L'autorité italienne de protection des données a publié une décision de sanction à l'encontre de Verisure Italy s.r.l., comprenant le prononcé d'une amende de 400 000 €, pour des manquements liés à ses pratiques de prospection commerciale et au respect des droits des personnes.

Cette affaire débute par une plainte et un signalement, émanant respectivement d'un ancien client et d'un prospect, qui continuaient de recevoir des communications commerciales non sollicitées malgré leurs demandes d'opposition et de suppression de leurs données.

L’enquête menée par l’autorité a permis de constater :
* Obligation de respecter les droits des personnes (article 12, paragraphe 3, 17 et 21 du RGPD) : L'autorité a constaté que la société n'avait pas donné suite en temps voulu aux demandes d'opposition et d'effacement. Pour un plaignant, la demande a été traitée 47 jours après sa réception et la réponse fournie après 64 jours, dépassant largement le délai d'un mois. L'autorité a rejeté les justifications de la société, considérant ces retards comme le symptôme de défaillances organisationnelles et rappelant que le responsable de traitement est tenu de garantir l'effectivité des droits, y compris lorsque les actions sont menées par ses agents.

* Obligation d'obtenir un consentement valide (article 7, paragraphes 2 et 4 du RGPD) : Le consentement pour la prospection commerciale était recueilli via le formulaire de demande de devis sur le site internet. L'insertion du numéro de téléphone valait acceptation de la politique de confidentialité et des contacts marketing, sans possibilité de dissocier les finalités. L'autorité a jugé ce consentement invalide car il n'était ni libre, ni spécifique, ni éclairé, étant regroupé avec la demande de mesure précontractuelle.

* Obligation de limitation de la conservation et d'information (article 5, paragraphe 1, point e) et 13, paragraphe 2, point a) du RGPD) : L'autorité a relevé deux problèmes. D'une part, la durée de conservation de 12 mois pour les données des prospects à des fins de "télévente" a été jugée excessive et non justifiée, dissimulant en réalité une finalité de marketing. D'autre part, l'information fournie aux clients et anciens clients ne précisait aucune durée de conservation ou critère pour la déterminer pour les traitements marketing, se contentant d'une mention générique.

En conséquence, l’autorité a imposé une amende de 400 000 € à Verisure Italy s.r.l..

En outre, l’autorité a ordonné à la société de cesser tout traitement ultérieur des données collectées sans base légale valide à des fins de marketing, de supprimer les données correspondantes, et de mettre ses traitements en conformité avec le RGPD, notamment en ce qui concerne l'information fournie aux utilisateurs.