L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de l'entreprise individuelle S.M. Trattamento Acqua, comprenant le prononcé d'une amende de 30 000 €, pour des manquements en lien avec ses campagnes de prospection commerciale et la gestion des droits des personnes concernées. Cette affaire débute par deux plaintes d'une même personne signalant la réception d'appels non sollicités sur son numéro de téléphone inscrit au Registre Public des Oppositions (RPO) et l'absence de réponse à sa demande d'exercice de droits.

L’enquête menée par l’autorité a permis de constater :
* Obligation de désigner un sous-traitant présentant des garanties suffisantes (articles 4, 5, 24 et 28 du RGPD) : L'entreprise, en tant que responsable du traitement, n'a pas formalisé sa relation avec la société Flamel S.r.l. par un contrat conforme à l'article 28 du RGPD, ni n'a autorisé le recours au centre d'appels Z1on S.r.l.s. en tant que sous-traitant ultérieur. L'autorité a souligné que le fait de confier une campagne "clés en main" n'exonère pas le responsable du traitement de ses obligations de contrôle de la chaîne de traitement, et a constaté une absence totale de vérification préalable et de surveillance de ses prestataires.

* Obligation de licéité du traitement (articles 5, 6, 7 et 24 du RGPD) : Les contacts promotionnels ont été réalisés sans base juridique valable. Le consentement prétendument recueilli via le site "Le Mégaphone" a été jugé invalide, car il n'était ni libre, ni spécifique, obligeant à une cession des données à une multitude de tiers indéterminés. De plus, le numéro du plaignant était inscrit au Registre Public des Oppositions, rendant le contact illicite. L'autorité a également jugé que la preuve du consentement (un fichier journal avec une adresse IP) était insuffisante, contestée par le plaignant et non corroborée par un mécanisme de vérification tel que le double consentement.

* Obligation de respecter les droits des personnes concernées (articles 12 et 15 à 22 du RGPD) : L'entreprise n'a pas répondu à la demande d'exercice de droits du plaignant dans les délais légaux. Elle a reconnu cette omission, arguant à tort qu'elle pensait que cette responsabilité incombait à son prestataire, alors que le RGPD impose cette obligation au responsable du traitement.

En conséquence, l’autorité a imposé une amende de 30 000 € à S.M. Trattamento Acqua.
En outre, l’autorité a ordonné à l'entreprise de cesser tout traitement ultérieur des données acquises sans base juridique valable et de mettre en œuvre des mesures pour assurer la conformité de ses futures activités promotionnelles, notamment dans le choix et le contrôle de ses partenaires commerciaux.