Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Ediservizi srl

PROVVEDIMENTO DEL 7 NOVEMBRE 2013

Registro dei provvedimenti
n. 502 del 7 novembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche è pervenuto a questa Autorità, in data 22 marzo 2011, un ricorso ai sensidell'art. 145 del Codice in materia di protezione dei dati personali (d.lgs. 30giugno 2003 n. 196, di seguito "Codice") da parte del sig. Pier LuigiMaria Lucatuorto, il quale lamentava la ricezione, sulla propria casella diposta elettronica, di una comunicazione promozionale indesiderata da parte diEdiservizi srl, avvenuta in data 28 febbraio 2011;

CONSIDERATOche il suddetto ricorso è stato definito con provvedimento del Garante in data12 maggio 2011;

VISTOil verbale n. 12299/72879 del 15 giugno 2011 con cui, sulla base degli attiacquisiti nell'ambito del ricorso, sono state contestate a Ediservizi srl, consede in Bologna, Via Zanardi n. 106/6, P.I. 04098330378, in persona del legalerappresentante pro-tempore, le violazioni amministrative previste dagli artt.161 e 162, comma 2-bis, del Codice, in combinato disposto con l'art. 164-bis,comma 1, in relazione agli artt. 13 e 130 del Codice, per aver effettuato un trattamentodei dati personali finalizzato all'invio di comunicazioni promozionali viae-mail, informandola altresì della facoltà di effettuare il pagamento in misuraridotta ai sensi dell'art. 16 della legge 24 novembre 1981 n. 689;

RILEVATOdal rapporto predisposto dall'Ufficio del Garante ai sensi dell'art. 17 dellalegge 24 novembre 1981 n. 689, che non risultano effettuati i pagamenti inmisura ridotta;

VISTIgli scritti difensivi inviati ai sensi dell'art. 18 della legge 24 novembre1981 n. 689 con cui la parte ha precisato che la vicenda in esame riguardal'invio di una sola comunicazione promozionale, avente carattere divulgativo escientifico, mentre una seconda e-mail era stata inviata all'indirizzo di postaelettronica del ricorrente per mero errore umano in data 25 marzo 2011. Laparte ha, inoltre, dichiarato che, a seguito dell'istanza presentata dal sig.Lucatuorto in data 4 marzo 2011 ai sensi degli artt. 7 e 8 del Codice, avevaprovveduto a comunicare allo stesso tutte le informazioni richieste;"unico dato non formalmente comunicato, ma certamente noto e conoscibileda parte del dott. Lucatuorto, () era il nome del titolare e del responsabiledel trattamento ()". Alla luce di tali osservazioni, ha ritenuto che, nelcaso in esame, non sussiste alcuna violazione dell'art. 13 del Codice. Perquanto concerne, invece, la violazione dell'art. 130 del Codice, la parte hadichiarato che "il consenso preventivo del destinatario dellacomunicazione promozionale non era necessario, trattandosi di soggetto iscrittoin un elenco categorico pubblicato su internet [nella fattispecie dal sitodell'Ordine Avvocati di Bologna e da quello della Cassa forense] e trattandosidi una comunicazione di informazioni sostanzialmente a carattere culturale,scientifico o di utilità per quella categoria professionale ()". Ha,inoltre, eccepito l'applicazione al caso in esame dell'art. 162, comma 2-bis,non ricorrendo l'elemento del nocumento per la persona offesa; ha, infine,evidenziato che, in conseguenza del ricorso, è stato avviato un procedimento dicarattere sanzionatorio senza darle alcuna comunicazione al riguardo, ove, tral'altro, nel provvedimento con cui è stato definito il ricorso non le è stataimputata alcuna responsabilità in ordine ai fatti in esame;

CONSIDERATOche le argomentazioni addotte non consentono di escludere la responsabilitàdella società in relazione a quanto contestato. Va precisato, in primo luogo,che l'utilizzo di dati provenienti da pubblici registri, elenchi, atti odocumenti conoscibili da chiunque può avvenire, senza il preventivo consensodegli interessati, purché nel rispetto dei limiti e delle modalità stabilitedalla legge (art. 24, comma 1, lett. c, del Codice); tra questi rientra, inparticolare, il cd. "vincolo di finalità", in base al quale i datipossono essere raccolti e registrati per scopi determinati, espliciti elegittimi e possono essere utilizzati in altri trattamenti in terminicompatibili con tali scopi, tenuto conto del dettato dell'art. 11, comma 1,lett. b) del Codice. Tuttavia, nel caso di specie, il "vincolo di finalità"non ricorre, data la natura promozionale del messaggio inviato al sig.Lucatuorto (oggetto dell'e-mail era "Scanner Magic Wand"). Nediscende, quindi, l'applicazione al caso in esame della disciplina di cuiall'art. 130, comma 2, del Codice che, con riferimento al tipo di strumentoutilizzato (e-mail) per l'invio delle comunicazioni promozionali, richiede inogni caso il preliminare consenso dell'interessato, da raccogliersi nelrispetto di quanto previsto dall'art. 23 (ovvero specifico, documentato periscritto e raccolto previa informativa). Ciò premesso, si rileva chel'argomentazione della parte secondo cui la violazione dell'art. 13 nonsussiste, perché l'informativa è stata fornita al ricorrente al momentodell'esercizio dei diritti di cui all'art. 7, non è rilevante in quanto, inbase all'art. 13 del Codice, l'informativa deve essere resa all'interessato"previamente", ovvero prima di procedere al trattamento del dato.Altrettanto dicasi per l'acquisizione del consenso che, come detto, non vienemeno neanche nel caso in cui i dati sono ricavati da elenchi pubblici, come èstato più volte confermato dal Garante (tra tutti il provvedimento del 29maggio 2003). Dalla documentazione in atti, non risulta in alcunmodo dimostrato che la società abbia raccolto validamente il consensodell'interessato a ricevere le comunicazioni promozionali nelle forme suindicate. Per quanto riguarda, invece, l'eccepita applicazione dell'art. 167del Codice, si osserva che l'art. 162, comma 2-bis, distingue chiaramente lafattispecie penale da quella amministrativa, prevedendo che nel caso diviolazione delle disposizioni di cui all'art. 167, tra cui l'art. 130, lasanzione amministrativa viene irrogata "in ogni caso", cioè aprescindere dalla sussistenza o meno di un illecito penale. Infine, quanto almancato espresso riferimento, nel provvedimento di definizione del ricorso, all'avviodel procedimento sanzionatorio, si rileva che nel suddetto provvedimento ilGarante non è entrato nel merito della liceità (o meno) del trattamento,essendo il ricorso finalizzato a garantire l'esercizio dei diritti di cuiall'art. 7 del Codice. Rilevati, tuttavia, nell'ambito dell'istruttoria delricorso gli elementi di una violazione di legge sanzionata amministrativamente,l'avvio dell'autonomo procedimento sanzionatorio, avviato con la notifica dellacontestazione n. 12299/72879 del 15 giugno 2011 e notificato in data 7 luglio2011) era quindi atto dovuto. Al riguardo, si evidenzia che il diritto didifesa è stato pienamente garantito nel corso del procedimento sanzionatorioconclusosi con la presente ordinanza che può essere autonomamente impugnata inbase agli artt. 152 del Codice e 10 del d. lg. n. 150/2011;

RILEVATO,pertanto, che la società ha effettuato un trattamento di dati personali aisensi dell'art. 4, comma 1, lett. a) e b) del Codice, inviando unacomunicazione promozionale via e-mail, senza rendere l'informativa ai sensidell'art. 13 del Codice e in carenza di un esplicito consenso ai sensidell'art. 130 del medesimo Codice;

VISTOl'art. 161 del Codice che punisce la violazione delle disposizioni di cuiall'art. 13 con la sanzione amministrativa del pagamento di una somma daseimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice, che punisce la violazione delledisposizioni di cui all'art. 167, tra le quali quella di cui all'art. 130 delmedesimo Codice, con la sanzione amministrativa del pagamento di una somma dadiecimila a centoventimila euro;

RITENUTOche ricorrono le condizioni per applicare l'art. 164-bis, comma 1, del Codiceil quale prevede che se taluna delle violazioni di cui agli artt. 161, 162, 163e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessiarticoli sono applicati in misura pari a due quinti;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOdi dover determinare l'importo della sanzione prevista dall'art. 161 del Codicenella misura di euro 2.400,00 (duemilaquattrocento) e l'importo della sanzioneprevista dall'art. 162, comma 2-bis, del Codice nella misura di euro 4.000,00(quattromila), per un importo complessivo pari a euro 6.400,00(seimilaquattrocento);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

ORDINA

aEdiservizi srl, con sede in Bologna, Via Zanardi n. 106/6, P.I. 04098330378, inpersona del legale rappresentante pro-tempore,, di pagare la somma di euro6.400,00 (seimilaquattrocento) a titolo di sanzione amministrativa pecuniariaper le violazioni previste dagli artt. 161 e 162, comma 2-bis del Codice;

INGIUNGE

allamedesima società di pagare la somma di euro 6.400,00 (seimilaquattrocento)secondo le modalità indicate in allegato, entro 30 giorni dalla notificazionedel presente provvedimento, pena l'adozione dei conseguenti atti esecutivi anorma dall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che,entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questaAutorità, in originale o in copia autentica, quietanza dell'avvenutoversamento.

Ai sensidegli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 7novembre 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia