Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Zoomarine Italia S.p.a.

PROVVEDIMENTO DEL 6 GIUGNO 2013

Registro dei provvedimenti
n. 281 del 6 giugno 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

RILEVATOche il Nucleo privacy della Guardia di finanza, in esecuzione della richiestadi informazioni n. 5702/53969 del 28 marzo 2011 formulata ai sensi dell'art.157 del d.lg. 30 giugno 2003, n. 196 recante il Codice in materia di protezionedei dati personali (di seguito denominato Codice) ha svolto accertamenti pressola Zoomarine Italia S.p.a., con sede legale in Torvaianica – Pomezia(RM), via Casablanca n. 61, partita IVA 06157981009, come riportato nel verbaledi operazioni compiute dell'8 e 9 giugno 2011, da cui è risultato che la societàeffettua una raccolta di dati personali (nome, cognome ed e-mail) tramite unform per l'acquisto di biglietti e tramite un altro form denominato"Informazioni", entrambi presenti sul sito Internet www.zoomarine.it,a fronte dei quali è stata riscontrata l'assenza dell'informativa di cuiall'art. 13 del Codice. Inoltre è stata rilevata la presenza di due sistemi divideosorveglianza a circuito chiuso, di cui uno composto da due telecamere e unhard disk per la registrazione, non collegato a nessun monitor, posto nell'areadi accesso al pubblico; l'altro composto da due telecamere fisse poste sultetto del magazzino adiacente agli uffici, e da un hard disk e un monitor,posti all'interno dell'ufficio del responsabile della vigilanza, senza chesiano presenti cartelli riportanti l'informativa ai sensi dell'art. 13 delCodice;

VISTOil verbale del 23 giugno 2011 con cui sono state contestate alla ZoomarineItalia S.p.a., in persona del legale rappresentante pro tempore, tre distinteviolazioni amministrative previste dall'art. 161 del Codice, sia conriferimento al trattamento dei dati personali effettuato tramite i form perl'acquisto dei biglietti e per richiedere informazioni, sia con riferimentoalla mancata informativa per l'utilizzo di sistemi di videosorveglianza,informandola della facoltà di effettuare il pagamento in misura ridotta aisensi dell'art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATOil rapporto predisposto dal Nucleo privacy della Guardia di finanza ai sensidell'art. 17 della legge 24 novembre 1981, n. 689, dal quale non risultanoessere stati effettuati i pagamenti in misura ridotta;

VISTIgli scritti difensivi, inviati ai sensi dell'art. 18 della legge 24 novembre1981, n. 689, con cui la società ha dichiarato in primo luogo che lecontestazioni attinenti ai form presenti sulla pagina web www.zoomarine.it"consistono in realtà nella medesima fattispecie: infatti () è richiestoai soggetti interessati di inserire il proprio indirizzo email per richiederegenericamente "informazioni", per cui la doppia contestazione su duefattispecie identiche, è di per sé illegittima". Inoltre la parte hatenuto a precisare che "le telecamere IN FASE DI INSTALLAZIONE rinvenutedai verbalizzanti in data 8 e 9 giugno, in realtà, non erano ancora attive, percui non registravano alcunché () d'altronde gli stessi agenti che hannoredatto il verbale, hanno potuto prendere atto del fatto che vi eranotelecamere installate, ma non vi erano monitor";

LETTOil verbale di audizioni, svoltasi il 17 settembre 2012, ai sensi dell'art. 18della legge n. 689/1981, con cui la società oltre a ribadire quanto già dedottonelle memorie difensive, ha precisato, in relazione ai form di raccolta datipresente sul sito web, che "zoomarine non identificava i soggettiacquirenti dei biglietti né trattava i relativi dati in quanto nellacompilazione del form l'utente poteva inserire nomi di fantasia e l'emailserviva esclusivamente per inviare i biglietti acquistati al portatore",mentre con riferimento al sistema di videosorveglianza, si è ribadito chequesto è entrato in funzione solo il 27 giugno, successivamente alla data incui è avvenuto l'accertamento da parte della Guardia di finanza;

RITENUTOche le argomentazioni addotte non sono idonee ad escludere la responsabilitàdella parte in ordine alle violazioni amministrative sopra richiamate. Perquanto concerne la violazione di cui all'art. 161 del Codice, si osserva chel'assenza dell'informativa in calce ai form di raccolta dati presenti sul sitointernet della società integra due diverse violazioni dell'art. 161 del Codice,in quanto i due form perseguono due distinte finalità del trattamento eciascuno è predisposto in modo da consentire l'inserimento dei dati personalidell'interessato (nome, cognome ed e-mail), posto che l'art. 4, comma 1, lett.b) indica sotto la dicitura di "dato personale" qualunqueinformazione relativa a persona fisica, (), identificata o identificabile,anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivicompreso un numero di identificazione personale, e che anche la sempliceraccolta dell'indirizzo e-mail configura un trattamento di dati personali. Inriferimento al sistema di videosorveglianza, la Guardia di finanza, in sede diaccertamento, ha rilevato che il monitor presente nell'ufficio del responsabiledella vigilanza riproduceva immagini provenienti da diverse aree, e pertanto lasocietà ha effettuato un trattamento di dati personali ai sensi dell'art. 4,comma 1, lett. a) e b) del Codice, senza rendere l'informativa agli interessatiai sensi dell'art. 13 del medesimo Codice, anche in considerazione di quantoprevisto dal provvedimento del Garante sulla videosorveglianza datato 8 aprile 2010;

RILEVATO,pertanto, che Zoomarine Italia S.p.a. ha effettuato un trattamento di datipersonali (art. 4 comma 1, lett. a) e b) del Codice) sia per mezzo dei formpresenti sul sito internet, avvenuto in assenza dell'informativa di cuiall'art. 13 del Codice, sia tramite un sistema di videosorveglianza, in assenzadell'informativa di cui all'art. 13 del medesimo Codice;

VISTOl'art. 161 del Codice, che punisce la violazione delle disposizioni di cui all'art.13 del medesimo Codice con la sanzione amministrativa del pagamento di unasomma da seimila euro a trentaseimila euro;

RITENUTOche, relativamente alle violazioni attinenti alla raccolta dei dati personalitramite due diversi form presenti sul sito web della società, ricorrano lecondizioni per applicare l'art. 164-bis, comma 1, del Codice che prevede che setaluna delle violazioni di cui agli articoli 161, 162, 163 e 164 è di minoregravità, avuto altresì riguardo alla natura anche economica o socialedell'attività svolta, i limiti minimi e massimi stabiliti dai medesimi articolisono applicati in misura pari a due quinti;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, l'ammontare della sanzione pecuniaria nella misura di euro 6.000,00(seimila) per la violazione di cui all'art. 161, con riferimento al sistema divideosorveglianza, e nella misura di euro 3.000,00 (tremila) per ciascuna delleviolazioni dell'art. 161 del Codice con riferimento ai form di raccolta datipresenti su internet, per un ammontare complessivo di euro 12.000,00(dodicimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

ORDINA

aZoomarine Italia S.p.a., con sede legale in Torvaianica – Pomezia (RM),via Casablanca n. 61, partita IVA 06157981009, in persona del legalerappresentante pro tempore, di pagare la somma complessiva di euro 12.000,00(dodicimila) a titolo di sanzione amministrativa pecuniaria per le violazionipreviste dall'art. 161 del Codice, come indicato in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 12.000,00 (dodicimila) secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 6 giugno 2013    

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia