g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Tim S.p.A. - 11 novembre 2021 [9722894]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

 

VEDI ANCHE NEWSLETTER DEL 3 DICEMBRE 2021

 

[doc. web n. 9722894]

Ordinanza ingiunzione nei confronti di Tim S.p.A. - 11 novembre 2021

Registro dei provvedimenti
n. 401 dell'11 novembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presiden-te, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati perso-nali, nonché alla libera circolazione di tali dati e che ha abrogato la direttiva 95/46/CE (di se-guito “Regolamento” o “GDPR”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTI il provvedimento dichiarativo e correttivo adottato nei confronti di Tim S.p.a. il 27 maggio 2021 n. 216, doc. web n. 9689324, per fornire, in via d’urgenza, una tutela tempestiva al segnalante nell’ambito del procedimento penale in corso, nonché i relativi atti, ai quali sin d’ora si fa integrale rinvio;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

VISTA la riserva dell’applicazione di un’eventuale sanzione pecuniaria manifestata nel citato provvedimento del 27 maggio 2021;

VISTA la memoria inviata nell’interesse di Tim il 7 giugno 2021 nell’ambito del procedimento avviato il 7 maggio 2021, ai sensi dell’art. 166, comma, 5 del Codice, per l’esercizio dei poteri correttivi e sanzionatori del Garante, nella quale sono state richiamate dalla Società “tutte le argomentazioni già addotte nel riscontro 31.03.21 alla richiesta di informazioni” dell’Ufficio unita-mente ad alcune precisazioni;

RILEVATO in particolare che, secondo la Società: “In relazione a quanto previsto dal citato art. 83, par. 2, lettere a) e b), […] il mancato riscontro alla prima richiesta dell’interessato era dovuto alle carenze formali evidenziate (documento di identità illeggibile). Con riguardo a questo, ed agli altri pro-fili, non sembra sia configurabile alcun dolo o colpa, essendo la posizione di TIM frutto di una interpre-tazione del delicato e complesso quadro delle norme in tema di data retention, peraltro sin qui ritenuta coerente con i precedenti orientamenti del Garante, e non avendo TIM, come più volte ribadito alcun interesse a limitare i diritti degli interessati che chiedano accesso ai dati di traffico conservati per finali-tà penali di cui all’art. 132 del Codice privacy, come recentemente modificato dal d.lgs. 101/2018. La violazione, anche ove ritenuta sussistente, riguarda comunque un solo interessato, e non vi sono le condizioni per considerare alcuna recidiva, attesa la assenza, all’epoca, di precedenti interpretativi univoci (rispetto anche a quanto emerso successivamente);

RILEVATO inoltre che nella memoria del 7 giugno Tim “Riguardo a quanto previsto dall’art. 83, par. 2, lettere c), [...] ribadisce la propria disponibilità a fornire i dati al segnalante, nei limiti in cui il Garante abiliti l’azienda ad estrarre i dati dal SAG”;

RILEVATO altresì che la Società, con riguardo all’art. 83, par. 2, ha richiamato “le iniziative e misure organizzative e tecniche complessivamente assunte da TIM e quelle ulteriori in corso di imple-mentazione sulla specifica tematica in esame (di cui è stato già dato atto anche in recenti procedimenti), con particolare riguardo alla gestione delle richieste di esercizio dei diritti degli interessati di accesso ai dati di traffico telefonico, fermo nel caso di specie il pieno rispetto dei tempi di riscontro alle richieste presentate dall’interessato e dal relativo legale, e considerata la circostanza che la mancata ostensione dei dati di traffico è stata comunque frutto di una ponderata valutazione della Società nei termini sopra esposti e non di una ritardata o mancata risposta al segnalante”;

VISTO il verbale di audizione di Tim del 21 luglio 2021;

VISTE le note inviate il 23 aprile 2021 e il 15 giugno 2021, su richieste dell’Ufficio del 22 apri-le e del 10 giugno 2021, dal difensore del segnalante e contenenti l’inoltro integrale dell’originaria istanza d’accesso inviata dal segnalante il 26 ottobre 2020 (rectius: 27 ottobre 2020, v. relativi atti), unitamente al documento d’identità (come allegato alla detta istanza);

VISTA la nota di Tim del 28 luglio 2021, secondo la quale – in parte contraddicendo quanto rappresentato nel riscontro del 31 marzo 2021 e nella memoria del 7 giugno 2021 – : “solo dopo l’esame dei riscontri forniti dall’avvocato (del segnalante) alle richieste di informazioni avanzate da(ll’Ufficio) in data 22.04.2021 ed in data 10.06.2021, e dopo aver sottoposto agli uffici competenti di TIM gli stessi, è stato possibile acclarare che: 1. il modulo 26.10.20 firmato dal sig. XX, non ri-sulta mai pervenuto sull’account e-mail XX; 2. lo stesso non è mai pervenuto via fax: contrariamente a quanto inizialmente riferito dalle strutture che avevano istruito il caso, e nonostante il fatto che il modulo sia concepito per esser inoltrato via fax (come emerge dalla relativa intestazione), il sig. XX non risulta aver mai utilizzato detto mezzo di trasmissione; 3. il modulo è pervenuto esclusivamente in data 29.10.20 via PEC, trasmesso (con messaggio indirizzato a XX) dall’account” di soggetto diverso dal segnalante “senza che fosse in alcun modo indicata una delega o incarico a tale soggetto per l’invio del modulo medesimo”;

RILEVATO che nella medesima nota Tim ammette che: “Come è stato possibile accertare solo sul-la base delle ultime verifiche, il documento di identità accluso al modulo ed inserito all’interno del file pdf allegato alla suddetta PEC risultava effettivamente leggibile”, aggiungendo però che “il proble-ma della illeggibilità del documento di identità è sorto in ragione di una anomalia nella procedura in-terna di smistamento della PEC agli uffici competenti a lavorare la richiesta: […] come è possibile rile-vare dall’allegato C agli scritti difensivi del 7.06.21 […]. Sulla base di tale anomalia, gli operatori TIM, rilevato che il documento non era leggibile, ebbero a contattare senza successo il sig. XX in-viando poi allo stesso in data 19.11.2020 una e-mail all’indirizzo XX (v. all. 2); invio accompagnato anche da alcuni tentativi di contatto telefonico non andati a buon fine (che, secon-do quanto indicato dai competenti uffici TIM, risultano essere stati effettuati il 17.11.2020 e il 7.12.2020);

RITENUTO che, alla luce della interlocuzione con le parti e della documentazione complessi-vamente acquisita anche ai sensi dell’art. 168 del Codice, non può affermarsi con certezza la data della prima istanza né la leggibilità del documento allegato dal segnalante all’originaria istanza rivolta alla Società; che, tuttavia, il solo elemento legato alla asserita inidoneità formale della richiesta (facilmente sanabile attraverso un nuovo invio del documento) avrebbe dovuto indurre la Società a porre in essere azioni idonee (anche di natura conservativa) a non pregiu-dicare il diritto dell’interessato avuto riguardo alla data di presentazione di tale originaria istanza, in attesa del perfezionamento della medesima (v. in tal senso provv. 8 luglio 2021, n. 272, doc. web n. 9693464);

RITENUTO che la problematica tecnica lamentata dal titolare del trattamento nella propria procedura di gestione di siffatte istanze non possa riflettersi negativamente sul diritto di accesso ai tabulati del segnalante ed altresì che gli asseriti tentativi di contatto telefonico e l’invio di una comunicazione a mezzo posta elettronica ordinaria ai fini dell’integrazione dell’istanza (peraltro a distanza di quasi 20 giorni dal ricevimento della medesima) non possano integrare, pur considerati congiuntamente, una condotta idonea ai sensi dell’art. 12, parr. 2 e 3, del Rego-lamento, in base al quale “Il titolare del trattamento agevola l'esercizio dei diritti dell'interessato ai sensi degli articoli da 15 a 22” e deve fornire “riscontro all’istanza di esercizio dei diritti di cui agli artt. 15-22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”;

RILEVATO che tale prima istanza, databile al più tardi al 29 ottobre 2020, riguardante in par-ticolare le chiamate (in entrata e uscita) relative alle due utenze del segnalante nel periodo ri-compreso tra il 1° gennaio 2018 e il 31 dicembre 2018, avrebbe potuto e dovuto essere evasa in modo effettivo e non meramente burocratico, anche se per il limitato periodo compreso fra il 29 ottobre e il 31 dicembre 2018 (considerando i 24 mesi precedenti al 29 ottobre 2020);

RILEVATO che con pec del 22 dicembre 2020, la richiesta veniva rinnovata dal difensore del segnalante ai sensi dell'art. 391-quater c.p.p. (indagini difensive) e che l’istanza veniva rigettata da TIM, mediante pec inviata l’8 gennaio 2021, con la quale, secondo il legale del segnalante, “si assumeva, in maniera peraltro neppure chiarissima, che non potevano essere rilasciati i dati relativi ad un periodo superiore al biennio dalla data della richiesta”;

RILEVATO che con pec in pari data il suddetto difensore pertanto rinnovava la richiesta con riferimento al diverso periodo dei 24 mesi precedenti, a decorrere dalla data d’inoltro della stessa, vale a dire per il periodo 8-01-2019/8-01-2021; persistendo il silenzio di Tim, egli solleci-tava il riscontro con nuova pec il 2 marzo 2021; riscontro che perveniva soltanto il 10 marzo (ovvero a distanza di più di 2 mesi dalla detta istanza dell’8 gennaio), ribadendo, tuttavia, il diniego già opposto;

RITENUTO che tale diversa reiterata richiesta del difensore del segnalante, illegittimamente e tardivamente rigettata da Tim (considerato anche in tal caso quanto disposto dall’art. 12, par. 3, del Regolamento riguardo al riscontro da fornirsi “senza ingiustificato ritardo” e comunque, salvo eccezioni, entro il termine di 30 giorni), avrebbe potuto e dovuto essere evasa integralmente, consegnando i tabulati compresi fra l’8-01-2019 e l’8-01-2021;

RITENUTO dunque che Tim non abbia gestito correttamente neanche le istanze presentate dal difensore del segnalante, in quanto ha omesso di consegnare i tabulati ostensibili, fornendo un riscontro supportato da una motivazione meramente temporale, essendo stato risposto da Tim –con apparente riferimento all’originaria richiesta del segnalante- che “la richiesta non (poteva) essere accolta in quanto …. i dati di traffico richiesti …. riguardano periodi di tempo eccedenti i 24 mesi dalla data di richiesta …, tempo massimo previsto dall’art. 132, comma 1, del Codice, come mo-dificato dal d.lgs. n.109/08 e succ. mod.” (v. nota Tim 8 gennaio, cit.) e, poi riportandosi a tale primo riscontro, ribadendo semplicemente che “non si è potuto darvi seguito, perché i termini di conservazione, che decorrono sempre dalla data della generazione dei dati di traffico, erano stati già superati”(v. nota Tim 10 marzo cit.);

Ritenuto peraltro che siffatto riscontro del 10 marzo sia da qualificarsi come incongruente, nonché gravemente negligente, rispetto all’oggetto della menzionata istanza dell’8 gennaio (reiterata il 2 marzo), riguardando quest’ultima il diverso periodo compreso fra 8-01-2019 e l’8-01-2021, che, alla data (08-01-2021) dell’istanza del difensore, risultava evidentemente ben ostensibile;

RILEVATO peraltro che ulteriori elementi argomentativi (di seguito ripresi nel presente prov-vedimento) sono stati rappresentati dalla Società solo in sede d’istruttoria della segnalazione e che comunque, come si dirà di seguito, non risultano condivisibili e dunque non sarebbero stati legittimi motivi di diniego alle istanze del segnalante e del suo difensore;

RITENUTO, con particolare riferimento all’argomento, opposto dalla Società, che i tabulati ri-chiesti sarebbero stati diversi da quelli oggetto di contestazione in sede penale al segnalante (ossia quelli relativi al periodo dal 21.08.18 al 26.09.18), di condividere quanto indicato dal di-fensore del segnalante (“l'interesse a conoscere i dati di traffico anche nel periodo diverso da quello per cui è processo penale è evidente, solo che si consideri che si vuole provare l'utilizzo indebito da parte di terzi di un telefono facente capo al sig. XX, XX. Ed a tal fine è necessario incrociare i dati (eventualmente anche solo in uscita) dei due numeri telefonici”);

RILEVATO che Tim stessa nel riscontro del 31 marzo 2021 riconosceva chiaramente che «il di-fensore del sig. XX, […] nel dichiarato esercizio delle facoltà di cui all’art. 391-quater, specificava quanto segue: a) il Suo assistito era stato condannato con decreto penale [...] per il reato di cui all’art. XX”. Il decreto veniva allegato alla richiesta; b) ritenendosi estraneo al reato contestato (XX), il sig. XX aveva interposto opposizione avverso il decreto penale predetto. In particolare, qualificando ancor più chiaramente l’esigenza difensiva, il legale chiariva come ‘le chiamate’ (id est: le chiamate di cui al decreto penale di condanna) provenivano dalla utenza telefo-nica mobile riconducibile a TIM […] intestata al sig. XX ma in dotazione all’epoca ad altra persona»;

RITENUTO dunque che, a fronte delle richieste di tabulati – esplicite, congruenti con il titolo di reato contestato (XX) e peraltro documentate – presentate dal difensore del se-gnalante, al pari di quella originariamente presentata da quest’ultimo, Tim – pur nei limiti temporali sopra indicati – avrebbe dovuto garantire l’accesso “senza ingiustificato ritardo” con riguardo ai tabulati in uscita e, solo con riguardo alle chiamate in entrata (v. provv. gen.  3 novembre 2005, "Accesso ai dati telefonici: garanzie per le chiamate in entrata", doc. web n. 1189488), limitarsi a verificare il collegamento con un procedimento penale a carico dell’istante, senza alcun pregiudizio per l’interessato nelle more di tale verifica, non potendo sindacare la strategia del difensore (“In tale ottica, considerato che le indagini possono ragionevol-mente riguardare anche condotte ed interazioni connesse a quelle oggetto del procedimento penale pen-dente, può ben ritenersi che le istanze di accesso possano riguardare anche tabulati diversi da quelli in-dividuati dall’autorità giudiziaria nella contestazione formulata. Non a caso, lo stesso modulo predi-sposto da Tim per siffatte richieste – come ha osservato il legale del segnalante – invitava l’istante a crociare una delle finalità ivi previste (fra cui quella di accesso ai sensi dell’art. 132) e, correttamente, non richiedeva invece di inserire una motivazione specifica a supporto della richiesta di determinati ta-bulati”: v. provv. 27 maggio 2021, cit.);

RAVVISATA dunque la violazione del fondamentale diritto d’accesso di cui agli artt. 15 del Regolamento e 132 del Codice, come valorizzato dalla normativa euro-unitaria, al fine dell’effettivo controllo e disponibilità dell’interessato sui propri dati tanto più nella delicatissi-ma sede processual-penalistica;

RITENUTO pertanto, alla luce di tutto quanto sopra, di dover confermare la valutazione di il-liceità già espressa nel citato provvedimento adottato in via d’urgenza il 27 maggio u.s. e, per l’effetto, le misure correttive ivi stabilite;

RITENUTO altresì che la violazione delle norme sopra indicate imponga l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di TIM delle sanzioni amministrative pecuniarie previste, si adotta la seguente

Ordinanza-ingiunzione per l’applicazione della sanzione amministrativa pecuniaria

RILEVATO, in particolare, che, al caso di specie, risulta applicabile la sanzione amministrativa dall’art. 83, par. 5, del Regolamento (pagamento di una somma fino a € 20.000.000 ovvero, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore);

CONSIDERATO che, per la determinazione dell’ammontare della sanzione, occorre tenere con-to degli elementi indicati nell’art. 83, par. 2, del Regolamento, che, nella presente fattispecie, possono considerarsi nei termini seguenti;

RILEVATI, in particolare, in funzione aggravante:

1. la gravità della violazione (art. 83, par. 2, lett. a), con riferimento alla particolare natura dei trattamenti connessi all’esercizio dei diritti in sede giudiziaria e alla circostanza che le con-dotte della Società hanno ostacolato l’agevole esercizio del proprio diritto di difesa nei ter-mini accordati dalla legge, in quanto -pur ove assicurato poi dall’intervento del giudice- può rilevarsi un aggravio delle procedure processuali, anch’esso elemento idoneo ad incidere sulla sfera soggettiva dell’interessato medesimo;

2. la dimensione soggettiva della condotta, che deve ritenersi gravemente colposa, avendo tra-scurato il riscontro a istanze chiare e motivate, in fatto e in diritto, nonché reiterate, con particolare riguardo a quelle presentate dal difensore (art. 83, par. 2, lett. b);

3. i provvedimenti inibitori, correttivi e sanzionatori, adottati dell’Autorità a carico della Socie-tà, con riguardo anche alla non corretta gestione dei diritti degli interessati, fra cui il provv. 15 gennaio 2020, n. 7, doc. web n. 9256486; l’ord. ingiunz. 18 gennaio 2018, n. 16, doc web n. 7665804, collegata al provv. 22 giugno 2016 n. 275 (doc. web n.5255159); l’ord. ingiunz. n. 433 del 3 ottobre 2013, doc. web n. 2726332(art. 83, par. 2, lett. e);

4. un precedente specifico provvedimento correttivo (provv. 14 maggio 2020, n. 85, doc. web n. 9442587), con cui era stata accertata la non corretta gestione delle istanze relative ai ta-bulati nell’ambito delle investigazioni difensive, pur senza comminare sanzioni, avendo ri-tenuta collocabile la violazione riscontrata nel contesto dei trattamenti oggetto del citato provv. 15 gennaio 2020, nonché un precedente sanzionatorio specifico: il provv. 8 luglio 2021, n. 272, doc. web n. 9693464) (art. 83, par. 2, lett. k);

5. la particolare rilevanza economica della Società (art. 83, par. 2, lett. k), tenuto conto dei dati di bilancio 2020, con specifico riferimento ai ricavi complessivi e all’utile netto;

RILEVATE come circostanze attenuanti:

1. la comunicata adozione di misure, con specifico riguardo alle istanze aventi ad oggetto i ta-bulati telefonici per indagini difensive, che ragionevolmente dovrebbero impedire o comunque limitare analoghe problematiche (art. 83, par. 2, lett. c);

2. la cooperazione con l’Autorità nel corso della complessiva istruttoria e nell’esecuzione del citato provvedimento correttivo (art. 83, par. 2, lett. f).

RITENUTO – in base al complesso degli elementi sopra indicati, in applicazione dei principi di effettività, proporzionalità e dissuasività indicati nell’art. 83, par. 1, del Regolamento, tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed oc-cupazionali della Società – di dover applicare a Tim spa la sanzione amministrativa del paga-mento di una somma di euro 150.000 (centocinquantamila/00);

RITENUTO che debba applicarsi anche la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto del carattere macroscopico delle violazioni rilevate con riguardo a principi giuridici ormai consolidati nell’attività provvedimentale del Garante e nella giurisprudenza;

RILEVATI i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei po-teri demandati al Garante;

TUTTO CIÒ PREMESSO IL GARANTE CONFERMA

la valutazione di illiceità già espressa ai sensi dell’art. 57 par. 1, lett. f) e dell’art. 58, par. 2, lett. c), del Regolamento, nel citato provvedimento adottato in via d’urgenza il 27 maggio u.s. e, per l’effetto, le misure correttive ivi stabilite nei confronti di Tim S.p.A., con sede legale in Via Gaetano Negri n.1, Milano, C.F. 00488410010, in persona del legale rappresentante pro-tempore;

ORDINA

a Tim S.p.A. di pagare la somma di euro 150.000 (centocinquantamila/00), a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controver-sia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 150.000 (centocinquantamila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

quale sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, la pubblicazione sul sito del Garante del presente provvedimento, e, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° set-tembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di resi-denza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provve-dimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 novembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei