[doc. web n. 9157152]

Ordinanza ingiunzione nei confronti di AD Sphera Group s.r.l. - 11 aprile 2019

Registro dei provvedimenti
n. 103 dell'11 aprile 2019

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

RILEVATO che il Nucleo privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 7226/123076 del 2 marzo 2018, formulata ai sensi dell’art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 20 marzo 2018 nei confronti di AD Sphera Group sas di Caneppele De Almeida Michelle & c., ora AD Sphera Group s.r.l., con sede legale in Milano, XX, P.I. XX, dai quali è risultato che la società effettuava un trattamento di dati personali per mezzo di due form di raccolta dati, denominati “Contatti” e “Candidati”, presente sul proprio sito internet www.admoda.it, a fronte dei quali era stata riscontrata l’assenza dell’informativa di cui all’art. 13 del Codice;

VISTO il verbale n. 23/2018 del 6 aprile 2018 con cui è stata contestata, alla predetta società quale titolare del trattamento, la violazione amministrativa prevista dall’art. 161 del Codice, in relazione all’omessa informativa sul sito web, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge 24 novembre 1981, n. 689;

RILEVATO dal rapporto, predisposto ai sensi dell’art. 17 della legge 24 novembre 1981, n. 689, che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi dell’11 maggio 2018, inviati ai sensi dell’art. 18 della legge 24 novembre 1981, n. 689, nonché gli scritti difensivi del 15 febbraio 2019, inviati conformemente a quanto disposto dall’art. 18, comma 4, del d.lgs. 101/2018, con cui la parte ha osservato, in primo luogo, come, a seguito degli accertamenti eseguiti dal Nucleo privacy della Guardia di finanza (nel corso dei quali è stata riscontrata l’assenza dell’informativa in calce ai form di raccolta dati), abbia provveduto ad inviare al medesimo Nucleo, in data 28 marzo 2018, una comunicazione in cui si evidenziava come la mancanza dell’informativa era dovuta a un disguido tecnico relativo al sistema di tabulazione, di cui non era a conoscenza, ma rispetto al quale era stato immediatamente posto rimedio. Di tale comunicazione, la parte lamenta che non si sia tenuto conto nella redazione del successivo verbale di contestazione, avvenuta il 6 aprile 2018, laddove tale circostanza costituisce un elemento fondamentale ai fini dell’esclusione della responsabilità. Infatti, la parte ha precisato che, quando è stato creato il sito internet www.admoda.it, era stato regolarmente predisposto il testo dell’informativa, recante le modalità del trattamento dei dati personali. Tuttavia, “a seguito di una serie di interventi di aggiornamento, resi necessari da malfunzionamenti del sito a partire dalla seconda metà del 2017, la tabella dedicata all’informativa sulla privacy e di conseguenza il relativo collegamento in calce al form, si sono evidentemente corrotti, senza che ADSphera se ne rendesse conto”. Appena constatato il problema, è stato contattato il tecnico che ha ripristinato in tempo reale il collegamento. La situazione così descritta conferma l’assoluta buona fede della società, che era convinta della liceità della sua condotta, non avendo ricevuto alcuna segnalazione relativa al malfunzionamento del sito. Ciò premesso, la parte ha chiarito che tramite il form “Contatti” non veniva effettuato alcun trattamento di dati personali, in quanto, come verificato nel corso delle operazioni di accertamento, solo i dati raccolti mediante il form “Candidati” pervenivano alla casella di posta elettronica del destinatario. Pertanto, rispetto al form “Contatti” non può dirsi violato l’obbligo dell’informativa. Invece, per quanto riguarda il form “Candidati”, la parte ha osservato che, trattandosi di un invio spontaneo di candidature, troverebbe applicazione l’art. 13, comma 5-bis, del Codice. Alla luce di tali argomentazioni, la parte ha chiesto, dunque, l’archiviazione del procedimento sanzionatorio o, in subordine, l’applicazione della sanzione nella misura del minimo edittale con ulteriore riduzione a due quinti, ai sensi dell’art. 164-bis, comma 1, del Codice;

LETTO il verbale di audizione, tenutasi il 26 marzo 2019, ai sensi dell’art. 18 della legge n. 689/1981, nel corso della quale la parte ha ribadito quanto già dichiarato nelle memorie difensive, chiedendo, altresì, l’archiviazione del procedimento sanzionatorio o, in subordine, l’applicazione della sanzione nella misura del minimo edittale;

CONSIDERATO che le argomentazioni addotte non sono idonee ad escludere la responsabilità della parte in relazione a quanto contestato. In particolare, si rileva l’insussistenza dei presupposti per invocare l’errore scusabile di cui all’art. 3 della legge n. 689/1981 che, come più volte ribadito da questa Autorità sulla base di numerose pronunce giurisdizionali sul punto, occorre che l’errore sia stato incolpevole ovvero non suscettibile di essere evitato con l’ordinaria diligenza (Cass. Civ. Sez. lav. 12 luglio 2010 n. 16320). Pertanto, il disguido di carattere tecnico descritto dalla parte per rappresentare le ragioni per cui mancasse l’informativa sul sito internet, non costituisce un elemento idoneo ad escludere la propria responsabilità, posto che il titolare del trattamento ha sempre l’obbligo di garantire la correttezza dei trattamenti effettuati e di predisporre ogni accortezza necessaria affinché gli interessati abbiano piena conoscenza dei propri diritti, fornendo loro un’idonea informativa. La circostanza che sia stato ripristinato immediatamente il collegamento necessario all’inserimento dell’informativa sul sito web, è sicuramente un elemento favorevole alla parte, utile ai fini della valutazione finale. Dall’esame della documentazione acquisita nel corso delle operazioni compiute, risulta che il form “Contatti” fosse funzionante al momento dell’accertamento, nel senso che era possibile procedere all’inserimento dei dati personali richiesti. Pertanto, la circostanza che, accedendo alla casella di posta elettronica info@admoda.it, non ci fossero informazioni relative a tale form, non esclude che il titolare del trattamento debba comunque fornire informativa, dal momento che l’interessato deve avere tutte le informazioni necessarie al trattamento al momento in cui fornisce i propri dati. Non trovano accoglimento, altresì, le argomentazioni addotte dalla parte relativamente all’applicabilità, al caso in esame, della disposizione di cui all’art. 13, comma 5-bis, del Codice. Diversamente da quanto ritenuto, infatti, la predisposizione di un form di raccolta dati, che l’interessato utilizza inserendo i propri dati al fine di proporre la propria candidatura, non costituisce una ”ricezione di curricula spontaneamente trasmessi” per il quale l’informativa non è dovuta, ai sensi della citata disposizione; al contrario, essa costituisce una richiesta di dati personali posta in essere dal titolare del trattamento, a fronte della quale l’interessato deve ricevere “previamente” l’informativa ai sensi dell’art. 13 del Codice;

RILEVATO, pertanto, che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) senza rendere l’ informativa agli interessati ai sensi dell’art. 13 del Codice attraverso due form di raccolta dati presenti sul sito web www.admoda.it;

VISTO l’art. 161 del Codice che punisce la violazione delle disposizioni di cui all’art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro per ciascun rilievo;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l’art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria per la violazione dell’art. 161 del Codice in combinato disposto con l’art. 164-bis, comma 1, nella misura di euro 2.400,00 (duemilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

ad AD Sphera Group s.r.l., con sede legale in Milano, Via XX, P.I. XX, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 2.400,00 (duemilaquattrocento) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall’art. 161 del Codice indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 2.400,00 (duemilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 aprile 2019

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia