[doc. web n. 6704011]

Ordinanza ingiunzione nei confronti di Hotel Savoia Genova s.r.l. - 20 aprile 2017

Registro dei provvedimenti
n. 201 del 20 aprile 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, I Gruppo Genova , in attuazione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice), n. 18683/91026 datata 16 giugno 2014, e su specifica delega di questa Autorità, ha svolto, presso il Grand Hotel Savoia, sede legale della società Hotel Savoia Genova s.r.l., P.Iva: 12776020153, sita in Genova (GE), via Arsenale di Terra, n. 5,  gli accertamenti di cui al verbale di operazioni compiute datato 22 settembre 2014, dai quali è risultato che Hotel Savoia Genova s.r.l. effettuava, quale titolare, un trattamento di dati personali mediante l´utilizzo di un sistema di videosorveglianza risultato attivo e funzionante, composto da 14 telecamere di cui 2 esterne e le altre ripartite tra i sette piani dell´albergo, omettendo di fornire agli interessati, per alcune delle telecamere, tra cui quelle esterne, l´informativa prevista dall´art. 13 del Codice e dal provvedimento generale in materia di videosorveglianza, adottato dal Garante l´8 aprile 2010 e pubblicato in Gazzetta Ufficiale n. 99 del 29 aprile 2010 (in www.gpdp.it, doc. web n. 1712680 – di seguito denominato "Provvedimento generale") e conservando le immagini per un periodo di 21 giorni (dal 2 al 22 settembre 2014) superiore al termine di una settimana, previsto al punto 3.4  del predetto Provvedimento generale. È stato inoltre accertato che Hotel Savoia Genova s.r.l. effettuava un trattamento di dati personali di coloro che prenotavano tramite il sito www.yourreservation.net, fornendo un informativa privacy esclusivamente in lingua inglese senza la possibilità di ottenere le medesime informazioni anche in lingua italiana;

VISTO il verbale n. 1 del 30 settembre 2014 (notificato in pari data), che qui si intente integralmente richiamato, con cui è stata contestata alla predetta società:

- ai sensi dell´art. 161 del Codice, la violazione dell´art. 13 per avere svolto un trattamento di dati personali mediante l´impianto di videosorveglianza ommettendo di rendere agli interessati, per alcune delle telecamere, tra cui quelle esterne, l´informativa semplificata ai sensi del citato art. 13 del Codice e del provvedimento generale in materia di videosorveglianza;

-  ai sensi dell´art. 162, comma 2-ter, del Codice, la violazione di quanto disposto, ai sensi dell´art. 154, comma 1, lett. c), al punto 3.4 del Provvedimento generale, per aver conservato le immagini riprese con il predetto sistema di videosorveglianza per un tempo superiore a quello stabilito dal Garante;

VISTO il rapporto della Guardia di finanza, I Gruppo Genova, predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale risulta che non è stato effettuato il pagamento in misura ridotta;

VISTO il verbale n. 2 del 30 settembre 2014 (notificato in pari data), che qui si intente integralmente richiamato, con cui è stata contestata alla predetta società, ai sensi dell´art. 161 del Codice, la violazione dell´art. 13 per avere svolto un trattamento di dati personali mediante il form di prenotazione reperibile sul sito www.yourreservation.net, fornendo un informativa privacy inidonea in quanto formulata esclusivamente in lingua inglese senza la  possibilità di ottenere le medesime informazioni anche in lingua italiana;

VISTO il rapporto della Guardia di finanza, I Gruppo Genova, predisposto ai sensi dell´art. 17 della legge n. 689/1981, dal quale risulta che non è stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 27 ottobre 2014 relativi ad entrambi i verbali di contestazione, che qui si intendono integralmente richiamati, nei quali si legge:

- "non è necessario che ciascuna telecamera posizionata sia accompagnata da uno specifico cartello, che ne segnali l´esistenza ed ubicazione: è invece necessario che il cartello e/o i cartelli siano posizionati in maniera tale che chiunque possa rendersi agevolmente conto di accedere ad un´area videosorvegliata";

- "chiunque acceda al Grand Hotel Savoia, per qualsiasi ragione, incontra subito, fin dalla reception, una serie di cartelli che lo informano immediatamente che si trova in un area videosorvegliata";

- "per quanto attiene all´esterno dell´albergo, si osserva che quando l´impianto è stato realizzato, nel 2012, vi erano anche due cartelli esterni, che però sono stati asportati da ignoti, e non erano in loco alla data di accesso della GdF";

- "non pare necessario uno specifico cartello di informativa per la telecamera posizionata al primo piano […] tale telecamera non  è posizionata presso un ingresso, bensì presso un´uscita di emergenza";

- "analoghe considerazioni valgono per la telecamera posizionata al settimo piano […] chi è giunto fino al settimo piano ha già incontrato gli avvisi nella reception al piano terra, prima dell´accesso agli ascensori e subito dopo l´uscita degli ascensori al settimo piano, per cui ormai ha sicuramente compreso di trovarsi in area videosorvegliata";

- "per quanto riguarda la seconda contestazione [conservazione delle immagini per un periodo di tempo superiore rispetto a quello prescritto dal Garante], si premette che l´impianto di videosorveglianza è stato predisposto e settato nell´anno, 2012 a cura del sig. Walter Pescara, all´epoca Direttore dell´Albergo, ed oggi purtroppo venuto a mancare […] il primo accesso alle registrazioni di videosorveglianza è avvenuto proprio su richiesta della G.d.F.: solo in tale occasione, perciò l´esponente ha preso atto che il sistema non cancellava automaticamente le immagini in breve tempo";

- "Hotel Savoia s.r.l. non esercita l´attività di raccolta prenotazioni on line – la società tedesca WorldHotels AG cura tale attività, e gestisce in piena autonomia il sito internet www.yourreservation.net "

- "il sito internet dell´albergo, pacificamente, non offre direttamente alcun servizio di prenotazione, né consente di effettuare alcuna attività di raccolta e trattamento dati personali. Viceversa, il servizio di prenotazione on line è curato in via esclusiva dalla società tedesca […] con la quale l´esponente società ha stipulato un contratto di cooperazione";

- "sulla homepage del sito dell´Hotel Savoia compare un link, attraverso il quale l´utente interessato può prenotare una camera [venendo indirizzato] ad altro sito internet […] curato da diverso gestore […] cliccando alla voce Termini e condizioni appaiono le seguenti indicazioni in lingua inglese […] (trad. lingua italiana: Questo sito web è gestito da Trust International Reservation Service GmbH – TRUST che lo ha sviluppato e possiede tutti i diritti sul sistema di prenotazioni alberghiere […] Privacy. Si prega di consultare la Privacy Policy di TRUST)";

- "la contestazione non coglie nel segno […] è vero che durante il percorso di prenotazione on line appare un informativa esclusivamente in lingua inglese ma è altrettanto vero che l´utente che desideri ottenere un´informativa in lingua italiana, può comunque ottenerla facilmente. Infatti, abbiamo visto che il sito www.yourreservation.net  è collegato al sito www.worldhotels.com che  […] propone informazioni in diverse lingue, compresa la lingua italiana;

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità della parte in relazione a quanto contestato. Quanto dedotto, correttamente,  circa l´assenza dell´obbligo di posizionare un cartello recante l´informativa semplificata per ciascuna telecamera, non risulta dirimente nel caso di specie in quanto le telecamere erano dislocate in un area vasta composta dai sette piani dell´albergo. Al riguardo, con il provvedimento generale sulla videosorveglianza il Garante ha chiarito che: "In presenza di più telecamere, in relazione alla vastità dell´area oggetto di rilevamento e alle modalità delle riprese, potranno essere installati più cartelli. Il supporto con l´informativa deve essere collocato prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti". Pertanto, essendo l´esterno dell´albergo sprovvisto di cartellonistica recante l´informativa minima, gli interessati entravano nel raggio d´azione delle telecamere senza essere stati preventivamente informati che l´area era sottoposta a videosorveglianza e apprendevano tale circostanza solo nella reception dell´albergo. Quanto dedotto circa l´asportazione dei cartelli esterni da parte di ignoti e il fatto che la parte non fosse a conoscenza della conservazione prolungata delle immagini non consente di qualificare gli elementi costitutivi della disciplina sull´errore scusabile di cui all´art. 3 della legge n. 689/1981, atteso che l´errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall´interessato con l´ordinaria diligenza, elemento che non è riscontrabile nel caso di specie (Cass. civ. sez. VI del 2 ottobre 2015, n. 19759; Cass. civ. sez. lavoro del 12 luglio 2010, n. 16320; Cass. Civ. sez. II del 13 marzo 2006, n. 5426);

Per ciò che attiene l´attività di raccolta prenotazioni on line, pur prendendo atto che il sito internet www.yourreservation.net è gestito dalla società tedesca WorldHotels AG, si evidenzia che proprio nella privacy policy di TRUST (formulata esclusivamente in inglese) richiamata dalla parte nelle memorie difensive e contenuta nel verbale delle operazioni compiute del 22 settembre 2014 (cfr. all. 4, pag. 3) si legge: "Trattamento dei dati per conto dell´Hotel. Trust international hotel reservation service tratterà i dati personali da voi forniti in questa pagina web al momento della prenotazione (nome, indirizzo o dettagli del pagamento) per conto dell´albergo o della catena alberghiera da voi scelta nella qualità di responsabile del trattamento dei dati. Trust non ha alcun potere discrezionale in merito al trattamento dei suoi dati personali. Viceversa, il trattamento dei suoi dati personali è totalmente controllato dall´albergo, alle cui istruzioni Trust si deve obbligatoriamente attenere. Trust non memorizzerà i suoi dati personali per altri scopi al di fuori che del trattamento previsto dalle istruzioni date dall´hotel e non trasmetterà i vostri dati personali a terzi". Risulta, pertanto, accertato che Hotel Savoia Genova s.r.l. ha agito in qualità di titolare del trattamento dei dati raccolti mediante il sistema di prenotazione gestito da altra società nominata responsabile del trattamento.  Nello specifico, giova rammentare che il contratto di cooperazione invocato dalla parte non contiene alcun riferimento esplicito all´obbligo di rendere idonea informativa agli interessati ai sensi dell´art. 13 del Codice. Al riguardo, si evidenzia che, nella disciplina del Codice, il centro primario di imputazione rispetto all´osservanza delle norme in materia di protezione dei dati personali è il titolare del trattamento (nel caso di specie Hotel Savoia Genova s.r.l.) che assume ogni decisione in merito alle finalità e alle modalità del trattamento (art. 4, comma 1, lett. f) del Codice). Per ciò che attiene, infine, l´asserita facilità per l´utente di ottenere comunque un´informativa in lingua italiana, nel sottolineare che tale circostanza non è emersa in sede di ispezione nella quale gli agenti accertatori hanno effettuato una simulazione della prenotazione tramite il sito dell´albergo, si osserva che l´informativa prodotta dalla parte nelle memorie difensive, e acquisita in atti, risulta generica rispetto a quella fornita esclusivamente in lingua inglese in quanto non individua il titolare e il responsabile del trattamento e, pertanto, parimenti inidonea ai sensi dell´art. 13 del Codice;

RILEVATO, quindi, che Hotel Savoia Genova s.r.l., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice:

- la violazione prevista dall´art. 161, del Codice, per avere svolto un trattamento di dati personali mediante l´impianto di videosorveglianza omettendo di rendere agli interessati, prima del raggio di azione delle telecamere, l´informativa semplificata ai sensi del citato art. 13 del Codice e del provvedimento generale in materia di videosorveglianza;

- la violazione prevista dall´art. 162, comma 2-ter, del Codice, per aver conservato immagini registrate dal proprio sistema di videosorveglianza per un tempo superiore a quello stabilito, ai sensi dell´art. 154, comma 1, lett. c), del Codice, dal punto 3.4, del Provvedimento generale;

- la violazione prevista dall´art. 161, del Codice, per avere svolto un trattamento di dati personali mediante il form di prenotazione reperibile sul sito www.yourreservation.net, fornendo un informativa privacy inidonea ai sensi dell´art. 13, del Codice, in quanto formulata esclusivamente in lingua inglese senza la possibilità di ottenere le medesime informazioni anche in lingua italiana;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 del Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro; l´art. 162, comma 2-ter del Codice, che punisce la violazione dell´art. 154, comma 1, lett. c) del medesimo Codice con la sanzione amministrativa del pagamento di una somma da trentamila euro a centottantamila euro;

RITENUTO che sussistono gli elementi che consentono di applicare, per le tre violazioni, la diminuente di cui all´art. 164-bis, comma 1, del Codice, in ragione della minore gravità delle violazioni commesse avuto riguardo della particolare tenuità della condotta;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, le violazioni non risultano connotate da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere considerato in termini favorevoli il fatto che la società abbia adeguato i trattamenti oggetto delle accertate violazioni alle prescrizioni fornite dal Garante mediante il provvedimento generale sulla videosorveglianza e dal Dipartimento realtà economiche e produttive di quest´Autorità mediante la nota prot. 10614/96120 datata 10 aprile 2015;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, è stato preso in considerazione il bilancio della società per l´anno 2015;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura totale di euro 16.800 (sedicimilaottocento), cosi determinata:

- euro 2.400,00 (duemilaquattrocento) per ciascuna delle due violazioni di cui all´art. 161, in relazione all´art. 13 del Codice, per un totale di euro 4.800 (quattromilaottocento);

- euro 12.000,00 (dodicimila) per la violazione dell´art. 162, comma 2-ter, in relazione all´art. 154, comma 1, lett. c), del Codice;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Hotel Savoia Genova s.r.l., P.Iva: 12776020153, con sede in Genova (GE), via Arsenale di Terra, n. 5, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 16.800 (sedicimilaottocento) per le violazioni indicate in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 16.800 (sedicimilaottocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 20 aprile 2017

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia