Audizione presso la Camera dei Deputati, XI^ Commissione –
23 settembre 2014
Prima di passare all’analisi specifica attinente alla protezione dei dati personali nel caso di call center collocati in Paesi esteri (alla luce delle disposizioni dell’articolo 24-bis del decreto legge n. 83/2012), è necessario precisare che, in generale, le attività svolte dai call center (quando non finalizzate alla semplice assistenza tecnica o informazione telefonica) sono da ricondurre nell’ambito del più ampio fenomeno del telemarketing.
Alla base del nostro interesse, oltre all’attenzione rispetto alle modalità con le quali viene assicurata la protezione e la tutela dei dati dei cittadini, vi è l’esposizione dei consumatori a campagne di marketing telefonico invadenti ed aggressive, terreno sul quale l’Autorità ha sempre mantenuto e continua a mantenere alta l’attenzione, nella consapevolezza della forte contrapposizione tra gli interessi dei cittadini-utenti (tutelarsi dall’eccesso di telefonate) e quelli degli operatori e delle imprese (creare domanda) che necessariamente deve essere gestita ricercando un equilibrato bilanciamento.
La crisi del settore (con riferimento alle società che offrono servizi di call center) sia in termini di perdita di occupazione che di valore economico, difficilmente, a nostro avviso, può essere messa in relazione ai provvedimenti adottati nel tempo dal Garante, che peraltro ha sempre ricercato il punto di equilibrio tra l’esigenza di far rispettare le norme e tutelare i cittadini e la necessità di non ostacolare le imprese.
L’attività di contrasto del Garante alle distorsioni del fenomeno del telemarketing – nell’ambito delle quali appunto, in questa circostanza, vanno considerate le attività dei call center – è sempre stata molto decisa.
A partire dal 2010, sono stati avviati accertamenti nei confronti di società di telecomunicazioni che hanno permesso di conoscere anche le modalità con le quali i call center di cui si avvalgono, trattano i dati personali dei potenziali clienti.
Nel corso del 2013 sono state invece effettuate circa 23 attività ispettive a società che prestano servizi di call center anche in favore di più operatori economici. Con riferimento al fenomeno delle chiamate indesiderate per finalità promozionali sono stati avviati, soltanto nel 2013-2014, circa 28 procedimenti sanzionatori per violazione del registro delle opposizioni (il cui illecito prevede sanzioni da 10.000 a 120.000 euro) e 68 procedimenti sanzionatori per violazione delle norme sull’informativa (con sanzioni da 6.000 a 36.000 euro) e sul consenso (con sanzioni da 10.000 a 120.000 euro).
Di questi procedimenti sanzionatori 47 sono stati adottati direttamente nei confronti di call center.
Si tratta, come si nota dai dati che si riferiscono soltanto agli ultimi anni, di un’attività costante ed intensa che tiene conto delle numerose segnalazioni che arrivano dai cittadini e che si accompagna all’adozione di prescrizioni specifiche con le quali si sono individuate, nel tempo, le modalità per rendere il trattamento dei dati effettuato dai call center, e dalle società che se ne avvalgono, conforme al Codice.
Oltre a ribadire il rispetto delle norme connesse al rilascio dell’informativa ed all’acquisizione del preventivo consenso dell’utente, nonché ai necessari riscontri con il Registro delle opposizioni, il Garante ha richiamato l’obbligo di provvedere alla regolare formazione degli operatori che trattano i dati, di effettuare verifiche periodiche sull’osservanza delle istruzioni impartite, di adottare tutte le misure di sicurezza opportune (impedendo ad es. agli operatori di estrarre i dati dai sistemi ovvero effettuarne copia od alterarli).
Da un punto di vista tecnico, abbiamo ritenuto preferibile e conseguentemente prescritto, il sistema CRM (Customer Relationship Management) detenuto e gestito direttamente dalla società committente al quale gli operatori accedono in remoto, previa specifica autenticazione.
Tale sistema (già adottato da diverse società) consente di uniformare il trattamento svolto dai singoli call center indipendentemente dalla loro localizzazione.
Con il recente provvedimento del 20 febbraio 2014 sulle telefonate mute, adottato all’esito di una consultazione pubblica, abbiamo invece imposto specifiche regole tecniche per eliminare gli effetti distorsivi di un fenomeno – quale l’utilizzo di sistemi automatizzati di instradamento della chiamata agli operatori di call center – che ha raggiunto dimensioni allarmanti (alla fine del 2013, erano pervenute al Garante circa 400 segnalazioni).
Con riferimento alla problematica specifica dei call center delocalizzati all’estero, l’art. 24- bis del decreto legge 22 giugno 2012, n. 83, ha introdotto delle disposizioni che attengono alla protezione dei dati personali.
Come noto, la norma prevede che un’impresa, qualora decida di trasferire un’attività di call center al di fuori del territorio nazionale, ne dia comunicazione, almeno centoventi giorni prima al Ministero del Lavoro ed al Garante, indicando quali misure vengano adottate per il rispetto del Codice e della disciplina sul Registro delle opposizioni.
Si è inoltre stabilito, che gli interessati, nel rivolgersi a (o essere contattati da) un call center siano informati del fatto che l’operatore possa essere collocato in un Paese estero e sia fornita all’utente che ha effettuato la chiamata la possibilità di scegliere un operatore nazionale.
A seguito della citata disposizione, sono pervenute al Garante alcune segnalazioni e richieste di chiarimenti anche da parte degli operatori in merito all’interpretazione della stessa ed alle concrete modalità di applicazione.
Con il provvedimento del 10 ottobre 2013, oltre a mettere in risalto aspetti di carattere ricognitivo nel settore call center individuando gli adempimenti necessari per rendere conformi i trattamenti alle disposizioni del Codice, si sono dunque fornite specifiche indicazioni sugli obblighi espressamente previsti dall’art. 24-bis.
In particolare, si è prescritto di:
a) integrare l’informativa resa agli utenti precisando l’ubicazione dell’operatore ed adottare nel caso in cui la chiamata venga effettuata dal cittadino, apposite procedure per consentire la scelta di un operatore italiano;
b) effettuare, nel caso di trasferimento (o di affidamento del trattamento) di dati personali ad un call center sito al di fuori dell’Unione europea, un’apposita comunicazione al Garante utilizzando un modello pubblicato sul sito istituzionale dell’Autorità.
La comunicazione deve essere inviata – entro 30 giorni dalla pubblicazione del provvedimento – anche nel caso di trattamenti di dati personali già affidati a call center operanti al di fuori dell’Unione europea.
Ciò appunto al fine di consentire all’Autorità di effettuare una completa ricognizione del fenomeno.
È importante evidenziare che il provvedimento si rivolge a tutti i titolari pubblici e privati che svolgono, direttamente o in affidamento a terzi, un’attività di call center (sia di assistenza ai clienti che di attività promozionali), indipendentemente dal numero di dipendenti impiegati e dal fatto che esercitino tale attività in maniera prevalente.
L’ambito di applicazione delle prescrizioni del Garante è dunque più ampio rispetto all’art. 24-bis – come delineato dalla circolare del Ministero del Lavoro dell’aprile 2013 che si riferisce alle aziende che svolgono in via assolutamente prevalente un’attività di call center e che restringe l’obbligo di comunicazione alle sole ipotesi di delocalizzazione che generano esuberi – sul presupposto che la rilevanza della protezione dei dati degli utenti è tale a prescindere dal numero dei dipendenti impiegati (la norma parla di 20 dipendenti), dalla tipologia di attività svolta dal call center (semplice attività di assistenza o attività di marketing) e della eventuale o meno prevalenza di tale attività da parte dell’impresa interessata.
Le prescrizioni contenute nel provvedimento del 10 ottobre 2013 consentono inoltre al Garante, in caso di inosservanza (ex art. 154, comma 1, lett. c), di applicare la sanzione amministrativa pecuniaria prevista dall’art. 162, comma 2-ter (che prevede il pagamento di una somma da 30.000 a 180.000 euro).
In ottemperanza alle prescrizioni del citato provvedimento sono pervenute 36 notificazioni da parte di società titolari del trattamento che utilizzano call center ubicati al di fuori dell’Unione europea, principalmente situati in Albania e Tunisia.
Dalle risultanze istruttorie di tipo documentale è in generale emerso che la parte più rilevante dell’attività svolta è effettuata sul territorio italiano, mentre l’affidamento a partner esteri appare essere residuale ancorché risulti in aumento.
Occorre ricordare che nel caso di delocalizzazioni in Paesi membri dell’Unione europea (es. Romania, Bulgaria) non ricorrono le condizioni per applicare l’art. 24-bis né il provvedimento del Garante del 2013 – nella parte relativa all’obbligo di notificazione al Garante ed all’informativa – , in linea con i principi della libertà di stabilimento e libera prestazione dei servizi previsti dal diritto europeo e, in particolare, dalla disciplina in materia di protezione dei dati personali (che appunto impone agli Stati membri di non restringere o vietare la libera circolazione dei dati).
Inoltre dalle notificazioni è emerso che le società committenti hanno provveduto a nominare i call center (italiani o esteri) – in conformità ad un precedente provvedimento del Garante del 15 giugno 2011 – quali Responsabile del trattamento ai sensi dell’art. 29 del Codice. Si tratta di un elemento importante che mantiene in capo alla società committente italiana che affida il servizio al call center (siano essi contrattualizzati direttamente o in regime di subappalto come avviene di norma), la responsabilità in ordine alle finalità, alle modalità del trattamento di dati personali ed agli strumenti utilizzati, ivi compreso il profilo attinente alla loro sicurezza, agevolando così l’attività di verifica del Garante e l’eventuale adozione di sanzioni in caso di accertamento di illeciti.
Le società hanno inoltre dichiarato di rendere adeguate informative e di prevedere soluzioni che consentono di deviare le telefonate ad un operatore italiano ovvero di disporre di un successivo contatto da parte dello stesso.
Sul punto hanno comunque evidenziato di non avere riscontrato particolari richieste in tal senso da parte degli utenti. Del resto anche al Garante – ad oggi – non sono pervenute segnalazioni o reclami degli utenti di particolare rilevanza, tranne alcune presentate da associazioni sindacali.
L’Autorità, al fine di verificare la correttezza delle dichiarazioni istruttorie ed il rispetto delle disposizioni del provvedimento, ha deliberato di svolgere nel secondo semestre del 2014 accertamenti ispettivi presso le società committenti che verranno effettuati anche in collaborazione con il Nucleo speciale privacy della Guardia di Finanza (circa 15 attività di accertamento delegate).
In questo contesto il controllo sulle concrete modalità di trattamento dei dati e sul rispetto delle prescrizioni da parte dei call center esteri può risultare più complesso. Sul punto vale la pena di segnalare che il Garante ha di recente avviato con l’omologa Autorità albanese una attività di collaborazione anche al fine di procedere con congiunte attività di accertamento.
In questa ottica, l’Autorità ha chiesto l’elenco delle società italiane che utilizzano servizi di call center albanesi nonché l’esatta denominazione delle società albanesi che offrono tali servizi alle società italiane.
Per concludere, rispetto alla rappresentazione che spesso si registra nell’opinione pubblica di una delocalizzazione selvaggia di attività di call center verso Paesi extra Ue che determinerebbe, sotto il profilo della protezione dei dati, fenomeni rilevanti di trattamenti illeciti, possiamo ritenere che dai riscontri effettuati – ad oggi principalmente di tipo documentale ma che provvederemo a verificare in concreto – non sembra giustificato un diffuso allarme (ovviamente altro profilo è quello attinente alle motivate preoccupazioni per la perdita di posti di lavoro).
Tuttavia, il tema della delocalizzazioni di attività extra Ue – ed il conseguente problema connesso al trasferimento dei dati – è particolarmente delicato soprattutto nei casi in cui i soggetti che operano nei Paesi esteri potrebbero non garantire adeguate misure di protezione e sicurezza, comprese le modalità con cui vengono conservati i dati, esponendoli a rischi di utilizzi illeciti. Se dalle istruttorie svolte sul tema dei call center esteri è emerso un sostanziale
adeguamento delle società committenti alle norme (comprese quelle sulle modalità di trasferimento dei dati previste dal Codice – in particolare attraverso la sottoscrizione di stringenti garanzie in sede contrattuale), non possiamo escludere che il rischio della vulnerabilità dei dati sia maggiore nel caso di società di piccole dimensioni che in molti casi delegano tutta l’attività connessa al marketing – compresa l’eventuale acquisizione dei dati dei potenziali clienti da contattare – a società estere senza effettuare alcuna verifica sulla conformità e sul rispetto delle norme in tema di protezione dei dati da parte di queste ultime.
Spesso, a rendere più complessa l’attività di accertamento del Garante è anche la tendenza ad effettuare le chiamate oscurando il numero chiamante (espressamente vietato dall’art. 9 del D.P.R. 187/2010 che ha istituito il Registro delle opposizioni). Si tratta di un fenomeno che riguarda anche società committenti di grandi dimensioni e che in sede di accertamento dichiarano, in alcuni casi, al Garante di non essere in grado di identificare chi, agendo comunque con evidenza per loro conto, effettua i contatti indesiderati, e riconducono l’illecito nell’ambito di un evento fortuito.
Al fine di non diminuire le garanzie riconosciute agli interessati dal Codice sarebbe opportuno introdurre nell’ordinamento una disposizione con la quale attribuire espressamente al soggetto per conto del quale si effettua il contatto promozionale la titolarità dei dati trattati e, conseguentemente, prevedere, in caso di illeciti, una responsabilità in solido con i soggetti terzi che hanno effettuato la chiamata.
In questo modo le società committenti sarebbero concretamente costrette a delegare l’attività promozionale soltanto a soggetti terzi affidabili ed in grado di rispettare le disposizioni del Codice.
In chiusura, è utile ricordare che il settore dei call center ha interessato l’attività del Garante anche con riferimento alla tutela del trattamento dei dati relativi ai lavoratori, concernenti l’utilizzo dei sistemi più vari che consentono il controllo a distanza (es. nella sistematica registrazione di tutte le comunicazioni telefoniche effettuate dagli operatori di call center e nel riascolto di alcune telefonate o impianti di videosorveglianza che riprendevano le postazioni di lavoro).
All’esito di alcune segnalazioni (presentati al Garante anche per il tramite delle rappresentanze sindacali) sono stati adottati specifici provvedimenti di divieto quando è stato accertato che i trattamenti di dati dei lavoratori comportavano sistemi di controllo a distanza, adottati senza rispetto della normativa prevista in materia, ovvero violazioni delle norme del Codice (mancanza di adeguate informative, tempi indefiniti di conservazione dei dati, la
mancanza di specifiche esigenze aziendali organizzative, produttive o di sicurezza del lavoro mancato rispetto del principio di finalità dei trattamenti effettuati).