Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi CURTIPETRIZZILANDIA S.a.s

PROVVEDIMENTO DEL 5 SETTEMBRE 2013

Registro dei provvedimenti
n. 394 del 5 settembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

RILEVATOche la Guardia di finanza, Tenenza San Pietro Vernotico, in esecuzione dellarichiesta di informazioni n. 5702/53969 del 28 marzo 2011 formulata ai sensidell'art. 157 del d.lg. 30 giugno 2003, n. 196 recante il Codice in materia diprotezione dei dati personali (di seguito denominato Codice) ha svoltoaccertamenti presso la "CURTIPETRIZZILANDIA S.a.s. di Carrisi Francesco& C.", con sede legale in Cellino San Marco (BR), via Berlinguer n. 14e sede operativa in Cellino San Marco (BR), C/da Curtipetrizzi snc, partita IVA01991990764, come riportato nel verbale di operazioni compiute dell'1 luglio2011, da cui è risultato che la società effettua una raccolta di dati personali(nome, cognome, indirizzo, numero di telefono ed e-mail) tramite un formdenominato "Come prenotare" presente sul sito Internetwww.curtipetrizzilandia.it, a fronte del quale è stata riscontrata l'inidoneitàdell'informativa di cui all'art. 13 del Codice;

VISTOil verbale del 13 luglio 2011 con cui è stata contestata alla"CURTIPETRIZZILANDIA S.a.s. di Carrisi Francesco & C.", inpersona del legale rappresentante pro tempore, la violazione amministrativaprevista dall'art. 161 del Codice, con riferimento al trattamento dei datipersonali effettuato tramite il form presente sulla pagina Internet,informandola della facoltà di effettuare il pagamento in misura ridotta aisensi dell'art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATOil rapporto predisposto dalla predetta Tenenza, ai sensi dell'art. 17 dellalegge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuatoil pagamento in misura ridotta;

VISTIgli scritti difensivi, inviati ai sensi dell'art. 18 della legge 24 novembre1981, n. 689, con cui la società ha tenuto a precisare che "non si puònegare che l'informativa presente nella pagina web esaminata in sede diaccertamento è sicuramente perfettibile; tuttavia, per le modalità e le finalitàdel trattamento non sembra ci sia stata una effettiva mancanza di informazioni() nella specifica pagina oggetto d'ispezione sono state riportate in manierachiara e specifica, informazioni ed elementi previsti dall'art. 13 del d.lgs.196/2003 quali: - l'indicazione di un responsabile commerciale ( dott. MarcoCarrisi); - i numeri di telefono, fax e cellulare per contattare lo stesso; -l'indicazione, nella parte alta della pagine web, del nominativo del titolaredel trattamento (Curtipetrizzilandia); - le finalità del trattamento (ovvero,come riportato nei primi scritti presenti in tale pagina "Comeprenotare", un trattamento finalizzato a riscontrare la richiestainformazioni da parte dell'utente o fornire chiarimenti circa le modalità diprenotazione); - una generica informativa, contenente anche un'autorizzazioneal trattamento (anche se non dovuta ai sensi della normativa vigente). Pertantogià dall'esame della pagina contenente il form elettronico di richiesta dati,si potevano evincere buona parte degli elementi utili ()";

LETTOil verbale di audizioni, svoltasi il 9 luglio 2012, ai sensi dell'art. 18 dellalegge n. 689/1981, con cui la società oltre a ribadire quanto già dedotto nellememorie difensive, ha sottolineato che "a seguito della contestazione ilform è stato prontamente modificato, integrandolo con un'informativa maggiormentedettagliata";

CONSIDERATOche non è possibile escludere la responsabilità della società in ordine aquanto contestato, in quanto il form di contatto, utile a richiedereinformazioni, presente sul sito www.curtipetrizzilandia.it aveva la funzione diconsentire l'inserimento dei dati personali dell'interessato (nome e cognome,città ed e-mail), posto che l'art. 4, comma 1, lett. b) definisce quale"dato personale" qualunque informazione relativa a persona fisica, (),identificata o identificabile, anche indirettamente, mediante riferimento aqualsiasi altra informazione, ivi compreso un numero di identificazionepersonale. Premesso ciò, si deve rilevare che la ricorrente ha erroneamenteritenuto di aver adempiuto, anche solo in parte, all'obbligo dell'informativala cui disciplina, fissata nell'art. 13 del Codice, detta una serie di elementidi cui l'interessato deve avere conoscenza al momento del conferimento deipropri dati. Tali elementi, nella formula posta in calce al form di raccoltadati, risultano quasi del tutto assenti per cui l'informativa deve considerarsinon completa e quindi inidonea. In particolare, dal predetto testo non sirilevano: le finalità ( art. 13, comma 1, lett. a ); la natura obbligatoria ofacoltativa del conferimento dei dati ( lett. b); i soggetti o categorie disoggetti ai quali i dati possono essere comunicati o che possono venire aconoscenza in qualità di responsabili o incaricati, e l'ambito di diffusionedei dati medesimi ( lett. c);  i diritti di cui all'art. 7 ( lett. e ) egli estremi identificativi del titolare ( lett. f ), non essendo sufficiente ilnome del parco acquatico. Infine il fatto che la società abbia prontamenteprovveduto ad integrare l'informativa presente sul sito non esplica effettisulla sussistenza della violazione oggetto del presente procedimentosanzionatorio, non può essere valutato ai fini della quantificazione dellasanzione;

RILEVATO,pertanto, che la società ha effettuato un trattamento di dati personali (art. 4comma 1, lett. a) e b) del Codice) per mezzo del form presente sul sitoInternet, avvenuto senza rendere idonea informativa di cui all'art. 13 delCodice;

VISTOl'art. 161 del Codice, che punisce la violazione delle disposizioni di cuiall'art. 13 del medesimo Codice con la sanzione amministrativa del pagamento diuna somma da seimila euro a trentaseimila euro;

RITENUTOche, nel caso di specie, ricorrano le condizioni per applicare l'art. 164-bis,comma 1, del Codice che prevede che se taluna delle violazioni di cui agliarticoli 161, 162, 163 e 164 è di minore gravità, avuto altresì riguardo allanatura anche economica o sociale dell'attività svolta, i limiti minimi emassimi stabiliti dai medesimi articoli sono applicati in misura pari a duequinti;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTO,pertanto, di dover determinare, ai sensi dell'art. 11 della legge 24 novembre1981, n. 689, l'ammontare della sanzione pecuniaria nella misura di euro2.400,00 (duemilaquattrocento);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

ORDINA

a"CURTIPETRIZZILANDIA S.a.s. di Carrisi Francesco & C.", con sedelegale in Cellino San Marco (BR), via Berlinguer n. 14 e sede operativa inCellino San Marco (BR), C/da Curtipetrizzi snc, partita IVA 01991990764, inpersona del legale rappresentante pro-tempore, di pagare la somma di euro2.400,00 (duemilaquattrocento) a titolo di sanzione amministrativa pecuniariaper la violazione prevista dall'art. 161 del Codice indicata in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 2.400,00 (duemilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazionedel presente provvedimento, pena l'adozione dei conseguenti atti esecutivi anorma dall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che,entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questaAutorità, in originale o in copia autentica, quietanza dell'avvenutoversamento.

Aisensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trenta giornidalla data di comunicazione del provvedimento stesso, ovvero di sessanta giornise il ricorrente risiede all'estero.

Roma, 5 settembre 2013

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia