g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di Aimon s.r.l. - 20 novembre 2014 [3703739]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 3703739]

Ordinanza di ingiunzione nei confronti di Aimon s.r.l.  - 20 novembre 2014

Registro dei provvedimenti
n. 535 del 20 novembre 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

CONSIDERATO il Provvedimento n. 451, con il quale il Garante, in data 24 novembre 2011, ha definito l´istruttoria aperta nei confronti di Aimon s.r.l. P.I.: 03814240275, con sede in Mirano (Ve), via Ballò n. 41/A, che qui deve intendersi integralmente richiamato, con il quale, a fronte dell´attività ispettiva effettuata ai sensi degli artt. 157 e 158 del Codice in materia di protezione dei dati personali (d. lg. n. 196/2003, di seguito denominato "Codice") dall´Ufficio del Garante per la protezione dei dati personali in data 23, 24 e 25 febbraio 2011, è stata, tra l´altro, accertata, con riferimento ai servizi di invio e ricezione di sms, la comunicazione, da parte di Aimon, dei dati personali dei propri clienti a diverse società (Ovus.it per i server che ospitano il database; Belgacom International Carrier Services SA, CM Telecom BV, Ericsson Telecomunicazioni S.p.A. e Edistar s.r.l., e anche gli altri fornitori per l´invio dei "pacchetti" di sms), in carenza di un´idonea informativa, ai sensi dell´art. 13 del Codice, e senza il consenso degli interessati di cui all´art. 23 del Codice. I medesimi illeciti sono stati altresì accertati in merito all´attività di registrazione di nomi a dominio, nell´ambito della quale Aimon comunica i dati personali dei richiedenti a REM Graphic s.r.l.;

VISTO il verbale n. 754/72570 del 12 gennaio 2012 con cui sono state contestate alla predetta società le violazioni amministrative previste dagli artt. 161 e 162, comma 2-bis del Codice, nella forma aggravata di cui all´art. 164-bis, comma 3 del Codice, in relazione agli artt. 13 e 23, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto dell´Ufficio del Garante per la protezione dei dati personali predisposto ai sensi dell´art. 17 della legge n. 689/1981, e rilevato dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta; 

TENUTO CONTO del fatto che avverso il citato provvedimento del Garante n. 451, del 24 novembre 2011, non è stata presentata opposizione ai sensi dell´art. 152 del Codice;

VISTO lo scritto difensivo datato 21 gennaio 2012, inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale la società ha osservato come "Non sussiste (…) alcuna giustificazione al ritardo con cui si è pervenuti alla notifica della contestazione dal momento che l´Autorità ha acquisito tutti gli elementi oggettivi e soggettivi necessari per valutare la sussistenza della condotta in data 25 febbraio 2012 [vgs 2011 - ovvero data di redazione del verbale di operazioni compiute relativo all´ultimo giorno di attività di controllo presso la società]". Inoltre, sotto il profilo della legittimità, ha evidenziato come "L´accertamento, pacificamente da qualificarsi come ispettivo (…) è stato compiuto in totale assenza dei presupposti di rito. L´ordine di servizio, infatti, giustifica una mera richiesta di informazioni ex art. 157 del Codice, mentre i verbalizzanti hanno avuto accesso ai locali di Aimon s.r.l. ed hanno proceduto alla osservazione diretta di cose o luoghi al fine di accertare eventuali illeciti amministrativi (…). Tali attività (…) avrebbero potuto essere svolte, in assenza di autorizzazione del Tribunale, solo attraverso l´assenso informato del legale rappresentante dell´impresa.". Relativamente all´illecito contestato per la violazione dell´art. 23 del Codice, ha rilevato come, nell´ambito della previsione di cui all´art. 24, comma 1 lett. b) del Codice "(…) non vi è stata alcuna comunicazione senza consenso a soggetti terzi che non fosse strettamente necessaria per l´espletamento della prestazione contrattuale", ove, peraltro, "(…) i servizi svolti da Aimon s.r.l. vengono richiesti da aziende che li utilizzano per comunicazioni attinenti all´attività che esse stesse svolgono: si è in presenza, quindi, di trattamenti effettuati nell´ambito delineato dalla causa di giustificazione disciplinata dalla lettera d) del comma 1 dell´art. 24, ossia trattamenti relativi allo svolgimento delle attività economiche". Riguardo l´illecito contestato per la violazione dell´art. 13 del Codice, oltre a rilevare come la società "(…) rientra tra le PMI e come tale del regime delle semplificazioni accordato dall´Autorità alle imprese di dimensioni ridotte. Pertanto non è tenuta ad indicare nell´informativa le circostanze già note all´interessato", e a osservare come l´informativa resa agli interessati ai sensi dell´art. 13 del Codice (acquisita agli atti nel verbale di operazioni compiute del 23 febbraio 2011 - all.3) contenga tutte le indicazioni attinenti alla condotta omissiva contestata, ha asserito la propria buona fede sia in ragione del fatto che "(…) si è rivolta ad un professionista per svolgere correttamente gli adempimenti privacy (…)", sia in quanto "La fattispecie normativa, pare potersi avvicinare, in via analogica, al consolidato indirizzo giurisprudenziale espresso in materia tributaria (…) secondo il quale quando la normativa è dubbia il contribuente non va sanzionato (…)". La società evidenzia, altresì, come non sia stata tenuta in considerazione la previsione dell´art. 11 della legge n. 689/1981, poichè "(…) la sanzione irrogata (…) è comunque incongrua rispetto alla fattispecie concreta che ne ha determinato la scelta", ove, peraltro, "(…) la sanzione è intervenuta in un momento precedente rispetto allo spirare del termine concesso per la regolarizzazione (termine entro il quale adempiere a quanto disposto dall´Autorità nel provvedimento n. 451 del 24 novembre 2011)";

VISTO il verbale di audizione delle parti dell´8 ottobre 2012 nel quale la società ha ribadito quanto argomentato negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato. Diversamente da quanto ritenuto, la violazione contestata non è stata accertata il 25 febbraio 2011 (data di redazione del verbale di operazioni compiute relativo all´ultimo giorno di attività di controllo), bensì il 24 novembre 2011, data di adozione del provvedimento n. 451 dell´Autorità, con il quale, all´esito delle articolate attività di controllo, il Garante ha valutato tutti gli elementi raccolti nella fase istruttoria e ha ritenuto illecito il trattamento anche sotto il profilo amministrativo sanzionatorio, così come espressamente indicato nel corpo del provvedimento. La notifica della contestazione è quindi avvenuta in data 27 gennaio 2012, ovvero entro il termine di 90 giorni previsto dall´art. 14 della legge n. 689/1981. Inoltre, riguardo l´asserita assenza di presupposti per l´effettuazione dell´attività di controllo, si evidenzia come, nel pieno rispetto di quanto previsto dall´art. 157 del Codice, gli illeciti contestati siano stati legittimamente accertati ai sensi dell´art. 13 della legge n. 689/1981. Ciò in quanto tutti gli elementi acquisiti nell´ambito dell´attività di controllo formalizzata con i verbali di operazioni compiute datati 23, 24 e 25 febbraio 2011, la cui valutazione ha determinato l´Autorità ad adottare il provvedimento n. 451 del 24 novembre 2011 che ha accertato gli illeciti in trattazione, sono stati forniti dalla società in risposta ai quesiti posti dai funzionari incaricati con apposito ordine di servizio ritualmente notificato all´inizio delle operazioni, come risulta dal verbale del 23 febbraio 2011. L´attività ispettiva era stata peraltro preannunciata, in data 22 febbraio, come riportato a verbale, e si è svolta con la piena e consapevole collaborazione dell´amministratore della società che ha spontaneamente fornito tutte le informazioni e i documenti richiesti. Dalla lettura dei verbali di operazioni compiute emerge con evidenza che l´attività svolta dai funzionari incaricati è consistita nella formulazione di  richieste di informazioni e documenti. Si evidenzia poi come l´appartenenza della società alla categoria delle piccole e medie imprese risulti inconferente, in quanto le semplificazioni richiamate, riconducibili al provvedimento dell´Autorità del 19 giugno 2008 recante "Semplificazioni di taluni adempimenti in ambito pubblico e privato rispetto a trattamenti per finalità amministrativo contabili" (in www.garanteprivacy.it, doc. web n. 1526724), non sono applicabili al caso di specie. I trattamenti effettuati dalla società, consistiti nella comunicazione dei dati personali dei propri clienti a diverse società, così come accertato, non rientrano infatti tra quelli effettuati per finalità amministrativo/contabili che, sulla base della definizione contenuta nell´art. 34, comma 1-ter del d.l. 13 maggio 2011 n. 70, convertito nella legge 12 luglio 2011 n. 106, sono quelli connessi allo svolgimento delle attività di natura organizzativa, amministrativa, finanziaria e contabile. Relativamente alla completezza dell´informativa resa agli interessati ai sensi dell´art. 13 del Codice (allegato n. 3 del verbale di operazioni compiute del 23 febbraio 2011), si rileva come, alla luce di quanto accertato nel provvedimento dell´Autorità n. 451 del 24 novembre 2011, i generici riferimenti alla comunicazione dei dati a "società di nostra fiducia" al fine di svolgere "compiti di natura tecnica o organizzativa" non possano essere considerati esaustivi rispetto agli obblighi previsti dal citato art. 13. La lettura dell´informativa in parola, non consente una puntuale conoscenza di tutti i trattamenti che, così come accertato, risultano essere effettuati da Aimon s.r.l.. Sempre con riferimento alla violazione dell´art. 13 del Codice si evidenzia come non siano riscontrabili gli elementi costitutivi della buona fede di cui all´art. 3 della legge n. 689/1981, atteso che, sia con riferimento al fatto che la società "(…) si è rivolta ad un professionista (…)" sia riguardo quanto asserito circa il fatto che "(…) quando la normativa è dubbia il contribuente non va sanzionato (…)", tali argomentazioni non sostanziano alcuno degli elementi costitutivi dell´errore scusabile di cui all´art. 3 della legge n. 689/1981. In effetti l´errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall´interessato con l´ordinaria diligenza (Cass. Civ. sez. I del 21 febbraio 1995 n. 1873; Cass. Civ. sez II del 13 marzo 2006, n. 5426), elemento che, nel caso di specie, non è riscontrabile. Quanto dedotto dalla società circa l´applicabilità, al caso di specie, dell´art. 24, comma 1 lett b) del Codice, non può prescindere da quanto già esposto relativamente alle criticità che hanno determinato l´inidoneità dell´informativa ai sensi dell´art. 13 del Codice. Alla luce delle menzionate criticità, accertate nel provvedimento n. 451 del 24 novembre 2011, si deve considerare come l´indeterminatezza dell´informativa resa agli interessati unitamente alla mancata puntuale regolazione dei rapporti tra Aimon s.r.l. e le società fornitrici, implichi l´impossibilità di definire con certezza gli elementi necessari a individuare quegli obblighi contrattuali che sono il presupposto applicativo della disciplina di esclusione dall´obbligo di acquisizione del consenso di cui all´art. 24, comma 1 lett.b) del Codice. Ciò, in particolare, alla luce dell´assenza di forma scritta dei contratti, nonché della mancata designazione, quali responsabili del trattamento dei dati, delle citate società fornitrici. Diversamente, risultano inconferenti le argomentazioni afferenti l´art. 24, comma 1 lett. d) del Codice, atteso che tale previsione prevede l´esclusione dall´obbligo di acquisire il consenso solo quando il trattamento riguarda dati personali relativi allo svolgimento di attività economiche, mentre quelli effettuati dalla società e oggetto di contestazione non rientrano nel novero di tale previsione (dati relativi alla solvibilità o allo stato di insolvenza, dati sulle capacità tecniche mediante la produzione di elenchi dei principali servizi e forniture effettuate con l´indicazione, tra l´altro, dei destinatari delle prestazioni, dati riguardanti la situazione patrimoniale dell´interessato in relazione a richieste di finanziamento). Relativamente alla sproporzione dell´importo della sanzione, si evidenzia come l´organo accertatore dell´illecito contestato, non abbia alcun potere discrezionale in ordine alla determinazione dell´importo della sanzione, potendo solo indicare, come gli impone l´art. 16 della legge n. 689/1981, l´ammontare della somma necessaria al pagamento in misura ridotta utile all´eventuale estinzione del procedimento amministrativo sanzionatorio. L´applicazione dei criteri previsti dall´art. 11 della legge n. 689/1981 spetta all´autorità che, definendo il procedimento amministrativo sanzionatorio, adotta l´ordinanza ingiunzione, ovvero il Garante. Inoltre, si evidenzia come la società, nel sostenere come "(…) la sanzione è intervenuta in un momento precedente rispetto allo spirare del termine concesso per la regolarizzazione (…)", non tiene conto del fatto che, quello definito con il provvedimento del Garante n. 451 del 24 novembre 2011, è un procedimento amministrativo distinto da quello sanzionatorio avviato con il verbale di contestazione in argomento. L´adempimento alle disposizioni dettate nel provvedimento in parola, pertanto, non produce alcun effetto sul perfezionamento delle fattispecie contestate ma, eventualmente, può essere rilevante in ordine alle valutazioni sugli elementi di cui all´art. 11 della legge n. 689/1981 necessari alla quantificazione dell´importo della sanzione;

RILEVATO, pertanto, che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), con riferimento ai servizi di invio e ricezione di sms, mediante la comunicazione dei dati personali dei propri clienti alle diverse società delle quali si avvale, agli altri fornitori per l´invio dei "pacchetti" di sms, nonché, con riferimento all´attività di registrazione di nomi a dominio, mediante la comunicazione dei dati personali dei richiedenti a REM Graphic s.r.l., in carenza di un´idonea informativa ai sensi dell´art. 13 del Codice e senza aver acquisito il prescritto consensi ai sensi dell´art. 23 del Codice;

VISTO l´art. 161 del Codice, che punisce la violazione dell´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO, in ogni caso, che, così come rilevato nel verbale di contestazione, in ragione dell´elevato numero di interessati coinvolti, ricorrono i presupposti applicativi di una delle ipotesi aggravate prevista dall´art. 164-bis, comma 3 del Codice per entrambe gli illeciti contestati;

CONSIDERATO che, ai fini della determinazione dell´ammontare delle due sanzioni pecuniarie, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria con riferimento alla violazione di cui all´art. 161 deve essere quantificato nella misura di euro 12.000,00 (dodicimila) e l´ammontare della sanzione pecuniaria con riferimento alla violazione di cui all´art. 162, comma 2-bis deve essere quantificato nella misura di euro 20.000,00 (ventimila), per un importo complessivo pari a euro 32.000,00 (trentaduemila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Aimon s.r.l. P.I.: 03814240275, con sede in Mirano (Ve), via Ballò n. 41/A, in persona del legale rappresentante pro-tempore, di pagare la somma complessiva di euro 32.000,00 (trentaduemila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis del Codice, come indicato in motivazione, frazionandola in 10 (dieci) rate mensili dell´importo di euro 320,00 (trecentoventi) ciascuna;

INGIUNGE

alla medesima società di pagare la somma di euro 32.000,00 (trentaduemila) secondo le modalità indicate in allegato, i cui versamenti frazionati saranno effettuati a partire dal giorno 15 del mese successivo a quello in cui avverrà la notifica della presente ordinanza, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 20 novembre 2014

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia

Scheda

Doc-Web
3703739
Data
20/11/14

Argomenti


Tipologie

Ordinanza ingiunzione o revoca