Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi ModenaFiere S.r.l.

PROVVEDIMENTO DEL 24 APRILE 2013

Registro dei provvedimenti
n. 221 del 24 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche, a seguito della segnalazione del sig. Maurizio Sarni, pervenuta in data 28agosto 2010, con cui veniva richiesto un parere sulla liceità, o meno, delcomportamento della ModenaFiere Srl che richiede ai propri clientil'autorizzazione a riportare sul proprio sito e sulle pubblicazioni dellamanifestazione "Ambiente e lavoro 2010" i dati fiscali rilasciatisulla scheda di registrazione agli eventi, e sulla base delle risultanzeistruttorie svolte dall'Ufficio, l'Autorità ha adottato in data 23 marzo 2011un provvedimento nei confronti di ModenaFiere S.r.l., con sede in Modena, VialeVirgilio n. 58/B, in persona del legale rappresentante pro-tempore, ai sensidegli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice inmateria di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, diseguito "Codice"), con cui, nel dichiarare illecito "iltrattamento dei dati personali effettuato tramite l'invio di comunicazionipromozionali, l'attività statistica, la diffusione di dati personali sul sitowww.modenafiere.it, su periodici e riviste specializzate, nonché tramite iltrasferimento dei dati personali all'estero, in assenza di un'idoneainformativa ex art. 13 del Codice e di un consenso libero, specifico edocumentato degli interessati ex art. 23 del Codice", si è vietatol'ulteriore trattamento dei dati personali già acquisiti e si è prescritto diadottare le misure necessarie e opportune per rendere il trattamento conformealle disposizioni del Codice modificando il form di raccolta dati indicandonell'informativa le finalità del trattamento con riferimento a tutte le diversetipologie di attività svolte e richiedendo un consenso distinto e facoltativoper ciascuna delle finalità perseguite;

VISTAla nota del 19 maggio 2011 con cui la parte ha dato testimonianza di averseguito le prescrizioni previste dal provvedimento;

VISTOil verbale n. 10808/70456 del 23 maggio 2011 con cui sono state contestate allapredetta società le violazioni amministrative previste dall'art. 161, in relazioneall'art. 13 del Codice e dall' art. 162, comma 2-bis del Codice, in relazioneall'art. 23;

CONSIDERATOche la parte è stata informata della facoltà di effettuare il pagamento inmisura ridotta ai sensi dell'art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATOil rapporto dell'Ufficio del Garante per la protezione dei dati personalipredisposto ai sensi dell'art. 17 della legge 24 novembre 1981, n. 689,relativo alla contestazione nei confronti di Modena Fiere S.r.l per violazionedegli artt. 13 e 23 del Codice e rilevato dal predetto rapporto che non risultaessere stato effettuato il pagamento in misura ridotta;

VISTIgli scritti difensivi inviati in data 5 luglio 2011 ai sensi dell'art. 18 dellalegge 24 novembre 1981, n. 689, con cui la società ha dichiarato che "idati personali venivano richiesti corredati da un'informativa sinteticapredisposta da ModenaFiere, la quale per un puro refuso elettronico hariportato la sintetica informativa destinata, invece, alle societàorganizzatrici dei convegni/sessioni di lavoro previste all'interno dellaConvention" e pertanto risultava utile l'indicazione del codice fiscaleper adempiere ai conseguenti obblighi amministrativo/fiscali (emissione dellafattura), ed ha precisato che si è provveduto subito a rimediare a tale errorecorreggendo l'informativa presente. La parte ha sottolineato altresì che"nessuna comunicazione a fini promozionali era mai stata inviata aiclienti registrati con tale sistema dalla stessa ModenaFiere, essendo i datirichiesti nel format unicamente funzionali alla preparazione dei relativi pass,all'emissione delle fatture e all'invio di comunicazioni organizzative relativealla Convention()" e che "()il solo avere previsto un unicoconsenso per plurime finalità non significa assolutamente avere trattatoillecitamente i dati()";

LETTOil verbale di audizioni, svoltasi il 4 giugno 2012, ai sensi dell'art. 18 dellalegge 24 novembre 1981, n. 689, con cui la società oltre a ribadire quanto giàdedotto nelle memorie difensive, ha prodotto un ulteriore scritto difensivo dalquale risulta che "alcun danno o pregiudizio è stato effettivamentelamentato da terzi()"a seguito della raccolta dati effettuata dallastessa società e che, pertanto, la sanzione non risulta essere proporzionata inordine alla gravità della condotta posta in essere dal titolare deltrattamento;

CONSIDERATOche le argomentazioni addotte non consentono di escludere la responsabilitàdella società in relazione a quanto contestato. Infatti, la circostanza chenella predisposizione dell'informativa presente sul sito web si sia verificatoun errore, non è idonea ad escludere la responsabilità della società perl'insussistenza di elementi positivi, estranei all'autore della violazione,idonei a generare in questi il convincimento della liceità del proprio agire(Cass. civ. sez. I, n. 1151 dell'11 febbraio 1999; Cass. Civ. sez. II del 13marzo 2006, n. 5426). Inoltre, rilevato che l'art. 23 del Codice prevede chedebba essere richiesto un consenso libero e specifico per ogni trattamentochiaramente individuato e, nel caso di specie, a fronte dell'informativa resanon è stata predisposta una modalità di espressione del consenso specifica perciascuna delle finalità indicate, impedendo così all'interessato di esprimereliberamente la propria scelta in ordine ad uno specifico trattamento. Tral'altro, l'argomentazione in base alla quale non è mai stata effettuata attivitàdi comunicazione a fini promozionali non esclude la violazione che è integratadi per se dall'acquisizione del consenso effettuata senza osservare i requisitidi legge specificati dall'art. 23 del Codice. Essa può invece essere apprezzatain sede di commisurazione della sanzione;

RILEVATO,pertanto, che la società ha effettuato un trattamento di dati personali (art. 4comma 1, lett. a) e b) del Codice) in carenza di un valido consenso ai sensidell'art. 23, comma 3, del medesimo Codice;

RILEVATO,pertanto, che la società ha effettuato un trattamento di dati personali (art. 4comma 1, lett. a) e b) del Codice) tramite un form presente sul sitowww.modenafiere.it, senza rendere una idonea informativa agli interessati aisensi dell'art. 13 del Codice;

VISTOl'art. 161 del Codice, che punisce la violazione delle disposizioni di cuiall'art. 13 del medesimo Codice con la sanzione amministrativa del pagamento diuna somma da seimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 167 del medesimo Codice (tra le quali l'art.23) con la sanzione amministrativa del pagamento di una somma da diecimila euroa centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981, n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOdi dover l'importo della sanzione prevista dall'art. 161 del Codice nellamisura di euro 6.000,00 (seimila) e l'importo della sanzione prevista dall'art.162, comma 2-bis del Codice nella misura di euro 10.000,00 (diecimila), per unimporto complessivo pari a euro 16.000,00 (sedicimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla prof.ssa Licia Califano;

ORDINA

aModenaFiere S.r.l., con sede in Modena, Viale Virgilio n. 58/B, in persona dellegale rappresentante pro-tempore, di pagare la somma complessiva di euro16.000,00 (sedicimila) a titolo di sanzione amministrativa pecuniaria per leviolazioni previste dall'art. 161 e 162, comma 2-bis, del Codice, come indicatoin motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 16.000,00 (sedicimila) secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 24 aprile 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia