Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Primi sui Motori s.p.a.

PROVVEDIMENTO DEL 7 FEBBRAIO 2013

Registro dei provvedimenti
n. 53 del 7 febbraio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche, a fronte della segnalazione di Scala Reale s.r.l., pervenuta in data 25novembre 2009, con cui veniva lamentata la ricezione di comunicazionipromozionali indesiderate via e-mail da parte di Primi sui motori s.p.a., esulla base delle risultanze istruttorie svolte dall'Ufficio, l'Autorità haadottato in data 23 settembre 2010 un provvedimento nei confronti dellasuddetta società ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1,lett. d), del Codice in materia di protezione dei dati personali, con cui èstato dichiarato illecito il trattamento dei dati personali di dati effettuatoper l'invio di comunicazioni promozionali via e-mail in carenza di un consensopreventivo, specifico ed informato degli interessati;

VISTOil verbale n. 24664/66567 dell'8 novembre 2010 con cui sono state contestatealla Primi sui motori s.p.a., in persona del legale rappresentante pro-tempore,con sede in Modena, Viale Finzi n. 587, P.I. 03162550366, le violazioniamministrative previste dagli artt. 161 e 162, comma 2-bis del Codice, inrelazione all'art. 13 e al combinato disposto degli artt. 23 e 130,informandola altresì della facoltà di effettuare il pagamento in misura ridottaai sensi dell'art. 16 della legge n. 689/1981;

ESAMINATOil rapporto predisposto ai sensi dell'art. 17 della legge n. 689/1981dall'Ufficio del Garante, dal quale non risulta essere stato effettuato ilpagamento in misura ridotta;

VISTOlo scritto difensivo inviato ai sensi dell'art. 18 della legge n. 689/1981 concui la società ha dichiarato di "essere venuta in possesso del datorelativo alla società Scala Reale srl in data 9 aprile 2007, per averloacquistato nell'ambito di una guida web aziende, denominata DB mail e vendutadalla società New Project srl di Luca Puppi ()" sul convincimento che idati lì contenuti fossero stati raccolti previo consenso preventivo, specificoed informato dell'interessato, e "di aver eliminato i dati riferibili allacliente successivamente alla richiesta di cancellazione, in data 26 giugno2009, mentre il successivo riutilizzo del dato ai fini dell'invio doveva essereetiologicamente ricollegabile ad un cattivo funzionamento dellapiattaforma". La società ha, inoltre, dichiarato di essersi sempreattenuta alle prescrizioni del Garante, in quanto l'e-mail inviata nonconteneva alcuna informazione pubblicitaria mentre un link rimandava al testodell'informativa di cui all'art. 13 del Codice al fine di ottenere ilpreventivo consenso informato dell'interessato. Con riferimento alla violazionedi cui all'art. 162, comma 2-bis, del Codice, la società ha chiesto che vengaapplicato l'importo minimo della sanzione amministrativa come modificato dalD.L. n. 135 del 25 settembre 2009 convertito, con modificazioni, dalla legge n.166 del 20 novembre 2009, considerato che i fatti risalgono a un periodosuccessivo al suddetto decreto legge;

VISTOil verbale dell'audizione delle parti tenutasi in data 28 novembre 2011 aisensi dell'art. 18 della legge n. 689/1981, nella quale la società ha precisatoche la banca dati, pur essendo nella propria disponibilità, non poteva esseremodificata e che, pertanto, la responsabilità di quanto accaduto deveattribuirsi alla ditta New Project, chiedendo, altresì, la rateizzazione delleeventuali sanzioni amministrative;

RITENUTOche le argomentazioni addotte non sono idonee ad escludere la responsabilitàdella società in relazione a quanto contestato. La circostanza che il databasecontenente, tra gli altri, i dati di Scala Reale s.r.l. sia stato acquistato dauna terza società, non vale ad escludere la responsabilità in merito alleviolazioni contestate, in particolare per quel che riguarda la raccolta delconsenso. Infatti, il provvedimento del Garante del 29 maggio 2003 (doc. web n.29840) espressamente attribuisce a chi acquista una banca dati il dovere di"accertare che ciascun interessato abbia validamente acconsentito allacomunicazione del proprio indirizzo di posta elettronica e al suo successivoutilizzo ai fini di materiale pubblicitario". Sotto questo profilo, lasocietà ha dichiarato di non avere alcuna documentazione relativa alla raccoltadel consenso del segnalante, perché nella disponibilità del fornitore. Tral'altro, nel corso dell'istruttoria svolta dall'Ufficio, la società non haprovato di aver acquisito neanche successivamente il consenso dell'interessatoa ricevere le comunicazioni promozionali. Lo stesso provvedimento del 29 maggio2003, inoltre, stabilisce che l'informativa sia resa al momento in cui i datisono registrati, conformemente alla disposizione dell'art. 13, comma 4, delCodice. In tal caso, la società ha dichiarato di aver reso l'informativaall'interessato successivamente alla richiesta di cancellazione, in data 26giugno 2009. Tuttavia, oltre al fatto che non è stata prodotta agli attil'e-mail di cui si tratta, si evidenzia che tale circostanza non è rilevanteperché non conforme alle indicazioni del Garante secondo cui l'informativa varesa, come detto, al momento della registrazione dei dati. Per quanto riguarda,invece, l'argomentazione della parte, secondo cui andrebbe applicata lasanzione amministrativa in vigore all'epoca in cui i fatti sono accaduti, deveessere parzialmente accolta. Infatti, con riferimento alla violazione di cuiall'art. 161 del Codice, considerato che la banca dati è stata acquistata, comedichiarato dalla parte, in data 9 aprile 2007 e che le prime e-mailall'interessato risultano inviate già nel 2008, atteso che l'informativa agliinteressati andava resa al momento della registrazione dei dati, ne deriva chel'importo della sanzione da applicarsi deve essere quella in vigore al momentodella commissione dell'illecito, ovvero nell'importo da tremila a diciottomilaeuro. Per quanto riguarda, invece, la violazione di cui all'art. 162, comma2-bis, atteso che con la segnalazione Scala Reale s.r.l. ha documentato laricezione di una e-mail promozionale avvenuta il 29 ottobre 2009, il momentodella commissione dell'illecito deve essere, in questo caso, individuato nelladata di invio di tale ultima e-mail. La modifica all'importo minimo dellasanzione di cui si tratta è stata introdotta con la legge n. 166 del 20novembre 2009 (con efficacia a decorrere dal 25 novembre 2009), mentre il D.L.n. 135 del 25 settembre 2009 non prevedeva alcuna modifica alla normasanzionatoria. Pertanto, l'importo della sanzione è stato correttamenteindividuato nel pagamento di una somma da ventimila a centoventimila euro;

RILEVATO,invece, che la società ha effettuato un trattamento di dati (art. 4 comma 1,lett. a) e b) del Codice) del segnalante mediante l'invio di e-mail di naturapromozionale, senza rendere l'informativa di cui all'art. 13, comma 4, delCodice e senza acquisire il preventivo consenso ai sensi degli artt. 23 e 130del medesimo Codice;

VISTOl'art. 161 del Codice, nella formulazione antecedente alla modifica introdottacon la legge n. 14 del 27 febbraio 2009, che punisce la violazione dell'art. 13del Codice con la sanzione amministrativa del pagamento di una somma da tremilaa diciottomila euro;

VISTOl'art. 162, comma 2-bis, del Codice, nella formulazione antecedente allamodifica introdotta con la legge 20 novembre 2009, n. 166, che punisce laviolazione delle disposizioni indicate nell'art. 167 del Codice, tra le qualiquella di cui all'art. 23 del medesimo Codice, con la sanzione amministrativadel pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

CONSIDERATOche, nel caso in esame, circa la personalità dell'autore della violazione, deveessere considerata la circostanza che la società è stata destinataria di unprovvedimento prescrittivo e di divieto adottato dall'Autorità in data 23settembre 2010;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge n. 689/1981,l'ammontare della sanzione pecuniaria per la violazione dell'art. 161, nellamisura di 3.000,00 euro (tremila) e per la violazione dell'art. 162, comma2-bis nella misura di euro 20.000,00 euro (ventimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

ORDINA

aPrimi sui Motori s.p.a., con sede in Modena, viale Finzi n. 587, nella personadel legale rappresentante pro tempore, di pagare la somma complessiva di euro23.000,00 (ventitremila) a titolo di sanzione amministrativa pecuniaria per leviolazioni previste dagli artt. 161 e 162, comma 2-bis, del Codice, frazionatain 10 rate mensili dall'importo di euro 2.300,00 (duemilatrecento), inaccoglimento della richiesta di rateizzazione, i cui versamenti sarannoeffettuati a partire dal giorno 15 del mese successivo a quello in cui avverràla notifica della presente;

INGIUNGE

allamedesima società di pagare la somma di euro 23.000,00 (ventitremila) secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.
Ai sensi degliartt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento puì essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 7 febbraio 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia