[doc. web n. 2271640]

Ordinanza di ingiunzione nei confronti di Professional Pneus sccrl - 11 ottobre 2012

Registro dei provvedimenti
n. 284 dell´11 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689, relativo al verbale di contestazione di violazione amministrativa redatto in data 3 marzo 2010 nei confronti di Professional Pneus sccrl (di seguito "società"), con sede in Sant´Antonio Abate (NA), Via S. Maria la Carità n. 62, in persona del legale appresentante pro-tempore, per violazione degli artt. 13, 23 e 37 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che la Guardia di finanza, Comando Compagnia Castellammare di Stabia, in esecuzione della richiesta di informazioni ex art. 157 del Codice (prot. n. 4804/53969 del 4 marzo 2009), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 16 giugno 2009, da cui è risultato che la società ha effettuato un trattamento di dati personali per mezzo dei form "Registrazione" e "Newsletter" presenti sul sito Internet www.professionalpneus.it. Nel corso dell´accertamento è stato rilevato che, contrariamente a quanto indicato nell´informativa, non era consentito all´utente negare il consenso relativamente alle finalità di utilizzo e comunicazione ad aziende terze del proprio profilo commerciale per l´attività di marketing e promozionale;

VISTA la richiesta di informazioni formulata da questo Ufficio in data 12 gennaio 2010, prot. n. 526/U, con cui la società è stata invitata a fornire ulteriori elementi in relazione all´attività di profilazione svolta, avente ad oggetto i dati degli utenti raccolti tramite il sito Internet;

VISTO il riscontro fornito dalla società, datato 12 febbraio 2010, con cui la stessa ha illustrato le modalità e le finalità del trattamento dei dati, dichiarando, tra l´altro, di aver provveduto in pari data alla notificazione ai sensi dell´art. 37, comma 1, lett. d) del Codice;

VISTO il verbale n. 4856/64657 del 3 marzo 2010, con cui sono state contestate alla predetta società le violazioni amministrative previste dagli artt. 161, 162, comma 2-bis e 163 del Codice, posto che la stessa ha effettuato un trattamento di dati personali sul proprio sito web nel quale è stata riscontrata un´informativa inidonea e una formula che acquisisce il consenso indistintamente per le diverse finalità di marketing e di profilazione; è stata inoltre rilevata la ritardata notificazione del trattamento al Garante relativamente all´attività di profilazione;

CONSIDERATO che la parte è stata informata della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risultano effettuati i pagamenti in misura ridotta;

VISTI gli scritti difensivi inviati ai sensi dell´art. 18 della legge n. 689/1981, con cui la società ha dichiarato che le finalità indicate nell´informativa, rispetto alle quali è stata riscontrata l´impossibilità di negare il consenso, erano indicate solo in via cautelativa per un eventuale utilizzo futuro. La società ha, infatti, chiarito di non aver "elaborato i dati per definire il profilo commerciale degli utenti" e che "nonostante fosse stato erroneamente indicato nell´informativa la cooperativa non ha mai comunicato il profilo commerciale degli utenti ad aziende partner, né tantomeno l´ha utilizzato per finalità di marketing e promozionali di terzi", ma di aver effettuato comunque la notificazione in via cautelativa per il futuro. La società, infine, ha chiesto, in via subordinata all´archiviazione del procedimento, la rateizzazione della sanzione, in considerazione delle difficili condizioni economiche;

VISTO il verbale dell´audizione delle parti tenutasi, in data 10 marzo 2011, ai sensi dell´art. 18 della legge n. 689/1981, nel corso della quale la parte ha ribadito quanto dichiarato negli scritti difensivi, precisando di aver provveduto alla cancellazione dei circa 3000 utenti iscritti al sito, così come richiesto dal Garante con la nota dell´8 aprile 2010;

RITENUTO che le argomentazioni addotte non consentono di escludere la responsabilità della società in relazione a quanto contestato. Con riguardo alla violazione di cui all´art. 161 del Codice, si osserva che, già al momento della visita ispettiva e come rilevato successivamente dall´Ufficio, il testo dell´informativa, presente sul sito web della società, conteneva indicazioni poco chiare e comunque inesatte rispetto ai trattamenti effettivamente posti in essere dalla società, in dispregio delle regole di correttezza e completezza che devono essere rispettate nella formulazione dell´informativa. Tale circostanza è stata, tra l´altro, confermata dalla stessa società, laddove con la nota del 12 febbraio 2010 ha dichiarato di aver inserito la nuova informativa, in quanto la precedente "non era idonea a riassumere e a descrivere in maniera esauriente agli interessati le attività svolte". L´inidoneità dell´informativa, pertanto, non garantisce la necessaria trasparenza dei trattamenti effettivamente posti in essere dalla società nei confronti degli interessati. Sotto questo profilo, anche la formula di acquisizione del consenso presente sul sito Internet non permette agli interessati di esprimere liberamente e consapevolmente la propria scelta in ordine alle diverse tipologie di trattamenti indicati (promozionale, marketing proprio e di terzi, profilazione), come invece l´Autorità ha più volte ribadito nei suoi provvedimenti (tra gli altri, provv. 31 gennaio 2008 doc. web n. 1500829). Diversamente da quanto realizzato dalla società sul sito Internet, dove in calce al form "Registrazione" era presente un´unica formula di acquisizione del consenso peraltro già preimpostata sull´opzione di tipo positivo, le indicazioni fornite dall´Autorità possono essere adeguatamente osservate predisponendo richieste di consenso di tipo positivo distinte per ciascuna finalità che si intende perseguire, secondo la prescrizione dell´art. 23 del Codice. Con riferimento alla violazione dell´art. 37, invece, sulla base degli elementi raccolti e delle dichiarazioni rese dalla parte, si ritiene non comprovato l´effettivo inizio dell´attività di profilazione da parte della società, anche per l´inidoneità a tal fine dei dati raccolti;

RILEVATO, pertanto, che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) rendendo agli interessati un´informativa inidonea ai sensi dell´art. 13 del Codice e in carenza di un valido consenso ai sensi dell´art. 23;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica introdotta con la legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni di cui all´art. 167, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, con riferimento alla violazione di cui all´art. 161 del Codice, gli elementi dell´entità del pregiudizio o del pericolo, delle modalità concrete della condotta e dell´intensità dell´elemento psicologico devono essere valutati alla luce del fatto che è stata fornita un´informativa inidonea, da cui non risultavano chiaramente i trattamenti svolti; rispetto alla violazione di cui all´art.. 162, comma 2-bis, gli stessi elementi devono essere valutati in considerazione del fatto che è stato acquisito un unico consenso, peraltro già preselezionato, rispetto a diverse finalità;

b) ai fini della valutazione dell´opera svolta dall´agente, la parte ha provveduto a modificare l´informativa e la formula di acquisizione del consenso, conformemente alle disposizioni di legge, nonché ad effettuare la notificazione rispetto all´attività di profilazione;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazione alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, deve rilevarsi che la società ha conseguito un utile di esercizio per l´anno 2010;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 6.000,00 (seimila) per la violazione di cui all´art. 161 e nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 162, comma 2-bis;

VISTO l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare alle predette sanzioni la diminuzione prevista dall´art. 164-bis, comma 1, del Codice e, pertanto, l´importo complessivo delle sanzioni ridotto a 2/5 è pari a euro 10.400,00 (diecimilaquattrocento);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

DISPONE

l´archiviazione del procedimento sanzionatorio relativo alla violazione amministrativa di cui all´art. 163 del Codice;

ORDINA

a Professional Pneus sccrl, con sede in Sant´Antonio Abate (NA), Via S. Maria la Carità n. 62, in persona del legale appresentante pro-tempore, di pagare la somma complessiva di euro 10.400,00 (diecimilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis, del medesimo Codice, come indicato in motivazione frazionandola, in accoglimento alla richiesta di rateizzazione, in 10 rate mensili dell´importo di euro 1.040,00 (millequaranta) ciascuna, i cui versamenti saranno effettuati a partire dal giorno 15 del mese successivo a quello in cui avverrà la notifica della presente ordinanza;

INGIUNGE

alla medesima società di pagare la somma di euro 10.400,00 (diecimilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia