g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Occhiali24.it S.r.l. - 20 ottobre 2022 [9827153]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9827153]

Ordinanza ingiunzione nei confronti di Occhiali24.it S.r.l. - 20 ottobre 2022

Registro dei provvedimenti
n. 349 del 20 ottobre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale ha preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l'adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;   

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

1.1. Istruttoria preliminare

Con il reclamo del 10 agosto 2021, presentato a questa Autorità ai sensi dell’art. 77 del Regolamento, il signor XX ha lamentato la ricezione, in data 23 giugno 2021, di una comunicazione indesiderata proveniente dall’indirizzo di posta elettronica info@news.lapromessaterra.it ed avente ad oggetto la promozione di prodotti offerti dalla società Occhiali24.it S.r.l. (di seguito «Società»; «Occhiali24»).

Il reclamante ha dichiarato di non aver mai conferito il consenso alla ricezione della citata comunicazione promozionale ed ha lamentato il mancato riscontro alla richiesta di esercizio dei diritti di cui agli artt. 15, 17 e 21 del Regolamento, inoltrata via e-mail il 28 giugno 2021 agli indirizzi indicati nell’informativa privacy rinvenibile nel sito internet della Società.

L’Ufficio, in data 2 settembre 2021, ha formulato una richiesta di informazioni, ai sensi dell’art. 157 del Codice, al fine di acquisire maggiori elementi di valutazione. Non essendo pervenuto alcun riscontro nei termini indicati, il 22 settembre 2021, la Società è stata contattata al recapito telefonico presente nell’apposita pagina del relativo sito internet e la richiesta è successivamente rinnovata, ai sensi dell’art. 157 del Codice, con nota del 29 settembre 2021. Solo a seguito di quest’ultima, la Società, con comunicazione del 30 settembre 2021, ritrasmessa a questo Ufficio il 4 ottobre 2021, ha dichiarato la propria estraneità in relazione alla condotta lamentata nel reclamo, precisando che i dati dell’interessato sono risultati presenti nelle liste di contatti di XX S.p.A. (di seguito «XX») di cui la medesima si avvale per finalità di marketing.

Il reclamante, avuto contezza del riscontro della Società dopo la trasmissione del medesimo da parte dell’Ufficio, ha formulato delle note in replica, inoltrate in copia anche ad Occhiali24, con le quali ha affermato di aver inviato, il 4 ottobre 2021, un’istanza di esercizio dei diritti di cui agli artt. 15, 17 e 21 del Regolamento nei confronti di XX. Quest’ultima, in risposta alla citata istanza, ha dichiarato, con comunicazione del 5 ottobre 2021, di non detenere l’indirizzo e-mail dell’interessato, e, di conseguenza, di non aver utilizzato tale dato per l’invio della comunicazione promozionale lamentata nel reclamo.

1.2. La contestazione

Alla luce di quanto emerso dall’istruttoria preliminare, sulla base della documentazione complessivamente acquisita, il 12 novembre 2021 è stata notificata a Occhiali24 la comunicazione di avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice. L’Ufficio, in particolare, ha osservato che la comunicazione ricevuta dal signor XX, sebbene disconosciuta dalla Società, reca nel contenuto la promozione di prodotti offerti da Occhiali24 corroborata, peraltro, dalla possibilità di ottenere un coupon che rinvia al sito della Società medesima. La comunicazione commerciale denunciata nel reclamo, pertanto, inequivocabilmente associa la ricezione del messaggio promozionale ad un’iniziativa della Società. Occhiali24, quindi, non è stata in grado di comprovare l’adozione di adeguate misure tecniche e organizzative, come richiesto dagli artt. 5, par. 2, e 24 del Regolamento, tenuto conto che il riscontro fornito dalla Società è da ritenersi indicativo dell’incapacità di controllare efficacemente la filiera dei partner che effettuano attività promozionale a suo vantaggio. Di conseguenza, è stata contestata alla Società la violazione degli artt. 5, par. 2, e 24 del Regolamento, che inquadrano le competenze del titolare in un’ottica di responsabilizzazione (accountability) finalizzata a comprovare gli adempimenti effettuati in materia di protezione dei dati personali, nonché degli artt. 12, 15, 17 e 21 del Regolamento, non essendo stata riscontrata, nei termini richiesti, l’istanza di esercizio dei diritti formulata dall’interessato il 28 giugno 2021.

Inoltre, è stata contestata alla Società la violazione dell’art. 6, par. 1, lett. a) del Regolamento e dell’art. 130 del Codice, in ragione dell’invio a XX di una e-mail promozionale in assenza di un consenso libero, specifico, documentato ed inequivocabile.

1.3. La difesa di Occhiali24.it S.r.l.

Con gli scritti difensivi, inoltrati il 12 novembre 2021, la Società ha chiesto a questa Autorità “la sospensione del procedimento in corso nei [suoi] confronti” attribuendo la responsabilità della condotta lamentata in capo a XX. A conferma di ciò, la Società ha fornito copia della comunicazione del 13 ottobre 2021,  inoltrata al reclamante (e allegata alla memoria), con la quale XX ha dichiarato di non essere titolare del trattamento e di essere stata incaricata da Occhiali24 per l’effettuazione della campagna promozionale oggetto di reclamo per la quale si è avvalsa di collaboratori esterni, tra cui XX (di seguito «XX»), con sede in Spagna, “che ha provveduto direttamente all’invio di messaggi promozionali tra cui quello” ricevuto da XX.

1.4. La difesa di XX S.p.A. e XX

Il 10 novembre 2021 XX ha trasmesso al reclamante una nota con la quale XX, nel confermare il rapporto di collaborazione con la stessa XX, ha dichiarato di aver agito in forza di un consenso “al trattamento ed alla cessione dei dati personali finalizzati all’invio di comunicazioni commerciali” acquisito il 7 aprile 2018 in occasione della registrazione ad un sito internet gestito dalla società XX, con sede legale a Londra. Ha infine assicurato di aver proceduto alla cancellazione dei dati dell’interessato dal proprio database “e da quelli detenuti da Società” a sé collegate.

2. ACCERTAMENTI EFFETTUATI DALL’UFFICIO

Le evidenze informatiche prodotte dal reclamante con nota del 29 novembre 2021, a seguito dei citati riscontri, sono state oggetto di verifica da parte dell’Autorità ed hanno consentito di appurare diverse criticità in ordine al menzionato sito internet e alla dimostrazione di come sia stato acquisito il consenso dell’interessato. In particolare, è stato possibile visualizzare il citato sito al momento dell’asserita acquisizione del consenso del reclamante nel 2018, accedendo al portale archive.org (http://wayback.archive.org) che conserva le istantanee (snapshot) delle home page dei siti internet e della relativa strutturazione anche in epoca risalente. Nel caso di specie, è emerso come, nel periodo interessato (2018), il sito indicato come fonte di acquisizione dei dati in realtà fosse una mera vetrina di un soggetto terzo, senza alcuna informativa, né form di acquisizione dei dati e neppure richieste di consenso da selezionare per le distinte finalità promozionali e per la cessione dei dati a terzi per scopi pubblicitari. Inoltre, come da verifiche svolte dal reclamante, la XX è risultata iscritta nel registro delle imprese inglese dal 2021, quindi tre anni dopo l’asserita acquisizione del consenso che avrebbe legittimato la comunicazione promozionale lamentata.

3. VALUTAZIONI DI ORDINE GIURIDICO

Con riferimento ai profili fattuali sopra evidenziati, anche in base alle affermazioni della Società, di cui il dichiarante risponde ai sensi dell’art. 168 del Codice, si formulano le seguenti valutazioni di ordine giuridico

3.1. Sulla qualificazione dei ruoli in ordine al trattamento dei dati personali

Come sopra descritto, tutti i soggetti coinvolti nel trattamento hanno qualificato come marginale il proprio ruolo rivestito nell’attività promozionale in parola, addossando la titolarità unicamente alla XX con sede in Inghilterra: nell’ambito di una complessa filiera del trattamento, i dati del signor XX sarebbero risultati presenti nella banca dati della citata società inglese (ma non è dato conoscerne l’esatta origine) e sarebbero stati trattati da XX su incarico di XX che, a sua volta, avrebbe agito nell’interesse di Occhiali24.

Al riguardo si deve richiamare la definizione di “titolare” di cui all’art. 4 del Regolamento, ovvero la persona fisica o giuridica che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento. Come meglio chiarito nelle Linee guida 7/2020 dell’EDPB, indipendentemente dalla qualificazione contrattuale dei ruoli, è titolare il soggetto che determina le finalità e i mezzi, cioè le modalità, del trattamento. Il Garante in casi analoghi (v. provv. 26 ottobre 2017, doc. web n. 7320903; provv. 15 gennaio 2020, doc. web n. 9256486; provv. 25 novembre 2021, doc. web n. 9736961; provv. 25 novembre 2021, doc. web n. 9737185; provv. 2 dicembre 2021, doc. web n. 9731682; provv. 2 dicembre 2021, doc. web n. 9731664; provv. 16 dicembre 2021, doc. web. n. 9742704) ha più volte affermato che il committente di una campagna promozionale, indipendentemente dalla materiale raccolta dei dati, deve ritenersi titolare del trattamento avendo in concreto determinato – nella ricorrente prassi relativa a tale settore - le decisioni in ordine alle finalità e ai mezzi essenziali del trattamento stesso.

Nel caso di specie, Occhiali24 ha stabilito il fine per cui è stato posto in essere il trattamento (la veicolazione di messaggi promozionali), affidando a XX l’incarico di realizzare la campagna pubblicitaria del proprio marchio. A sua volta XX, per il quale è stato avviato un autonomo procedimento, ha reperito liste di indirizzi e-mail dai detti soggetti terzi al fine di realizzare un’attività promozionale, pur non acquisendone la diretta disponibilità.

Ciò posto, nel confezionare risposte standard nelle quali più volte ha invocato per sé la qualifica di mero committente privo di un ruolo nel trattamento in parola, Occhiali24, esercitando di fatto le prerogative di titolare nei termini sopra chiariti, non ha prodotto riscontri sui criteri adottati per la selezione del partner che avrebbe agito nel suo interesse, né sulle istruzioni che sarebbero state impartite per la realizzazione della campagna promozionale nel rispetto della vigente normativa. Peraltro, non ha fornito informazioni ed esibito documenti dai quali poter ricavare elementi sull’esistenza di accordi o direttive, anche non esplicitati nella forma contrattuale, che consentissero di ricostruire il contesto giuridico nel quale si è realizzato il trattamento e di qualificare, in concreto, ruoli e responsabilità della Società e dell’intera filiera.

Non emerge, inoltre, che abbia richiesto al partner (né, conseguentemente, esaminato) la documentazione comprovante la sussistenza dei requisiti di liceità del trattamento; ad esempio, non risulta che Occhiali24 abbia mai chiesto a XX di documentare la provenienza dei dati, né la base giuridica sottesa al loro trattamento per fini di marketing. In vero, questa Autorità ritiene che, da un controllo improntato a canoni di ordinaria diligenza e prudenza, sarebbe stato possibile rinvenire la mancanza di alcuni importanti presupposti di garanzia della liceità del trattamento. Infatti, la XX, al momento dell’asserita acquisizione del consenso del reclamante, non risultava operativa nel panorama economico londinese (come già verificato dal reclamante nel registro delle imprese inglese – v. paragrafo 2 del presente provvedimento), ma, più in generale, la scelta di un soggetto non residente nel territorio italiano, o perlomeno nel territorio dell’Unione Europea, non garantisce agli interessati la facoltà di far valere i propri diritti e, allo stesso tempo, ostacola le attività di indagine del Garante rendendo difficile verificare la liceità di tali trattamenti. Problematiche di questo tipo, già emerse in occasione di altre istruttorie, hanno trovato conferma anche nel caso oggetto del presente reclamo (cit. provv. 25 novembre 2021, doc. web n. 9737185 e provv. 25 novembre 2021, doc. web n. 9736961). 

Peraltro, occorre evidenziare che la condotta contestata solleva dubbi in merito alla gestione di tutti gli ulteriori indirizzi e-mail destinatari dell’attività promozionale della Società dal momento che, dopo la notifica dell’atto di contestazione, si è registrato un incremento di atti (segnalazioni e reclami) presentati all’Autorità e relativi ai trattamenti effettuati da Occhiali24, tale da attribuire le criticità segnalate non tanto a situazioni episodiche ma ad anomalie a carattere sistematico.

Quanto sin qui descritto evidenzia un quadro di scarso controllo da parte della Società nei trattamenti finalizzati alla realizzazione della campagna promozionale con conseguente incapacità di ottemperare all’obbligo di comprovare il rispetto delle norme (accountability del titolare), anche in un’ottica di corretta privacy by design. Pertanto, si ritiene integrata la violazione degli artt. 5, par. 2, 24, 25, par. 1, del Regolamento, da considerarsi quale condotta sistematica e non limitata al singolo caso di cui al reclamo.

In aggiunta, si deve evidenziare che il trattamento descritto ha dato luogo all’invio di messaggi promozionali senza il consenso informato dell’interessato dal momento che la Società non ha prodotto riscontri probatori atti a documentarne l’acquisizione e le verifiche condotte dal reclamante hanno fornito un quadro molto diverso da quanto rappresentato dai soggetti coinvolti nel corso del procedimento.

Pertanto, deve ritenersi integrata, altresì, la violazione dell’art. 6, par. 1, lett. a) del Regolamento e dell’art. 130 del Codice, non solo in relazione al caso di cui al reclamo, ma nel complesso dei trattamenti svolti da Occhiali24.

3.2. Sull’adeguatezza del riscontro fornito all’esercizio del diritto di cui agli artt. 15, 17 e 21 del Regolamento

Nel richiamare quanto sopra descritto, al paragrafo 1, circa il mancato riscontro all’istanza formulata dal reclamante il 28 giugno 2021, si rappresenta che la Società ha evaso la richiesta avanzata solo dopo essere stata in tal senso sollecitata dall’Autorità (con una prima richiesta informazioni del 2 settembre 2021, rinnovata, a causa del mancato riscontro, il 22 settembre 2021, ai sensi dell’art. 157 del Codice) e senza fornire spiegazioni in ordine alla mancata risposta.

Inoltre, dal complessivo esame degli atti, emerge come Occhiali24 non abbia prodotto, in un’ottica collaborativa e proattiva, risposte adeguate e trasparenti circa gli elementi richiesti, tali cioè da far comprendere meglio la dinamica fattuale e la propria politica di trattamento, replicando con formule generiche e standardizzate e impedendo una valutazione più approfondita dei trattamenti da parte della Autorità. Ciò ha comportato un’evidente difficoltà di risalire alla filiera del trattamento e di conoscere, quindi, l’origine dei dati personali del reclamante.

Peraltro, nella lacunosa rappresentazione fornita, la Società si è limitata a dichiararsi estranea alla condotta lamentata, senza tuttavia dare evidenza delle azioni intraprese, soprattutto in un quadro più articolato di misure e interventi (anche successivi alla comunicazione di avvio del procedimento) che, a livello aziendale, dovrebbero essere previsti per la gestione di tali problematiche (cit. provv. 16 dicembre 2021, doc. web n. 9735672). Il carattere negligente, da ritenersi gravemente colposo, della condotta con cui la Società non ha fornito le informazioni richieste, fa emergere una grave falla negli obblighi di trasparenza di Occhiali24 (artt. 5, par. 1, lett. a, 12, parr. 1 e 3, e 15 del Regolamento) che risulta aver violato le citate fondamentali garanzie previste ex lege.

Alla luce di quanto sopra, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, si rende necessario imporre a Occhiali24 il divieto di trattamento dei dati personali raccolti senza che sia stato acquisito il citato necessario preventivo consenso informato, libero, specifico, inequivocabile e documentato degli interessati in relazione all’attività di marketing, ai sensi degli artt. 6, 7 e 13 del Regolamento nonché 130 del Codice.

Risulta, inoltre, necessario ingiungere alla Società, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, qualora intenda in futuro avvalersi di terzi per attività promozionali, di adottare idonee procedure volte a verificare costantemente che i dati personali siano trattati nel pieno rispetto delle disposizioni in materia e di acquisire previamente un consenso libero, specifico, inequivocabile, documentato, oltre che informato, degli interessati per l’invio di comunicazioni commerciali, nei termini sopra indicati. Si ingiunge, inoltre, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare idonee procedure volte a garantire un pieno ed effettivo riscontro all’esercizio dei diritti degli interessati, ex artt. 15-22 del Regolamento.

Infine, con riguardo ai trattamenti già realizzati e con finalità dissuasiva, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83, parr. 4 e 5, del Regolamento.

4. ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

Ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione, che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del  Regolamento), individuando, a tal fine, una serie di elementi elencati al par. 2 dell’art. 83 in parola, da valutare all’atto di quantificarne il relativo importo.

Fissato, alla luce dei dati di bilancio disponibili, in 20 milioni di euro il massimo edittale applicabile, quali circostanze da prendere in considerazione nel caso di specie devono essere considerati, sotto il profilo delle aggravanti:

1. l’incremento, nell’ultimo anno, anche successivamente all’atto di contestazione, di atti (segnalazioni e reclami) presentati all’Autorità nei confronti della Società e, quindi, un aumento del numero di interessati lesi dal trattamento in parola (lett. a);

2. la dimensione soggettiva della condotta, da ritenersi gravemente colposa, con particolare riferimento alla perdurante sostanziale elusione delle informazioni richieste sia dall’interessato che dall’Autorità, nonché con riferimento all’inadeguatezza del controllo sulla filiera del trattamento (lettere b e d);

3. il non adeguato grado di cooperazione mostrato nelle interlocuzioni con l’Autorità non avendo la Società riscontrato la prima richiesta di informazioni ex art. 157 del Codice e comunque non avendo fornito, neppure a seguito della seconda richiesta dell’Ufficio, informazioni necessarie ad una valutazione adeguata dei trattamenti (lett. f);

4. la difformità della condotta della Società rispetto alla consistente attività provvedimentale dell’Autorità in materia di marketing (lett. k);

5. la complessiva valutazione sulla capacità economica della Società, con particolare riferimento anche all’ultimo bilancio disponibile relativo all’anno 2021 (lett. k).

Quali elementi attenuanti, si ritiene di dover invece tener conto:

1. della natura dei dati trattati, di tipo comune (lettere a, g);

2. dell’assenza di precedenti procedimenti avviati a carico della Società (lett. e).

In base al complesso degli elementi sopra indicati, in applicazione dei principi di effettività, proporzionalità e dissuasività indicati nell’art. 83, par. 1, del Regolamento, tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali della Società, si ritiene debba applicarsi a Occhiali24  – anche tenendo in considerazione altri casi analoghi - la sanzione amministrativa del pagamento di una somma di euro 20.000,00 (ventimila/00), pari allo 0,1% del massimo edittale di 20 milioni di euro.

Nel caso in argomento si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della materia oggetto di istruttoria, vale a dire il fenomeno del marketing indesiderato, rispetto al quale questa Autorità ha adottato numerosi provvedimenti sia a carattere generale sia diretti a determinati titolari del trattamento e su cui è elevata l’attenzione dell’utenza.

Si ricorda che ai sensi dell’art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto del trattamento è punito con la reclusione da tre mesi a due anni e che, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa la sanzione di cui all’art. 83, par. 5, lett. e), del Regolamento.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) del Regolamento, dichiara illecito il trattamento effettuato da Occhiali24.it S.r.l., con sede legale in Brunico (Bolzano), via dei Campi Della Rienza 30, P.IVA 02934890217, descritto nei termini di cui in motivazione; pertanto dichiara fondato il reclamo e, altresì, determina i seguenti provvedimenti correttivi nei confronti della medesima Società:

a) ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, vieta ogni ulteriore trattamento senza il necessario preventivo consenso informato, libero, specifico, inequivocabile e documentato degli interessati in relazione all’attività di marketing, ai sensi degli artt. 6, 7 e 13 del Regolamento nonché 130 del Codice;

b) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, qualora intenda in futuro svolgere attività promozionali, direttamente o tramite terzi, ingiunge di adottare idonee procedure volte a verificare costantemente che i dati personali siano trattati solo in presenza del necessario preventivo consenso informato, libero, specifico, inequivocabile e documentato di cui alla lettera a);

c) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge di adottare idonee procedure volte a garantire un pieno ed effettivo riscontro all’esercizio dei diritti ex artt. 15-22 del Regolamento;

d)  ai sensi dell’art. 58, par. 1, del Regolamento (UE) 2016/679, invita altresì il titolare del trattamento a comunicare, entro 30 giorni dalla data di ricezione del presente provvedimento, quali iniziative siano state intraprese al fine di dare attuazione a quanto prescritto nel presente provvedimento e di fornire comunque riscontro adeguatamente documentato. Si ricorda che il mancato riscontro alla richiesta ai sensi dell’art. 58 è punito con la sanzione amministrativa di cui all'art. 83, par. 5, lett. e), del Regolamento (UE) 2016/679;

ORDINA

a Occhiali24 di pagare la somma di euro 20.000,00 (ventimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 20.000,00 (ventimila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

quale sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, la pubblicazione nel sito del Garante del presente provvedimento e, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 ottobre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi