g-docweb-display Portlet

Provvedimento del 12 maggio 2022 [9779119]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9779119]

Provvedimento del 12 maggio 2022

Registro dei provvedimenti
n. 186 del 12 maggio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale ha preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito: “Regolamento” o “RGPD”);

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, integrato con le modifiche introdotte dal decreto legislativo 10 agosto 2018, n. 101 (di seguito: “Codice”);

VISTO Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (di seguito: “Regolamento 1/2019);

ESAMINATO il reclamo presentato dal signor XX relativo ad un presunto trattamento illecito di dati personali a lui afferenti effettuato dell’agenzia investigativa Centro Investigazioni Sile s.r.l.;
Esaminate le informazioni fornite dalle parti;

Vista la restante documentazione in atti;

Viste le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell´ufficio del Garante per la protezione dei dati personali;

Relatore il dott. Agostino Ghiglia;

PREMESSO

Il signor XX ha presentato a questa Autorità, ai sensi del RGPD, un reclamo relativo ad un presunto trattamento illecito dei suoi dati personali da parte della società di investigazione Centro Investigazioni Sile s.r.l. (di seguito anche: “Società”).

In particolare, il Signor XX ha riferito che la Signora XX, collaboratrice della Società, si è presentata in data 9 dicembre 2019 presso XX, sede di lavoro del reclamante, affermando di essere una cliente interessata a un preventivo per un servizio d'indagine, ma, in realtà, allo scopo di svolgere attività investigativa e di effettuare riprese video, fotografiche e audiovideo.

Il Signor XX ha preso contezza della predetta attività investigativa solo quando l'avvocato XX ha contattato la sua collega, XX, e le ha fatto prendere visione di un rapporto d'indagine redatto dalla Signora XX.

Dappoiché il Signor XX si duole di non avere ricevuto alcuna informativa in ordine all’attività investigativa effettuata dalla Signora XX né, ovviamente, di avere fornito alcun consenso al riguardo.

Questa Autorità ha chiesto al Centro Investigazioni Sile s.r.l. di precisare se la Signora XX, all’atto delle investigazioni, avesse fornito al Signor XX l’informativa di cui all’art. 13 del Regolamento e, in caso negativo, i motivi della mancata informativa, come pure, in caso positivo, se fosse stato ottenuto il consenso da parte del Signor XX.

La Società ha fornito il riscontro richiesto, dichiarando, per quanto qui rileva:

“Stante la particolarità dell'investigazione finalizzata alla raccolta di elementi sul conto di XX, utili a far valere o difendere un legittimo diritto in sede giudiziaria, l'accertatrice dipendente Dr.ssa XX, su direttive dello scrivente e del suo diretto superiore - investigatore privato dipendente XX, essendo intervenuta presso un'entità terza (XX) ove è stata accolta da colei che solo successivamente si è avuto contezza corrispondere a XX, per poi sostenere il confronto direttamente con XX, così qualificatosi mediante consegna del ‘biglietto da visita’, nonché con altra persona operante all'interno della medesima agenzia (soggetti da considerarsi terzi), si è avvalsa della deroga all'obbligo di informativa preventiva agli interessati, nonché dell'obbligo di acquisirne il consenso per la trattazione dei dati, essendo stati peraltro i medesimi trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nonché per il fatto che tale informativa, qualora resa, avrebbe reso impossibile e gravemente pregiudicato il conseguimento della finalità del trattamento, ovvero il perseguimento del legittimo interesse (art. 9 paragrafo 2 lett. F - Regolamento UE 67912916 - ex art. 13, co. 5 lett. B e 24 co. 1 lett. F, D. L. vo 196/2003 ; art. 14 GDPR - paragrafo 5).

Per le suddette ragioni non si è ritenuto necessario ottenere il consenso da parte del signor XX e di altra persona in loco incontrata, trattandosi di soggetti terzi, nonché da parte della sedicente XX che solo successivamente, attraverso l'esibizione della sua immagine a XX, si è appreso corrispondere alla destinataria dell'investigazione - XX, persona che all 'interno dell'agenzia investigativa si è presentata solamente con il nome di battesimo ‘XX’ e si è limitata ai meri convenevoli.”.

Gli atti dell’istruttoria preliminare hanno quindi confermato che la Società ha condotto una attività investigativa acquisendo dati nei confronti del reclamante senza fornire a questi l’informativa dovuta. Poiché le informazioni fornite dalla medesima non sono apparse idonee a giustificare il suo operato, in quanto l’art. 13 del RGPD prevede l’obbligo di fornire l’informativa all’interessato quando i dati sono raccolti presso il medesimo, l’Ufficio ha comunicato al Centro Investigazioni Sile s.r.l., in qualità di titolare del trattamento, ed al signor XX, qualità di interessato reclamante, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del RGPD,  ai sensi degli articoli 77 e segg. del RGPD, dell’art. 166 del Codice in materia di protezione dei dati personali (d. lgs. 196 del 2003, di seguito Codice) e degli articoli 12 e segg. del Regolamento 1/2019, per la presunta violazione dell’art. 13 del RGPD.

L’Agenzia ha trasmesso note difensive, confermando quanto precedentemente rilevato e sostenendo, anche sulla base di una  allegata dichiarazione del committente delle attività investigative, che l’incarico era esclusivamente finalizzato a far valere e/o difendere un legittimo interesse del committente avanti al Giudice del Tribunale di Venezia nei confronti dell’ex coniuge XX, sia nella causa di separazione, sia in quella di divorzio, e che “sul conto Di XX non vi era alcuna esigenza di indagine e/o necessità di tutela in sede giudiziaria, se non quella di comprenderne l’eventuale legame con XX, nel presupposto di chiarire i termini della loro frequentazione, motivo per cui si ritiene che XX fosse da considerarsi un soggetto terzo rispetto alle finalità demandateci e perseguite, con conseguente possibilità di deroga di informativa – ex art. 14 RGPD”. In subordine, “valutata nella condotta del personale dipendente l’assenza di qualsiasi volontà lesiva del precetto normativo, da ricondurre pertanto alla buona fede ed all’evento fortuito, considerato peraltro che i dati raccolti sono stati conservati per il tempo strettamente necessario allo svolgimento dell’attività investigativa conferita tramite mandato e prontamente eliminati a seguito della stesura della relazione conclusiva, ci si rimette alla clemenza di Codesta On.le Autorità per le conseguenti determinazioni che riterrà opportuno adottare.”.

OSSERVA

Ai sensi dell’art. 4, paragrafo 1, n. 1), del RGPD, costituisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile”.

Ai sensi dell’art. 4, paragrafo 1, n. 2), del RGPD, costituisce trattamento “qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione”.

Pertanto, la raccolta delle informazioni relative al reclamante, la loro registrazione, elaborazione, inserimento nella relazione investigativa e comunicazione al committente le attività investigative costituiscono trattamento di dati personali.

L’attività di investigazione privata, autorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1931, n. 773, e successive modificazioni e integrazioni) è, di per sé, lecita, ma deve essere esercitata nel rispetto delle norme che la disciplinano e delle disposizioni in materia di protezione dei dati personali.

Il rilievo del reclamante di non avere fornito il suo consenso agli investigatori non rileva, in quanto lo svolgimento di attività investigativa (id est, il trattamento dei dati personali) per difendere in giudizio un diritto non richiede il consenso dell’interessato (artt. 6, paragrafo 1, lettera e) e 9, paragrafo 2, lettera f)).

Dagli atti della istruttoria preliminare e da quelli successivamente acquisiti a seguito del procedimento, risulta tuttavia confermato che la Società ha condotto una attività investigativa acquisendo dati nei confronti del reclamante senza fornire a questi l’informativa dovuta.

Secondo la società investigativa, essendo l’incarico investigativo diretto principalmente ad acquisire informazioni nei confronti del coniuge del committente, il XX doveva considerarsi terzo rispetto alle attività investigative, onde trovava applicazione l’art. 14 del RGPD, comma 1, ai sensi del quale, qualora i dati non siano stati ottenuti presso l'interessato, l'obbligo di informativa non sussiste ove rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento.

Tuttavia, a prescindere dall’oggetto principale del mandato investigativo, il signor XX è stato comunque oggetto diretto dell’attività di investigazione, in quanto alcuni dati a lui afferenti sono stati raccolti direttamente presso il medesimo – da ritenersi pertanto “interessato”, ai sensi dell’art. 4, paragrafo 1, numero 1), del RGPD - tramite i collaboratori della Società che si sono recati in incognito presso il reclamante ed hanno acquisito informazioni attraverso una interlocuzione immediata con lui, come risulta ampiamente documentato dalla relazione investigativa. Pertanto, essendo stati raccolti i dati personali presso l'interessato, l’informativa nei suoi confronti era dovuta, ai sensi dell’art. 13 del RGPD.

Del resto, nella stessa dichiarazione del committente delle attività investigative, allegata alla difesa della Società, si legge che “nei confronti di XX non vi era alcuna esigenza di indagine e/o necessità di tutela in sede giudiziaria, se non quella di comprenderne l'eventuale legame con XX, nel presupposto di chiarire i termini della loro frequentazione” (evidenze aggiunte), a conferma che l’attività investigativa riguardava anche l’acquisizione di informazioni relative al reclamante.

Sulla base dei criteri indicati dall’art. 83 del RGPD, considerando che la condotta ha esaurito i suoi effetti, che il numero di interessati al trattamento è limitato, che il titolare ha fornito piena collaborazione a questa Autorità e che non risultano eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento, si ritiene che nel caso di specie non ricorrano i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’art. 58, par. 2, lett. i) del Regolamento.

Essendo comunque stata accertata l’illiceità del trattamento di dati personali nei termini di cui in motivazione, si ritiene di dover ammonire, ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, il Centro Investigazioni Sile s.r.l. per aver violato l’art. 13, del RGPD.

TUTTO CIÒ PREMESSO IL GARANTE

DICHIARA

l'illiceità del trattamento dei dati del reclamante effettuato dall’agenzia investigativa Centro Investigazioni Sile s.r.l., per violazione delle disposizioni di cui all’articolo 13 del RGPD, nei termini di cui in motivazione e, per l’effetto,

AMMONISCE

l’agenzia investigativa Centro Investigazioni Sile s.r.l. per avere effettuato un trattamento di dati personali in violazione dell’articolo 13, paragrafo 1, lettera c), del RGPD, avendo raccolto dati personali presso l’interessato senza fornirgli l’informativa di cui al medesimo articolo.

Ai sensi dell’art. 78 del Regolamento, dell’art. 152 del d. lgs. 30 giugno 2018, n 101 e dell’art. 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione, in via alternativa, al tribunale del luogo in cui il titolare del trattamento risiede o ha sede ovvero al tribunale del luogo di residenza dell'interessato, entro trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all'estero.

Roma, 12 maggio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei