[doc. web n. 3864423]

Esonero per l´obbligo dell´informativa per il trattamento dei dati utilizzati nello svolgimento dell´attività d´impresa - 19 febbraio 2015

Registro dei provvedimenti
n. 97 del 19 febbraio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanni Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), con particolare riferimento agli artt. 2, comma 2, 11, comma 1, lett. a), 13, comma 5, lett. c) e 154;

VISTA l´istanza, formulata congiuntamente da Alitalia – Compagnia Aerea Italiana S.p.A. (di seguito Alitalia CAI) e da Alitalia Società Aerea Italiana (di seguito Alitalia SAI), con la quale, in seguito alle procedure di cessione dei rami d´azienda intercorse tra le medesime società, è stato chiesto al Garante l´esonero dall´obbligo di rendere individualmente l´informativa agli interessati e di ottenere il relativo consenso al trattamento, nonchè la contestuale indicazione di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del d.lg. 30 giugno 2003, n. 196 (Codice);

VISTA la documentazione in atti, con particolare riferimento al contratto di cessione;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

Premesso

1. L´istanza delle società.

1.1. E´ pervenuta a questa Autorità, in data 3 dicembre 2014, l´istanza −successivamente integrata dalle note del 23 dicembre 2014 e del 22 gennaio 2015, recante ulteriori informazioni e nuova documentazione− formulata congiuntamente da Alitalia –Compagnia Aerea Italiana S.p.A. (di seguito Alitalia CAI), anche per conto di Alitalia Loyalty S.p.A.– e da Alitalia Società Aerea Italiana (di seguito Alitalia SAI), con la quale è stato chiesto, in relazione all´avvenuto conferimento a quest´ultima −ai fini della sua gestione− dell´intero ramo di azienda facente capo ad Alitalia CAI e comprensiva di beni, personale e mezzi finalizzati alle attività di volo, oltre che strumentali all´esercizio dell´attività di trasporto aereo, l´esonero dall´obbligo di rendere individualmente l´informativa agli interessati e la contestuale indicazione di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del Codice.

La richiesta è motivata in ragione dell´evoluzione societaria degli ultimi 2 anni. Nel corso del 2013, Alitalia CAI, visto il perdurare della propria grave crisi economica e finanziaria, per rendersi appetibile sul mercato e trovare un partner industriale disponibile ad un significativo investimento finalizzato al rilancio della compagnia, ha posto in essere varie operazioni di ricapitalizzazione ed ha avviato una serie di contatti che hanno portato, nel giugno del 2014, la Compagnia degli Emirati Arabi Uniti, denominata Etihad Airways (di seguito Etihad), a formulare una proposta contenente i principali termini e condizioni di un eventuale investimento in Alitalia.

L´8 agosto 2014, Etihad e Alitalia CAI hanno stipulato, tra l´altro, un contratto teso a regolare −nell´ambito di una più ampia operazione, denominata Transaction Implementation Agreement (di seguito "TIA")− i termini e le condizioni dell´investimento proposto da Etihad attraverso un conferimento di capitali e l´acquisto di alcuni asset (cfr. estratto della TIA, allegato alla richiesta di esonero).
L´operazione disciplinata dalla TIA, prevede, tra le altre clausole, il conferimento da parte di Alitalia CAI, ad una nuova società denominata Alitalia SAI, di tutta l´attività operativa e delle proprie partecipazioni nelle società controllate, fatta eccezione per alcuni asset specificamente individuati.

Il 24 settembre 2014 Alitalia SAI viene costituita come S.r.l. e, successivamente, il 10 dicembre 2014 viene trasformata in S.p.A.

Alla data di conclusione dell´operazione suddetta, quindi, Alitalia CAI ha conferito in Alitalia SAI l´intera azienda costituita da beni, personale e mezzi finalizzati alle attività di volo, manutenzione, handling, diritti di utilizzo dei marchi e segni distintivi di Alitalia, tutti beni strumentali all´esercizio dell´attività di trasporto aereo ed alle attività connesse, fatta eccezione per «alcuni contenziosi e passività, non strettamente connessi all´attività caratteristica di vettore aereo,» e per la propria partecipazione in AIR One, asset che continueranno a rimanere in capo alla cessionaria (che cambierà il proprio nome eliminando ogni riferimento ad Alitalia).

La procedura di conferimento e cessione del predetto ramo di azienda si è conclusa, come da comunicazione pervenuta al Garante in data 23 dicembre 2014, con la stipula dell´atto notarile avvenuta in data 22 dicembre 2014.

Sulla base di quanto stabilito nel contratto di cessione, il trasferimento avrà ad oggetto il complesso di beni organizzati per l´esercizio dell´attività del ramo di azienda ceduto tra i quali sono espressamente ricompresi:

a) tutti i beni mobili di proprietà o a qualsiasi altro titolo detenuti dalla cedente e necessari per l´operatività del ramo di azienda, come risultante dall´elenco allegato all´atto di conferimento e cessione;

b) tutti i contratti di fornitura e di collaborazione relativi alla gestione dell´intero ramo di azienda ceduto tra i quali sono ricompresi anche i contratti di leasing relativi a tutti gli aeromobili trasferiti, i rapporti contrattuali di bandling, codesharing, approvvigionamento carburante, manutenzione, distribuzione, vendita, assicurazione, finanziamento, servizio tiketing, marketing, somministrazione ed utenza e tutti gli ulteriori rapporti contrattuali inerenti la gestione del ramo di azienda ceduto (ivi inclusi quelli di locazione/affitto relativi agli immobili nella disponibilità di Alitalia CAI alla data del conferimento);

c) i rapporti contrattuali relativi alla proprietà industriale e tutte le autorizzazioni e licenze commerciali afferenti al medesimo ramo di azienda;

d) i dati e le informazioni contenute nei data base e negli archivi storici di pertinenza del ramo di azienda ceduto e, in particolare, le banche dati contenenti i dati personali di tutti i soci aderenti al Programma MilleMiglia, che –in seguito alla cessione− continueranno ad essere gestiti in contitolarità da Alitalia Loyalty e dalla cessionaria Alitalia SAI.

Quest´ultima, infatti, in virtù delle operazioni di conferimento del ramo di azienda, è subentrata nella posizione precedentemente assunta dalla società cedente Alitalia Cai nei confronti dei soci e delle società partner commerciali;

e) tutti i dipendenti di Alitalia CAI che, nei termini previsti dagli accordi sindacali sottoscritti in data 12 luglio e 17/18 luglio 2014, continuano il proprio rapporto di lavoro con la società cessionaria.

1.2. Suddetta cessione, così come rappresentata, comporta effetti non solo sulla titolarità di beni e rapporti giuridici ma anche sulla titolarità del trattamento dei dati personali oggetto di cessione, risultando infatti, dalle dichiarazioni fornite dalle società istanti (cfr. nota del 3 dicembre pag. 3), che "l´operazione di conferimento comporterà (…) mutamenti nella qualità di Titolare del trattamento (…), dovendo necessariamente Alitalia SAI (…) trattare i dati di cui è titolare Alitalia CAI, continuando a svolgere le medesime attività".

Inoltre, il trattamento dei dati personali che interessa il perimetro del ramo di azienda oggetto di trasferimento, coincidente con le attività della cessionaria e per il quale si chiede l´esonero dall´obbligo di rendere l´informativa, si riferisce a tutti i dati ricollegabili alle seguenti tipologie di interessati:

a. clienti (dati identificativi di tutti i soggetti presenti nel data base ceduto aderenti al programma di fidelizzazione e anche quelli classificati, in base al rapporto contrattuale in essere o in divenire con la società, come clienti "volati" e "non volati", secondo la terminologia interna precisata dalla società nella documentazione allegata agli atti);

b. fornitori (attuali), titolari di contratti commerciali per l´acquisto di beni e servizi connessi alla gestione del ramo di azienda ceduto;

c. organico (attuale) coincidente con i dipendenti del ramo di azienda che continuano il proprio rapporto di lavoro con la società cessionaria.

Nel complesso, le operazioni di cessione, secondo le stime effettuate dalle società istanti, riguarderebbero un numero elevatissimo di interessati (i nominativi di oltre quattro milioni e mezzo di clienti Mille Miglia oltre ai clienti c.d. "volati" e "non volati" che risultano diversi milioni, i dati dei circa dodicimila dipendenti ceduti e, infine, le informazioni concernenti circa quindicimila aziende partner in qualità essenzialmente di fornitori).

In relazione alle suddette operazioni, Alitalia SAI ha dichiarato di voler effettuare il trattamento dei dati personali riferito alle menzionate tipologie di interessati in termini sostanzialmente invariati per quanto concerne le finalità e le modalità seguite, e quindi in modo compatibile con gli scopi per i quali i dati sono stati in precedenza raccolti e trattati (cfr. istanza presentata il 3 dicembre 2014, p. 4).

1.3. In ragione dell´assunzione da parte della società Alitalia SAI della qualità di titolare del trattamento dei dati personali relativi agli interessati (relativamente al complesso di beni organizzati per l´esercizio dell´attività del ramo di azienda ceduto), la stessa si è posta il problema delle modalità con le quali gli interessati debbano essere informati riguardo a tali circostanze (art. 13 del Codice).

A detta di Alitalia SAI, cui in ragione della successione nei rami di azienda spetterà porre in atto le misure prescritte ai sensi del presente provvedimento, sussisterebbero notevoli difficoltà nell´informare in modo adeguato (tenendo conto anche della complessità e della durata delle procedure che hanno portato alla definizione del nuovo assetto proprietario) un numero così elevato di soggetti coinvolti nelle operazioni di cessione; ciò comporterebbe, infatti, l´impiego di mezzi manifestamente sproporzionati rispetto ai diritti degli interessati.

Alla luce di tali considerazioni, la società cessionaria chiede di poter fornire l´informativa non mediante comunicazioni individuali ma attraverso modalità alternative, ad esempio mediante l´eventuale diffusione di uno specifico avviso sul proprio sito web e, ancora, tramite annunci pubblicati su alcuni quotidiani a diffusione nazionale.

2. L´informativa agli interessati e le ulteriori condizioni di liceità del trattamento.

Preliminarmente si ribadisce (come peraltro riconosciuto dagli istanti) che la cessione del ramo di azienda effettuata da Alitalia CAI in seguito alla costituzione (e nei confronti) di Alitalia SAI non ha esaurito i suoi effetti solo sul piano civilistico, ma ha investito anche l´aspetto relativo alla protezione dei dati personali di soggetti che, prima di allora, avevano contatti con la sola società cedente (all´epoca titolare del trattamento).

Al riguardo si rileva che entrambe le società, assumendo ogni responsabilità ai sensi dell´art. 168 del Codice, hanno dichiarato che, anche a seguito della cessione del ramo d´azienda, il trattamento dei dati personali degli interessati proseguirà in termini sostanzialmente invariati rispetto a prima, nel rispetto delle finalità che ne avevano determinato la raccolta e con l´osservanza delle modalità sino ad allora seguite (cfr. istanza presentata il 2 dicembre 2014).

Riguardo al profilo relativo alla comunicazione dei dati personali degli interessati da Alitalia CAI ad Alitalia SAI, si rileva che nel caso in questione, essendosi verificata una cessione di ramo di azienda, trovano applicazione gli artt. 2558 (successione nei contratti), 2559 (crediti relativi all´azienda ceduta), 2560 (debiti relativi all´azienda ceduta) e 2112 (mantenimento dei diritti dei lavoratori in caso di trasferimento d´azienda) del codice civile. In ragione di tale peculiare disciplina, sul piano sostanziale si determina una successione legale del nuovo imprenditore in tutti i rapporti giuridici e in tutte le posizioni attive e passive facenti capo al cedente, sicché, subentrando l´acquirente nella stessa posizione dell´alienante, il trattamento dei dati personali di dipendenti, clienti, fornitori e titolari di contratti commerciali per l´acquisto di beni e servizi connessi alla gestione dei rami di azienda ceduti, non necessita di alcun nuovo consenso (nell´ipotesi in cui lo stesso sia previsto, trovando applicazione il presupposto equipollente di cui all´art. 24, comma 1, lett. b) del Codice, che consente di prescindere da esso nel caso in cui il trattamento sia necessario per eseguire obblighi derivanti da un contratto di cui sia parte lo stesso interessato.

Inoltre, tenuto conto dell´art. 26, comma 4, lett. d) del Codice, non necessita di consenso nemmeno il trattamento dei dati sensibili dei dipendenti, risultando al riguardo sufficiente il rispetto delle sole prescrizioni contenute nell´autorizzazione generale n. 1/2014 del Garante.

Ciò premesso, resta comunque doveroso il rispetto dell´obbligo posto dall´art. 13 del Codice che, nell´ipotesi in cui –come quella in questione- i dati personali non siano raccolti direttamente presso l´interessato, impone al titolare del trattamento di rendere l´informativa al predetto "all´atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione" (art. 13, comma 4 del Codice).

Nel caso in oggetto, stante l´elevata mole dei rapporti in cui Alitalia SAI è subentrata "ex lege" (in proposito, basti pensare agli oltre quattro milioni e mezzo di clienti Mille Miglia, ai clienti "volati" e "non volati" che risultano diversi milioni, oltre ai dipendenti ceduti, ai fornitori e ai partner di varia natura) si deve effettivamente ritenere che non sia possibile rendere l´informativa a tutti gli interessati in forma individuale e che, comunque, anche qualora ciò fosse astrattamente realizzabile, ne discenderebbe un impiego di mezzi manifestamente sproporzionato –anche per costi ed oneri- rispetto al diritto tutelato.

Pertanto, si ritiene che la richiesta di esonero possa essere accolta e per l´effetto, ai sensi dell´art. 13, comma 5, lett. c) del Codice, si prescrive, quale misura appropriata, che l´informativa agli interessati venga resa da parte di Alitalia SAI secondo modalità alternative e semplificate.

A tal fine, si ricordi che la disciplina di protezione dei dati personali prevede che i dati personali debbano essere trattati "secondo correttezza" (art. 11, comma 1, lett. a), del Codice), assicurando un livello elevato di tutela dei diritti e delle libertà fondamentali "nel rispetto dei princìpi di semplificazione, armonizzazione ed efficacia" (art. 2, comma 2, del Codice); tali garanzie possono essere assicurate nel caso in esame mediante la pubblicazione dell´informativa contenente gli elementi previsti dall´art. 13, commi 1 e 2, del Codice sul sito web di Alitalia SAI e, ancora, tramite annunci pubblicati su almeno due quotidiani a diffusione nazionale, avendo cura, inoltre, di fornire direttamente ai soggetti ceduti gli elementi contenuti nell´art. 13, commi 1 e 2, del Codice, alla prima occasione utile di contatto.

3. Cessione dei servizi informatici

Alitalia SAI, inoltre, in data 22 gennaio 2015 ha fatto pervenire ulteriore documentazione concernente una connessa (rispetto ai conferimenti sopra descritti) operazione di cessione di ramo d´azienda, afferente, nello specifico, ai soli servizi informatici.

In particolare, è stato rappresentato che in data 22 dicembre 2014, Alitalia CAI (divenuto, con atto di conferimento stipulato nella medesima data, il nuovo vettore aereo Alitalia SAI), avrebbe sottoscritto con IBM Italia S.p.A. un contratto di cessione del ramo di azienda costituito dall´insieme delle risorse umane (69 dipendenti del ramo di azienda ceduto), dei rapporti contrattuali, dei beni, nonché dalle passività ed attività funzionali all´attività dei servizi informatici. Sempre nella nota del 22 gennaio, inoltre, si è precisato espressamente, che le "immobilizzazioni connesse al ramo di azienda, sono costituite esclusivamente da beni materiali e licenze software", aggiungendosi che, così come indicato anche all´art. 13 del contratto di cessione "le macchine oggetto di cessione (a titolo esemplificativo i server e gli apparati) contengono dati personali di Alitalia e dei destinatari dei servizi di Alitalia, necessari all´espletamento delle attività di cui al contratto di servizi". Sempre nella medesima data, contestualmente al predetto contratto di cessione di ramo d´azienda, è stato anche sottoscritto tra Alitalia e IBM un contratto di servizi informatici che dispone espressamente (cfr. art. 11.3, lett. a) punto 2 e all. P) la nomina di IBM Italia S.p.A. quale responsabile esterno del trattamento dei dati personali ai sensi dell´art. 29 del Codice.

In relazione alla predetta operazione, con riferimento ai dati personali dei dipendenti devono applicarsi i medesimi principi già esposti: l´operazione di cessione, quindi, non necessita di alcun consenso, trovando applicazione il presupposto equipollente di cui all´art. 24, comma 1, lett. b) del Codice, che consente di prescindere da esso nel caso in cui il trattamento sia necessario per eseguire obblighi derivanti da un contratto di cui sia parte lo stesso interessato. Inoltre, tenuto conto dell´art. 26, comma 4, lett. d) del Codice, non necessita di consenso nemmeno la cessione dei dati sensibili dei predetti dipendenti, risultando al riguardo sufficiente il rispetto delle prescrizioni contenute nell´autorizzazione generale n. 1/2014 del Garante.

Con riferimento, invece, al trattamento dei dati personali contenuti nell´hardware ceduto, la già avvenuta nomina a responsabile del trattamento di IBM Italia s.p.a. consente di ritenere che non si sia realizzata alcuna cessione degli stessi, ma una semplice delocalizzazione delle operazioni di trattamento, che rimangono sotto la titolarità del medesimo soggetto. Non è pertanto, richiesto alcun consenso degli interessati per tale operazione.

TUTTO CIÒ PREMESSO, IL GARANTE:

accoglie la richiesta di esonero e, per l´effetto, ai sensi dell´art. 13, comma 5 del Codice, dispone che Alitalia SAI S.p.A., possa prescindere, per le ragioni di cui in motivazione, dal rendere l´informativa individuale agli interessati, sempre che la stessa, tuttavia, fornisca agli interessati la prevista informativa:

a. mediante la pubblicazione di un annuncio recante i contenuti dell´informativa sul proprio sito web;

b. tramite annunci pubblicati su almeno due quotidiani a diffusione nazionale;

c. mediante la comunicazione agli interessati in occasione della prima circostanza utile di contatto.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 19 febbraio 2015

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia