L'autorité italienne de protection des données personnelles (Garante) a publié une décision de sanction à l'encontre de la société Dalessio s.r.l., comprenant le prononcé d'une amende de 30 000 €, pour des manquements liés à l'activation non sollicitée d'une carte SIM et à un défaut de coopération. Cette affaire débute par une plainte d'une personne signalant avoir reçu une communication de la part de l'opérateur Ho. Mobile concernant une demande de portabilité de numéro qu'elle n'avait jamais initiée.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité, loyauté et de base juridique du traitement (article 5, paragraphe 1, point a) et article 6 du RGPD) : La société Dalessio, agissant en tant que point de vente, a activé une carte SIM au nom de la plaignante sans sa présence et en utilisant la photocopie d'un document d'identité déjà en sa possession. En agissant en dehors des instructions de l'opérateur téléphonique, l'autorité a considéré qu'elle avait endossé le rôle de responsable de traitement autonome. L'enquête a révélé que cette activation, suivie d'une demande de portabilité, n'était pas une erreur mais une démarche intentionnelle visant à générer un avantage commercial, et a donc été réalisée en l'absence de toute base juridique.

* Obligation de transparence et d'information (article 5, paragraphe 1, point a) et article 13 du RGPD) : N'ayant eu aucun contact légitime avec la personne concernée, la société a manqué à son obligation de lui fournir les informations requises sur le traitement de ses données personnelles.

* Obligation de coopération avec l'autorité de contrôle (article 31 et 58, paragraphe 1, point a) du RGPD) : La société a fourni une réponse manifestement lacunaire et partielle à la demande d'informations de l'autorité. Les versions contradictoires des faits présentées ultérieurement ont été considérées comme un manque de coopération.

En conséquence, l’autorité a imposé une amende de 30 000 € à Dalessio s.r.l.
En outre, l’autorité a ordonné à la société une interdiction de tout traitement ultérieur des données de la plaignante et a ordonné la publication de la décision.