Il Garante Privacy (Provv. 89/2026, doc. web. 10227039) è recentemente intervenuto sulla qualificazione dei ruoli privacy e sulle relative responsabilità nell’ambito dei rapporti tra compagnia assicurativa e agenzie mandatarie. In particolare, l’Autorità ha sanzionato un’agenzia con una sanzione di Euro 15.000,00 per una pluralità di violazioni in materia di protezione dei dati personali, riconducibili, in ultima analisi, a un’errata qualificazione del proprio ruolo nel trattamento. I fatti oggetto del provvedimento Il caso tra origine da alcuni reclami con cui veniva lamentata la ricezione di e-mail promozionali senza consenso, nonché il mancato riscontro a una richiesta di accesso ai dati personali. Le comunicazioni in questione promuovevano servizi riconducibili a una compagnia assicurativa per conto della quale l’agenzia operava in qualità di mandataria. Nel corso dell’istruttoria, il Garante Privacy ha richiesto chiarimenti in merito alle modalità con cui l’agenzia assicurava il rispetto della normativa in relazione alle attività di marketing. L’agenzia ha dichiarato di operare quale responsabile del trattamento della compagnia mandante, ritenendo conseguentemente che gli obblighi relativi, tra l’altro, alla gestione delle richieste degli interessati, alla predisposizione dell’informativa e all’eventuale acquisizione del consenso gravassero su quest’ultima, in qualità di titolare del trattamento. La qualificazione del ruolo privacy: il rilievo delle modalità concrete di trattamento Tale ricostruzione non è stata condivisa dall’Autorità, che ha invece valorizzato le modalità concrete di utilizzo dei dati. In linea generale, la compagnia assicurativa dev’essere considerata titolare del trattamento dei dati dei clienti acquisiti tramite le agenzie che, tipicamente, operano in qualità di responsabili del trattamento sulla base di appositi accordi ai sensi dell’art. 28 del GDPR. In tale assetto, l’agenzia non dispone di autonomia decisionale rispetto alle finalità e ai mezzi del trattamento, limitandosi a trattare i dati per conto della compagnia. Tuttavia, pur essendo stati originariamente raccolti nell’ambito di tale rapporto, il Garante Privacy ha sottolineato come i dati sono stati successivamente utilizzati dall’agenzia per finalità ulteriori, segnatamente di natura promozionale, riconducibili a una propria iniziativa. In questo contesto, l’Autorità ha ritenuto che l’agenzia avesse agito in autonomia nella determinazione delle finalità e dei mezzi del trattamento, dovendo pertanto essere qualificata, per tali attività, quale autonomo titolare del trattamento[1]. Il Garante Privacy ha ribadito, di fatto, un principio fondamentale del GDPR: la qualificazione del ruolo privacy delle parti non discende automaticamente dalla previsione contrattuale, ma dev’essere verificato alla luce delle concrete modalità con cui vengono trattati i dati. La gestione delle richieste di esercizio dei diritti degli interessati La diversa qualificazione del ruolo assume rilievo anche con riferimento alla gestione dei diritti degli interessati. L’agenzia, infatti, non ha fornito riscontro alla richiesta di accesso, ritenendo che la stessa fosse già all’attenzione della compagnia assicurativa. Il Garante Privacy ha censurato tale condotta, osservando come la qualifica di titolare comporti l’obbligo di fornire un riscontro diretto e tempestivo agli interessati. Al contempo, l’Autorità ha ricordato che, anche nell’ipotesi in cui l’agenzia avesse correttamente operato quale responsabile del trattamento, sarebbe stata comunque tenuta a prestare assistenza al titolare nella gestione delle richieste, ai sensi dell’art. 28 GDPR. La base giuridica per l’invio di comunicazioni promozionali L’agenzia aveva ritenuto di poter fondare l’invio delle comunicazioni promozionali dapprima sull’eccezione del c.d. soft spam di cui all’art. 130, comma 4, del Codice Privacy e, successivamente, sul legittimo interesse. Entrambe le opzioni sono state escluse dal Garante Privacy. Da un lato, è stato ribadito come l’eccezione del soft spam sia applicabile esclusivamente al titolare che ha originariamente raccolto i dati nel contesto della vendita del prodotto o servizio; dall’altro lato, il ricorso al legittimo interesse non è praticabile in presenza della disciplina speciale dettata dall’art. 130 del Codice Privacy per l’invio di comunicazioni elettroniche a fini promozionali. L’invio delle comunicazioni promozionali è stato dunque effettuato in assenza di uno specifico e autonomo consenso per finalità commerciali riconducibili esclusivamente all’agenzia. Ne consegue che il trattamento deve ritenersi privo di un idoneo presupposto di liceità, non risultando acquisito un consenso valido riferibile all’agenzia e alle sua autonome finalità. Gli obblighi di trasparenza In tale prospettiva, assume rilievo anche il profilo della trasparenza. L’unica informativa resa all’interessato era quella fornita dalla compagnia assicurativa al momento della raccolta dei dati, mentre nessuna informativa ulteriore risultava essere stata predisposta dall’agenzia in relazione ai trattamenti successivi (c.d. secondari) effettuati in qualità di titolare autonomo. Il trattamento per finalità ulteriori deve pertanto considerarsi avvenuto in assenza di un’adeguata informativa agli interessati, non essendo quella originaria idonea a coprire utilizzi dei dati ulteriori e autonomi. Implicazioni pratiche Il provvedimento in esame si presta a una lettura che va oltre il caso concreto e richiama l’attenzione su un profilo di frequente criticità nei modelli organizzativi complessi. La qualificazione dei ruoli privacy non può essere considerata un elemento statico, definito sulla base della mera designazione formale (ad es., in un contratto), ma deve essere costantemente verificata alla luce delle attività effettivamente svolte. In particolare, il riutilizzo dei dati da parte di un altro soggetto per finalità ulteriori rispetto a quelle originarie comporta una rivalutazione del ruolo privacy, con tutte le responsabilità che ne derivano. In questa prospettiva, prima di procedere a qualsiasi trattamento di dati personali, si rende necessario un esame sostanziale delle attività svolte, che consenta di individuare correttamente i trattamenti effettuati. Tale analisi costituisce infatti il presupposto per una corretta qualificazione dei ruoli privacy e per la conseguente definizione delle responsabilità. [1] Nella propria memoria difensiva, l’agenzia chiarisce che l’essersi qualificata come mero responsabile del trattamento è stato un errore commesso in buona fede. Tale errore deriverebbe dall’aver fatto riferimento alla propria qualifica di “distributore” ai sensi dell’art. 82 del Regolamento IVASS 40/18. Questa norma prevede che i distributori, quando promuovono contratti assicurativi tramite tecniche di comunicazione a distanza (ad esempio per invio di materiale pubblicitario, vendita a distanza, ricerche di mercato o comunicazioni commerciali), debbano acquisire il previo consenso del contraente. Tuttavia, in assenza di opposizione e previa informazione sulla possibilità di opporsi, il consenso non è necessario se il contraente ha già fornito i propri recapiti in occasione della commercializzazione di un contratto assicurativo relativo allo stesso o ad altri rami, purché il prodotto sia distribuito dalla stessa impresa. Sulla base di tale disposizione, l’agenzia ha ritenuto (seppur erroneamente) che, in qualità di distributore, potesse qualificarsi come responsabile del trattamento nell’ambito delle attività di promozione commerciale, agendo nell’interesse esclusivo del titolare. Il Garante Privacy ha confermato come l’art. 82 del Regolamento IVASS 40/18 non sia in contrasto con l’art. 130 del Codice Privacy. In linea con l’art. 130 del Codice, norma di rango primario, anche l’art. 82 citato stabilisce come regola generale il previo consenso del contraente per le attività di marketing. Solo in via eccezionale il distributore può effettuare comunicazioni commerciali senza consenso, salvo opposizione dell’interessato, quando questi abbia già fornito i propri recapiti nell’ambito della commercializzazione di un contratto assicurativo distribuito dalla stessa impresa. Ne consegue che la qualifica di “distributore” può coincidere con quella di “responsabile del trattamento” solo se il soggetto sia stato previamente autorizzato dal titolare. In mancanza di tale presupposto, il distributore deve essere qualificato, in base al caso concreto, come titolare o contitolare del trattamento, poiché il responsabile non può determinare autonomamente finalità e mezzi del trattamento senza assumere la veste di titolare.
