[doc. web n. 9673574]

Ordinanza ingiunzione nei confronti di Tiberia Assicurazioni s.a.s. - 15 aprile 2021

Registro dei provvedimenti
n. 138 del 15 aprile 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la segnalazione presentata al Garante in data 4 luglio 2019 da parte del sig. XX con cui veniva lamentata la ricezione, sulla casella di posta elettronica lavorativa, di una comunicazione da parte di Tiberia Assicurazioni sas, avente ad oggetto una proposta di contratto assicurativo, in assenza dei presupposti di legittimità di cui all’art. 6 del Regolamento;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. La segnalazione e l’attività istruttoria.

1.1 Con la segnalazione presentata in data 4 luglio 2019, il sig. XX lamentava di aver ricevuto all’indirizzo di posta elettronica lavorativa (XX@bancaditalia.it) una comunicazione da parte della propria agenzia assicurativa Tiberia Assicurazioni s.a.s. di Tiberia Paola e c., con cui si proponeva una nuova polizza assicurativa. Il segnalante precisava di non aver mai prestato il proprio consenso all’utilizzo del suddetto indirizzo e-mail, piuttosto di aver sempre ricevute tali comunicazioni all’indirizzo e-mail a tal scopo indicato (XX).

1.2. L’Ufficio, pertanto, provvedeva ad inviare una richiesta di informazioni alla predetta Agenzia (nota prot. n. 30744 del 12.9.2019), invitandola a fornire un idoneo riscontro in ordine alle modalità con cui era venuta in possesso dell’indirizzo e-mail lavorativo del segnalante e del consenso eventualmente raccolto per l’invio di comunicazioni commerciali. Considerato che la predetta richiesta di informazioni, regolarmente notificata tramite pec in data 12.9.2019, non ha avuto alcun riscontro, l’Ufficio ha provveduto a formulare una nuova richiesta di informazioni ai sensi dell’art. 157 del Codice in materia di protezione dei dati personali (prot. n. 38049 del 6.11.2019), con indicazione del termine entro cui fornire riscontro e delle conseguenze connesse all’eventuale inadempimento.

1.3. Rilevato che la suddetta richiesta di informazioni risultava regolarmente notificata tramite pec in data 6.11.2019, l’Ufficio provvedeva a delegare al Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza la notifica di una richiesta di informazioni, volta a raccogliere elementi utili alla definizione della segnalazione, e dell’atto di avvio del procedimento sanzionatorio, ai sensi dell’art.  166, comma 5, del Codice, in relazione alla violazione dell’art. 157 del medesimo Codice.

1.4. Il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza provvedeva a notificare a Tiberia Assicurazioni s.a.s., in persona del legale rappresentante pro-tempore, entrambi gli atti in data 27 febbraio 2020 e a raccogliere le informazioni richieste, redigendo a tal proposito un verbale di operazioni compiute. Dall’esame della documentazione acquisita, è emerso che:

- a seguito della notifica della richiesta di informazioni formulata dall’Ufficio, era stato interessato il legale della società affinché provvedesse a fornire gli opportuni riscontri che, tuttavia, non sono mai stati resi;

- i contatti con il sig. XX sono sempre avvenuti tramite l’utilizzo dell’indirizzo e-mail personale o tramite telefono. Solo in due occasioni, è stato utilizzato l’indirizzo e-mail del luogo di lavoro per avviare dei contatti con il cliente;

- in particolare, con riferimento alla situazione de quo, “è stata utilizzata la mail di lavoro in quanto nel periodo in cui il sig. XX aveva chiesto il cambio della polizza per acquisto di un nuovo veicolo, l’agenzia era chiusa per lutto. (…) Distrattamente, la sottoscritta (…) anziché rispondere all’indirizzo della mail di richiesta, ha digitato l’indirizzo mail utilizzato dai dipendenti della Banca d’Italia (…) convenzionati con questa società”;

- successivamente agli episodi contestati, vi sono stati altri contatti con l’interessato, utilizzando sempre il suo indirizzo e-mail personale.

1.5. Si fa presente che la società, a seguito della notifica dell’atto di avvio del procedimento sanzionatorio, non si è avvalsa delle facoltà previste dall’art. 18 della legge n. 689/1981, non inviando scritti difensivi né chiedendo di essere sentita.

2. L’esito dell’istruttoria e del procedimento sanzionatorio.

2.1. All’esito delle dichiarazioni rese dalla società nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, è emerso che la società non ha fornito riscontro alla richiesta di informazioni formulata ai sensi dell’art. 157 del Codice, ritenendo che vi avesse provveduto il legale della società.

Si rileva, tuttavia, che tale argomentazione, tra l’altro non supportata da alcuna documentazione che dimostri di aver effettivamente affidato l’incarico ad altro soggetto, non è idonea a escludere la responsabilità della parte rispetto a quanto contestato, posto che la suddetta richiesta di informazioni era rivolta al titolare del trattamento che era l’unico soggetto tenuto a fornire riscontro.

2.2. Pertanto, nel caso di specie, risulta evidente come, la società abbia omesso di fornire riscontro alla richiesta di informazioni del 6.11.2019 formulata ai sensi dell’art. 157 del Codice, regolarmente notificata tramite pec il cui avviso di avvenuta consegna è agli atti del fascicolo. In base all’art. 157 del Codice “Nell’ambito dei poteri di cui all’art. 58 del Regolamento, e per l’espletamento dei propri compiti, il Garante può richiedere al titolare, (…) di fornire informazioni e di esibire documenti”. L’art. 166, comma 2, del Codice stabilisce che la violazione dell’art. 157 del Codice è soggetta alla sanzione amministrativa di cui all’art. 83, par. 5, del Regolamento.

3. Ordinanza di ingiunzione.

3.1. Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione all’omesso riscontro alla richiesta di informazioni formulata ai sensi dell’art. 157 del Codice.

3.2. Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

- con riguardo alla natura, gravità e durata della violazione è stata presa in considerazione la negligente condotta del titolare del trattamento che, solo a seguito della notifica della richiesta di informazioni da parte del Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza, ha provveduto a fornire utili elementi ai fini della definizione del procedimento;

- l’assenza di precedenti specifici a carico della Società relativi a violazioni della disciplina in materia di protezione dei dati personali;

- la tenuità della violazione, in ragione della ricezione da parte dell’interessato di una sola email promozionale indesiderata;

- la circostanza che la Società non ha cooperato con l’Autorità nel corso del procedimento;

3.3. In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.500,00 (millecinque) per la violazione dell’art. 157 del Codice.

3.5. In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato, nei termini di cui in motivazione, per la violazione dell’art. 157 del Codice;

ORDINA

a Tiberia Assicurazioni s.a.s. di Tiberia Paola e c., in persona del legale rappresentante pro-tempore, con sede legale in Roma, via Terni n. 59, P.I.01824151003, di pagare la somma di euro 1.500,00 (millecinque) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

quindi alla medesima Società di pagare la somma di euro 1.500,00 (millecinque), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 15 aprile 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei