[doc. web n. 2117762]

Ordinanza di ingiunzione nei confronti di a Solar Energy Group s.p.a - 21 marzo 2012

Registro dei provvedimenti
n. 111 del 21 marzo 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto del Comando brigata della Guardia di finanza di San Daniele del Friuli predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo ai due verbali di contestazione per violazioni amministrative redatti in data 22 ottobre 2009 nei confronti di Solar Systems s.p.a., con sede in San Daniele del Friuli (Ud) via M. Romero n. 59 la cui denominazione  è stata variata in data 16 dicembre 2011 in Solar Energy Group s.p.a. con la medesima sede legale e numero di partita I.V.A., in persona del legale rappresentante pro-tempore;

RILEVATO che il predetto Comando brigata, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 16688/53969 datata 27 luglio 2009), ha svolto gli accertamenti di cui al verbale di operazioni compiute datato 22 ottobre 2009, dai quali è risultato che la società, attraverso distinti form di raccolta dati presenti sui siti Internet www.supersolar.it, effettua, a fronte di una raccolta di dati personali di coloro che li forniscono, un trattamento degli stessi senza rendergli l´informativa ai sensi dell´art. 13 e senza acquisire il loro consenso ai sensi dell´art. 23 del Codice;

RILEVATO che, a scioglimento delle riserve formulate nel verbale datato 22 ottobre 2009, la Guardia di finanza ha provveduto altresì a redigere il verbale di operazioni compiute datato 10 novembre 2009, a fronte del quale è stato accertato che la predetta società ha effettuato il trattamento dei dati personali acquisiti tramite i form di raccolta del sito Internet www.supersolar.it, omettendo di adottare le misure minime di sicurezza di cui all´art. 33 del Codice;

VISTI i due verbali datati 22 ottobre 2009 con cui sono state contestate alla predetta società le violazioni amministrative previste dall´art. 161 del Codice, in relazione all´art. 13, e dall´art. 162, comma 2-bis, in relazione all´art. 23 del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981 e il verbale del 17 novembre 2009 con cui è stata contestata alla medesima società la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, per la quale, invece, non è prevista la definizione in via breve ai sensi del citato art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi datati 16 novembre 2009 e 15 dicembre 2009 inviati ai sensi dell´art. 18 della legge n. 689/1981, con i quali la società, con riguardo alla contestazione di cui all´art. 161 del Codice, ha rilevato che "In effetti detta mancanza sussiste solo in parte perché all´interno del sito sono presenti varie indicazioni che integrano in linea di massima questa informativa, anche se effettivamente non vi è una specifica espressa menzione". Relativamente alla contestazione di cui all´art. 162, comma 2-bis per violazione dell´art. 23 del Codice, ha osservato che tale illecito amministrativo, per effetto dei diversi rinvii operati tra distinte disposizioni del Codice, si perfeziona solo "(…) nei casi in cui scatta la sanzione penale di cui al 167 (…). Quindi si tratta di una sanzione amministrativa che scatta nel momento stesso in cui viene integrata altra fattispecie penale". Per quanto sopra, atteso che nel caso di specie non sono ravvisabili gli elementi costitutivi dell´illecito penale di cui all´art. 167 del Codice, "(…) la contestata violazione è insussistente, non motivata, ed erronea (…)";

VISTO il verbale di audizione delle parti redatto ai sensi dell´art. 18 della legge n. 689/1981 in data 18 ottobre 2010 con cui la società ha ribadito quanto esposto negli scritti difensivi;

CONSIDERATO che l´Ufficio del Garante non ha ravvisato gli estremi per avviare il procedimento prescrizionale di cui all´art. 169, comma 2 del Codice non risultando comprovata in atti la violazione delle misure minime di sicurezza di cui all´art. 33 del Codice;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione alle altre due violazioni contestate. Riguardo alla violazione afferente l´informativa agli interessati di cui all´art. 13 del Codice, si evidenzia  come all´interessato, anche per effetto dei principi enunciati dall´art. 11 del Codice, devono essere fornite, ai sensi dell´art. 13 del Codice, tutte le informazioni attinenti allo specifico trattamento di dati personali che ci si accinge ad effettuare, non potendo essere rimesso allo stesso il compito di individuare (o indovinare) tutti gli elementi richiesti dalle lettere dalla a) alla f) del citato art. 13, comma 1 effettuando ricerche nel sito Internet consultato, attraverso il quale i dati personali sono stati raccolti. Relativamente, invece, alla violazione di cui all´art. 162, comma 2-bis in relazione all´art. 23 del Codice, si evidenzia come, diversamente da quanto ritenuto, il legislatore, nell´individuare interessi pubblici compatibili ma diversi, li ha voluti tutelare distintamente e disgiuntamente attraverso l´applicazione di diverse norme sul piano penale e su quello amministrativo sanzionatorio. Sotto questo profilo gli elementi costitutivi dell´illecito amministrativo contestato nel caso di specie sono qualitativamente diversi da quelli penali e tali differenze sono sottolineate laddove la previsione dell´illecito amministrativo contestato opera "altresì" e "in ogni caso" a prescindere dall´illecito penale. Peraltro, nel merito, si rileva come nel verbale di operazioni compiute del 22 ottobre 2009 (Questionario n. 2 allegato al verbale in parola) risulta accertato che i dati personali dei clienti della società, raccolti senza la prescritta acquisizione del consenso secondo le modalità previste dall´art. 23 del Codice, vengono trattati anche con finalità commerciali e pubblicitarie e quindi, anche in considerazione dell´assenza dell´informativa di cui all´art. 13 del Codice, non solo per le finalità desumibili dai form di raccolta presenti nel sito www. supersolar.it ;

RILEVATO, invece, che l´altra violazione contestata, prevista dall´art. 33 e sanzionata dall´art. 162, comma 2-bis del Codice, deve essere archiviata sia poiché non emergono elementi sufficienti a valutare se la società tratti dati personali di natura sensibile o giudiziaria per i quali è previsto l´obbligo di redazione del documento programmatico sulla sicurezza (D.P.S.), sia in quanto non risultano sufficienti elementi per poter ritenere che la società abbia effettivamente omesso di designare gli incaricati del trattamento ai sensi dell´art. 30 del Codice, anche in modo semplificato;

CONSIDERATO, quindi, che sulla base degli atti e degli elementi forniti nel corso del procedimento non sussistono elementi per applicare la sanzione prevista dall´art. 162 comma 2-bis in relazione all´art. 33 del Codice;

RILEVATO, invece, che la società ha effettuato un trattamento di dati (art. 4 comma 1, lett. a) e b) del Codice) omettendo di rendere agli interessati l´informativa ai sensi dell´art. 13 del Codice e senza acquisire il consenso al trattamento di cui all´art. 23 del Codice;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni indicate nell´art. 13 del Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, così come introdotto dal D.L. n. 207 del 30 dicembre 2008, convertito con modificazioni, nella legge n. 14 del 27 febbraio 2009, e nella formulazione antecedente alla modifica introdotta con la legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni di cui all´art. 167, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge (Cass. civ., sez. I, 4 novembre 1998, n. 11054);

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, le violazioni non risultano connotate da elementi specifici in relazione all´entità del pregiudizio o del pericolo e all´intensità dell´elemento psicologico, mentre, riguardo alle modalità concrete della condotta, si rileva, nei  form di raccolta del sito Internet, l´assenza sia dell´informativa di cui all´art. 13 del Codice, sia di uno strumento idoneo ai fini dell´acquisizione del consenso ai sensi dell´art. 23 del Codice, in ordine alle asserite ulteriori finalità commerciali e pubblicitarie;

b) ai fini della valutazione dell´opera svolta dall´agente, la società ha provveduto ad integrare i form di raccolta dati inserendo l´informativa di cui all´art. 13 del Codice e predisponendo apposita casella per l´acquisizione del consenso;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazioni delle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, si rileva come la società, per l´anno 2010, abbia dichiarato un consistente valore della produzione;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria per la violazione dell´art. 161 del Codice nella misura del minimo pari a un importo di euro 12.000,00 (dodicimila) e l´ammontare della sanzione pecuniaria per la violazione dell´art. 162, comma 2-bis, del Codice, in vigore prima della modifica introdotta dal decreto legge 25 settembre 2009 n. 135 convertito con modificazioni dalla legge 20 novembre 2009 n. 166, nella misura del minimo pari a un importo di euro 20.000,00 (ventimila), per un importo complessivo pari a euro 32.000,00 (trentaduemila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo con riferimento alla contestazione relativa alla violazione di cui all´art. 33 del Codice;

ORDINA

a Solar Energy Group s.p.a. (già Solar Systems s.p.a.), con sede in San Daniele del Friuli (Ud) via M. Romero n. 59, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 32.000,00 (trentaduemila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dall´art. 161, relativamente all´art. 13 del Codice e dall´art. 162, comma 2-bis, relativamente all´art. 23 del Codice, indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 32.000,00 (trentaduemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 21 marzo 2012

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
De Paoli