Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Travel Factory

PROVVEDIMENTO DEL 11 APRILE 2013

Registro dei provvedimenti
 n. 184 dell'11 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

RILEVATOche il Nucleo privacy della Guardia di finanza, in esecuzione della richiestadi informazioni n. 12348/53969 del 20 maggio 2010 formulata ai sensi dell'art.157 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno2003, n. 196-di seguito "Codice") ha svolto accertamenti presso laTravel Factory srl in liquidazione, già con sede in Roma, via sant'Agata deiGoti n. 2 e attualmente con sede in Roma, via Nicotera n. 29, P.I. 01424301008,come riportato nel verbale di operazioni compiute del 27 maggio 2010, da cui èrisultato che la società effettua attività di invio fax per conto di terziutilizzando, all'occorrenza, dati relativi ad agenzie di viaggio contenuti inun proprio database, "formato a partire dal 1988 e continuamenteaggiornato fino ai giorni nostri", rispetto ai quali non è stata fornital'informativa di cui all'art. 13 del Codice. Inoltre, è risultato che nei sitiweb gestiti dalla società (www.travelfactory.it, www.totalfax.it,www.masterviaggi.it e www.italybyitaly.it) sono presenti dei form di raccoltadati in calce ai quali è stata riscontrata l'assenza dell'informativa di cuiall'art. 13 del Codice;

VISTOil verbale n. 51 del 15 giugno 2010 con cui sono state contestate alla TravelFactory srl in liquidazione, in persona del legale rappresentante pro tempore,due distinte violazioni amministrative previste dall'art. 161 del Codice, siacon riferimento al trattamento dei dati personali presenti nel database efinalizzato all'invio di comunicazioni promozionali via fax per conto di terzi,sia con riferimento al trattamento dei dati personali effettuato tramite i formdi raccolta dati presenti sui siti web gestiti dalla stessa, informandola dellafacoltà di effettuare il pagamento in misura ridotta ai sensi dell'art. 16della legge 24 novembre 1981, n. 689;

CONSIDERATOche, sulla base degli atti risultanti dall'attività ispettiva, l'Autorità haadottato nei confronti della società un provvedimento di divieto eprescrizione, ai sensi dell'art. 143, comma 1, lett. b) e c) e dell'art. 154,comma 1, lett. c) e d) del Codice, datato 2 marzo 2011, che qui si richiamaintegralmente, con cui, tra l'altro, è stato dichiarato illecito il trattamentodei dati personali effettuato dalla società Travel Factory tramite l'invio difax promozionali in assenza dell'informativa e in carenza di un valido consensodegli interessati;

VISTOil verbale n. 8127/71345 del 20 aprile 2011 con cui è stata contestata allasocietà la violazione amministrativa prevista dall'art. 162, comma 2-bis, delCodice per avere la stessa effettuato attività promozionale via fax in carenzadi un valido consenso degli interessati ai sensi dell'art. 130, comma 2, delmedesimo Codice, informandola della facoltà di effettuare il pagamento inmisura ridotta ai sensi dell'art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATIi rapporti predisposti dal Nucleo privacy della Guardia di finanza edall'Ufficio del Garante ai sensi dell'art. 17 della legge 24 novembre 1981, n.689, dai quali non risultano essere stati effettuati i pagamenti in misuraridotta;

VISTIgli scritti difensivi, inviati ai sensi dell'art. 18 della legge 24 novembre1981, n. 689, con cui la società ha dichiarato di rivolgere la propria attivitàesclusivamente ad aziende del settore "Turismo e trasporto aereo" edi inviare le proprie comunicazioni per mezzo del fax "esclusivamente adaziende del settore che ne facevano espressa richiesta. Pertanto, l'attivitàdella Travel Factory srl, lungi dall'essere lesiva del diritto alla privacydelle aziende destinatarie dei fax promozionali, era la conseguenza logica edindefettibile dell'adempimento delle obbligazioni assunte a seguitodell'accettazione delle richieste pervenute ()". Per quanto sopra, non haraccolto il consenso degli interessati, ritenendolo implicitamente reso almomento della richiesta di inserimento nel database. Per quanto concerne,invece, i siti web, la società ha precisato, nel corso dell'attivitàistruttoria, che i dati ricevuti tramite i form presenti sui propri siti webnon sono mai stati utilizzati per finalità promozionali essendo la propriaattività rivolta solo a quelle società che ne hanno fatto espressa richiesta,tant'è che, per quanto concerne il sito www.masterviaggi.it, ha dichiarato cheil conferimento dei dati non è necessario, essendo il form finalizzatounicamente a commentare le notizie ivi pubblicate;

RILEVATOche, a fronte di numerose convocazioni, la parte non si è presentata a nessunadelle audizioni per le quali è stata convocata, senza portare alcunagiustificazione della sua assenza;

RITENUTOche le argomentazioni addotte non sono idonee ad escludere la responsabilitàdella parte in ordine alle violazioni amministrative sopra richiamate. Perquanto concerne la violazione di cui all'art. 161 del Codice, si osserva chel'assenza dell'informativa in calce ai form di raccolta dati presenti suidiversi siti web gestiti dalla società era stata riscontrata già in sede diaccertamento ispettivo dalla Guardia di finanza. In quell'occasione, la parteaveva anche dichiarato che i dati acquisiti tramite i form erano utilizzati perdare riscontro alle richieste di informazioni o per evadere agli ordini e/oalle prenotazioni che pervenivano e, solo successivamente, venivano cancellati.A fronte di tali operazioni, che sostanziano un trattamento di dati personaliai sensi dell'art. 4, comma 1, lett. a) e b) del Codice, non rileval'argomentazione della parte secondo cui i dati richiesti non erano necessariper il perseguimento delle predette finalità, essendo invece necessario che gliutenti siano messi in grado di avere tutte le informazioni utili, ad esempio,ad individuare il titolare del trattamento, il soggetto a cui rivolgere leproprie richieste ai sensi dell'art. 7 del Codice e le operazioni effettuatesui dati conferiti. Tale argomentazione è alla base anche dell'ulteriore contestazione,relativa alla violazione di cui all'art. 161 del Codice, elevata alla societàcon riferimento ai dati contenuti nel proprio database e che essa utilizzaquale titolare del trattamento. In tal caso, infatti, sebbene il database siaformato esclusivamente dai dati di quelle società che hanno fatto espressarichiesta di ricevere le comunicazioni promozionali dalla Travel Factory e nonanche dai dati diversamente acquisiti (ad esempio tramite i form di raccoltadati presenti sui vari siti Internet), si osserva che in ogni caso grava sultitolare del trattamento l'obbligo di rendere agli interessati l'informativasul trattamento dei dati personali. Rispetto, invece, alla violazione di cuiall'art. 162, comma 2-bis, si osserva che l'art. 130, comma 2, espressamenterichiede per l'invio di comunicazioni promozionali via fax che sia acquisitouno specifico consenso degli interessati, e ciò vale in ogni caso, aprescindere cioè che la richiesta sia stata avanzata direttamente dagliinteressati. Sotto questo profilo, non possono qualificarsi come manifestazionidel consenso le dichiarazioni, prodotte dalla parte e rese da alcune societàsue clienti, con cui le stesse hanno dichiarato di aver acconsentito a riceverele comunicazioni via fax sin dai tempi più lontani, in quanto le stesse nonsostanziano i requisiti previsti dalla norma. In ultimo, si rileva che nontrova accoglimento l'argomentazione della parte secondo cui l'invio dei faxavveniva in adempimento delle obbligazioni assunte con le società sue clienti,in primo luogo perché non è stato esibito alcun contratto che dimostril'esistenza di una obbligazione a suo carico, e in secondo luogo perché l'art.130, comma 3, esclude che questo tipo di comunicazioni rientri tra itrattamenti che possono essere effettuati in carenza del consenso, secondo ledisposizioni dell'art. 24 del Codice;

RILEVATO,pertanto, che Travel Factory srl in liquidazione ha effettuato un trattamentodi dati personali (art. 4 comma 1, lett. a) e b) del Codice) sia per mezzo deiform presente sui siti web, avvenuto in assenza dell'informativa di cuiall'art. 13 del Codice, sia tramite l'invio di fax promozionali, avvenuto inassenza dell'informativa di cui all'art. 13 e in mancanza del consenso di cuiall'art. 130 del medesimo Codice;

VISTOl'art. 161 del Codice, che punisce la violazione delle disposizioni di cuiall'art. 13 del medesimo Codice con la sanzione amministrativa del pagamento diuna somma da seimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice, che punisce la violazione delledisposizioni indicate nell'art. 167 del Codice, tra le quali quella di cuiall'art. 130 del medesimo Codice, con la sanzione amministrativa del pagamentodi una somma da diecimila euro a centoventimila euro;

VISTAla legge 24 novembre 1981 n. 689 e successive modificazioni e integrazioni;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, gli elementi dell'entità del pregiudizio odel pericolo e delle modalità concrete della condotta e dell'intensità devonoessere valutati alla luce del fatto che la parte non ha reso l'informativa agliinteressati che hanno conferito i propri dati per finalità promozionali né aquelli che li hanno conferiti tramite i tre siti web, omettendo in tal casoanche di acquisirne il consenso, mentre l'elemento dell'intensità dell'elementopsicologico deve essere valutato di lieve entità;

b) circala personalità della violazione, deve essere considerata la circostanza che neiconfronti della società l'Autorità ha adottato, in data 2 marzo 2011, unprovvedimento prescrittivo e di divieto;

c) conriferimento alle condizioni economiche del trasgressore, si osserva che lasocietà è in liquidazione;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, l'ammontare della sanzione pecuniaria nella misura di euro 6.000,00(seimila) per la violazione di cui all'art. 161, con riferimento ai form diraccolta dati presente sui siti web, nella misura di euro 6.000,00 (seimila)per la violazione di cui all'art. 161, con riferimento ai dati contenuti neldatabase e nella misura di 10.000,00 (diecimila) per la violazione di cuiall'art. 162, comma 2-bis;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

ORDINA

aTravel Factory srl in liquidazione, già con sede in Roma, via sant'Agata deiGoti n. 2 e attualmente con sede in Roma, via Nicotera n. 29, di pagare lasomma complessiva di euro 22.000,00 (ventiduemila) a titolo di sanzioneamministrativa pecuniaria per le violazioni previste dagli artt. 161  e162, comma 2-bis, del Codice, come indicato in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 22.000,00 (ventiduemila) secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma,11 aprile 2013

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia