, il seguente articolo può essere di interesse “Al via il nuovo Registro Pubblico delle Opposizioni (RPO) sul telemarketing“.