Garante per la protezione
    dei dati personali


Ordinanza diingiunzione nei confronti di Tiscali Italia SpA

PROVVEDIMENTO DEL 6DICEMBRE 2011

Registro dei provvedimenti
n. 472 del 6dicembre 2011

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele DePaoli, segretario generale;

ESAMINATO il rapporto dell'Ufficio del Garante predisposto ai sensidell'art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale dicontestazione di violazione amministrativa redatto in data 13 gennaio 2010 neiconfronti di Tiscali Italia SpA, con sede in Cagliari, Loc. Sa Illetta, SS 195,in persona del legale appresentante pro-tempore, per le violazioniamministrative di cui agli artt. 162, comma 2-ter, 162-bis e 162, comma 2-bis,del Codice in materia di protezione dei dati personali (di seguito denominatoCodice);

VISTI gli atti dell'accertamento ispettivo, compiuti da questo Ufficioin data 22 e 23 settembre 2009, da cui è risultato che la società Tiscalieffettua un trattamento dei dati di traffico telefonico e telematico dei propriclienti, conservando tali dati oltre i termini previsti dall'art. 132 delCodice e non avendo provveduto a renderli immediatamente non disponibili per leelaborazioni dei sistemi informativi in violazione del provvedimento delGarante del 17 gennaio 2008 [doc. web n. 1482111]. Visto inoltre che la societàha consentito l'accesso ai dati di traffico dei propri clienti alla societàAmdocs, in carenza di una designazione della stessa a responsabile deltrattamento e, dunque, senza il consenso degli interessati, in violazionedell'art. 23 del Codice;

VISTO il verbale n. 637/65350 del 13 gennaio 2010 con cui sono statecontestate a Tiscali Italia SpA le violazioni amministrative di cui agli artt.162, comma 2-ter, 162-bis e 162, comma 2-bis, del Codice, informandola dellafacoltà di effettuare il pagamento in misura ridotta ai sensi dell'art. 16della legge n. 689/1981;

VISTO che il provvedimento del Garante del 19 novembre 2009,nell'ambito del quale le predette violazioni risultano accertate, non è statoimpugnato dalla società;

RILEVATO dal predetto rapporto che non risulta essere stato effettuatoil pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell'art. 18 della leggen. 689/1981 con il quale la società ha dichiarato che, con riguardo allacontestazione per inosservanza del provvedimento del Garante del 17 gennaio2008, ha attuato "una politica di separazione dei dati di traffico deipropri clienti, sia nelle componenti di elaborazione che nell'immagazzinamentodei dati stessi, a seconda delle diverse finalità per le quali essi sonoarchiviati" e di essersi attivata per adottare le opportune misure perla conservazione dei dati stessi. La società ha precisato, infatti, che i datidi traffico telefonico e telematico conservati per fini di giustizia sonotrattati tramite sistemi informatici distinti da quelli utilizzati per gestiredati di traffico per finalità commerciali o attinenti all'erogazione deiservizi. Relativamente, invece, alla violazione dell'art. 23 del Codice, lasocietà ha rappresentato che "l'unica mancanza nella gestione del rapportoprivacy con Amdocs si è verificata solo a partire dal marzo 2009, () per unperiodo estremamente limitato (aprile/ottobre 2009)." La società hachiesto, infine, che venisse applicata la sanzione di cui all'art. 162, comma2-bis, nell'importo modificato dalla legge n. 166 del 20 novembre 2009;

RITENUTO che le argomentazioni addotte non sono idonee ad escludere laresponsabilità della società in ordine a quanto contestato. In primo luogo,infatti, si osserva che la violazione relativa all'inosservanza delprovvedimento del Garante ha riguardato in maniera specifica la prescrizione dicui alla lett. a), punto 5, in base al quale la società Tiscali non haprovveduto a "rendere i dati di traffico immediatamente non disponibiliper le elaborazioni dei sistemi informativi allo scadere dei termini previstidalle disposizioni vigenti ()". In base a tale disposizione, infatti,i dati di traffico telefonico e telematico, allo scadere dei rispettivitermini, devono essere resi anonimi oppure cancellati. Al momentodell'accertamento ispettivo, tuttavia, non risulta che tale adempimento venisseeffettuato. Tra l'altro, si rileva che le argomentazioni prodotte dalla partesi riferiscono all'obbligo, gravante sui fornitori di servizi, di gestire idati di traffico su sistemi informativi diversi, in base alle loro finalità(lett. a), punto 3 del provvedimento), che è obbligo differente rispetto aquello della cancellazione dei dati nei termini di legge. Per quanto concerne,invece, la violazione dell'art. 23 del Codice, la parte, pur ammettendo di avercomunicato ad Amdocs i dati di traffico dei propri clienti in assenza deipresupposti di legge, ha contestato l'applicazione della sanzione di cuiall'art. 162, comma 2-bis, nella formulazione precedente alle modifiche legislative.Pur volendo riconoscere che la comunicazione illecita dei dati ad Amdocs èavvenuta a partire dalla data di commercializzazione del servizio, cioè damarzo 2009, ed è continuata fino a quella di designazione della stessa aresponsabile del trattamento (28 ottobre 2009), in questo lasso di tempo nonera ancora intervenuta la modifica legislativa che riduceva l'importo delminimo della sanzione amministrativa. Tale argomentazione, dunque, non èfondata e deve essere pertanto applicata la sanzione vigente al momento dellacommissione della violazione;

RILEVATO, pertanto, che la società ha effettuato un trattamento didati di traffico telefonico e telematico in violazione di quanto stabilitonell'art. 132 del Codice e nel provvedimento del Garante del 17 gennaio 2008 eaccertato altresì che la società ha comunicato gli stessi dati a una societàterza, in violazione dell'art. 23 del Codice;

VISTO l'art. 162-bis, del Codice che punisce la violazione delledisposizioni di cui all'art. 132, comma 1 e 1-bis, con la sanzioneamministrativa del pagamento di una somma da diecimila a cinquantamila euro;

VISTO l'art. 162, comma 2-ter, del Codice che punisce l'inosservanzadei provvedimenti di cui all'art. 154, comma 1, lett. c) e d), con la sanzioneamministrativa del pagamento di una somma da trentamila a centottantamila euro;

VISTO l'art. 162, comma 2-bis, del Codice, nella formulazioneintrodotta dal d. l. n. 207 del 30 dicembre 2008, convertito con modificazioninella legge n. 14 del 27 febbraio 2009, che punisce la violazione delledisposizioni richiamate dall'art. 167, tra cui l'art. 23, con la sanzioneamministrativa del pagamento di una somma da ventimila euro a centoventimilaeuro;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni eintegrazioni;

CONSIDERATO che, ai fini della determinazione dell'ammontare dellasanzione pecuniaria, occorre tenere conto, ai sensi dell'art. 11 della legge 24novembre 1981 n. 689, dell'opera svolta dall'agente per eliminare o attenuarele conseguenze della violazione, della gravità della violazione, dellapersonalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l'infrazione non abbia caratterizzazionispecifiche che possano portare a valutazioni di maggiore o minor rigore, nelladeterminazione della sanzione può ritenersi corretta l'individuazione di unimporto pari al terzo del massimo o, se più favorevole, al doppio del minimo,in linea con quanto previsto dall'art. 16 della L. n. 689/1981, ferma restandola valutazione degli ulteriori elementi previsti dall'art. 11 della medesimalegge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all'aspetto della gravità, la violazione di cuiall'art. 162-bis, del Codice, valutata in relazione agli elementi dell'entitàdel pregiudizio e del pericolo, dell'intensità dell'elemento psicologico edelle modalità della condotta, risulta particolarmente rilevante laddove siosserva che, all'atto degli accertamenti (22 e 23 settembre 2009), i dati eranoconservati ben oltre i termini stabiliti dalla legge (24 mesi per quelli ditraffico telefonico e 12 mesi per quelli di traffico telematico) e inparticolare: per quanto riguarda quelli relativi al traffico telematico apartire dal 2007; quelli relativi al traffico telefonico dal 1999; i log dellee-mail dal 2001. Deve essere tenuta in debita considerazione la circostanza chele violazioni hanno riguardato i dati personali di numerosi interessati(l'intera base clienti) e che risultano commesse da un fornitore di servizi dicomunicazione elettronica di rilievo nazionale dotato di rilevanti risorseorganizzative e competenze tecniche e giuridiche, in grado di interpretarecorrettamente le disposizioni di legge nonché le prescrizioni dell'Autorità edarvi conseguentemente attuazione. Dal punto di vista, infine, dell'elementopsicologico, deve essere tenuta in considerazione la circostanza, riportata nelprovvedimento del 19 novembre 2009, secondo la quale la società, nell'ambitodel procedimento, ha fornito informazioni sulla conservazione dei dati ditraffico che, a seguito degli accertamenti ispettivi effettuati, si sonodimostrate non rispondenti al vero, tanto da determinare, come riportato nelprovvedimento del 19 novembre 2009, la trasmissione degli atti all'Autoritàgiudiziaria per le valutazioni di competenza in ordine alla violazione previstadall'art. 168 (Falsità nelle dichiarazioni al Garante);

b) ai fini della valutazione dell'opera svolta dall'agente, deveessere favorevolmente apprezzato il comportamento della società che, in seguitoal provvedimento del Garante, ha dichiarato di aver adeguato i propri sistemiconformemente alle misure prescritte dalla legge;

c) circa la personalità dell'autore della violazione, si rilevache la società è stata destinataria del citato provvedimento prescrittivo,datato 19 novembre 2009;

d) in merito alle condizioni economiche dell'agente, invece, alfine di commisurare l'importo della sanzione alla reale capacità economica deltrasgressore nel rispetto del principio di uguaglianza, devono essereapprezzati in termini di aumento della sanzione gli elementi desumibili dalbilancio d'esercizio della società per l'anno 2010, individuati nel volumed'affari realizzato dalla società;

RITENUTO di dover determinare, ai sensi dell'art. 11 della L. n.689/1981, l'ammontare della sanzione pecuniaria per la violazione di cuiall'art. 162-bis, nella misura di euro 50.000,00 (cinquantamila); per laviolazione di cui all'art. 162, comma 2-ter, nella misura di euro 120.000,00(centoventimila); per la violazione dell'art. 162, comma 2-bis, nella misura dieuro 40.000,00 (quarantamila); per un importo complessivo di euro 210.000,00(duecentodiecimila);

VISTO l'art. 164-bis, comma 4, del Codice che prevede che le sanzioniamministrative di cui al Titolo III, Capo I, del Codice possono essereaumentate fino al quadruplo quando possono risultare inefficaci in ragione dellecondizioni economiche del contravventore;

RITENUTO che, nel caso di specie, ricorrano le condizioni perapplicare l'aumento previsto dall'art. 164-bis, comma 4, del Codice nellamisura, ritenuta congrua, pari a euro 420.000,00 (quattrocentoventimila);

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000, adottato condeliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

ORDINA

a Tiscali Italia S.p.A., con sede in Cagliari, Loc. Sa Illetta, inpersona del legale rappresentante pro tempore, di pagare la somma di euro420.000,00 (quattrocentoventimila) a titolo di sanzione amministrativapecuniaria per le violazioni degli artt. 162-bis, 162, comma 2-ter e 162, comma2-bis del Codice, come determinata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 420.000,00(quattrocentoventimila) secondo le modalità indicate in allegato, entro 30giorni dalla notificazione del presente provvedimento, pena l'adozione deiconseguenti atti esecutivi a norma dall'art. 27 della legge 24 novembre 1981,n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento,sia inviata a questa Autorità, in originale o in copia autentica, quietanzadell'avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell'art. 152 del Codice,può essere proposta opposizione davanti al tribunale ordinario del luogo ove hasede il titolare del trattamento entro il termine di trenta giorni dallanotificazione del presente provvedimento.

Roma, 6 dicembre 2011

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale
De Paoli