[doc. web n. 8998681]

Provvedimento del 26 aprile 2018

Registro dei provvedimenti
n. 256 del 26 aprile 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso presentato al Garante in data 18 gennaio 2018 da XX  nei confronti di Amazon EU, succursale italiana, quale rappresentante di Amazon Europe Core Sarl avente sede in Lussemburgo, con il quale il ricorrente, ribadendo parte delle  istanze già avanzate ai sensi degli artt. 7 e 8 del d.lgs. 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali (di seguito “Codice”), ha chiesto:

1) di ordinare ad Amazon, nelle more dello svolgimento del procedimento di cui al successivo punto 5), il ripristino sul proprio portale delle recensioni da lui effettuate, nonché della facoltà di esercitare la funzione di recensore anche su portali diversi da quello italiano;

2) di integrare, con riguardo alla richiesta di accesso ai dati relativi alle recensioni pubblicate a partire dal 2010, il riscontro già ottenuto anteriormente alla proposizione del ricorso, corredando le stesse “del codice ASIN di riferimento”, unitamente alle immagini ed ai video eventualmente presenti, nonché di ottenere la cancellazione di alcune recensioni residue tuttora presenti sul portale della resistente;

3) di conoscere le modalità e la logica applicata al trattamento, con particolare riguardo alle “motivazioni circostanziate e dettagliate” che hanno determinato la decisione della resistente di inibire in via definitiva al medesimo la possibilità di recensire prodotti sul portale di Amazon, imponendo, in assenza di detta comunicazione, il ripristino definitivo della funzionalità di recensore;

4) di conoscere gli eventuali dati personali che lo riguardano provenienti da fonti esterne, quali segnalazioni di altri utenti utilizzate al fine di cui sopra;

5) di avviare un procedimento volto ad accertare la condotta tenuta da Amazon Italia nei confronti degli utenti cui sia stata inibita la possibilità di recensire per presunte violazioni di regole, in virtù della mancanza di chiarezza riguardo le procedure di elaborazione dei dati degli stessi utilizzati a tal fine; 

CONSIDERATO che il ricorrente ha, in particolare, rilevato:

di essere stato recensore di Amazon Italia da giugno 2012 a novembre 2017 “con scheda profilo pubblica”, ricevendo “a partire da giugno 2016 un attestato di “attendibilità” con l’invito al programma Vine che consente alla stessa Amazon di affidare periodicamente a detti recensori (…) alcuni prodotti da testare e descrivere con una recensione specifica”;

che il 26 novembre 2017 la resistente, senza alcun preavviso, ha provveduto a rimuovere la maggior parte delle recensioni da lui pubblicate, inibendogli da quel momento la funzionalità di recensore;

di aver proposto interpello al fine di ottenere la comunicazione di alcune informazioni sul trattamento, ma di aver ottenuto un riscontro ritenuto insufficiente;

VISTI gli ulteriori atti d’ufficio e, in particolare, la nota del 6 marzo 2018 con la quale questa Autorità, ai sensi dell’art. 149, comma 1, del Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste del ricorrente, nonché la nota del 16 marzo 2018 con la quale è stata disposta, ai sensi dell’art. 149, comma 7, del Codice, la proroga del termine per la decisione sul ricorso; 

VISTE le note del 13 e del 15 marzo 2018 con le quali la resistente, rappresentata e difesa dagli avv.ti Marco Berliri e Massimiliano Masnada, ha:

eccepito il difetto di giurisdizione dell’Autorità italiana in materia di protezione dei dati personali sostenendo, con riguardo alle attività svolte dagli utenti relativamente alle recensioni pubblicate sul portale della società, l’esclusiva titolarità del trattamento in capo ad Amazon Eu avente sede in Lussemburgo ed affermando che “la branch italiana di AEU non è coinvolta” nel trattamento dei dati connessi alle recensioni stesse;

rilevato, nel merito, che lo strumento del ricorso previsto dal Codice può essere attivato solo per far valere gli specifici diritti di cui all’art. 7  e non al fine di chiedere valutazioni ed accertamenti connessi a profili contrattuali;

rappresentato di aver integrato il riscontro già fornito a seguito di interpello, comunicando, per ciascuna delle recensioni, il codice ASIN di riferimento e precisando, con riguardo alle eccezioni sollevate dal ricorrente sulla non intelligibilità delle informazioni trasmesse relativamente ad immagini e video pubblicati a corredo delle recensioni, che gli stessi sono agevolmente accessibili “tramite i link contenuti nel documento” inviato al medesimo prima della presentazione del ricorso;

comunicato di aver provveduto alla definitiva cancellazione delle recensioni residue ancora presenti sul portale che, per un mero disguido tecnico, risultavano ancora visibili;

rilevato, infine, l’inammissibilità dell’istanza diretta a conoscere le ragioni specifiche poste a base della scelta di inibire lo svolgimento della funzione di recensore in quanto criteri interni all’azienda che non rientrano tra le informazioni che l’interessato ha diritto di conoscere ai sensi dell’art. 7 del Codice;

VISTE le note del 13 e del 20 marzo 2018 con le quali il ricorrente ha:

affermato di aver correttamente proposto ricorso nei confronti della succursale italiana di Amazon, soggetto dal quale ha ottenuto riscontro alle richieste avanzate e che non ha mai effettuato alcuna precisazione in ordine alla titolarità del trattamento, se non nel corso del presente procedimento; 

rilevato che le informazioni comunicate dalla resistente con riguardo alle recensioni da lui effettuate sarebbero “poco fruibili” relativamente alla parte relativa alle immagini ed ai video pubblicati in associazione a dette recensioni, chiedendone la trasmissione su supporto fisico (quale DVD/80);

ribadito l’istanza diretta a conoscere le informazioni che lo riguardano contenute in eventuali segnalazioni effettuate da terzi, nonché le motivazioni sottostanti alla decisione della società di inibire la sua funzione di recensore, rilevando che se la resistente può legittimamente invocare l’esistenza di un segreto industriale con riferimento agli algoritmi ed agli strumenti tecnologici con i quali i dati degli utenti vengono raccolti ed elaborati, analoga considerazione non può invece essere effettuata con riferimento ai dati personali utilizzati ai fini dell’assunzione della predetta decisione ed ai quali il medesimo avrebbe diritto di accedere;

VISTA la nota del 18 aprile 2018 con la quale la resistente, nel richiamare le argomentazioni già esposte in precedenza, ha, in particolare:

 ribadito la carenza di giurisdizione del Garante tenuto conto del fatto che “la succursale italiana è stata costituita nel febbraio 2015 al fine di prestare supporto e consulenza nell’ambito delle attività di negoziazione con i fornitori e acquisto di prodotti offerti da AEU sul sito Amazon.it per utenti di lingua italiana”, ma che la sua attività, pur essendo “per forza di cose” collegata a quella dello stabilimento principale, non svolgerebbe alcuna operazioni di “trattamento dei dati relativi alle recensioni degli utenti del sito Amazon.it”; 

eccepito l’inammissibilità della richiesta diretta a conoscere “la motivazione della sospensione del profilo utente del ricorrente” in quanto “l’obbligo di divulgazione dei criteri e delle valutazioni applicate per smascherare attività illecite o fraudolente rispetto alle Linee Guida” dettate in materia dalla società “vanificherebbe gli sforzi compiuti da Amazon al fine di tutelare il proprio servizio e i propri utenti contro chi fraudolentemente infrange tali regole, in quanto sarebbero facilmente comprensibili le modalità attraverso le quali vengono individuate tali violazioni”;

comunicato, non riconoscendo con ciò la fondatezza delle pretese dell’interessato, che la decisione assunta dalla società è stata causata da numerose violazioni commesse dal medesimo, in spregio alle regole accettate al momento dell’iscrizione, chiedendo, nello specifico, “ai venditori di alcuni prodotti un corrispettivo a fronte della pubblicazione di recensioni dei prodotti stessi, alterando, di conseguenza, il normale funzionamento delle recensioni della Community di Amazon, a scapito degli altri utenti”;

RITENUTO, con riguardo alla preliminare eccezione di giurisdizione sollevata da Amazon EU Sarl, che, nel caso di specie, risultano applicabile il diritto nazionale e competente l’Autorità italiana per la protezione dei dati personali, secondo un principio già affermato in precedenti decisioni (v. provv. del Garante n. 83 del 25 febbraio 2016, in www.gpdp.it doc. web n. 4881581, e n. 30 del 26 gennaio 2017, doc. web n. 6026501) e connesso, nel caso in esame, all’esistenza di un indubbio collegamento tra i servizi forniti da Amazon EU Sarl succursale italiana, tramite il portale Amazon.it diretto ad utenti italiani, e le attività effettuate nello stabilimento principale avente sede in Lussemburgo, come risulta peraltro dalla visura camerale della predetta filiale e dichiarato dalla stessa società resistente nel corso del procedimento;

CONSIDERATO che:

le richieste indicate in premessa con i nn. 1 e 5, inclusa quella avente ad oggetto il ripristino della funzione di recensore nell’ipotesi di omessa comunicazione da parte della resistente delle informazioni richieste, non costituiscono diritti esercitabili ai sensi dell’art. 7 del Codice;

analoga valutazione deve essere effettuata in ordine all’istanza indicata, in parte, al punto n. 3 diretta a conoscere le motivazioni “circostanziate e dettagliate” che hanno determinato l’inibizione dell’account, nonché ai “pesi” utilizzati per valutare tali circostanze, tenuto conto del fatto che tale richiesta, così come formulata, appare diretta ad ottenere l’indicazione di criteri e parametri utilizzati dalla società al fine di assumere decisioni riconducili alla libertà di iniziativa economica privata, come tale costituzionalmente tutelata, anche in ordine alle determinazioni adottate con riguardo alla prosecuzione di rapporti di tipo contrattuale;

RITENUTO, in ordine a tali istanze, che il ricorso debba essere dichiarato inammissibile ai sensi dell’art. 148, comma 1, lett. b), del Codice;

PRESO ATTO, con riguardo alle richieste individuate in premessa con il n. 2 e, in parte, con il n. 3, che la resistente ha fornito un adeguato riscontro comunicando nel corso del procedimento:

le ulteriori informazioni richieste relativamente alle recensioni effettuate dal ricorrente e  confermando, quanto alla richiesta di trasporre su un supporto fisico le immagini ed i video eventualmente pubblicati in associazione ad esse, di aver già provveduto a fornire al ricorrente le indicazioni utili al loro reperimento tramite l’indicazione dei link alle medesime; 

di aver provveduto alla rimozione delle recensioni residue rimaste visibili;

le modalità e la logica utilizzata nel trattamento dei dati personali di quest’ultimo utilizzati ai fini dell’assunzione della predetta decisione.

RITENUTO, con riguardo a tali profili, di dover dichiarare non luogo a provvedere sul ricorso, ai sensi dell’art. 149, comma 2, del Codice, avendo la resistente fornito un riscontro sufficiente, sia pure integrando il medesimo solo nel corso del procedimento;

RILEVATO, infine, con riguardo alla richiesta di accedere alle informazioni che lo riguardano eventualmente contenute in segnalazioni presentate da terzi che, ad essa, non è stato fornito riscontro né a seguito di interpello preventivo, né nel corso del presente procedimento;

RITENUTO, pertanto, di dover accogliere parzialmente il ricorso e, per l’effetto, di ordinare ad Amazon EU Sarl di comunicare al ricorrente, entro trenta giorni dalla ricezione del presente provvedimento, le informazioni che lo riguardano eventualmente contenute in segnalazioni effettuate alla società da soggetti terzi, ad esclusione dei dati riferiti a questi ultimi;

VISTI gli artt. 145 e ss. del Codice;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE:

1) accoglie parzialmente il ricorso e, per l’effetto, ordina ad Amazon EU Sarl di comunicare al ricorrente, entro trenta giorni dalla ricezione del presente provvedimento, le informazioni che lo riguardano eventualmente contenute in segnalazioni effettuate alla società da soggetti terzi, ad esclusione dei dati riferiti a questi ultimi;

2) dichiara non luogo a provvedere sul ricorso con riguardo alle istanze indicate in premessa con il n. 2 e, in parte, con il n.3;

3) dichiara il ricorso inammissibile con riferimento ai restanti profili.

Il Garante, nel chiedere ad Amazon EU Sarl, ai sensi dell’art. 157 del Codice, di comunicare quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento e di fornire comunque riscontro entro quaranta giorni dalla ricezione dello stesso, ricorda che l’inosservanza di provvedimenti del Garante adottati in sede di decisione dei ricorsi è punita ai sensi dell’art. 170 del Codice. Ricorda altresì che il mancato riscontro alla richiesta ex art. 157 è punito con la sanzione amministrativa di cui all’art. 164 del Codice.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 26 aprile 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia