PRINCIPIO MOLTO IMPORTANTE: chi acquista un database da terzi è comunque responsabile delle modalità di raccolta e uso dei dati.
L’acquirente dovrà poter dimostrare la conformità al GDPR delle banche dati acquistate, altrimenti incorrerà in sanzione.
IL CASO
Il primo produttore francese di energia elettrica (EDF) conduce una campagna di marketing via e-mail.
Questa campagna infastidisce molti utenti portando la presentazione di reclami al Garante francese.
Gli utenti dichiarano di non aver mai prestato il consenso a ricevere tali comunicazioni e molti di loro lamentano anche grosse difficoltà nell’esercizio dei diritti.
In alcuni casi, ad esempio, l’azienda non avrebbe neppure dato risposta alle richieste. In altri invece, la società avrebbe risposto inviando informazioni inesatte sull’origine della raccolta dei dati.
Il Garante francese decide quindi di attivarsi avviando un’istruttoria.
Durante l’istruttoria è emerso come EDF non fosse in grado di dimostrare la conformità al GDPR delle banche dati utilizzate per la campagna di marketing.
EDF presenta soltanto un modulo standard con il quale il broker dei dati avrebbe raccolto i consensi.
Il modulo richiedeva il consenso non solo al trattamento dei dati, ma anche alla condivisione degli stessi con altri partner commerciali non elencati nel modulo.
Quindi, per il Garante francese quel modulo non consente l’espressione di un consenso sufficientemente informato.
Ecco le violazioni fatte:
- dell’art 7 del GDPR per il quale ““qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali”,
- degli artt. 13 e 14 del GDPR, avendo violato sia l’obbligo di informazione;
- degli arttt. 15 e 21 GDPR, avendo mancato di rispettare i diritti di accesso e opposizione degli interessati;
- dell’art. 32 perché, tra le altre cose, EDF ha anche mostrato carenze dal punto di vista della protezione dei dati.
Nonostante l’azienda sia stata collaborativa, il Garante francese ha optato per la sanzione di 600.000 euro.
Fonte Accademia della Privacy
TI É PIACIUTA QUESTA NEWS?
ISCRIVITI ALLA NOSTRA NEWSLETTER E RESTA SEMPRE AGGIORNATO