La vicenda alla base della pronuncia nasce da numerosi reclami ricevuti dal Garante e aventi ad oggetto il presunto trattamento illecito subito dai clienti di un istituto di credito, all’interno di una operazione straordinaria di cessione tramite conferimento di due rami di azienda a favore di una società controllata al 100%.
Avviata l’istruttoria, l’Autorità ha riscontrato che la Banca, nell’ambito dell’operazione straordinaria, ha svolto “un’attività di perimetrazione dei clienti prevalentemente digitali” e ha estratto dai suoi sistemi gestionali i soggetti detentori di determinate caratteristiche, al fine di trasferirli ad un altro titolare del trattamento, ossia la società cessionaria dei rami d’azienda. Con tale attività ha realizzato una profilazione, la quale poteva essere effettuata solamente con una base giuridica adeguata, ai sensi dell’art. 6 GDPR.
L’istituto di credito ha utilizzato come base giuridica della profilazione il legittimo interesse ma, affinché possa sussistere tale base giuridica, è necessario che gli interessi o i diritti e le libertà fondamentali dell’interessato non prevalgano sul legittimo interesse del titolare e/o responsabile del trattamento. Risultava dunque indispensabile effettuare una ponderazione degli interessi in gioco (quelli del titolare e quelli dell’interessato) e, all’interno di questo bilanciamento, tenere in considerazione, come stabilito dalla Corte di giustizia nella causa C-252/21, “delle ragionevoli aspettative dell’interessato, nonché della portata del trattamento in questione e dell’impatto di quest’ultimo su tale persona”. Se l’interessato non può prevedere un trattamento sulla base delle informazioni ricevute, esso è illecito e, nel caso di specie, la presentazione di numerosi reclami al Garante ha dimostrato che il trattamento non era prevedibile.
La base giuridica dell’interesse legittimo non era dunque sufficiente, risultando invece necessario il consenso informato degli interessati. Non essendo stato rilasciato il consenso alla profilazione, tale attività è avvenuta in violazione dell’art. 6, par. 1, GDPR.
Secondo l’analisi del Garante è stata l’assenza di trasparenza a non aver permesso agli interessati di conoscere l’esistenza del trattamento di profilazione. Oltre a non aver indicato all’interno dell’informativa la finalità specifica a cui era rivolto il trattamento, la trasparenza è mancata anche con riferimento alle modalità con le quali tale informativa è stata resa agli interessati. L’istituto di credito non ha utilizzato modalità di comunicazione delle informazioni trasparenti nei confronti degli interessati, diffondendo l’informativa nella sezione “archivio” dell’app, senza notifica push o avviso di messaggio e prevedendo un termine entro il quale manifestare il proprio dissenso. Secondo il Garante “un adeguato bilanciamento avrebbe infatti dovuto escludere l’inserimento di una comunicazione così rilevante tra i consueti avvisi che solitamente si ricevono e che spesso non vengono nemmeno letti dagli utenti”.
Il Garante ribadisce che “il trattamento dei dati personali deve avvenire nel rispetto dei principi di liceità, correttezza e trasparenza, con particolare riguardo al principio di trasparenza che consiste nel fornire all’interessato tutte le informazioni inerenti al trattamento dei dati personali che lo riguardano, in modo accessibile e comprensibile, nel rispetto di quanto previsto dagli artt. 13 e 14 del GDPR”
Ritenuto illegittimo il trattamento effettuato dall’istituto di credito, lo ha condannato al pagamento di una sanzione amministrativa oltre che alla pubblicazione del provvedimento e all’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.