Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confronti di Agas.r.l.

PROVVEDIMENTO DEL 7 SETTEMBRE 2011

Registrodeli provvedimenti
n. 323 del 7 settembre 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna,alla presenza del prof. Francesco Pizzetti, presidente, del dott. GiuseppeChiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. GiuseppeFortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapportodell'Ufficio del Garante per la protezione dei dati personali predisposto aisensi dell'art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale dicontestazione per violazione amministrativa redatto in data 1 settembre 2009nei confronti di Aga s.r.l., con sede in Roma, via San Romano n. 57, in personadel legale rappresentante pro-tempore, per violazione dell'art. 23 del Codicein materia di protezione dei dati personali (di seguito denominato Codice);

CONSIDERATO che ilNucleo speciale privacy della Guardia di finanza in attuazione della richiestadi informazioni  ex art. 157 del Codice (n. 4804/53969 datata 4 marzo2009) e su specifica delega di questa Autorità, ha svolto gli accertamenti dicui al verbale di operazioni compiute datato 2 aprile 2009, dai quali èrisultato che AGA s.r.l., attraverso la sezione "registra_utente"presente sul sito web www.tiburcc.it, effettua un trattamento di datipersonali dei clienti che effettuano acquisti on line, rendendo loro, ai sensidell'art. 13 del Codice, un'informativa nella quale vengono indicate finalitàulteriori rispetto a quelle connesse alla mera conclusione ed esecuzione delcontratto (quali l'invio di informazioni pubblicitarie, l'attività di marketinge la rilevazione del grado di soddisfazione della clientela). La procedura diregistrazione, in ogni caso necessaria per effettuare gli acquisti on line, nonconsente agli interessati di esprimere liberamente e in forma specifica ilconsenso richiesto dall'art. 23 del Codice per tali ulteriori finalità. Ciò haconsentito di accertare la violazione dell'art. 23 del Codice, sanzionatodall'art.162, comma 2-bis che, attese le circostanze di fatto emerse in sede diaccertamento, è stata qualificata, ai sensi dell'art. 164-bis, comma 1, delCodice, di minore gravità, applicando, in misura pari a due quinti, i limitimassimi e minimi delle sanzioni edittali;

VISTO il verbale n.18884/63374 del 1 settembre 2009 con cui è stata contestata alla predettasocietà la violazione amministrativa prevista dall'art. 162, comma 2-bis delCodice, in relazione all'art. 23,  informandola della facoltà dieffettuare il pagamento in misura ridotta ai sensi dell'art. 16 della legge n.689/1981;

RILEVATO dal predettorapporto che non risulta essere stato effettuato il pagamento in misuraridotta;

VISTO lo scrittodifensivo inviato ai sensi dell'art. 18 della legge n. 689/1981, con il qualela società, asserendo che "() il consenso tramite registrazione non èlegato all'esecuzione del contratto", evidenzia che è possibile "()acquistare gli stessi prodotti agli stessi prezzi di quelli previsti per chiordina registrandosi. Il consenso non può quindi essere consideratoobbligatorio o conditio sine qua non per ottenere le prestazioni offerte dalsito Tiburcc e la sua assenza non impedisce la conclusione del contratto".Evidenzia, altresì, che "() se il privato non volesse prestare ilconsenso a tutte le attività indicate nell'informativa, potrebbe comunque peraltre vie () stipulare contratti con la società". Ne consegue che lefinalità indicate nell'informativa agli interessati presente nel sito Internetdella società "() non possono essere considerate ulteriori rispetto allaconclusione ed esecuzione del contratto, perché la registrazione non è tesaalla conclusione del contratto". Peraltro, "() tutti i datiacquisiti dalla Aga s.r.l. non sono mai stati utilizzati per le finalitàindicate ()";

VISTE le note nn. 63374dell'11 giugno 2010 e 19623 del 2 settembre 2010 con le quali la società,nonostante fosse stata invitata per essere sentita ai sensi dell'art. 18 dellalegge n. 689/1981, non si è presentata alle date stabilite e non ha fattopervenire alcuna comunicazione in merito;

RITENUTO che leargomentazioni addotte non risultano idonee in relazione a quanto contestato,poiché risulta accertato in atti che la società stipula contratti via websecondo le modalità descritte nel verbale di operazioni compiute, diconseguenza risulta parimenti accertata, ai sensi dell'art. 13 della legge n.689/1981, l'effettuazione del trattamento di dati personali degli interessatiche forniscono i propri dati inserendoli negli specificati form di raccolta delsito Internet Tiburcc.  Il fatto che l'interessato possa acquistare ilmedesimo prodotto non avvalendosi della procedura di registrazione sul sitoInternet della società ovvero, pur registrandosi nella medesima sezione, senzaperfezionare la procedura acquistando alcun bene commercializzato, non esime,ai sensi dell'art. 23 del Codice, dall'obbligo di acquisire, per coloro cheinvece procedono agli acquisti on line mediante la procedura di registrazione,il consenso libero e specifico per le finalità ulteriori indicatenell'informativa di cui all'art. 13 del Codice (invio di informazionipubblicitarie, attività di marketing e rilevazione del grado di soddisfazionedella clientela), secondo il costante orientamento dell'Autorità (v.provvedimento datato 24 febbraio 2005;

RILEVATO dunque che lasocietà, in qualità di titolare del trattamento, attraverso la sezione"registra_utente" presente sul sito web www.tiburcc.it,acquisisce dati personali degli interessati in carenza di un consenso espressoin forma libera e specifica, ai sensi dell'art 23, comma 3, del Codice, perfinalità ulteriori (invio di informazioni pubblicitarie, attività di marketinge rilevazione del grado di soddisfazione della clientela) rispetto allaconclusione ed esecuzione del contratto;

VISTO l'art. 162, comma2-bis, del Codice che punisce la violazione delle disposizioni indicatenell'art. 167 del Codice, tra le quali quella di cui all'art. 23 del medesimoCodice, con la sanzione amministrativa del pagamento di una somma da ventimila euroa centoventimila euro;

CONSIDERATO che, nelcaso in esame:

a) in ordineall'aspetto della gravità, l'entità del pregiudizio o del pericolo deveconsiderarsi modesta, l'intensità dell'elemento psicologico è lieve e lamodalità concreta della condotta deve essere valutata in riferimento al fattoche i dati, nonostante siano stati raccolti, non sarebbero mai statiutilizzati;

b) ai fini dellavalutazione dell'opera svolta dall'agente, la società, all'esito delprocedimento di controllo, risulta avere cambiato l'informativa agliinteressati eliminando le citate finalità ulteriori;

c) circa lapersonalità dell'autore della violazione, deve essere positivamente consideratala circostanza che la società non risulti avere precedenti specifici in terminidi violazioni delle disposizioni del Codice;

d) in merito allecondizioni economiche dell'agente, al fine di commisurare l'importo dellasanzione alla reale capacità economica del trasgressore nel rispetto delprincipio di uguaglianza, si rileva che la società, appartenente alla categoriadelle micro imprese, risulta per l'anno 2009 avere conseguito un modesto utiledi esercizio;

RITENUTO di doverdeterminare, ai sensi dell'art. 11 della L. n. 689/1981, l'ammontare dellesanzioni pecuniarie per entrambe le violazioni, nella misura del minimo pari aun importo di euro 20.000,00 euro (ventimila);

RITENUTA la sussistenzadegli elementi idonei a configurare uno dei casi di minore gravità previstodall'art. 164-bis, comma 1, del Codice, ragione per la quale l'importo dellasanzione di cui al punto precedente può essere ridotto in misura pari a duequinti, per una somma di euro 8.000,00 (ottomila);

VISTA la documentazionein atti;

VISTA la legge 24novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazionidell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATORE il dott. MauroPaissan;

ORDINA

a Aga s.r.l., con sedein Roma, via San Romano n. 57, nella persona del legale rappresentante protempore, di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzioneamministrativa pecuniaria per la violazione prevista dall'art. 162, comma 2 bisdel Codice;

INGIUNGE

alla medesima società dipagare la somma di euro 8.000,00 (ottomila) secondo le modalità indicate inallegato, entro 30 giorni dalla notificazione del presente provvedimento, penal'adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge 24novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci)dal versamento, sia inviata a questa Autorità, in originale o in copiaautentica, quietanza dell'avvenuto versamento.
Si precisa che avverso ilpresente provvedimento, ai sensi dell'art. 152 del Codice, può essere propostaopposizione davanti al tribunale ordinario del luogo ove ha sede il titolaredel trattamento entro il termine di trenta giorni dalla notificazione delpresente provvedimento.

Roma, 7 settembre 2011

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
De Paoli