Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi a Solar Energy Group s.p.a

PROVVEDIMENTO DEL 21 MARZO 2012

Registro dei provvedimentin. 111del 21 marzo 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, deldott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e deldott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretariogenerale;

ESAMINATOil rapporto del Comando brigata della Guardia di finanza di San Daniele delFriuli predisposto ai sensi dell'art. 17 della legge 24 novembre 1981, n. 689,relativo ai due verbali di contestazione per violazioni amministrative redattiin data 22 ottobre 2009 nei confronti di Solar Systems s.p.a., con sede in SanDaniele del Friuli (Ud) via M. Romero n. 59 la cui denominazione  è statavariata in data 16 dicembre 2011 in Solar Energy Group s.p.a. con la medesimasede legale e numero di partita I.V.A., in persona del legale rappresentantepro-tempore;

RILEVATOche il predetto Comando brigata, in attuazione della richiesta di informazioniex art. 157 del Codice (n. 16688/53969 datata 27 luglio 2009), ha svolto gliaccertamenti di cui al verbale di operazioni compiute datato 22 ottobre 2009,dai quali è risultato che la società, attraverso distinti form di raccolta datipresenti sui siti Internet www.supersolar.it, effettua, a fronte di unaraccolta di dati personali di coloro che li forniscono, un trattamento deglistessi senza rendergli l'informativa ai sensi dell'art. 13 e senza acquisire illoro consenso ai sensi dell'art. 23 del Codice;

RILEVATOche, a scioglimento delle riserve formulate nel verbale datato 22 ottobre 2009,la Guardia di finanza ha provveduto altresì a redigere il verbale di operazionicompiute datato 10 novembre 2009, a fronte del quale è stato accertato che lapredetta società ha effettuato il trattamento dei dati personali acquisititramite i form di raccolta del sito Internet www.supersolar.it, omettendo diadottare le misure minime di sicurezza di cui all'art. 33 del Codice;

VISTIi due verbali datati 22 ottobre 2009 con cui sono state contestate allapredetta società le violazioni amministrative previste dall'art. 161 delCodice, in relazione all'art. 13, e dall'art. 162, comma 2-bis, in relazioneall'art. 23 del Codice, informandola della facoltà di effettuare il pagamentoin misura ridotta ai sensi dell'art. 16 della legge n. 689/1981 e il verbaledel 17 novembre 2009 con cui è stata contestata alla medesima società la violazioneamministrativa prevista dall'art. 162, comma 2-bis, in relazione all'art. 33del Codice, per la quale, invece, non è prevista la definizione in via breve aisensi del citato art. 16 della legge n. 689/1981;

RILEVATOdal predetto rapporto che non risulta essere stato effettuato il pagamento inmisura ridotta;

VISTIgli scritti difensivi datati 16 novembre 2009 e 15 dicembre 2009 inviati aisensi dell'art. 18 della legge n. 689/1981, con i quali la società, conriguardo alla contestazione di cui all'art. 161 del Codice, ha rilevato che"In effetti detta mancanza sussiste solo in parte perché all'interno delsito sono presenti varie indicazioni che integrano in linea di massima questainformativa, anche se effettivamente non vi è una specifica espressamenzione". Relativamente alla contestazione di cui all'art. 162, comma2-bis per violazione dell'art. 23 del Codice, ha osservato che tale illecitoamministrativo, per effetto dei diversi rinvii operati tra distintedisposizioni del Codice, si perfeziona solo "() nei casi in cui scatta lasanzione penale di cui al 167 (). Quindi si tratta di una sanzioneamministrativa che scatta nel momento stesso in cui viene integrata altrafattispecie penale". Per quanto sopra, atteso che nel caso di specie nonsono ravvisabili gli elementi costitutivi dell'illecito penale di cui all'art.167 del Codice, "() la contestata violazione è insussistente, nonmotivata, ed erronea ()";

VISTOil verbale di audizione delle parti redatto ai sensi dell'art. 18 della leggen. 689/1981 in data 18 ottobre 2010 con cui la società ha ribadito quantoesposto negli scritti difensivi;

CONSIDERATOche l'Ufficio del Garante non ha ravvisato gli estremi per avviare ilprocedimento prescrizionale di cui all'art. 169, comma 2 del Codice nonrisultando comprovata in atti la violazione delle misure minime di sicurezza dicui all'art. 33 del Codice;

RITENUTOche le argomentazioni addotte non risultano idonee in relazione alle altre dueviolazioni contestate. Riguardo alla violazione afferente l'informativa agliinteressati di cui all'art. 13 del Codice, si evidenzia  comeall'interessato, anche per effetto dei principi enunciati dall'art. 11 delCodice, devono essere fornite, ai sensi dell'art. 13 del Codice, tutte leinformazioni attinenti allo specifico trattamento di dati personali che ci siaccinge ad effettuare, non potendo essere rimesso allo stesso il compito diindividuare (o indovinare) tutti gli elementi richiesti dalle lettere dalla a)alla f) del citato art. 13, comma 1 effettuando ricerche nel sito Internetconsultato, attraverso il quale i dati personali sono stati raccolti.Relativamente, invece, alla violazione di cui all'art. 162, comma 2-bis inrelazione all'art. 23 del Codice, si evidenzia come, diversamente da quantoritenuto, il legislatore, nell'individuare interessi pubblici compatibili madiversi, li ha voluti tutelare distintamente e disgiuntamente attraversol'applicazione di diverse norme sul piano penale e su quello amministrativosanzionatorio. Sotto questo profilo gli elementi costitutivi dell'illecitoamministrativo contestato nel caso di specie sono qualitativamente diversi daquelli penali e tali differenze sono sottolineate laddove la previsionedell'illecito amministrativo contestato opera "altresì" e "inogni caso" a prescindere dall'illecito penale. Peraltro, nel merito, sirileva come nel verbale di operazioni compiute del 22 ottobre 2009(Questionario n. 2 allegato al verbale in parola) risulta accertato che i datipersonali dei clienti della società, raccolti senza la prescritta acquisizionedel consenso secondo le modalità previste dall'art. 23 del Codice, vengonotrattati anche con finalità commerciali e pubblicitarie e quindi, anche inconsiderazione dell'assenza dell'informativa di cui all'art. 13 del Codice, nonsolo per le finalità desumibili dai form di raccolta presenti nel sito www.supersolar.it ;

RILEVATO,invece, che l'altra violazione contestata, prevista dall'art. 33 e sanzionatadall'art. 162, comma 2-bis del Codice, deve essere archiviata sia poiché nonemergono elementi sufficienti a valutare se la società tratti dati personali dinatura sensibile o giudiziaria per i quali è previsto l'obbligo di redazionedel documento programmatico sulla sicurezza (D.P.S.), sia in quanto nonrisultano sufficienti elementi per poter ritenere che la società abbiaeffettivamente omesso di designare gli incaricati del trattamento ai sensidell'art. 30 del Codice, anche in modo semplificato;

CONSIDERATO,quindi, che sulla base degli atti e degli elementi forniti nel corso delprocedimento non sussistono elementi per applicare la sanzione previstadall'art. 162 comma 2-bis in relazione all'art. 33 del Codice;

RILEVATO,invece, che la società ha effettuato un trattamento di dati (art. 4 comma 1,lett. a) e b) del Codice) omettendo di rendere agli interessati l'informativaai sensi dell'art. 13 del Codice e senza acquisire il consenso al trattamentodi cui all'art. 23 del Codice;

VISTOl'art. 161 del Codice che punisce la violazione delle disposizioni indicatenell'art. 13 del Codice con la sanzione amministrativa del pagamento di unasomma da seimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice, così come introdotto dal D.L. n. 207 del30 dicembre 2008, convertito con modificazioni, nella legge n. 14 del 27febbraio 2009, e nella formulazione antecedente alla modifica introdotta con lalegge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni dicui all'art. 167, tra le quali quella di cui all'art. 23 del medesimo Codice,con la sanzione amministrativa del pagamento di una somma da ventimila acentoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOche, nel caso in cui l'infrazione non abbia caratterizzazioni specifiche chepossano portare a valutazioni di maggiore o minor rigore, nella determinazionedella sanzione può ritenersi corretta l'individuazione di un importo pari alterzo del massimo o, se più favorevole, al doppio del minimo, in linea conquanto previsto dall'art. 16 della L. n. 689/1981, ferma restando lavalutazione degli ulteriori elementi previsti dall'art. 11 della medesima legge(Cass. civ., sez. I, 4 novembre 1998, n. 11054);

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, le violazioni non risultano connotate daelementi specifici in relazione all'entità del pregiudizio o del pericolo eall'intensità dell'elemento psicologico, mentre, riguardo alle modalitàconcrete della condotta, si rileva, nei  form di raccolta del sitoInternet, l'assenza sia dell'informativa di cui all'art. 13 del Codice, sia diuno strumento idoneo ai fini dell'acquisizione del consenso ai sensi dell'art. 23del Codice, in ordine alle asserite ulteriori finalità commerciali epubblicitarie;

b) aifini della valutazione dell'opera svolta dall'agente, la società ha provvedutoad integrare i form di raccolta dati inserendo l'informativa di cui all'art. 13del Codice e predisponendo apposita casella per l'acquisizione del consenso;

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che la società non risulti avere precedentispecifici in termini di violazioni delle disposizioni del Codice;

d) inmerito alle condizioni economiche dell'agente, si rileva come la società, perl'anno 2010, abbia dichiarato un consistente valore della produzione;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge n. 689/1981,l'ammontare della sanzione pecuniaria per la violazione dell'art. 161 delCodice nella misura del minimo pari a un importo di euro 12.000,00 (dodicimila)e l'ammontare della sanzione pecuniaria per la violazione dell'art. 162, comma2-bis, del Codice, in vigore prima della modifica introdotta dal decreto legge25 settembre 2009 n. 135 convertito con modificazioni dalla legge 20 novembre2009 n. 166, nella misura del minimo pari a un importo di euro 20.000,00(ventimila), per un importo complessivo pari a euro 32.000,00 (trentaduemila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREil dott. Giuseppe Fortunato;

DISPONE

l'archiviazionedel procedimento sanzionatorio amministrativo con riferimento allacontestazione relativa alla violazione di cui all'art. 33 del Codice;

ORDINA

aSolar Energy Group s.p.a. (già Solar Systems s.p.a.), con sede in San Danieledel Friuli (Ud) via M. Romero n. 59, in persona del legale rappresentantepro-tempore, di pagare la somma di euro 32.000,00 (trentaduemila) a titolo disanzione amministrativa pecuniaria per le violazioni previste dall'art. 161,relativamente all'art. 13 del Codice e dall'art. 162, comma 2-bis,relativamente all'art. 23 del Codice, indicate in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 32.000,00 (trentaduemila), secondole modalità indicate in allegato, entro 30 giorni dalla notificazione delpresente provvedimento, pena l'adozione dei conseguenti atti esecutivi a normadall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro iltermine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, inoriginale o in copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 21 marzo 2012

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale reggente
De Paoli