[doc. web n. 4703503]

Ordinanza ingiunzione - 15 ottobre 2015

Registro dei provvedimenti
n. 537 del 15 ottobre 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo di Polizia Tributaria di Brescia ha contestato, con atto, che qui deve intendersi integralmente riportato, del 30 novembre 2011 (notificato in pari data) al sig. XX, nato a Brescia, il XX, già titolare dell´impresa individuale "XX di XX", con sede in Capriano del Colle (BS), XX, C.F. XX, la violazione delle disposizioni di cui agli artt. 13 e 161 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice") per l´attivazione di n. 85 schede telefoniche in capo a 31 persone effettuata all´insaputa degli stessi interessati;

RILEVATO che nell´atto di contestazione del 30 novembre 2011 si dichiara che "nel gennaio del 2007 questo Reparto ha concluso una complessa indagine di P.G. nei confronti di un sodalizio criminale dedito al traffico di stupefacenti. In tale contesto si accertava che i reali utilizzatori di molte utenze mobili, sottoposte ad intercettazione, non corrispondevano ai formali intestatari. Gli approfondimenti eseguiti permettevano di acquisire dai formali intestatari delle sim card predette formali denunce di disconoscimento e di individuare una società, con sede nella provincia di Brescia, che, in qualità di "master dealer" della Vodafone Omnitel N.V., risultava aver attivato tali utenze"; "Le investigazioni espletate nei confronti del dealer "XX di XX" […] hanno permesso di rilevare come quest´ultima ditta ind.le abbia intestato numerose sim-card a terzi, risultati ignari di tali attribuzioni […]"; "L´esito di tale attività portava alla raccolta di 31 querele relative a complessive 85 attivazioni di sim card, effettuate dalla "XX di XX" […]. Si provvedeva quindi a richiedere al gestore Vodafone N.V. copia di alcuni dei contrati stipulati e oggetto di querela ma lo stesso era in grado di produrre solo una parte della documentazione richiesta. L´esame di quanto trasmesso, sebbene parziale, consente di osservare come i contratti presentino la firma di sottoscrizione palesemente difforme a quella riportata nei documenti anagrafici";

RILEVATO che dal rapporto relativo all´atto di contestazione di cui sopra, predisposto dal predetto Nucleo di Polizia Tributaria ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689,  non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 22 dicembre 2011 in ordine alla predetta contestazione, che qui si intendono integralmente richiamati e che, in sintesi, richiedono:

- che il Garante dichiari la propria incompetenza in ordine alla decisione sul procedimento sanzionatorio, per connessione obiettiva con un reato, ai sensi dell´art. 24 della legge n. 689/1981. Sostiene la parte: "che vi sia connessione obiettiva tra la condotta al sottoscritto (si ritiene erroneamente) contestata e l´esistenza di un procedimento penale è cosa che nemmeno si può dubitare, atteso che lo stesso verbale di contestazione scaturiva da una indagine penale […]. E se da questo punto di vista – che si potrebbe definire procedurale – è evidente una connessione ex art. 24 della Legge 689/1981, altrettanto valga sotto l´aspetto sostanziale, atteso che dal punto di vista della condotta oggettiva vi è non tanto e non solo connessione, quanto piuttosto addirittura congruenza: in altre parole colui che ha, se ha, inserito i dati delle presunte persone offese per l´accensione di un contratto telefonico, è colui che con la stessa condotta ha commesso ad un tempo la violazione (amministrativa) che ha generato il presente procedimento ed il procedimento penale.";

- che, l´Autorità disponga l´archiviazione del procedimento sanzionatorio, perché la responsabilità delle condotte non può essere attribuita a XX. Osserva infatti la parte che "Vodafone […] si avvale per la vendita di società terze che operano a diretto contatto con i clienti. Ora, alcune di queste assumono una posizione di rilevo, paragonabile a veri e propri agenti di zona, e sono chiamate Master Dealer [nel caso in argomento Wanted Electronics s.r.l., n.d.r]. Quest´ultime soltanto hanno un rapporto diretto con l´operatore telefonico, salvo potersi a sua volta avvalere della collaborazione di subagenti, detti POINT [quale, ad esempio, XX, n.d.r.], secondo un rapporto autonomamente regolato. […] Nei contratti di attivazione delle schede telefoniche "Rivenditore" in prima persona risulta essere Wanted, e come tale ogni posizione di responsabilità – anche amministrativa in tema di privacy – allo stesso va imputata in via esclusiva, senza coinvolgimento del Point. […] È il caso di affrontare l´importante questione dell´attribuzione e disponibilità delle credenziali di accesso al software Vodafone necessario per l´attivazione dei contratti di telefonia. […] L´unico dato di cui lo scrivente è a conoscenza è che fosse Wanted a comunicare al singolo Point le credenziali da utilizzare, e che pertanto il Dealer Wanted potesse anche usarle esso stesso – seppur riferite ed identificanti altro soggetto – per attivare schede SIM […]. Ciò vuol dire quindi solo che i contratti sono stati fatti con le credenziali del sottoscritto, ma non necessariamente dal sottoscritto". Sulla sussistenza del fatto contestato, rappresenta la parte che "semmai falsificati, semmai, i contratti si dovrebbero riferire secondo logica a persone che già avevano acceso una utenza Vodafone, altrimenti non si spiegherebbe la conoscenza dei relativi dati ed il possesso dei documenti. E se già avevano una utenza Vodafone, quella si spera certamente regolare, va de sé che esse avessero già dato un consenso, previa regolare informativa, al trattamento dei dati personali";

- che, in subordine, l´Autorità determini l´ammontare della sanzione tenendo conto di quanto previsto dall´art. 8 della legge n. 689/1981 in tema di cumulo giuridico, ovvero dal successivo art. 10, comma 2 ("Fuori dei casi espressamente stabiliti dalla legge, il limite massimo della sanzione amministrativa pecuniaria non può, per ciascuna violazione, superare il decuplo del minimo"), applicando inoltre la diminuente prevista dall´art. 164-bis, comma 1, del Codice;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra per le motivazioni di seguito riportate:

- deve osservarsi, con riferimento alla richiesta di declaratoria di incompetenza, che la valutazione in ordine alla connessione (per pregiudizialità) della violazione amministrativa con un reato, ex art. 24 della legge n. 689/1981, è rimessa esclusivamente all´Autorità giudiziaria procedente. Che tali valutazioni siano di competenza dell´Autorità giudiziaria e precedano la fase di contestazione è esplicitato nell´art. 14, comma 3, della medesima legge: quando la connessione non sussiste, l´Autorità giudiziaria dispone "con provvedimento" la trasmissione degli atti all´"autorità competente" per la contestazione della violazione amministrativa e quindi l´avvio del procedimento sanzionatorio. Del resto, come osservato dalla Corte di Cassazione (sezione II civile, sentenza n. 23477 del 5 novembre 2009), "gli agenti accertatori non possono trasmettere gli atti all´autorità amministrativa senza l´autorizzazione dell´autorità giudiziaria, atteso che spetta a quest´ultima verificare se ricorra o meno la vis attrattiva della fattispecie penale e, ove ritenga che non sussistono i relativi presupposti, adottare gli eventuali provvedimenti per la trasmissione degli atti all´autorità amministrativa: la previsione del segreto istruttorio di cui all´art. 329 c.p.p., che anche gli agenti accertatori sono tenuti ad osservare, impedisce che questi possano assumere l´iniziativa di portare a conoscenza dell´indagato attraverso la contestazione della violazione amministrativa gli elementi raccolti nell´ambito delle indagini penali, la cui divulgazione potrebbe compromettere l´andamento delle indagini stesse". Nel caso che qui interessa, avendo il Pubblico Ministero di Brescia autorizzato l´utilizzo ai fini amministrativi degli elementi acquisiti in ambito penale, per la contestazione delle violazioni amministrative "previo raccordo con l´Autorità Garante per la Privacy" (verbale di contestazione di violazione amministrativa del 30 novembre 2011, pag.2), e avendo successivamente la Guardia di finanza di Brescia inviato il rapporto amministrativo ex art. 17 della legge n. 689/1981 al Garante (adempimento escluso nel caso in cui ricorra l´ipotesi di cui all´art. 24), emerge, dagli atti, la piena competenza del Garante a definire il procedimento sanzionatorio avviato con la contestazione di violazione amministrativa;

- con riferimento alle ulteriori argomentazioni difensive volte ad affermare l´estraneità di XX dai fatti oggetto di contestazione, ovvero l´insussistenza delle violazioni contestate, giova ricostruire il complessivo trattamento svolto da XX finalizzato all´attivazione di schede telefoniche all´insaputa dei relativi intestatari, dal quale emerge che:

a) le modalità affinché l´attivazione di schede telefoniche sia svolta in una cornice di legittimità rispetto alle disposizioni del Codice sono state indicate nel provvedimento a carattere generale del 16 febbraio 2006 (pubblicato in G.U. n. 54 del 6 marzo 2006, rinvenibile in www.gpdp.it, doc. web n. 1242592), nel quale si rappresenta, fra l´altro, che "tutti i soggetti coinvolti nel loro trattamento sono tenuti ad assicurare che i dati siano raccolti e registrati per scopi determinati, espliciti e legittimi, e trattati anche successivamente in modo lecito e secondo correttezza" e che "agenti e rivenditori rivestono la qualità di titolari autonomi del trattamento dei dati utilizzati ai fini dell´attivazione dei servizi quando, in base alle modalità della propria attività, esercitano un potere decisionale reale e del tutto autonomo sulle modalità e sulle finalità del trattamento effettuato nel proprio ambito (cfr. art. 4, comma 1, lett. f) del Codice). In tal caso, essi devono adempiere autonomamente agli obblighi previsti dal Codice, con particolare riferimento a quelli, sopra specificati, di informativa, di raccolta del consenso eventualmente necessario e dell´adozione di idonee misure di sicurezza";

b) nel caso in argomento, XX ha trattato dati personali di clienti del gestore di telefonia Vodafone in forza di un rapporto in essere con la società Wanted Electronics s.r.l. (che aveva assunto il ruolo di Master dealer e che aveva fornito a XX le credenziali per accedere al sistema Vodafone - workstation);

c) come dichiarato da Vodafone nella risposta alle richieste di informazioni del Gruppo di Investigazione sulla Criminalità Organizzata (G.I.C.O.) della Guardia di finanza in data 17 luglio 2008, le procedure per  l´abilitazione delle workstation dalle quali è possibile attivare schede-sim prevedono che il "Master Dealer" (in questo caso Wanted Electronics s.r.l.) comunichi al "point" (in questo caso XX) i codici di primo accesso all´interfaccia web della workstation. Tali codici devono essere modificati dal point subito dopo il primo accesso cosicché il Master Dealer non ha nessuna possibilità di accedere al sistema Vodafone mediante credenziali attribuite al point. Non appare pertanto in alcun modo contestabile che le attivazioni siano state effettuate utilizzando le credenziali di XX per l´accesso al sistema Vodafone, credenziali che identificano univocamente XX in base al richiamato sistema di autenticazione;

d) con l´utilizzo del sistema messo a disposizione da Vodafone, per il tramite del Master Dealer Wanted Electronics s.r.l., XX ha proceduto all´attivazione di schede telefoniche intestate a 31 persone riportate nel verbale di contestazione del 30 novembre 2011 che, nella parte in cui dà atto che le utenze disconosciute erano state attivate da XX, riferisce di circostanze attestate dal pubblico ufficiale che lo stesso ha potuto conoscere senza alcun margine di apprezzamento e quindi costituisce piena prova fino a querela di falso;

e) le modalità per l´attivazione di schede telefoniche nei confronti di 31 intestatari si sono discostate da quelle stabilite nel richiamato provvedimento del Garante tant´è che le predette 31 persone hanno disconosciuto la titolarità delle schede telefoniche attivate a loro insaputa con denunce presentate alla Guardia di finanza fra il mese di giugno 2007 e il mese di aprile 2008: in tutte le denunce si rappresenta che le predette persone non hanno mai richiesto l´attivazione a proprio nome delle utenze oggetto di disconoscimento e non hanno mai dato incarico ad altri di provvedervi per proprio conto;

f) alla luce della circostanza che non risultano contestate in sede penale le denunce presentate dai 31 querelanti, appare non revocabile in dubbio il fatto che le schede telefoniche oggetto di disconoscimento sono state attivate all´insaputa degli intestatari e quindi contravvenendo alle disposizioni del richiamato provvedimento in materia di identificazione del soggetto che richiede l´attivazione di schede telefoniche. Solo attraverso l´osservanza delle disposizioni del provvedimento, recepite da tutti i gestori telefonici, sarebbe stato possibile ancorare le operazioni di trattamento dei dati personali svolto da XX al complessivo trattamento di cui il gestore telefonico è titolare;

g) emerge pertanto che, con riferimento alle operazioni volte all´attivazione di schede telefoniche in assenza dell´intestatario e senza l´acquisizione di un suo valido documento, M&N ha svolto trattamenti di dati personali esercitando un potere decisionale del tutto autonomo e svincolato dalle disposizioni che la legavano al gestore telefonico e al Master dealer, assumendo la veste giuridica di titolare del trattamento, così come delineato dal richiamato provvedimento del Garante del 16 febbraio 2006;

h) a ciò si aggiunge che Vodafone, con riferimento alle attivazioni di schede telefoniche oggetto di attività di indagine da parte della Guardia di finanza di Brescia, ha rappresentato che "i rivenditori Autorizzati Vodafone Dealer/Master Dealer sono Titolari autonomi del trattamento dei dati personali dei clienti Vodafone e nella qualità di Titolare del trattamento dei dati, il Dealer/Master Dealer nomina "Incaricati" i soggetti che procedono, per conto dello stesso Titolare, alla raccolta, alla registrazione ed alla trasmissione a Vodafone dei dati personali dei propri Clienti";

i)  da ciò deriva che XX, in qualità di titolare del trattamento, avrebbe dovuto rendere agli intestatari delle schede telefoniche l´informativa contenente tutti gli elementi indicati nell´art. 13 del Codice prima della raccolta dei dati, circostanza che non risulta sia mai avvenuta;

j) per tali ragioni, si ritiene correttamente contestata a XX la violazione delle disposizioni di cui all´art. 13 del Codice;

k) in considerazione del fatto che tutte le attivazioni sono avvenute nel corso dell´anno 2007, la predetta contestazione, notificata il 30 novembre 2011, risulta essere stata effettuata nel rispetto dei termini prescrizionali quinquennali di cui all´art. 28 della legge n. 689/1981 oltre che dei termini di notifica della contestazione di cui all´art. 14 della medesima legge, in relazione alla data dell´accertamento, da collocarsi in epoca successiva al 15 settembre 2011, data in cui il Pubblico Ministero di Brescia ha autorizzato la Guardia di finanza a utilizzare gli atti del procedimento penale n. 8893/07 r.g.n.r.;

- quanto poi alle argomentazioni difensive relative alla quantificazione della sanzione, in considerazione del fatto che le condotte finalizzate all´attivazione di schede telefoniche all´insaputa dei 31 intestatari e le correlate violazioni dell´art. 13 del Codice risultano autonome, distinte e indipendenti poiché poste in essere nei confronti di soggetti diversi e quindi con trattamenti di dati personali molteplici e diversi, appare correttamente applicato in tale contestazione il cumulo materiale con riferimento ai diversi intestatari delle schede telefoniche;

- non appare, inoltre, conferente il richiamo all´art. 10, comma 2, della legge n. 689/1981, giacché con tale disposizione si stabilisce un limite massimo delle sanzioni amministrative "fuori dai casi espressamente stabiliti dalla legge". Poiché l´art. 161 del Codice prevede espressamente quale sia il limite massimo della sanzione per i casi di omessa o inidonea informativa, deve ritenersi inapplicabile il limite indicato nelle argomentazioni difensive;

- non risulta altresì applicabile la diminuente di cui all´art. 164-bis, comma 1, del Codice, giacché la stessa risulta essere stata introdotta dal decreto-legge 30 dicembre 2008, n. 207, (convertito con modificazioni con L. 27 febbraio 2009, n. 14) e vigente soltanto dal 31 dicembre 2008, quindi successivamente all´epoca in cui sono state commesse le violazioni.

RILEVATO, quindi, che XX, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare ai sensi degli artt. 4 e 28 del Codice, la violazione di cui al successivo art. 161, per aver svolto trattamenti di dati personali finalizzati all´attivazione di n. 85 schede telefoniche all´insaputa di n. 31 intestatari, e quindi senza avere reso agli stessi l´informativa di cui all´art. 13 del Codice prima della raccolta dei dati personali;

VISTO l´art. 161 del Codice, nella formulazione vigente all´epoca dei fatti, che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da tremila a diciottomila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, le violazioni risultano connotate da elementi specifici dettati dalla circostanza che XX, al fine di attivare indebitamente ben 85 schede telefoniche, ha violato le disposizioni in tema di informativa di cui all´art. 13 del Codice, contravvenendo a quanto stabilito dal Garante con il provvedimento del 16 febbraio 2006;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere considerato in termini non favorevoli il fatto che XX abbia negato gli addebiti tentando di addossare le responsabilità ad altro soggetto e quindi non adoperandosi in alcun modo per eliminare o attenuare le conseguenze della violazione;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che XX non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative al titolare della ditta individuale, ormai cessata, per l´anno d´imposta 2013;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria,  in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 93.000,00 (novantatremila) per le violazioni di cui all´art. 161;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

al sig. XX, nato a Brescia, il XX, già titolare dell´impresa individuale "XX di XX", con sede in Capriano del Colle (BS), XX, di pagare la somma di euro 93.000,00 (novantatremila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

Al medesimo sig. XX di pagare la somma di euro 93.000,00 (novantatremila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 15 ottobre 2015

IL PRESIDENTE
Iannini

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia