Garante per la protezione
    dei dati personali


Ordinanza diingiunzione nei confronti di Edreams s.r.l.

PROVVEDIMENTO DEL 21DICEMBRE 2011

Registro dei provvedimenti
n. 499 del 21dicembre 2011

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele DePaoli, segretario generale;

ESAMINATO il rapporto dell'Ufficio del Garante per la protezione deidati personali predisposto ai sensi dell'art. 17 della legge 24 novembre 1981,n. 689, relativo a due verbali di contestazione per violazioni amministrativeredatti in data 21 e 26 maggio 2010 nei confronti di Edreams s.r.l., con sedein Milano, via Boscovich n. 14, in persona del legale rappresentantepro-tempore, rispettivamente per violazione degli artt. 23, 130 e 157 delCodice in materia di protezione dei dati personali (di seguito denominatoCodice);

VISTA la richiesta di informazioni dell'Ufficio ai sensi dell'art. 157del Codice datata 17 novembre 2009, prot. n. 25197/65441, con cui la societàveniva invitata, entro il termine del 30 novembre 2009, a fornire riscontro inordine ad una segnalazione circa un'attività di invio di e-mail indesiderate dinatura commerciale, specificando le conseguenze, previste dall'art. 164 delmedesimo Codice, in caso di inottemperanza alle richiese formulate;

CONSIDERATO che, nonostante la citata richiesta di informazionirisulti ritualmente notificata mediante raccomandata il cui avviso diricevimento è agli atti del fascicolo, l'Ufficio ha accertato che la societànon ha fornito riscontro a tale richiesta contravvenendo a quanto dispostodall'art. 157 del Codice;

CONSIDERATO, altresì, che, successivamente, il Nucleo speciale privacydella Guardia di finanza, in attuazione delle richieste di informazioni ex art.157 del Codice (nn.rr. 1079/U e 1081/U entrambe datate 18 gennaio 2010) e suspecifica delega di questa Autorità, ha svolto gli accertamenti di cui alverbale di operazioni compiute datato 18 febbraio 2010, dai quali, unitamente aquanto dichiarato dalla società in parola nella nota datata 3 marzo 2010, èstato accertato che Edreams s.r.l., in violazione dell'art. 130 del Codice, hatrattato i dati personali del segnalante (Federico Battistoni) per finalitàpromozionali nonostante lo stesso, dopo essersi registrato sul sito Internetdella società in parola (www.edreams.it), si fosse opposto, in data 7 luglio2009, al trattamento dei propri dati personali revocando il consenso a suotempo reso;

CONSIDERATO, inoltre, che nell'ambito di un supplemento istruttoriosvolto dall'Ufficio del Garante è stato accertato che, nel form diregistrazione al sito www.edreams.it, la società non richiede un espressoconsenso, distinto rispetto a quello necessario per finalità di marketing,all'impiego dei dati personali degli utenti per la finalità di profilazioneposta in essere dalla medesima, come, tra l'altro, emerge dalla stessainformativa presente nel predetto sito Internet, in violazione di quantoprevisto dall'art. 23 del Codice;

TENUTO CONTO del provvedimento del Garante datato 8 aprile 2010 neiconfronti di Edreams s.r.l. le cui motivazioni si intendono qui richiamate;

VISTI i verbali nn.rr. 1396/65441 del 21 gennaio 2010 e 12771/65441del 26 maggio 2010 con cui sono state contestate alla predetta società duedistinte violazioni amministrative previste rispettivamente dall'art. 164 edall'art. 162, comma 2-bis del Codice, in relazione agli artt. 157 e  23,informandola della facoltà di effettuare, per entrambe le violazioni, ilpagamento in misura ridotta ai sensi dell'art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuatoil pagamento in misura ridotta;

VISTI gli scritti difensivi datati rispettivamente 17 marzo 2010 e 8luglio 2010, inviati ai sensi dell'art. 18 della legge n. 689/1981, con i qualila società, relativamente alla contestazione n. 1396/65441 del 21 gennaio 2010per la violazione di cui all'art. 164 del Codice, ha evidenziato, tra l'altro,che "() la richiesta di informazioni ai sensi dell'art. 157 del d.lgs.196/2003, n. 25197/65441 del 17 novembre 2009 () veniva in effetti ricevutadalla nostra società che purtroppo la raccomandata () per un mero erroreumano, veniva smistata in maniera errata e rimaneva in giacenza per unriscontro insieme ad altra posta non urgente". Riguardo alla distintacontestazione n. 12771/65441 del 26 maggio 2010 per la violazione di cui all'art.162, comma 2-bis del Codice, la società, in relazione a quanto accertato circail trattamento dei dati personali del segnalante nonostante lo stesso, in data7 luglio 2009, si fosse opposto revocando il consenso a suo tempo reso, haevidenziato come "In occasione della registrazione il sig. Battistonimanifestava il consenso per il trattamento dei suoi dati personali ed allaattivazione del servizio newsletter di Edreams e l'invio del materialepubblicitario avveniva pertanto nel pieno rispetto di quanto previsto dall'art.130 del Codice.". Inoltre, "() per semplici motivi di cortesia, lasocietà, quando ha ricevuto la mail del 7 luglio () invece di rispondere chenon era vero ha educatamente fatto sapere che forse vi erano stati problemitecnici", tenuto conto, peraltro, che "() non è affatto vero chedopo il 7 luglio 2010 il sig. Battistoni avesse ricevuto numerose mailcommerciali" atteso che lo stesso "() avrebbe ricevuto il 10 e 11agosto, rispettivamente una mail con la quale si chiedeva l'opinione sul voloche aveva prenotato, ed una newsletter";

RITENUTO che le argomentazioni addotte non risultano idonee inrelazione a quanto contestato. Relativamente alla contestazione n. 1396/65441del 21 gennaio 2010, si osserva che la disciplina dell'errore scusabile di cuiall'art. 3 della legge n. 689/1981 richiamata dalla società non è applicabileal caso di specie, sia in quanto non è stato fornito alcun elemento positivo,estraneo all'autore della violazione, idoneo a ingenerare nell'agentel'incolpevole opinione di liceità del suo agire (Cass. Civ., Sez. I, 11febbraio 1999 n. 1151), sia poiché non si sostanzia la condizione per la qualenessun rimprovero possa essergli mosso, così che l'errore sia stato incolpevoleovvero non suscettibile di essere evitato dal trasgressore con l'ordinariadiligenza (Cass. Civ. Sez. lav. 12 luglio 2010 n. 16320). Riguardo lacontestazione n. 12771/65441 del 26 maggio 2010, oltre al fatto che anche perl'illecito in argomento non ricorrono i presupposti per ravvisare l'applicazionedella disciplina di cui all'art. 3 della legge n. 689/1981, si rileva come lacondotta illecita accertata inerisca l'invio, in data 10 e 11 agosto 2009, die-mail indesiderate, ovvero successivamente alla data (7 luglio 2009) nellaquale l'interessato (sig. Federico Battistoni) ha revocato il consenso altrattamento dei propri dati, ciò determinando l'inosservanza di quanto previstodall'art.130 del Codice. Inoltre, sul punto, si osserva come, in attuazione diquanto previsto dall'art. 13 della legge n. 689/1981, la sanzione di cuiall'art. 162, comma 2 bis sia stata contestata anche in rapporto allaviolazione dell'art. 23 del Codice per aver effettuato un trattamento di datipersonali  per la finalità di profilazione  senza lo specificoconsenso degli interessati, come dettagliatamente specificato nel provvedimentodel Garante datato 8 aprile 2010 che non risulta essere stato impugnato dallasocietà;

RILEVATO dunque che la società, in qualità di titolare deltrattamento, oltre a non aver fornito riscontro alla richiesta di informazioniformulata dal Garante ai sensi dell'art. 157 del Codice, ha trattato i datipersonali del segnalante inviandogli e-mail promozionali dopo che lo stessoaveva revocato il suo consenso, in violazione di quanto previsto dall'art.130del Codice e ha trattato i dati personali degli utenti raccolti tramite il sitowww.edreams.it per finalità di profilazione senza un consenso espresso in formalibera e specifica degli interessati , ai sensi dell'art 23, comma 3, delCodice;

VISTO l'art. 162, comma 2-bis, del Codice, così come introdotto dalD.L. n. 207 del 30 dicembre 2008, convertito, con modificazioni, nella legge n.14 del 27 febbraio 2009 e nella formulazione antecedente alla modificaintrodotta con legge 20 novembre 2009, n. 166, che punisce la violazione delledisposizioni indicate nell'articolo 167 del medesimo Codice, tra le qualiquelle di cui gli articoli 23 e 130, con la sanzione amministrativa delpagamento di una somma da ventimila euro a centoventimila euro;

VISTO l'art. 164 del Codice, che punisce la violazione delledisposizioni di cui all'art. 157 del medesimo Codice con la sanzioneamministrativa del pagamento di una somma da diecimila euro fino a sessantamilaeuro;

CONSIDERATO che, nel caso in esame:

a) in ordine all'aspetto della gravità, con riferimento allacontestazione n. 1396/65441 del 21 gennaio 2010, l'entità del pregiudizio o delpericolo, l'intensità dell'elemento psicologico e la modalità concreta dellacondotta devono essere considerati alla luce del fatto che la mancata rispostaalla richiesta di informazioni del Garante ha determinato un ritardonell'istruttoria della segnalazione, rendendo necessaria l'esecuzione diun'ispezione della Guardia di finanza con conseguente aggravio dei costi del procedimento;riguardo i medesimi elementi di cui alla  contestazione n. 12771/65441 del26 maggio 2010, si rileva come la violazione del consenso dell'interessatoappare più grave in rapporto all'opposizione al trattamento da questimanifestato; per quanto riguarda, invece,  il distinto aspetto delconsenso per la profilazione esso deve essere valutato anche in rapporto alfatto che la violazione ha riguardato la generalità degli interessati che sisono registrati nel sito www.edreams.it;

b) ai fini della valutazione dell'opera svolta dall'agente, vaosservato che la società ha ottemperato a quanto disposto dal provvedimentodell'Autorità datato 8 aprile 2010 fornendo, altresì, tutti gli elementi a suotempo richiesti dalla richiesta di informazioni;

c) circa la personalità dell'autore della violazione, deve esserepositivamente considerata la circostanza che la società, oltre alle duecontestazioni in argomento, non risulti avere precedenti specifici in terminidi violazioni delle disposizioni del Codice;

d) in merito alle condizioni economiche dell'agente, al fine dicommisurare l'importo della sanzione alla reale capacità economica deltrasgressore nel rispetto del principio di uguaglianza, si rileva che la società,per l'anno 2010, ha dichiarato un consistente valore della produzione e uncospicuo utile di esercizio;

RITENUTO di dover determinare, ai sensi dell'art. 11 della L. n.689/1981, l'ammontare delle sanzioni pecuniarie per la contestazione n.1396/65441 del 21 gennaio 2010 nella misura di euro 20.000,00 euro (ventimila),mentre per la contestazione n. 12771/65441 del 26 maggio 2010 nella misura dieuro 60.000,00 (sessantamila);

VISTO l'art. 164-bis, comma 4, del Codice che prevede che le sanzioniamministrative di cui al Titolo III, Capo I, del Codice possono essereaumentate fino al quadruplo quando possono risultare inefficaci in ragionedelle condizioni economiche del contravventore;

RILEVATO che l'applicazione della predetta sanzione nei confronti diEdreams s.r.l. risulterebbe inefficace, in ragione del valore della produzionee del risultato d'esercizio rilevabili dal bilancio dell'anno 2010;

RITENUTO che, nel caso di specie, ricorrano le condizioni perapplicare l'aumento previsto dall'art. 164-bis, comma 4, del Codice nellamisura, ritenuta congrua, pari a euro 160.000,00 (centosessantamila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni eintegrazioni;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

ORDINA

a Edreams s.r.l., con sede in Milano, via Boscovich n. 14, nellapersona del legale rappresentante pro tempore, di pagare la somma di euro160.000,00 (centosessantamila) a titolo di sanzione amministrativa pecuniariaper le violazioni previste dall'art. 162, comma 2 bis e 164 del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 160.000,00(centosessantamila) secondo le modalità indicate in allegato, entro 30 giornidalla notificazione del presente provvedimento, pena l'adozione dei conseguentiatti esecutivi a norma dall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendoche, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questaAutorità, in originale o in copia autentica, quietanza dell'avvenutoversamento.

Si precisa che avverso il presente provvedimento, ai sensi dell'art.152 del Codice e dell'art. 10 del d.lgs. n. 150/2011, può essere propostaopposizione davanti al tribunale ordinario del luogo ove ha sede il titolaredel trattamento entro il termine di trenta giorni dalla notificazione delpresente provvedimento.

Roma, 21 dicembre 2011

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale
De Paoli