g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di Tiscali Italia SpA - 6 dicembre 2011 [1885236]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1885236]

Ordinanza di ingiunzione nei confronti di Tiscali Italia SpA - 6 dicembre 2011

Registro dei provvedimenti
n. 472 del 6 dicembre 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione di violazione amministrativa redatto in data 13 gennaio 2010 nei confronti di Tiscali Italia SpA, con sede in Cagliari, Loc. Sa Illetta, SS 195, in persona del legale appresentante pro-tempore, per le violazioni amministrative di cui agli artt. 162, comma 2-ter, 162-bis e 162, comma 2-bis, del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

VISTI gli atti dell´accertamento ispettivo, compiuti da questo Ufficio in data 22 e 23 settembre 2009, da cui è risultato che la società Tiscali effettua un trattamento dei dati di traffico telefonico e telematico dei propri clienti, conservando tali dati oltre i termini previsti dall´art. 132 del Codice e non avendo provveduto a renderli immediatamente non disponibili per le elaborazioni dei sistemi informativi in violazione del provvedimento del Garante del 17 gennaio 2008 [doc. web n. 1482111]. Visto inoltre che la società ha consentito l´accesso ai dati di traffico dei propri clienti alla società Amdocs, in carenza di una designazione della stessa a responsabile del trattamento e, dunque, senza il consenso degli interessati, in violazione dell´art. 23 del Codice;

VISTO il verbale n. 637/65350 del 13 gennaio 2010 con cui sono state contestate a Tiscali Italia SpA le violazioni amministrative di cui agli artt. 162, comma 2-ter, 162-bis e 162, comma 2-bis, del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

VISTO che il provvedimento del Garante del 19 novembre 2009, nell´ambito del quale le predette violazioni risultano accertate, non è stato impugnato dalla società;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981 con il quale la società ha dichiarato che, con riguardo alla contestazione per inosservanza del provvedimento del Garante del 17 gennaio 2008, ha attuato "una politica di separazione dei dati di traffico dei propri clienti, sia nelle componenti di elaborazione che nell´immagazzinamento dei dati stessi, a seconda delle diverse finalità per le quali essi sono archiviati" e di essersi attivata per adottare le opportune misure per la conservazione dei dati stessi. La società ha precisato, infatti, che i dati di traffico telefonico e telematico conservati per fini di giustizia sono trattati tramite sistemi informatici distinti da quelli utilizzati per gestire dati di traffico per finalità commerciali o attinenti all´erogazione dei servizi. Relativamente, invece, alla violazione dell´art. 23 del Codice, la società ha rappresentato che "l´unica mancanza nella gestione del rapporto privacy con Amdocs si è verificata solo a partire dal marzo 2009, (…) per un periodo estremamente limitato (aprile/ottobre 2009)." La società ha chiesto, infine, che venisse applicata la sanzione di cui all´art. 162, comma 2-bis, nell´importo modificato dalla legge n. 166 del 20 novembre 2009;

RITENUTO che le argomentazioni addotte non sono idonee ad escludere la responsabilità della società in ordine a quanto contestato. In primo luogo, infatti, si osserva che la violazione relativa all´inosservanza del provvedimento del Garante ha riguardato in maniera specifica la prescrizione di cui alla lett. a), punto 5, in base al quale la società Tiscali non ha provveduto a "rendere i dati di traffico immediatamente non disponibili per le elaborazioni dei sistemi informativi allo scadere dei termini previsti dalle disposizioni vigenti (…)". In base a tale disposizione, infatti, i dati di traffico telefonico e telematico, allo scadere dei rispettivi termini, devono essere resi anonimi oppure cancellati. Al momento dell´accertamento ispettivo, tuttavia, non risulta che tale adempimento venisse effettuato. Tra l´altro, si rileva che le argomentazioni prodotte dalla parte si riferiscono all´obbligo, gravante sui fornitori di servizi, di gestire i dati di traffico su sistemi informativi diversi, in base alle loro finalità (lett. a), punto 3 del provvedimento), che è obbligo differente rispetto a quello della cancellazione dei dati nei termini di legge. Per quanto concerne, invece, la violazione dell´art. 23 del Codice, la parte, pur ammettendo di aver comunicato ad Amdocs i dati di traffico dei propri clienti in assenza dei presupposti di legge, ha contestato l´applicazione della sanzione di cui all´art. 162, comma 2-bis, nella formulazione precedente alle modifiche legislative. Pur volendo riconoscere che la comunicazione illecita dei dati ad Amdocs è avvenuta a partire dalla data di commercializzazione del servizio, cioè da marzo 2009, ed è continuata fino a quella di designazione della stessa a responsabile del trattamento (28 ottobre 2009), in questo lasso di tempo non era ancora intervenuta la modifica legislativa che riduceva l´importo del minimo della sanzione amministrativa. Tale argomentazione, dunque, non è fondata e deve essere pertanto applicata la sanzione vigente al momento della commissione della violazione;

RILEVATO, pertanto, che la società ha effettuato un trattamento di dati di traffico telefonico e telematico in violazione di quanto stabilito nell´art. 132 del Codice e nel provvedimento del Garante del 17 gennaio 2008 e accertato altresì che la società ha comunicato gli stessi dati a una società terza, in violazione dell´art. 23 del Codice;

VISTO l´art. 162-bis, del Codice che punisce la violazione delle disposizioni di cui all´art. 132, comma 1 e 1-bis, con la sanzione amministrativa del pagamento di una somma da diecimila a cinquantamila euro;

VISTO l´art. 162, comma 2-ter, del Codice che punisce l´inosservanza dei provvedimenti di cui all´art. 154, comma 1, lett. c) e d), con la sanzione amministrativa del pagamento di una somma da trentamila a centottantamila euro;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione introdotta dal d. l. n. 207 del 30 dicembre 2008, convertito con modificazioni nella legge n. 14 del 27 febbraio 2009, che punisce la violazione delle disposizioni richiamate dall´art. 167, tra cui l´art. 23, con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, la violazione di cui all´art. 162-bis, del Codice, valutata in relazione agli elementi dell´entità del pregiudizio e del pericolo, dell´intensità dell´elemento psicologico e delle modalità della condotta, risulta particolarmente rilevante laddove si osserva che, all´atto degli accertamenti (22 e 23 settembre 2009), i dati erano conservati ben oltre i termini stabiliti dalla legge (24 mesi per quelli di traffico telefonico e 12 mesi per quelli di traffico telematico) e in particolare: per quanto riguarda quelli relativi al traffico telematico a partire dal 2007; quelli relativi al traffico telefonico dal 1999; i log delle e-mail dal 2001. Deve essere tenuta in debita considerazione la circostanza che le violazioni hanno riguardato i dati personali di numerosi interessati (l´intera base clienti) e che risultano commesse da un fornitore di servizi di comunicazione elettronica di rilievo nazionale dotato di rilevanti risorse organizzative e competenze tecniche e giuridiche, in grado di interpretare correttamente le disposizioni di legge nonché le prescrizioni dell´Autorità e darvi conseguentemente attuazione. Dal punto di vista, infine, dell´elemento psicologico, deve essere tenuta in considerazione la circostanza, riportata nel provvedimento del 19 novembre 2009, secondo la quale la società, nell´ambito del procedimento, ha fornito informazioni sulla conservazione dei dati di traffico che, a seguito degli accertamenti ispettivi effettuati, si sono dimostrate non rispondenti al vero, tanto da determinare, come riportato nel provvedimento del 19 novembre 2009, la trasmissione degli atti all´Autorità giudiziaria per le valutazioni di competenza in ordine alla violazione prevista dall´art. 168 (Falsità nelle dichiarazioni al Garante);

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere favorevolmente apprezzato il comportamento della società che, in seguito al provvedimento del Garante, ha dichiarato di aver adeguato i propri sistemi conformemente alle misure prescritte dalla legge;

c) circa la personalità dell´autore della violazione, si rileva che la società è stata destinataria del citato provvedimento prescrittivo, datato 19 novembre 2009;

d) in merito alle condizioni economiche dell´agente, invece, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, devono essere apprezzati in termini di aumento della sanzione gli elementi desumibili dal bilancio d´esercizio della società per l´anno 2010, individuati nel volume d´affari realizzato dalla società;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria per la violazione di cui all´art. 162-bis, nella misura di euro 50.000,00 (cinquantamila); per la violazione di cui all´art. 162, comma 2-ter, nella misura di euro 120.000,00 (centoventimila); per la violazione dell´art. 162, comma 2-bis, nella misura di euro 40.000,00 (quarantamila); per un importo complessivo di euro 210.000,00 (duecentodiecimila);

VISTO l´art. 164-bis, comma 4, del Codice che prevede che le sanzioni amministrative di cui al Titolo III, Capo I, del Codice possono essere aumentate fino al quadruplo quando possono risultare inefficaci in ragione delle condizioni economiche del contravventore;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l´aumento previsto dall´art. 164-bis, comma 4, del Codice nella misura, ritenuta congrua, pari a euro 420.000,00 (quattrocentoventimila);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

ORDINA

a Tiscali Italia S.p.A., con sede in Cagliari, Loc. Sa Illetta, in persona del legale rappresentante pro tempore, di pagare la somma di euro 420.000,00 (quattrocentoventimila) a titolo di sanzione amministrativa pecuniaria per le violazioni degli artt. 162-bis, 162, comma 2-ter e 162, comma 2-bis del Codice, come determinata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 420.000,00 (quattrocentoventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 6 dicembre 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
De Paoli