[doc. web n. 9996588]

Provvedimento dell'8 febbraio 2024

Registro dei provvedimenti
n. 64 dell'8 febbraio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato dal sig. XX in data 06/10/2020, regolarizzato in data 21/12/2020, ai sensi dell’art. 77 del Regolamento, con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Wi-Planet Sas di Torri Carlo Alberto e C.;

VISTE le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo e l’istruttoria preliminare.

Con il reclamo presentato a questa Autorità in data 06/10/2020, regolarizzato in data 21/12/2020, il sig. XX rappresentava di aver formulato in data 03/07/2020, nei confronti di Wi-Planet sas di Torri Carlo Alberto e c. (di seguito “la Società”), un’istanza ai sensi dell’art. 15 del Regolamento con riferimento al trattamento dei propri dati personali raccolti dalla Società in occasione della stipula di un contratto commerciale.

La richiesta, regolarmente notificata all’indirizzo di posta elettronica certificata della Società, non veniva riscontrata nei termini previsti dall’art. 12, par. 3, del Regolamento.

Con la nota del 14/05/2021, l’Ufficio invitava la Società a fornire osservazioni in merito a quanto rappresentato nel reclamo e ad aderire alle richieste del reclamante.

La Società, con nota del 31/05/2021, dichiarava preliminarmente che “l’e-mail [del reclamante] è effettivamente sfuggita all’amministrazione di questa Società, seppur per mero errore dovuto, nostro malgrado, alle difficoltà organizzative causate dall’emergenza pandemica in corso”.

Quanto ai dati oggetto di trattamento, posto che gli stessi erano stati raccolti in occasione della sottoscrizione di un contratto che, dunque, costituisce presupposto di liceità del trattamento effettuato, la Società si limitava a indicarne la tipologia (ovvero nome, cognome, indirizzo, codice fiscale, recapito telefonico, e-mail e coordinate bancarie), senza tuttavia fornirne il dettaglio.

Venivano, inoltre, indicate le finalità del trattamento e i tempi di conservazione, specificando che, al termine dei periodi di tempo indicati, “i dati del cliente verranno definitivamente cancellati, non rimanendo più nella disponibilità della Scrivente”.

La Società provvedeva anche a precisare che i dati raccolti non venivano comunicati a terzi, ma solo ai soggetti interni all’azienda incaricati della gestione della fatturazione, dei pagamenti e degli insoluti, nonché al settore tecnico “per eventuali interventi manutentivi” e al settore commerciale “per la sola comunicazione al cliente di eventuali migliorie e/o upgrade dei servizi già attivi”.

2. L’avvio del procedimento.

Alla luce di quanto rappresentato, l’Ufficio provvedeva a notificare alla Società l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento (nota del 24/06/2021).

La Società, con la nota del 23/07/2021, inviava propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981, con cui ribadiva che “l’avvenuto mancato riscontro della Scrivente alla richiesta ex Art. 15 pervenuta dal reclamante, [è] occorso (…) per mero errore amministrativo dovuto alle difficoltà organizzative sofferte a causa dall’emergenza pandemica in corso”. 

La gravità della violazione, valutata “assieme alla brevità della sua durata e al coinvolgimento di un solo interessato, i cui dati sono stati lecitamente trattati, anche dal punto di vista della proporzionalità, in ragione della sussistenza di un contratto tra le parti, può dirsi assai contenuta, così rafforzandosi l’idea della lievissima colpevolezza della Wiplanet”.

Infine, con riferimento alle “misure messe in atto per porre rimedio alla violazione e attenuarne le conseguenze, si è (…) provveduto a fornire – immediatamente dopo l’esserne venuti a conoscenza sostanziale – il più ampio riscontro all’interessato stesso, oltre che a codesta Autorità (…)”.

La Società comunicava, in data 13/11/2023, di voler rinunciare all’audizione inizialmente richiesta “a causa della mancanza di elementi nuovi nella fattispecie”.

3. L’esito dell’istruttoria.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, è emerso che la Società, a fronte dell’istanza di esercizio dei diritti formulata dal reclamante in data 03/07/2020, non abbia fornito alcun riscontro.

Preliminarmente, si osserva che l’art. 15 del Regolamento riconosce all’interessato il diritto di ottenere dal titolare del trattamento la conferma che sia in corso un trattamento di dati che lo riguardano e, di conseguenza, ottenere l’accesso a tali dati e alle informazioni elencate alle lettere a) - h) del medesimo articolo. 

Va, altresì, rilevato che l’art. 12 del Regolamento prevede che il titolare del trattamento fornisca all’interessato l’accesso ai propri dati e a tutte le informazioni richieste ai sensi degli artt. 15 e ss. del Regolamento “senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”.

Entro lo stesso termine, ove ritenga necessario applicare la prevista proroga di due mesi in ragione “della complessità e del numero delle richieste”, il titolare deve informarne l’interessato indicandone i motivi; “se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.

Sulla base delle disposizioni sopra richiamate, risulta pertanto accertato che la Società, in qualità di titolare del trattamento, non ha fornito riscontro alla richiesta dell’istante, anche in merito ai motivi dell’inottemperanza, in violazione della disposizione di cui all’art. 12 del Regolamento.

La Società ha indicato, quale principale motivo dell’inottemperanza, l’errore materiale in cui sarebbe incorsa e (generiche) difficoltà di tipo organizzativo.

Al riguardo, si evidenzia come tale argomentazione non può essere assunta quale valido motivo di esclusione della responsabilità della parte, non solo per la genericità della dichiarazione (che non è supportata da idonei elementi), ma anche per il carattere omissivo della condotta.

Infatti, l’esimente della buona fede di cui all’art. 3 della legge n. 689/1981 ricorre solo in presenza di un elemento positivo, estraneo all’autore della violazione, tale da ingenerare la convinzione della liceità del suo agire, oltre alla condizione per cui da parte dell’autore è stato fatto tutto il possibile per osservare la legge e che nessun rimprovero può essergli mosso (si veda, tra le altre, Civ. Sez. lav. 12 luglio 2010 n. 16320).

Deve, in ogni caso, valutarsi positivamente la circostanza che la Società abbia dichiarato di aver predisposto misure tecniche e organizzative volte ad agevolare l’esercizio dei diritti degli interessati, indicando un referente interno incaricato della gestione delle richieste di accesso.

Va, inoltre, rilevato che, nel riscontro reso a seguito dell’invito ad aderire, la Società ha omesso di comunicare all’istante i dati specifici oggetto di trattamento, limitandosi a indicare la tipologia di dati trattati (quali nome e cognome, indirizzo e-mail e coordinate bancarie, ecc.), impedendo così all’istante di verificare concretamente la correttezza e l’esattezza dei dati oggetto di trattamento.

Infatti, come indicato dall’art. 15 del Regolamento, l’interessato ha “il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano” e di conseguenza, e in caso affermativo, il diritto “di ottenere l’accesso ai dati” stessi e alle ulteriori informazioni.

4. Conclusioni: illiceità dei trattamenti effettuati.

Alla luce delle valutazioni che precedono, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗  non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentirne l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019, concernente le procedure interne all’Autorità aventi rilevanza esterna.

Il trattamento effettuato dalla Società, consistente nel mancato riscontro all’istanza di esercizio dei diritti del reclamante, risulta illecito nei termini sopra esposti, in relazione agli artt. 12, par. 3, e 15 del Regolamento.

La violazione accertata non può essere considerata “minore”, tenuto conto della natura della violazione che ha riguardato l’esercizio dei diritti, della gravità e della durata della stessa, del grado di responsabilità e della maniera in cui l’Autorità è venuta a conoscenza della violazione (Cons. 148 del Regolamento).

Per i suesposti motivi, pertanto, si dichiara fondato il reclamo presentato ai sensi dell’art. 77 del Regolamento e, nell’esercizio dei poteri correttivi attribuiti all’Autorità ai sensi dell’art. 58, par. 2, del Regolamento:

- si ingiunge alla Società di fornire riscontro all’istanza di esercizio dei diritti formulata dal reclamante, in ordine ai dati personali a lui riferiti, di cui sia ancora in possesso;

- si dispone l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, del Regolamento.

5. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali riferito al reclamante, di cui è stata accertata l’illiceità, nei termini sopra esposti.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

- con riguardo alla natura, gravità e durata della violazione è stata considerata rilevante la natura della violazione che ha riguardato le disposizioni relative all’esercizio dei diritti degli interessati; nonché la circostanza che la violazione si è protratta per un lungo periodo di tempo (circa 10 mesi) e che, tuttora il riscontro fornito è solo parziale;

- l’assenza di precedenti violazioni pertinenti commesse dal titolare del trattamento;

- il grado di cooperazione fornito dalla Società nel corso del procedimento, la circostanza che la violazione ha riguardato un solo interessato e l’adozione di misure volte ad agevolare le istanze di esercizio dei diritti degli interessati.

In considerazione dei richiamati principi di effettività, proporzionalità e dissuasività (art. 83, par. 1, del Regolamento) ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione, sono state prese in considerazione le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti e riferiti al bilancio d’esercizio per l’anno 2020.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000,00 (cinquemila) per la violazione degli artt. 12 e 15 del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata, che ha riguardato i diritti dell’interessato, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato, nei termini di cui in motivazione, per la violazione degli artt. 12, par. 3. e 15 del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i), del Regolamento a WiPlanet sas di Torri  Carlo Alberto, in persona del legale rappresentante pro-tempore, con sede legale in Viterbo, via della Chimica snc, P.I. 02017450566, di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

ai sensi dell’art. 58, par. 2, lett. c), del Regolamento a WiPlanet sas di Torri Carlo Alberto, di soddisfare la richiesta di esercizio del diritto di accesso da parte dell’interessato ai dati ancora in possesso della società, entro 30 giorni dal ricevimento del presente provvedimento;

INGIUNGE

alla medesima Società di pagare la somma di euro 5.000,00 (cinquemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Richiede alla società di comunicare le iniziative intraprese per dare attuazione a quanto disposto con il presente provvedimento e di fornire riscontro adeguatamente documentato, ai sensi dell’art. 157 del Codice, entro il termine di 40, giorni dalla data di notifica del presente provvedimento; l’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 8 febbraio 2024

IL PRESIDENTE
Stanzione

IL RELATORE

IL VICE SEGRETARIO GENERALE
Filippi