Garante per la protezione
    dei dati personali


Ordinanza diingiunzione nei confronti di X.Y.

PROVVEDIMENTO DEL 5APRILE 2012

Registro dei provvedimenti
n. 135 del 5aprile 2012

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele DePaoli, segretario generale;

ESAMINATO il rapporto dell'Ufficio del Garante per la protezione deidati personali predisposto ai sensi dell'art. 17 della legge 24 novembre 1981,n. 689, relativo al verbale di contestazione per violazione amministrativaredatto in data 26 febbraio 2010 nei confronti di X.Y., già consede in Milano, via A.B., in persona del legalerappresentante pro-tempore, per violazione degli artt. 13, 23 e 130 del Codicein materia di protezione dei dati personali (di seguito denominato Codice);

CONSIDERATO che, a fronte di una segnalazione di Ruval Internationals.p.a. che lamentava la ricezione di plurime comunicazioni indesiderate dinatura commerciale sulla propria casella di posta elettronica nonostantel'opposizione manifestata numerose volte dal segnalante, il Dipartimento comunicazionie reti telematiche, con la nota n. 0021584/U del 5 ottobre 2009, ha richiesto aX.Y. ogni informazione utile alla valutazione del caso;

RILEVATO  che la medesima società, fornendo riscontro con unanota pervenuta in data 11 novembre 2009, ha affermato che l'indirizzo dellasegnalante proveniva da elenchi e servizi di pubblico dominio o pubblicati e diessersi attivata, in qualità di titolare del trattamento, per la cancellazionedal proprio data-base dell'indirizzo della segnalante facendo presente altresìla sussistenza di un'anomalia nel proprio sistema informatico;

CONSIDERATO che, a fronte del riscontro fornito, il predettoDipartimento, con la nota n. 0001315/U del 20 gennaio 2010 ha richiesto aX.Y. ulteriori elementi al fine di valutare il rispetto dellanormativa in materia di protezione dei dati personali, riservandosi diverificare la sussistenza dei presupposti per l'applicazione delle sanzionipreviste dal Codice per omessa informativa e mancato consenso;

VISTO il verbale n. 4433/65449 del 26 febbraio 2010 con cui sono statecontestate alla predetta società le violazioni amministrative previste dagliartt. 161, in relazione all'art. 13,  e 162, comma 2-bis del Codice, nellaformulazione antecedente alla modifica introdotta con legge 20 novembre 2009,n. 166, che punisce la violazione delle disposizioni indicate nell'art. 167 delCodice, tra le quali quelle di cui agli artt. 23 e 130 del medesimo Codice;

RILEVATO dal predetto rapporto che non risulta essere stato effettuatoil pagamento in misura ridotta;

VISTI gli scritti difensivi inviati ai sensi dell'art. 18 della leggen. 689/1981, con i quali, oltre a chiedere di essere sentiti presso l'Autorità,la società, relativamente a entrambe le violazioni contestate, ha osservato chel'indirizzo di posta elettronica della Ruval International s.p.a. è statolecitamente utilizzato in quanto tratto da una banca dati costituita sulla basedi elenchi pubblici formati prima del 1 agosto 2005 e "poiché al tempodegli asseriti invii (giugno e settembre 2009) vigeva una, seppur temporanea,deroga agli artt. 13 e 23 del codice in materia di protezione dei datipersonali ai sensi dell'art. 44, c. 1 bis. della legge 27/02/2009 n. 14"ed, inoltre, ha rilevato che "le sanzioni irrogate risultano ictu oculiparticolarmente elevate e sproporzionate considerata l'entità dell'asseritaviolazione", chiedendo, alla luce delle motivazioni esposte, di annullaree/o revocare la contestazione adottata ovvero di ridurre l'importo dellesanzioni irrogate;

VISTO il verbale dell'audizione delle parti redatto, ai sensidell'art. 18 della legge n. 689/1981, in data 28 aprile 2011 con il quale laparte, oltre a ribadire quanto argomentato negli scritti difensivi, haosservato che "secondo il combinato disposto degli artt. 130 comma 3-bisdel d. lgs. 196/2003 e l'art. 58 del Codice del consumo, in tema dicomunicazioni indesiderate si prevede espressamente la possibilità per unprofessionista di inviare anche mediante posta elettronica comunicazionipromozionali a soggetti i cui dati personali siano inclusi negli elenchi degliabbonati a disposizione del pubblico";

RITENUTO che le argomentazioni addotte non risultano idonee inrelazione ai due illeciti accertati: infatti, in ordine al primo motivo espostonella memoria difensiva, la disciplina delle banche dati formate anteriormenteal 1 agosto 2005 riguarda solo quelle costituite utilizzando "datiestratti da elenchi telefonici" (Provvedimento del Garante del 12 marzo2009). Non è pertanto applicabile al casodi specie, che riguarda attività di marketing effettuate via e-mail, la derogaprevista dal Provvedimento citato per il quale "i dati personali presentinelle banche dati costituite sulla base di elenchi telefonici pubblici formatiprima del 1 agosto 2005 sono lecitamente utilizzabili per fini promozionalisino al 31 dicembre 2009, anche in deroga agli articoli 13 e 23 delCodice". Per quanto attiene l'invio delle e-mail pubblicitarie, ilProvvedimento del Garante del 29 maggio 2003 afferma la necessità di un'idoneainformativa, il cui contenuto è individuato dalla legge, che preceda laraccolta del consenso. Il predetto provvedimento, in ordine al consensodell'interessato, dopo aver disposto che l'utilizzazione degli indirizzi diposta elettronica "è possibile solo se il soggetto cui si riferiscono idati ha manifestato in precedenza un consenso libero, specifico einformato", e che , come più volte ribadito dall'Autorità, "lacircostanza che gli indirizzi di posta elettronica possano essere reperiti conuna certa facilità in Internet non comporta il diritto di utilizzarliliberamente per inviare messaggi pubblicitari", prescrive ai titolari deltrattamento che "il consenso, da documentare per iscritto, deve esseremanifestato liberamente, in modo esplicito e in forma differenziata rispettoalle diverse finalità e alle categorie di servizi e prodotti offerti, primadell'inoltro dei messaggi". Inoltre il provvedimento del 2003,relativamente ai diritti degli interessati, dispone che "indipendentementedal rapporto esistente tra i mittenti e i destinatari dei messaggi, chi detienei dati deve assicurare in ogni caso agli interessati la possibilità di farvalere in ogni momento i diritti riconosciuti dalla legge, i quali sono spessoesercitati per conoscere da quale fonte sono stati tratti i dati, o per farinterrompere gratuitamente la loro ulteriore utilizzazione ai finicommerciali-pubblicitari, oppure per far cancellare i dati trattati in violazionedi legge". Nel caso di specie invece risulta documentato che Transnoli hacontinuato a trattare l'indirizzo di posta elettronica della società segnalanteper l'invio di comunicazioni promozionali nonostante la stessa avesseespressamente e ripetutamente manifestato la propria opposizione chiedendo lacancellazione dei dati. Relativamente al secondo motivo eccepito dalla societàcon il quale si osserva la sproporzione fra l'ammontare pecuniario dellesanzioni contestate rispetto alle violazioni commesse, si rileva come taleimporto sia scaturito dalla corretta applicazione della legge n. 689/1981 laquale, all'art. 16, afferma: "E' ammesso il pagamento di una somma inmisura ridotta pari alla terza parte del massimo della sanzione prevista per laviolazione commessa, o, se più favorevole e qualora sia stabilito il minimodella sanzione edittale pari al doppio del relativo importo". Da ultimo sifa presente che le e-mail inviate da X.Y. a Ruval Internationals.p.a. e allegate agli atti, non sono due, bensì cinque, l'ultima delle qualisuccessiva all'avvio del procedimento relativo alla segnalazione al Garante;

RILEVATO che la società ha quindi effettuato un trattamento di dati(art. 4 comma 1, lett. a) e b) del Codice) inviando e-mail di natura promozionalesenza rendere l'informativa ai sensi dell'art. 13 del Codice e senza acquisireil consenso di cui agli artt. 23 e 130 del Codice;

VISTO l'art. 161 del Codice che punisce la violazione dell'art. 13 delmedesimo Codice con la sanzione amministrativa del pagamento di una somma daseimila euro a trentaseimila euro;

VISTO l'art. 162, comma 2-bis, del Codice, nella formulazioneantecedente alla modifica introdotta con legge 20 novembre 2009, n. 166, chepunisce la violazione delle disposizioni indicate nell'art. 167 del Codice, trale quali quelle di cui agli artt. 23 e 130 del medesimo Codice, con la sanzioneamministrativa del pagamento di una somma da ventimila euro a centoventimilaeuro;

CONSIDERATO che, ai fini della determinazione dell'ammontare dellasanzione pecuniaria, occorre tenere conto, ai sensi dell'art. 11 della legge 24novembre 1981 n. 689, dell'opera svolta dall'agente per eliminare o attenuarele conseguenze della violazione, della gravità della violazione, dellapersonalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l'infrazione non abbia caratterizzazionispecifiche che possano portare a valutazioni di maggiore o minor rigore, nelladeterminazione della sanzione può ritenersi corretta l'individuazione di unimporto pari al terzo del massimo o, se più favorevole, al doppio del minimo,in linea con quanto previsto dall'art. 16 della l. n. 689/1981, ferma restandola valutazione degli ulteriori elementi previsti dall'art. 11 della medesimalegge [cfr. Cass. Civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) per quanto riguarda la violazione dell'art. 13 del Codice inordine all'aspetto della gravità, l'entità del pregiudizio o del pericolo deveconsiderarsi normale, l'intensità dell'elemento psicologico è moderato e,relativamente alle modalità concrete della condotta, si rileva che laviolazione risulta provata con riferimento all'invio di cinque e-mail; inordine alla violazione degli artt. 23 e 130 deve essere valutato che la partenon ha fornito alcun elemento che permetta di accertare se sia stato raccoltoil consenso dell'interessato e si deve altresì considerare che il titolare deltrattamento ha perseverato nell'invio delle e-mail nonostante la continua eripetuta opposizione dell'interessato;

b) ai fini della valutazione dell'opera svolta dall'agente,relativamente alle due contestazioni, la società ha comunicato che avrebbeprovveduto all'eliminazione del segnalante dalla propria banca dati ma non hafornito elementi atti a provare l'avvenuta cancellazione;

c) circa la personalità dell'autore della violazione, deve esserepositivamente considerata la circostanza che la società non risulta avereprecedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell'agente, al fine dicommisurare l'importo della sanzione alla reale capacità economica deltrasgressore nel rispetto del principio di uguaglianza, si rileva che la societàrisulta aver conseguito una perdita di esercizio per l'anno 2010;

RITENUTO di dover determinare, ai sensi dell'art. 11 della L. n.689/1981, l'ammontare delle sanzioni pecuniarie per entrambe le violazioni, inragione dei suddetti elementi valutati nel loro complesso, per la sanzioneprevista dall'art. 161 a un importo di euro 6.000,00 (seimila) e per lasanzione prevista dall'art. 162, comma 2-bis a un importo di euro 20.000,00(ventimila), per un importo complessivo di euro 26.000,00 euro (ventiseimila);

VISTO l'art. 164-bis, comma 1, del Codice che prevede che per lesanzioni amministrative di cui al Titolo III, Capo I, del Codice i limitiminimi e massimi  possono essere applicati in misura pari a due quinti sela violazione è di minore gravità ovvero in ragione della natura economica e socialedell'attività svolta;

RITENUTO che, nel caso di specie, ricorrano le condizioni perapplicare la diminuzione a due quinti, prevista dall'art. 164-bis, comma 1, delCodice nella misura complessiva di euro 10.400,00 (diecimilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni eintegrazioni;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott.Giuseppe Chiaravalloti;

ORDINA

a X.Y., con sede in Casorezzo (MI), Viale Enrico Mattei n.3 E-F, nella persona del legale rappresentante pro tempore, di pagare la sommadi euro 10.400,00 (diecimilaquattrocento) a titolo di sanzione amministrativa pecuniariaper le violazioni previste dagli artt. 161 e 162, comma 2-bis del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 10.400,00(diecimilaquattrocento) secondo le modalità indicate in allegato, entro 30giorni dalla notificazione del presente provvedimento, pena l'adozione deiconseguenti atti esecutivi a norma dall'art. 27 della legge 24 novembre 1981,n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento,sia inviata a questa Autorità, in originale o in copia autentica, quietanzadell'avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011,avverso il presente provvedimento può essere proposta opposizione all'autoritàgiudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogoove ha la residenza il titolare del trattamento dei dati, entro il termine ditrenta giorni dalla data di comunicazione del provvedimento stesso, ovvero disessanta giorni se il ricorrente risiede all'estero.

Roma, 5 aprile 2012

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale reggente
De Paoli