Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Google Inc.

PROVVEDIMENTO DEL 18 DICEMBRE 2013

Registro dei provvedimenti
 n. 583 del 18 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

VISTOil provvedimento adottato dal Garante in data 15 ottobre 2010, ai sensi degliartt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del d.lgs. 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali (diseguito denominato "Codice"), nei confronti di Google Inc., il cuicontenuto si intende qui integralmente richiamato;

VISTOl'atto di contestazione, che qui deve intendersi integralmente richiamato, n.131/68759 del 4 gennaio 2011 nei confronti di Google Inc., con sede in MountainView, California 94043-1351, Stati Uniti d'America, 1600 Amphitheatre Parkway(di seguito "Google"), notificato a tale indirizzo in data 2 febbraio2011 (nonché in data 5 gennaio 2011 al domicilio eletto presso lo studio legaleHogan Lovells), per la violazione, tra l'altro, del combinato disposto di cuiagli artt. 13, 161 e 164-bis, comma 2, del Codice, concernente l'inidoneitàdell'informativa resa agli interessati con riferimento ad una banca dati diparticolari dimensioni in occasione della raccolta di dati effettuata dallasocietà mediante le c.d. Google cars nell'ambito del servizio denominato StreetView;

VISTIgli scritti difensivi del 3 febbraio 2011, inviati ai sensi dell'art. 18 dellalegge 24 novembre 1981, n. 689, che qui si intendono integralmente richiamati;

PRESOATTO che Google, per le violazioni di cui al capo a) dell'atto dicontestazione, in data 7 marzo 2011 ha provveduto ad effettuare il pagamento inmisura ridotta previsto dall'art. 16 della legge n. 689/1981, con effettoestintivo del relativo procedimento sanzionatorio e che, pertanto, il presenteprovvedimento riguarda esclusivamente la residua violazione di cui al capo b)della predetta contestazione di violazione amministrativa;

VISTOil verbale in data 16 settembre 2013 relativo all'audizione dei rappresentanti diGoogle ai sensi dell'art. 18, comma 2, della legge n. 689/1981;

RILEVATOche Google nei citati scritti difensivi ha dichiarato, tra l'altro, quantosegue:

a)"sin dal momento del lancio [del servizio Street View], Google ha adottatouna privacy policy globale [Š] Poiché si tratta di un servizio globale gestitoin modo centralizzato, era difficile per Google tenere conto di tutte lenormative privacy dei singoli Stati dove il servizio è attivo e soddisfaretutti i singoli requisiti da esse previsti. La scelta è stata quindi diindividuare un minimo comune denominatore che tenesse conto degli aspettifondamentali della difesa della privacy degli utenti [Š] nonché delle esigenzedi funzionalità del sistema";

b)"indipendentemente dall'applicazione a Google Inc. per il servizio StreetView della legge privacy italiana, si è ritenuto – in assoluta buona fede– che, così come per gli altri servizi online offerti agli utenti, lemisure utilizzate dalla società [Š] fossero sufficienti";

c)"col provvedimento [adottato in data 15 ottobre 2010] il Garante hariconosciuto che tali misure non fossero sufficienti a garantire la pienaconsapevolezza dei cittadini (non utenti) del passaggio delle vetture di StreetView e di esercitare, eventualmente, il loro diritto di sottrarsi allo scattodelle immagini delle pubbliche vie e piazze";

d)"una qualunque forma alternativa di avvertimento (e.g. avvertimentosonoro, forme mirate di pubblicità, ecc.), oltre ad aver bisogno delle relativeautorizzazioni, avrebbero potuto ingenerare confusione circa la reale portatadel servizio, ovvero creare problemi di ordine pubblico o addiritturaspeculazioni";

e)"il risalto dato dai giornali e dalla televisione a Street View [Š] siaprima del lancio in Italia, sia nel corso dei primi mesi di funzionamento delservizio hanno fatto ritenere che la maggior parte della popolazione italianafosse ampiamente a conoscenza di cosa fosse Street View e delle modalitàattraverso le quali funzionava il servizio [Š rendendo pertanto nonŠ]necessaria alcuna altra forma di pubblicità";

f) lasocietà ha comunque sottolineato l'"atteggiamento di collaborazione eattenzione da sempre tenuto da Google nei confronti [dell'] Autorità Garante[anche attraverso] i numerosi incontri e lo scambio di corrispondenza intercorsi[Š] finalizzati a dare esecuzione nel modo più corretto alle misure richiestedal Garante a tutela della privacy di cittadini e utenti";

RILEVATOche Google nel corso della predetta audizione:

a) hadepositato un ulteriore scritto nel quale vengono nuovamente illustrate leazioni poste in essere dalla società successivamente ai fatti oggetto dicontestazione, con particolare riferimento alle inserzioni pubblicate di voltain volta sui quotidiani in occasione del passaggio delle Google cars e agli avvisimessi in onda sulle emittenti radiofoniche;

b) harappresentato che "l'adeguamento da parte di Google alle misure indicaredal Garante ha comportato costi economici rilevanti (nel corso dei due annitrascorsi dalla contestazione per decine di migliaia di euro. A esempio ilcosto di un annuncio per località è di circa 2.000 €)";

RILEVATOche l'illiceità della condotta in esame risulta accertata dal Garante con ilcitato provvedimento del 15 ottobre 2010 e non contestata dalla società, laquale negli scritti difensivi e nel corso dell'audizione, per le suddettemotivazioni, ha richiesto la revoca delle sanzioni, ovvero la loro applicazionein misura pari al minimo, invocando, in sintesi, l'impossibilità di fornirel'informativa secondo le modalità previste dall'art. 13 del Codice e la propriabuona fede;

RITENUTO,in relazione a tali aspetti, che non sono rilevabili gli elementi costitutividell'errore scusabile di cui all'art. 3 della legge n. 689/1981, sia in quantonon è stato fornito alcun elemento positivo, estraneo all'autore dellaviolazione, idoneo a ingenerare nell'agente l'incolpevole opinione della liceitàdel suo agire (Cass. Civ., Sez. I, 11 febbraio 1999 n. 1151), sia poiché non sirileva nel comportamento dell'agente la condizione che lo stesso abbia fattotutto il possibile per osservare la legge e che nessun rimprovero possaessergli mosso, così che l'errore sia stato incolpevole ovvero non suscettibiledi essere evitato dal trasgressore con l'ordinaria diligenza (Cass. Civ. Sez.lav. 12 luglio 2010 n. 16320);

CONSIDERATO,pertanto, che le giustificazioni addotte da Google non sono idonee, per lemotivazioni ampiamente indicate nel citato provvedimento del Garante, soprasinteticamente riportate, ad escludere la responsabilità della società inordine alla violazione in questione;

RILEVATO,pertanto, che Google, in qualità di titolare del trattamento, ha effettuatoillecitamente il trattamento di dati personali degli interessati in quanto hareso loro una informativa che, ai sensi del predetto art. 13, risulta nonidonea;

CONSIDERATE,altresì, le "peculiari caratteristiche delle fotografie scattate da GoogleInc., che, oltre ad essere oggetto di diffusione online per un considerevoleperiodo di tempo, possono essere ingrandite per consentire all'utente unavisualizzazione dettagliata delle stesse" nonché "le numerosesegnalazioni pervenute a questa Autorità, relative proprio all'acquisizione diimmagini da parte della società che, nel fotografare i luoghi, ha ripreso anchesoggetti identificabili che non desideravano comparire sulle fotografiepubblicate online da Google" (cfr. citato provvedimento del Garante de 15ottobre 2010);

CONSIDERATOche, in ragione delle modalità con le quali è stato effettuato il trattamentodi dati personali in esame, Google ha violato più volte la disposizionerelativa all'informativa, di cui all'art. 13 del Codice, sanzionata dall'art.161 del medesimo Codice, e che le predette violazioni sono state commesse conriferimento ai dati utilizzati dalla società nell'ambito della fornitura deipropri servizi e, in particolare, attraverso il servizio Street View, che, perle sue caratteristiche, rappresenta, ai sensi dell'art. 164-bis, comma 2, delCodice, una banca dati di particolari dimensioni;

PRESOATTO di quanto dichiarato e documentato da Google in ordine al comportamentocomplessivo tenuto dalla società con riferimento alla condotta tenutasuccessivamente alla rilevazione delle violazioni in questione, consistitanella tempestiva adozione degli adempimenti prescritti dal Garante conriferimento al servizio Street View nel più volte citato provvedimento del 15ottobre 2010, relativi - in sintesi - alla designazione di un propriorappresentante sul territorio dello Stato, all'informativa da rendere agliinteressati attraverso il proprio sito web e gli organi di informazione(quotidiani e  emittenti radiofoniche) nonché alle modalità per renderemaggiormente riconoscibili le proprie autovetture durante le operazioni diripresa fotografica;

VISTOl'art. 161 del Codice, che punisce la violazione delle disposizioni di cuiall'art. 13 del medesimo Codice con la sanzione amministrativa del pagamento diuna somma da seimila euro a trentaseimila euro;

VISTOl'art. 164-bis, comma 2, del Codice che prevede che in caso di più violazionidi un'unica o di più disposizioni di cui al Capo I del Titolo III della ParteIII del Codice, tra cui quella di cui al predetto art. 161, commesse anche intempi diversi in relazione a banche di dati di particolare rilevanza odimensioni, si applica la sanzione amministrativa del pagamento di una somma dacinquantamila euro a trecentomila euro e che, in tale ipotesi, non è ammesso ilpagamento in misura ridotta;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria, occorretenere conto, ai sensi dell'art. 11 della legge n. 689/1981, dell'opera svoltadall'agente per eliminare o attenuare le conseguenze della violazione, dellagravità della violazione, della personalità e delle condizioni economiche delcontravventore;

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, con riferimento alle modalità concrete dellacondotta la violazione non risulta essere connotata da elementi specifici,mentre, per quanto attiene ai profili dell'entità del danno o del pericoloarrecato e dell'intensità dell'elemento psicologico, devono essere valutate intermini di aumento della sanzione rispettivamente le seguenti circostanze:

- laviolazione in esame è relativa a trattamenti che riguardano una considerevolequantità di dati personali di utenti e di altre persone acquisiti su porzionirilevanti dell'intero territorio nazionale, destinati alla successivadiffusione sul web;

-l'elemento soggettivo della colpa relativo alla violazione in questione assumecaratteri di maggiore gravità in relazione alla circostanza che ad un'aziendacome Google, che fonda la propria attività economica prevalentemente sultrattamento dei dati e che costituisce uno dei principali fornitori mondiali diservizi della società dell'informazione, è richiesta la massima attenzione ediligenza negli adempimenti in tema di protezione dei dati personali, anche infunzione del potenziale rilevante impatto di eventuali violazioni;

b) aifini della valutazione dell'opera svolta dall'agente, deve esserefavorevolmente apprezzato il comportamento dell'azienda che ha procedutoprontamente all'adozione degli adempimenti in precedenza omessi e che haprestato la propria massima collaborazione all'Autorità nell'ambito delpresente procedimento;

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che la società non risulti avere precedentispecifici in termini di violazioni alle disposizioni del Codice;

d) inmerito alle condizioni economiche dell'agente, al fine di commisurare l'importodella sanzione alla reale capacità economica del trasgressore nel rispetto delprincipio di uguaglianza, devono essere apprezzati in termini di aumento dellasanzione gli elementi desumibili dal bilancio consolidato dell'azienda relativoall'anno fiscale concluso il 31 dicembre 2012, relativi agli ingente volumed'affari e utile conseguiti;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge n. 689/1981,l'ammontare della sanzione pecuniaria nella misura di euro 250.000(duecentocinquantamila), avuto riguardo alla relativa gravità valutata inragione dei suddetti elementi considerati nel loro complesso;

VISTOl'art. 164-bis, comma 4, del Codice che prevede che le sanzioni amministrativedi cui al Titolo III, Capo I, del Codice possono essere aumentate fino alquadruplo quando possono risultare inefficaci in ragione delle condizionieconomiche del contravventore;

RITENUTOche la valutazione delle predette condizioni economiche del contravventorepossa essere condotta a partire dai criteri di classificazione delle impreseindicati nel decreto del ministro delle attività produttive del 18 aprile 2005,recante "Adeguamento alla disciplina comunitaria dei criteri diindividuazione di piccole e medie imprese", considerando imprese dirilevanti dimensioni quelle che superino i parametri ivi indicati;

RILEVATOche l'applicazione della predetta sanzione nei confronti di Google risulterebbeinefficace in ragione delle condizioni economiche della società, che nell'anno2012 ha registrato un fatturato consolidato pari a oltre 50 miliardi didollari, con un corrispondente utile consolidato pari a oltre 10,7 miliardi didollari, come rilevabile dal bilancio dell'azienda relativo all'anno fiscaleconcluso il 31 dicembre 2012;

RITENUTOche, nel caso di specie, ricorrano le condizioni per applicare l'aumentoprevisto dall'art. 164-bis, comma 4, del Codice nella misura pari a quattrovolte l'importo della sanzione che, pertanto, risulta determinata in euro1.000.000 (un milione);

VISTAla documentazione in atti;

VISTAla legge n. 689/1981, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla dott.ssa Augusta Iannini;

ORDINA

a GoogleInc., con sede in Mountain View, California 94043-1351, Stati Uniti d'America,1600 Amphitheatre Parkway, in persona del legale rappresentante pro tempore, dipagare la somma di euro 1.000.000 (un milione) a titolo di sanzioneamministrativa pecuniaria per la violazione del combinato disposto di cui agliartt. 13, 161 e 164-bis, comma 2, del Codice, come determinata in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 1.000.000 (un milione) secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge n. 689/1981, prescrivendo che, entro il termine di giorni 10(dieci) dal versamento, sia inviata a questa Autorità, in originale o in copiaautentica, quietanza dell'avvenuto versamento.

Ai sensidegli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 18 dicembre 2013

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia