[doc. web n. 4223902]

Ordinanza di ingiunzione nei confronti di Lo.Ma. S.r.l. - Lo.Ma. S.r.l. - 26 marzo 2015

Registro dei provvedimenti
n. 184 del 26 marzo 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di Finanza, Nucleo di Polizia Tributaria di Brescia ha contestato, con atto, che qui deve intendersi integralmente riportato, del 10 novembre 2011 (notificato in pari data) a Lo.Ma. S.r.l., con sede in Pralboino (BS), via Dante, n. 5, in persona del legale rappresentante pro-tempore, la violazione delle disposizioni di cui agli artt. 13 e 161 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice") per l´attivazione di una scheda telefonica effettuata all´insaputa del soggetto interessato;

VISTO che nell´atto di contestazione del 10 novembre 2011 si dichiara che "nel gennaio del 2007 questo Reparto ha concluso una complessa indagine di P.G. nei confronti di un sodalizio criminale dedito al traffico di stupefacenti. In tale contesto si accertava che i reali utilizzatori di molte utenze mobili, sottoposte ad intercettazioni, non corrispondevano ai formali intestatari. Gli approfondimenti eseguiti permettevano di acquisire dai formali intestatari delle sim card predette formali denunce di disconoscimento e di individuare una società, con sede nella provincia di Brescia, che, in qualità di "Master dealer" della Vodafone Omnitel N.V., risultava aver attivato tali utenze"; "Le investigazioni espletate nei confronti del dealer "Lo.Ma. S.r.l." […] hanno permesso di rilevare come quest´ultima società abbia intestato numerose sim-card a terzi, risultati ignari di tali attribuzione […]"; "L´esito di tale attività portava alla raccolta una querela relativa all´attivazione di una sim card, effettuata dalla "Lo.Ma. S.r.l." […]. Si provvedeva quindi ad acquisire dal gestore Vodafone N.V. copia di alcuni dei contratti stipulati e oggetto di querela […] l´esame dello stesso evidenzia un´evidente difformità tra la firma apposte sul contratto e quella riportata sul documento di identità del querelante";

RILEVATO che dal rapporto relativo all´atto di contestazione di cui sopra, predisposto dal predetto Nucleo di Polizia Tributaria ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689,  non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi del 1 dicembre 2011 in ordine alla predetta contestazione:

- con cui la parte ha segnalato l´ "assenza di elementi probatori a carico della ricorrente per l´asserita violazione dell´art. 13 D. Legs 196/2003" evidenziando che "[…] a) A decorrere dal 28/10/2005, la Lo.Ma. S.r.l. aveva in essere un contratto con la società Wanted Electronics S.r.l. […] fornitore di sim card per conto di Vodafone; b) La Wanted, in qualità di fornitore esclusivo e Master Dealer, era in possesso di tutte le password per l´accesso alla rete di Lo.Ma. S.r.l., ove venivano attivate e gestite le sim card Vodafone; c) Ciò, di fatto, rendeva possibile il libero accesso da parte di Wanted S.r.l., Master dealer di Lo.Ma. S.r.l., al sistema di attivazione di quest´ultima. Wanted ben avrebbe potuto attivare dei contratti utilizzando le password di Lo.Ma. S.r.l., sfruttando i documenti raccolti presso altri punti Vodafone (sempre da loro gestiti) e, dunque, i dati di altri soggetti  […]";

- nelle medesime memorie, la parte ha altresì rappresentato che "Lo.Ma. S.r.l. non ha mai conosciuto, né ospitato presso i propri locali commerciali, la signora Olivia Panarotto, intestataria della sim card attivata a sua insaputa. Tale circostanza ha, di fatto, impedito a Lo.Ma. S.r.l. di accedere ai dati personali della Signora Panarotto […] Tale circostanza troverà conferma nelle stesse dichiarazioni della Signora Olivia Panarotto […] Presso i locali Lo.Ma. S.r.l. i Verbalizzanti avrebbero rinvenuto un contratto di attivazione sim card intestato alla Signora Olivia Panarotto, sprovvisto dei documenti di identità assolutamente necessari per l´attivazione della sim […] L´unico soggetto che avrebbe potuto accedere ai dati della Signora Panarotto Olivia, (probabilmente già cliente di un altro punto Vodafone) era la Wanted S.r.l., la quale una volta rinvenuti i dati della Panarotto, perché raccolti presso un altro rivenditore, ben avrebbe potuto elaborarli presso il punto di vendita Lo.Ma. S.r.l., inserendosi nella sua rete tramite l´utilizzo delle sue password […]";

PRESO ATTO che, nelle medesime memorie, la parte ha richiesto di essere ascoltata ai sensi dell´art. 18 della legge n. 689/1981, per poi rinunciare all´audizione in data 7 settembre 2012;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità della società in relazione alla contestazione di cui sopra per le motivazioni di seguito riportate:

- deve osservarsi, con riferimento al primo motivo di doglianza richiamato nelle memorie difensive che la società non ha fornito nessun elemento a sostegno di quanto dichiarato circa la possibilità del Master Dealer (Wanted Electronics S.r.l.) di attivare schede telefoniche con le credenziali di Lo.Ma. S.r.l.. Contrariamente a quanto affermato da Lo.Ma. S.r.l., il Master dealer, Wanted Electronics S.r.l., non aveva alcuna possibilità di accedere alla rete della società e gestire i dati da essa acquisiti al fine di attivare illecitamente la scheda telefonica in argomento. Infatti, nella nota del 17 luglio 2008, trasmessa da Vodafone Omnitel N.V., vengono fornite "le informazioni relative alla fase di abilitazione del point all´interno della struttura commerciale di un Master Dealer: 1. Il Master Dealer inserisce attraverso la propria inferfaccia web della dealer station i dati anagrafici del Point […] 4. Il Master Dealer stampa la schermata con i codici di primo accesso (ID identificativo del point e password) […] 5. Il Master Dealer comunica al point (via mail, via fax, al telefono o anche di persona) i codici di accesso, che devono essere modificati dal point subito dopo il primo accesso […]". La procedura, ove rispettata, cosa su cui Lo.Ma. S.r.l. non fornisce alcun riscontro, impedisce di fatto al Master Dealer di attivare schede telefoniche con le credenziali dei Point;

- con riferimento alle ulteriori argomentazioni difensive, deve rilevarsi che la circostanza per cui il contratto di intestazione della scheda telefonica in argomento sia stato effettivamente rinvenuto all´interno dei locali di Lo.Ma. S.r.l. indica che lo stesso è stato sottoscritto presso il Point e non presso la sede del Master dealer, come sostenuto dalla parte. Parimenti, il fatto che la sig.ra Olivia Panarotto abbia negato l´accesso presso il Point e disconosciuto l´utenza telefonica in argomento, dimostra che l´attivazione della sim-card è avvenuta senza che l´interessata ne avesse fatto richiesta, attraverso un´acquisizione e un uso illegittimi dei suoi dati personali;

RITENUTO che, con riferimento al complessivo trattamento svolto da Lo.Ma. S.r.l. finalizzato all´attivazione della scheda telefonica all´insaputa dell´intestataria, deve osservarsi altresì quanto segue:

- le modalità affinché l´attivazione di schede telefoniche sia svolta in una cornice di legittimità rispetto alle disposizioni del Codice sono state indicate nel provvedimento a carattere generale del 16 febbraio 2006 (pubblicato in G.U. n. 54 del 6 marzo 2006, rinvenibile in www.gpdp.it, doc. web n. 1242592), nel quale si rappresenta, fra l´altro, che "tutti i soggetti coinvolti nel loro trattamento sono tenuti ad assicurare che i dati siano raccolti e registrati per scopi determinati, espliciti e legittimi, e trattati anche successivamente in modo lecito e secondo correttezza" e che "agenti e rivenditori rivestono la qualità di titolari autonomi del trattamento dei dati utilizzati ai fini dell´attivazione dei servizi quando, in base alle modalità della propria attività, esercitano un potere decisionale reale e del tutto autonomo sulle modalità e sulle finalità del trattamento effettuato nel proprio ambito (cfr. art. 4, comma 1, lett. f) del Codice). In tal caso, essi devono adempiere autonomamente agli obblighi previsti dal Codice, con particolare riferimento a quelli, sopra specificati, di informativa, di raccolta del consenso eventualmente necessario e dell´adozione di idonee misure di sicurezza";

- nel caso in argomento, Lo.Ma. S.r.l. ha trattato dati personali di clienti del gestore di telefonia Vodafone, in forza di un accordo sottoscritto con la società Wanted Electronics S.r.l. (che aveva assunto il ruolo di Master dealer);

- in tale accordo si precisa, fra l´altro, che "il Point si assume l´obbligo e la responsabilità di identificare gli acquirenti di: Carte Telefoniche, Prepagate, Contratti di Abbonamento e di qualsiasi altro servizio offerto da Vodafone. L´identificazione è compiuta prima della consegna della Carta Sim, acquisendo i dati anagrafici riportati in un valido documento d´identità" e deve, fra l´altro, "rendere l´informativa ai clienti Vodafone concernente le finalità e le modalità del trattamento dei dati personali ed i diritti degli interessati (tale informativa è contenuta nella modulistica predisposta da Vodafone)"; "trattare i dati personali dei Clienti Vodafone contenuti nella modulistica nel rispetto degli obblighi contenuti nel presente accordo, solo ed esclusivamente per le finalità correlate all´adempimento degli obblighi contrattuali vigenti tra il Master Dealer e il Point"; "effettuare la raccolta dei dati personali dei clienti e le operazioni di attivazione e postattivazione in modo riservato, avendo cura che non sia possibile per altri soggetti assistere direttamente alle operazioni riguardanti i dati personali dei Clienti"; "identificare il cliente mediante un documento di riconoscimento prima di effettuare interventi di visualizzazione dell´utenza sul supporto informatico";

- una persona ha disconosciuto la titolarità della scheda telefonica attivata a sua insaputa con denuncia presentata alla Guardia di finanza il 17 marzo 2008, rappresentando di non aver mai richiesto l´attivazione a proprio nome dell´utenza oggetto di disconoscimento e di non aver mai dato incarico ad altri di provvedervi per proprio conto;

- alla luce del fatto che la difesa non risulta aver contestato in sede penale la denuncia presentata dalla querelante, consegue il fatto che la scheda telefonica oggetto di disconoscimento è stata attivata all´insaputa dell´intestataria e quindi contravvenendo a numerose diposizioni contrattuali (ad esempio in materia di identificazione del soggetto che richiede l´attivazione di schede o servizi aggiuntivi o anche solo la visualizzazione della proprio posizione contrattuale) che legano le operazioni di trattamento dei dati personali svolte da Lo.Ma. S.r.l. al complessivo trattamento di cui il gestore telefonico è titolare;

- emerge pertanto che, con riferimento alle operazioni volte all´attivazione della scheda telefonica in assenza dell´intestatario e senza l´acquisizione di un suo valido documento, Lo.Ma. S.r.l. ha svolto trattamenti di dati personali esercitando un potere decisionale del tutto autonomo e svincolato dalle disposizioni contrattuali che la legavano al gestore telefonico e al Master dealer, assumendo la veste giuridica di titolare del trattamento, così come delineato dal richiamato provvedimento del Garante del 16 febbraio 2006;

- da ciò deriva che Lo.Ma. S.r.l., in qualità di autonomo titolare del trattamento, avrebbe dovuto rendere all´intestataria della scheda telefonica l´informativa contenente tutti gli elementi indicati nell´art. 13 del Codice prima della raccolta dei dati, circostanza che non risulta sia mai avvenuta;

- per tali ragioni e per quanto sopra osservato in ordine alle specifiche argomentazioni difensive della parte, si ritiene correttamente contestata a Lo.Ma. S.r.l. la violazione delle disposizioni di cui all´art. 13 del Codice;

- in considerazione del fatto che l´attivazione è avvenuta nell´anno 2007, la predetta contestazione, notificata il 10 novembre 2011, risulta essere stata effettuata nel rispetto dei termini prescrizionali quinquennali di cui all´art. 28 della legge n. 689/1981 oltre che dei termini di notifica della contestazione di cui all´art. 14 della medesima legge, in relazione alla data dell´accertamento, da collocarsi in epoca successiva al 15 settembre 2011, data in cui il Pubblico Ministero di Brescia ha autorizzato la Guardia di finanza a utilizzare gli atti del procedimento penale n. 8893/07 r.g.n.r.;

RILEVATO, quindi, che Lo.Ma. S.r.l., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare ai sensi degli artt. 4 e 28 del Codice, la violazione di cui al successivo art. 161, per aver svolto trattamenti di dati personali finalizzati all´attivazione di n. 1 scheda telefonica all´insaputa dell´intestataria, e quindi senza avere reso alla stessa l´informativa di cui all´art. 13 del Codice prima della raccolta dei dati personali;

VISTO l´art. 161 del Codice, nella formulazione vigente all´epoca dei fatti, che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da tremila euro a diciottomila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione risulta connotata da elementi specifici dettati dalla circostanza che Lo.Ma. S.r.l., al fine di attivare indebitamente la scheda telefonica in argomento, ha violato le disposizioni in tema di informativa di cui all´art. 13 del Codice, contravvenendo a specifiche disposizioni contrattuali oltre che a quanto stabilito dal Garante con il provvedimento del 16 febbraio 2006;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere considerato in termini non favorevoli il fatto che Lo.Ma. S.r.l. abbia negato gli addebiti ed evidenziato che il possibile soggetto responsabile dell´attivazione illecita potesse essere il Master dealer e quindi non si sia adoperata in alcun modo per eliminare o attenuare le conseguenze della violazione;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che Lo.Ma. S.r.l. non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali per l´anno d´imposta 2013;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria,  in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 5.000,00 (cinquemila) per le violazioni di cui all´art. 161;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a Lo.Ma. S.r.l., con sede legale in Pralboino (BS), via Dante, n. 5, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 5.000,00 (cinquemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 26 marzo 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia