[doc. web n. 9500554]

Provvedimento del 1° ottobre 2020

Registro dei provvedimenti
n. 168 del 1° ottobre 2020

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv.  Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il  Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il provvedimento in materia di propaganda elettorale e comunicazione politica adottato dal Garante in data 18 aprile 2019 e preso atto delle risultanze dell’attività di monitoraggio avviata dall’Ufficio;

VISTO il reclamo presentato in data 23 maggio 2019 dal sig. XX secondo cui l’associazione XX (di seguito “associazione” o “ONLUS”) avrebbe inviato una comunicazione di posta elettronica con cui veniva promossa la candidatura alle elezioni XX;

VISTA la nota dell’11 luglio 2019 con la quale l’associazione, in risposta alla richiesta di informazioni dell’Autorità, ha rappresentato che l’indirizzo di posta elettronica del reclamante era inserito nella mailing list della ONLUS per finalità di invio di materiale informativo e promozionale delle attività e dei programmi culturali dell’associazione stessa e si è assunta la responsabilità dell’invio della citata comunicazione di propaganda elettorale con la quale era stata promossa la candidatura di XX “anche alla luce del fatto che [quest’ultimo] ha sempre dato un contributo fattivo alle attività perseguite da XX, pur non essendo neanche associato all’associazione”;

VISTA la nota dell’Ufficio del 22 ottobre 2019 (prot. n. 36140) con la quale, ai sensi dell’art. 166, comma 5, del Codice, è stato comunicato all’associazione, nella sua qualità di titolare del trattamento, l’avvio del procedimento per l’eventuale adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento e sono state notificate le presunte violazioni di legge, individuate, nel caso di specie, nell’utilizzo dell’indirizzo di posta elettronica del reclamante per l’invio di una comunicazione di propaganda elettorale senza adeguata base giuridica ed idonee informazioni all’interessato, trattamento di dati personali effettuato in maniera non conforme ai principi base di liceità e trasparenza del trattamento di cui all’art. 5, par. 1, lett. a), ed in violazione degli artt.. 6, par. 1, lett. a) e 13 del Regolamento;

VISTA la nota del 21 novembre 2019 con cui detta ONLUS ha fornito riscontro precisando quanto segue:

a. con riferimento all’art. 83, par. 2, lett. a): il fatto deve ritenersi di particolare tenuità essendo stata inviata “per mera svista del Titolare del Trattamento di XX una singola email all’XX con la quale veniva garbatamente sottolineato l’impegno politico dell’amico personale XX (all’oscuro di questa iniziativa) del quale si chiedeva l’eventuale fiducia in sede elettorale”;

b. con riferimento all’art. 83, par. 2, lett. b): la violazione deve ritenersi colposa in quanto “dovuta ad una mera svista, in quanto si riteneva che l’XX avesse prestato il consenso alla ricezione di tale comunicazione” ed in considerazione del fatto che è stata inviata al reclamante un’immediata lettera di scuse “per una leggerezza che non aveva precedenti nella storia della ONLUS, né nella storia personale del suo Presidente”;

c. con riferimento all’art. 83, par. 2, lett. c): di aver immediatamente eliminato l’indirizzo di posta elettronica del reclamante dalla mailing list dell’associazione, su richiesta di quest’ultimo e nonostante le comunicazioni dell’associazione siano sempre ed esclusivamente state di natura statutaria;

d. con riferimento all’art. 83, par. 2, lett. d): di essere compliant con il Regolamento sia sotto il profilo organizzativo che con riferimento alle procedure di sicurezza;

e. con riferimento all’art. 83, par. 2, lett. f): di aver collaborato con l’Autorità in modo “immediato e prontamente efficace”;

f. con riferimento all’art. 83, par. 2, lett. g): la violazione non ha riguardato categorie particolari di dati personali del reclamante;

g. con riferimento all’art. 83, par. 2, lett. h): l’Autorità è venuta a conoscenza della presunta violazione a seguito del reclamo proposto dall’XX;

h.  con riferimento all’art. 83, par. 2, lett. j): è stato, medio tempore, adottato un codice etico che è stato comunicato in data 12 novembre 2019 a tuti gli iscritti all’associazione ed alla mailing list;

i. con riferimento all’art. 83, par. 2, lett. k): nessun danno può essere lamentato dal reclamante (a parte il disturbo arrecato) atteso che nessuna comunicazione, oltre all’e-mail del 22 maggio 2019, è stata inviata, nessuno è venuto a conoscenza del suo indirizzo di posta elettronica, detto indirizzo è stato immediatamente cancellato dalla mailing list dell’associazione, la quale si è anche prontamente scusata;

CONSIDERATO che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”;

VISTO il documento allegato alla nota del 21 novembre 2019, contenente il testo della e-mail di scuse, a firma XX, inviata in data 27 maggio 2019 dall’associazione ai suoi iscritti, da cui si evince che l’intera mailing list della ONLUS è stata utilizzata per l’invio della comunicazione di propaganda elettorale de qua;

CONSIDERATO che il punto 2.a del citato provvedimento del Garante del 18 aprile 2019 (in www.garanteprivacy.it, doc web n. 9105201) indica espressamente che enti, associazioni ed organismi che non perseguono esplicitamente scopi di natura politica possano trattare i dati dei propri iscritti per iniziative di propaganda elettorale e connessa comunicazione politica, in qualità di titolari del trattamento, “soltanto qualora acquisiscano il consenso dell’interessato e previa indicazione in modo chiaro nell’informativa dell’intenzione di utilizzare i dati personali degli aderenti al predetto scopo”, conformemente a quanto previsto dagli artt. 6, par. 1, lett. a), 9, par. 2, lett. a) e 13 del Regolamento;

RILEVATO che l’associazione ha trattato gli indirizzi di posta elettronica degli iscritti alla mailing list statutaria per inviare una comunicazione di propaganda elettorale senza il consenso libero, specifico ed informato degli interessati per tale finalità;

RILEVATA dunque l’illiceità del predetto trattamento in quanto effettuato in maniera non conforme ai principi base di liceità e trasparenza del trattamento di cui all’art. 5, par. 1, lett. a), del Regolamento ed in violazione degli artt. 6, par. 1, lett. a) e 13 del Regolamento;

CONSIDERATO, sotto il profilo della valutazione della gravità della violazione, che:

- si è trattato di un’unica comunicazione e che il candidato XX è persona nota agli iscritti in quanto gravitante nell’ambito dell’associazione stessa;

- l’ONLUS, con la citata nota del 21 novembre 2019, ha riferito di aver immediatamente inviato a tutti gli iscritti alla mailing list una lettera di scuse, fornendo una copia del testo inviato;

- l’associazione ha altresì riferito di aver immediatamente eliminato l’indirizzo di posta elettronica del reclamante dalla mailing list dei propri iscritti;

- i dati personali oggetto di trattamento sono dati comuni e che non sono pervenuti all’Autorità altri reclami o segnalazioni in merito ai fatti in esame:

- l’associazione ha collaborato fattivamente con l’Autorità nell’ambito delle attività istruttorie;

- l’associazione ha, nelle more, adottato un codice etico in cui è stato espressamente inserito un punto relativo alla tutela delle informazioni personali;

CONSIDERATO pertanto, che le violazioni in questione, in relazione all’art. 83, par. 2, ultimo periodo ed al considerando 148 del Regolamento possono essere qualificate di grado “minore”;

RITENUTO, dunque, alla luce delle considerazioni sopra riassunte, di dover procedere ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, ad ammonire la l’associazione XX in merito alla necessità di trattare i dati personali degli iscritti esclusivamente per le finalità previste nello statuto dell’associazione nel rispetto della normativa in materia di protezione dei dati personali;

RITENUTO che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dall’’associazione XX come descritta in motivazione, consistente nella violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. a) e 13 del Regolamento in relazione all’utilizzo dell’indirizzo di posta elettronica del reclamante per l’invio di una comunicazione di propaganda elettorale senza adeguata base giuridica ed idonee informazioni all’interessato;

b) ai sensi dell’art. 58 par. 2, lett. b), del Regolamento, ammonisce l’associazione XX in merito alla necessità di trattare i dati personali degli iscritti della ONLUS esclusivamente per le finalità previste nello statuto dell’associazione nel rispetto della normativa in tema di protezione dei dati personali.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni, se il ricorrente risiede all’estero.

Roma, 1° ottobre 2020

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi