[doc. web n. 9744518]

Ordinanza ingiunzione nei confronti di Tim S.p.A. - 13 gennaio 2022*

*Il provvedimento è stato impugnato

Registro dei provvedimenti
n.  10 del 13 gennaio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presi-dente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Gui-do Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 apri-le 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati per-sonali, nonché alla libera circolazione di tali dati e che ha abrogato la direttiva 95/46/CE (di seguito “Regolamento” o “GDPR”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTI il provvedimento, correttivo e sanzionatorio, del 15 gennaio 2020 (doc. web n.  9256486), che ha riguardato vari trattamenti di dati da parte di Tim spa, inclusa la gestione dei diritti degli interessati; nonché i provvedimenti correttivi e/o sanzionatori (provv.ti 14 maggio 2020, n. 85, doc. web n. 9442587; 27 maggio 2021 n. 216, doc. web n. 9689324; 8 luglio 2021, n. 272, doc. web n. 9693464; 11 novembre 2021 n. 401, doc. web n. 9722894), riguardan-ti in particolare la gestione delle istanze di accesso ai tabulati telefonici, tutti adottati nei con-fronti della medesima Società (di seguito, anche “Tim” o “Società”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamen-to del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo.

L’Autorità ha ricevuto un reclamo nei confronti di Tim Spa (di seguito anche: "Tim" o "Società"),, datato 28 aprile 2021, da parte del sig.XX, nel quale il reclamante, ti-tolare di utenza TIM, ha rappresentato quanto segue:

- nel periodo 2018-2019 lavorava come autotrasportatore per numerose imprese   sul territorio nazionale;

- in data 21.11.2020 riceveva notifica di avviso di udienza preliminare in relazione ad un procedimento penale pendente per i reati XX che sarebbero stati commessi in Arezzo a danno di alcuni distributori di car-bone nel periodo sotto indicato;

- le fonti di prova, come si evinceva dalla richiesta di rinvio a giudizio, si sostanziavano nel solo atto di denuncia querela non corroborato da alcun riscontro probatorio, consi-derato che le telecamere di sorveglianza dei distributori non conservavano più i filmati;

- l’Autorità Giudiziaria, nel corso delle indagini, non provvedeva a richiedere i tabulati tele-fonici relativi all'utenza in uso al medesimo indagato nel periodo dal 28. 12.2018 al 31.01.2019 (data di asserita consumazione dei reati);

- in data 30.11. 2020, egli conferiva mandato ad un difensore di fiducia, anche al fine di svolgere indagini difensive in relazione ai reati contestati (doc.3);

- con PEC del 15.12.2020 il difensore del reclamante inoltrava a Tim, ai sensi del combinato disposto degli artt. 132, comma 3, del Codice,327-bis c.p.p. e 391-quater c.p.p., "richiesta di copia dei tabulati di traffico telefonico in chiaro in entrata e in uscita per  il periodo dal 28.12.2018 al 31.01.2019 relativi all'utenza … a sé riferibile ed in uso esclusivo in ragione di proprie esigenze difensive”; in particolare,  essendo stati contestati i reati di furto di carburante ed indebita utilizzazione di   carte di credito commessi nel circondario di Arezzo, la richie-sta di tabulati telefonici delle chiamate in entrata ed in uscita appariva necessaria: 1) al fine di accertare la veridicità di quanto dichiarato in denuncia dal titolare dell’impresa circa le telefonate effettuate all’indirizzo del richiedente nelle date prossime alla commissione dei reati; 2) “al fine di delimitare la  presenza dell’imputato […] sul luogo e/o nelle vicinanze” del luogo in cui i reati erano stati commessi, “attraverso l'analisi delle celle  agganciate dal tele-fono i n uso [ allo stesso] nel periodo di riferimento”, così da acquisire  elementi utili alla loca-lizzazione del  reclamante  nel periodo  di  tempo  in  esame.

Il reclamante ha inoltre sostenuto che:

- la richiesta in parola doveva ritenersi legittima in quanto veniva inoltrata esclusivamente nell'ambito di un procedimento penale, in ragione del diritto di difesa, da soggetto legittima-to, quale è il difensore di fiducia dell'imputato/ indagato, nonché tempestiva in quanto inoltrata a mezzo PEC in data 15.12.2020 e, quindi, nel termine di 24 mesi dalla generazione dei dati (trattandosi del periodo  compreso  dal  28.12.2018 al 31.12.2018  nonché dal 01.01.2019 al 31.01.2019), secondo quanto previsto  dall'art.  132 del Codice;

- con comunicazione pec del 18.12.2020, Tim dichiarava che "la documentazione del traffico in uscita [sarebbe stata] fornita a breve"; per quanto attinente, invece, alle chiamate in chiaro in entrata la Società richiedeva la compilazione di un apposito modulo prestampato;

- con successiva PEC del 7.01.2021, il  difensore, con riferimento ai dati di traffico telefonico delle chiamate in chiaro in entrata, ottemperava a quanto richiesto dalla società, compilando il modulo preposto e ulteriormente specificando le ra-gioni sottese alla necessità ed urgenza di ottenere i tabulati del traffico telefoni-co sia in entrata ed in uscita riferibili all'utenza in oggetto;

- nelle more dell'invio della richiesta relativa alle chiamate in entrata, la Società non dava seguito alle richieste relative ai tabulati delle chiamate in uscita, come invece assicurato nella iniziale PEC di risposta del 18.12.2020;

- nonostante i successivi solleciti del 27.01.2021; 05.02.2021; 10.02.2021 tutti inol-trati a mezzo PEC, Tim non trasmetteva i dati richiesti né forniva riscontro alcuno;

- solo con PEC del 17.02.2021 “e quindi con ben 2 mesi di distanza dalla prima richiesta”, la Società dichiarava di non poter fornire quanto richiesto sia per le chiamate in uscita che per le chiamate in entrata poiché " i dati di traffico telefonico richiesti sono at-tualmente conservati per finalità di accertamento e repressione dei reati e con riferimento solo alle fat-tispecie di reati previste dagli articoli 51, comma 3 - quater e 407, comma 2 lettera 9 del codice di procedura penale", aggiungendo che, per i dati di traffico uscente non era co-munque possibile evadere la richiesta in quanto: "il mancato inoltro del traffico uscen-te, causato da un mero disguido, ad oggi non è più disponibile se non per i casi sopra indicati ";

- con successiva PEC del 20.02.2021, per mezzo del suo legale di fiducia, inviava formale atto di diffida ad adempiere, entro 7 giorni dal ricevimento, alla Socie-tà senza tuttavia ricevere alcun riscontro;

- con PEC del 21.04.2021 Tim reiterava il diniego sostenendo che la richiesta delle chiamate in entrata “non era stata tempestiva”, essendo decorsi i 24 mesi dalla sua generazione e pertanto non vi era possibilità di accedere al sistema; inoltre il danno che il richiedente poteva subire a seguito del mancato invio  non risulta-va “correttamente dimostrato”; per quanto atteneva invece ai dati del traffico tele-fonico in uscita, anche tale invio non risultava più possibile a causa di "un mero disguido";

- a proprio parere, era evidente la lesione del diritto di difesa, considerato che aveva avanzato legittima e tempestiva richiesta a TIM nei tempi e nei modi di cui all’art. 132 del Codice.
Alla luce di quanto sopra, il reclamante, per il tramite del suo legale, ha chiesto all’Autorità di ingiungere a Tim il rilascio dei dati di traffico telefonico mobile in entrata ed in uscita generato dalla propria utenza nel periodo compreso dal 28.12.2018 al 31.01.2019 in tempi congrui e comunque non oltre la data del 15.12.2021 (data dell’udienza penale).

2. Istruttoria condotta e suoi esiti.

In base al riscontro fornito dalla Società alla richiesta d’informazioni dell’Ufficio del 4 maggio u.s., nonché dal successivo scambio di note e repliche fra la detta Società e il reclamante (alle quali si fa integrale rinvio), è emerso come Tim, in sostanza, non abbia smentito il quadro fattuale sopra rappresentato dal reclamante, anche con riguardo alla mancata evasione delle richieste di tabulato. Secondo Tim, tuttavia: “Dalle verifiche interne sono emerse una serie di circostanze che […] impediscono di poter qualificare la mancata evasione delle istanze dell’interessato come un “diniego all’accesso”: la impossibilità di dare seguito alle stesse, infatti […] è stata il frutto non già della volontà di negare la ostensione dei dati richiesti, bensì l’esito, da un lato, di imprevedibili accidentalità operative (la cui eccezionale combinazione casuale ha determinato, in questo limitato caso, la mancata produzione al richiedente dei dati di traffico a lui riferiti); dall’altro, dell’inevitabile rispetto da parte di TIM degli obblighi che sulla stessa incombevano ed incombono in virtù delle vigenti disposizioni in materia di retention dei dati di traffico”.

Secondo Tim, inoltre, “a partire dal 31.01.21, qualsiasi ulteriore fatto accaduto degrada di importanza ([…] i  successivi scambi di PEC dei quali si dà conto nel reclamo): a partire da tale data, infatti, i dati di traffico in entrata ed in uscita richiesti dal sig. XX, essendo decorsi 24 mesi dalla loro generazione, sono stati mantenuti nei sistemi SAG dedicati esclusivamente alla conservazione per le specifiche finalità penali di cui all’art. 132, comma 5-bis Codice Privacy….Alla luce di tutto quanto appena evidenziato, ferma la già rappresentata esistenza delle stringenti procedure intese alla corretta gestione delle richieste avanzate dai difensori nel quadro delle investigazioni difensive (procedure già sottoposte al vaglio dell’Autorità nell’ambito di altri procedimenti), ed altrettanto ferma la necessità di approfondimento ed ulteriore riflessione interna immediatamente avviati da TIM al fine di implementare ulteriormente ogni soluzione idonea ad individuare tempestivamente ogni evento accidentale nel processo interno di riscontro alla richiesta di dati di traffico correttamente e legittimamente formulate, preme sottolineare che il caso che ci occupa rappresenta davvero un caso limite […]” (v. riscontro Tim, cit.).

Peraltro Tim, con la medesima nota, ha affermato di essere “ovviamente disponibile a porre in atto tutte le soluzioni collaborative, al fine di estrarre i dati a tutt’oggi conservati per le finalità penali specifiche connesse a fattispecie di reato estranee alla vicenda: per far ciò però, attesi i noti vincoli normativi, non sembra esistere nessun’altra strada che non sia quella di una prescrizione specifica da parte dell’Autorità” (v. riscontro Tim, cit.).

Successivamente la Società ha fatto presente che: “in osservanza degli impegni già assunti nell’ambito di precedenti procedimenti, sono in corso di completamento gli ulteriori interventi di miglioramento delle attività di gestione delle richieste di esercizio dei diritti degli interessati con particolare riguardo ai dati di traffico”.

L’Autorità con la nota dell’8 novembre scorso, ai sensi dell’art. 166, comma 5, del Codice, ha contestato alla Società la possibile violazione degli artt. 12 e 15 del Regolamento nonché dell’art. 132 del Codice (nella versione - vigente al tempo dei fatti - alla quale occorre far riferimento, come si dirà meglio di seguito, anche nella data odierna), avviando il procedimento per l’eventuale adozione di provvedimenti al riguardo e a tal fine ricordando la facoltà di produrre una memoria difensiva e di richiedere un’audizione, entro 30 giorni dalla data di ricezione della detta contestazione (v. art. 166, comma 6, del Codice e, in via collegata, art. 13 del Regolamento interno del Garante n. 1/2019).

Allo scadere del termine (il 7 dicembre 2021), Tim ha inviato una memoria difensiva rappresentando che la presente istruttoria s’inserisce in un “momento nel quale la corretta esegesi delle norme di riferimento […] e delle problematiche connesse ( […] e la possibilità di accedere al SAG oltre i 24 mesi di conservazione per finalità penali “ordinarie”), deve considerarsi ben lungi dall’esser consolidata. Ed infatti, come è noto: - tutti i provvedimenti emanati dall’Autorità in questa materia, fin dal provvedimento n. 85/20 (nel quale è stata sostenuta per la prima volta nella storia del Garante la tesi della piena identità tra istanza ex art. 15 GDPR […] e richiesta del difensore ex art. 391-quater c.p.p)., sono allo stato sub Judice; […] l’unico precedente giudiziale ad oggi pubblicato, ben lungi dal corroborare la posizione espressa dall’Autorità, conferma la piena tenuta delle tesi  [di] TIM […]; […] il provvedimento n. 272/21 è stato impugnato e l’udienza per la discussione della relativa sospensione è fissata […] il 16.12.21”. La Società ha fatto altresì riferimento “(al)la segnalazione del Garante al Parlamento del 02.08.2021, nella quale è l’Autorità medesima a riconoscere apertis verbis la attuale incertezza dell’allora vigente quadro”, nonché “(al)la nota modifica all’art. 132 Codice Privacy introdotta dal d.l. 132/2021 […] che […] stravolge completamente la materia, superando completamente la questione del rapporto tra art. 15 GDPR ed art. 391-quater c.p.p., essendo ormai assolutamente chiara la scelta del Legislatore (in linea con le pronunce della Corte di Giustizia) per la impercorribilità di una richiesta diretta al Fornitore da parte del difensore dell’interessato/indagato, potendo questo rivolgere la propria istanza solo ed esclusivamente al Giudice per le indagini preliminari. “

Secondo Tim, “Si tratta di una modifica normativa che oltre ad avere pro futuro un impatto lineare sulla materia, rende del tutto superflue le rilevantissime (anche in termini di investimenti economici) procedure implementate da TIM per dare esecuzione ai vari provvedimenti del Garante attualmente oggetto di contestazione: fermi tutti gli approfondimenti che saranno necessari in esito all’esame delle disposizioni della legge di conversione nella loro versione finale (soprattutto con riguardo alla disciplina transitoria), infatti, quello che è ormai certo, è che TIM, al pari degli altri fornitori, laddove avesse a ricevere delle istanze come quella presentata dal legale del sig. XX, altro non dovrà fare che rispedirle al mittente, invitando il difensore a seguire ‘la disciplina del codice di procedura penale’ […] rivolgendo le sue istanze al GIP competente”.

Nella medesima memoria Tim ha sostenuto che: ”[…] ha sempre ed in tutte le occasioni (anche mediante istanze di audizione rimaste inevase) sottolineato la propria volontà di assumere sempre e comunque un atteggiamento proattivo, che tenesse conto però dei vincoli normativi così come interpretati per decenni dalla stessa Autorità), e ha ribadito la necessità di un apposito ordine dell’Autorità che imponga alla Società di recuperare i dati dal data base SAG, evidenziando altresì che: “soltanto nel provvedimento n. 272/21, e per la prima volta …. è stato apertamente autorizzato l’accesso al SAG, e TIM ha immediatamente, in ragione di ciò, osteso i dati risalenti a più di 24 mesi estraendoli dal SAG.”

La Società inoltre ha eccepito “[…] quanto alle misure correttive, come già evidenziato, in ragione delle modifiche introdotte dal d.l. 132/21, non sembra che le stesse abbiano più il necessario substrato normativo per poter esser adottate; - con riferimento alla eventuale sanzione pecuniaria, […]  si evidenzia nuovamente che il mancato riscontro è stato dovuto ad un mero errore umano. Inoltre, la violazione, anche ove ritenuta sussistente, riguarda comunque un solo interessato; […] tutte le misure implementate da TIM in ossequio ai vari provvedimenti del Garante, risultano allo stato superate dalle nuove disposizioni normative […] come già prospettato in altri procedimenti quale fattore attenuante, il fatto che nel 2020 (quando ancora gli interessati e i loro difensori potevano rivolgere le loro istanze direttamente al Fornitore) erano pervenute a TIM circa 1.100.000 richieste di esercizio dei diritti degli interessati, in crescita esponenziale rispetto al 2018 (circa 500.000) ed al 2019 (circa 800.00). Rispetto a questa mole enorme di richieste, i casi che presentavano dei profili critici, anche considerando quello che ci occupa, continuano a rappresentare una percentuale statisticamente irrisoria”.

Alla luce di quanto sopra, la Società, con la medesima memoria suindicata, ha anche chiesto di essere audita. L’Ufficio ha provveduto, in pari data, ad inviare una nota di convocazione per il 13 dicembre; Tim, in data 10 dicembre, ha richiesto di rinviare l’audizione, alla data del 20 o 21 dicembre. L’Ufficio in pari data ha accolto la richiesta della Società, comunicando il rinvio dell’audizione al 20 dicembre.

Nel corso dell’audizione, Tim, per il tramite dei propri legali – oltre a ribadire più argomenti espressi nell’ambito della memoria difensiva suindicata – ha fatto presente che le misure implementate (fra cui il congelamento dei tabulati in caso di controversia con il richiedente) per dar attuazione al provvedimento dell’8 luglio scorso citato,  risultano, allo stato, superate dalle nuove disposizioni normative, ma che hanno comunque avuto un notevole impatto a livello organizzativo tecnico ed economico, gravando la sola Tim, a differenza di altre Telco, di obblighi rilevanti.

Ad avviso di Tim, “tale radicale intervento di revisione dell’art. 132, posta anche l’assenza di una disciplina transitoria riguardo alla gestione di richieste di tabulati pervenute prima dell’entrata in vigore del d.l. 132/2021, assume rilevanza anche in ordine alla esclusione della possibilità di applicare ora misure per l’attuazione di disposizioni non più vigenti, con riferimento al caso in esame. Al riguardo, segnala peraltro che Tim ha inviato lo scorso giugno un’ultima replica al legale del sig. XX, che aveva peraltro evidenziato la necessità di ottenere i tabulati di traffico in tempo utile prima dell’udienza del 15.12 scorso, mentre la comunicazione di avvio del procedimento è stata inviata da codesta Autorità solo lo scorso novembre, dopo più di 4 mesi (e quando ormai le norme di riferimento erano state già modificate).”

Peraltro, secondo i legali della Società, “le iniziative da ultimo assunte dall’Autorità non appaiono coerenti con la possibilità, invocata a più riprese da TIM, di reperire delle soluzioni operative condivise per la gestione dei 4/5 casi emersi (su un insieme di ca. 700/800 casi l’anno di richieste ex art. 391 quater c.p.p. regolarmente gestite dall’azienda).” La Società ha altresì contestato l’univocità interpretativa della normativa in questione, pur affermata dall’Autorità nei suoi provvedimenti, anche alla luce delle diverse soluzioni adottate con i medesimi a fronte della condotta di Tim rispetto alle richieste di tabulati per finalità di investigazione difensiva in ambito penale (“prescrizione adottata con il provvedimento finale; prescrizione immediata di ostensione dei dati ascritta a ragioni di urgenza connesse alla esistenza di una udienza penale già fissata; e nel caso XX, nessuna prescrizione….). Divaricazione, questa, che non poteva ritenersi rappresentativa di alcun univoco orientamento, e tantomeno di un indirizzo che gli altri operatori (come si legge nel provvedimento n. 272/21) avrebbero già compreso, tacciandosi TIM di esser l’unica TELCO a non averne colto gli insegnamenti”. Nell’evidenziare poi “che la novella dell’art. 132 ha avuto un impatto rilevante per le TELCO, in relazione alla eliminazione delle incertezze interpretative correlate alla delicata materia della gestione delle richieste di tabulati di traffico conservati a fini di giustizia penale, con particolare riferimento anche alla necessità di valutare, per il traffico in entrata, la sussistenza di un rischio di pregiudizio effettivo e concreto per lo svolgimento delle investigazioni difensive”, ha chiesto quindi “che non venga adottata alcuna sanzione”.

3. Valutazione della complessiva condotta della Società.

Preliminarmente, si deve osservare che il panorama normativo e giurisprudenziale in materia risulta ad oggi modificato, soprattutto in ragione dell’elaborazione della normativa comunitaria (in primis la direttiva 2002/58/CE) ad opera della Corte di Giustizia dell’UE (fra le più recenti, la sentenza del 2 marzo 2021- causa C-746/18- resa nel caso “H.K”), che costantemente ha evidenziato l’illegittimità di una conservazione generale e indiscriminata dei dati relativi al traffico e all’ubicazione ai fini della lotta alla criminalità in generale, per cui la conservazione e l’accesso a tali dati possono essere giustificati solo da obiettivi di lotta alla criminalità organizzata o di prevenzione di gravi minacce alla sicurezza pubblica, purché tali operazioni - riguardo alla quantità dei dati in gioco e ai relativi periodi temporali- siano rigorosamente improntate al principio di “proporzionalità” di cui all’art. 52 della Carta dei diritti fondamentali dell’Unione Europea, al quale strettamente risultano collegati i principi di finalità e di minimizzazione del trattamento (cfr. art. 5 del Regolamento). 

Occorre poi dar conto dell’innovazione legislativa su base nazionale, come sollecitata anche dalla Suprema Corte di Cassazione (da ultimo, con sentenza n. 33116/2021, che ha ribadito l’inapplicabilità diretta di siffatte sentenze del giudice comunitario nell’ordinamento italiano), e in particolare dell’entrata in vigore, dal 30 settembre scorso, del d.l. n. 132/2021 (“Misure urgenti in materia di giustizia e di difesa, nonché' proroghe in tema di referendum, assegno temporaneo e IRAP”), che ha modificato ampiamente l’art 132, comma 3, del Codice, elidendo la possibilità del difensore dell’imputato di chiedere direttamente al fornitore l’accesso ai tabulati.

Il medesimo decreto – il cui esito, inclusa l’eventuale disciplina transitoria, l’Autorità ha ritenuto di attendere per la corretta definizione della presente fattispecie - è stato convertito con modificazioni dalla legge. 23 novembre 2021, n. 178 (in G.U. 29.11.2021, n. 284), che ha assunto efficacia dal 30 novembre scorso. Il nuovo testo, nel confermare quanto disposto già dal citato d.l. (prevedendo dunque l’accesso ai tabulati solo per gravi o specifici reati e richiedendo sempre l’autorizzazione o la convalida del giudice), ha mantenuto l’elisione del diritto di accesso rispetto alle compagnie telefoniche. Inoltre, il medesimo testo, nel dettare una disciplina transitoria, si è limitato a prevedere che i dati di traffico acquisiti prima dell’entrata in vigore del decreto-legge possano essere utilizzati a carico dell’imputato solo unitamente ad altri elementi di prova e per l’accertamento di gravi o specifici reati, non fornendo però alcuna indicazione su come regolare le richieste di tabulati precedenti alla novella e rimaste inevase dalle compagnie telefoniche.

Ciò considerato, con riguardo alla presente fattispecie, consumatasi prima delle citate modifiche normative, questa Autorità ritiene di dover applicare la disciplina legislativa vigente al tempo dei fatti, in base al principio tempus regit actum nonché al principio del favor rei che risulta caratterizzare il nostro ordinamento, anzitutto a livello costituzionale, con specifico riguardo al diritto alla difesa e ad un pieno contraddittorio della persona imputata (v. artt. 24 e 27 Cost.).

In particolare, come già chiarito con i recenti provvedimenti adottati nei confronti della medesima Società (provv.ti 14 maggio 2020, n. 85, doc. web n. 9442587; 27 maggio 2021 n. 216, doc. web n. 9689324; 8 luglio 2021, n. 272, doc. web n. 9693464; 11 novembre 2021 n. 401, doc. web n. 9722894) – in relazione ai quali risulta che, diversamente da quanto inspiegabilmente sostenuto dalla Società nella citata memoria  inviata il 7 dicembre, l’Ufficio ha provveduto sempre ad assicurare il pieno contraddittorio, accordando tutte le audizioni richieste, tenendo conto anche di memorie integrative inviate successivamente al momento dell’audizione, nonché dando seguito, tempestivo e puntuale, a richieste di accesso agli atti ex l. n. 241/1990 presentate da Tim - in base al quadro giuridico di riferimento in materia di conservazione dei dati di traffico telefonico (nella formulazione vigente al tempo dei fatti, prima dell’entrata in vigore del citato d.l. n. 132/2021), i tabulati telefonici sono “conservati dal fornitore per ventiquattro mesi dalla data della comunicazione, per finalità di accertamento e repressione dei reati” (v. art. 132, comma 1, Codice) e, entro il medesimo termine, "[…] il difensore dell'imputato o della persona sottoposta alle indagini (poteva)  richiedere, direttamente al fornitore i dati relativi alle utenze intestate al proprio assistito con le modalità indicate dall'articolo 391-quater del codice di procedura penale" (132, comma 3, cit.). Tale disposizione risulta essere stata violata da Tim.

Inoltre, risulta esser stato violato dalla medesima Società anche il disposto dell’art. 12, parr. 2 e 3, del Regolamento, in base al quale “Il titolare del trattamento agevola l'esercizio dei di-ritti dell'interessato ai sensi degli articoli da 15 a 22” e deve fornire “riscontro all’istanza di esercizio dei diritti di cui agli artt. 15-22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”. Infatti è indubbio come la problematica tecnica rappresen-tata dal titolare nella propria procedura di gestione di siffatte istanze non risulti compensata, nella concreta dinamica fattuale, dalla necessaria attenzione a reiterate e chiare richieste del difensore del reclamante finalizzate all’effettivo soddisfo delle stesse. È altresì indubitabile co-me comunque tale problematica non possa riflettersi negativamente sul fondamentale diritto di accesso ai tabulati del reclamante né andare esente da una valutazione critica da parte dell’Autorità, anche ove limitata a pochi casi rispetto alla notevole massa di istanze pervenute a Tim, che peraltro si limita ad asserire, senza tuttavia comprovare, tale circostanza statistica (v. provv. 11 novembre 2021, cit.).

Gli elementi complessivamente acquisiti -anche sulla base delle dichiarazioni rese dalle parti, ai sensi dell’art. 168 del Codice- confermano la legittimità delle richieste del reclamante, in ragione del rinvio a giudizio nell’ambito del procedimento penale e della connessa esigenza di svolgere indagini difensive (come rappresentate chiaramente anche alla Società), ed altresì la tempestività delle stesse rispetto al criterio ex lege dei 24 mesi (in particolare quelle del 15.12.2020 e del 7.1.2021).

A tali richieste non risulta, per quanto in atti, un fattivo riscontro da parte di Tim. Infatti, con particolare riguardo ai tabulati in uscita, la Società, pur avendone assicurato la loro conse-gna con nota del 18.12.20, non vi ha provveduto, per poi, a fronte dei diversi solleciti nel tem-po ricevuti, comunicare -solo con PEC del 17.02.2021- che non risultava più possibile farlo per decorso dei termini di cui all’art. 132 del Codice. Ancor più tardi, con pec del 21.4.21, la mede-sima Società precisava che la consegna in questione non era avvenuta “per un disguido”.

Con particolare riguardo alle telefonate in entrata, nel richiamare il provvedimento del Garante 3 novembre 2005, "Accesso ai dati telefonici: garanzie per le chiamate in entrata" (doc. web n. 1189488), questo Ufficio deve ribadire che “le indicazioni, principi, misure e garanzie ivi indicati possono ritenersi valide anche dopo la piena operatività del Regolamento, che, come noto, ha riservato a una distinta prossima fonte regolatoria la disciplina delle comunicazioni elettroniche, ancora riferibile pertanto alla direttiva 2002/58/CE, come recepita dal titolo X del Codice e dunque dal menzionato art. 132, non abrogato infatti dal detto Regolamento” (v., in questi stessi termini, il provv. 14 maggio 2020, cit.).

In base a quanto indicato nel citato provvedimento generale, "In via di eccezione […] le richieste di esercizio dei diritti possono essere presentate, ed evase positivamente, quando comprovano che la risposta ad esse da parte del fornitore è necessaria per evitare un pregiudizio effettivo e concreto per lo svolgimento delle investigazioni difensive", pur avendo ad oggetto il traffico telefonico in entrata.

Ebbene, nella fattispecie emerge un chiaro stretto collegamento fra le richieste di tabulati in entrata e le esigenze difensive del reclamante, soprattutto ai fini dell’individuazione e verifica delle posizioni geografiche assunte dall’imputato al tempo dei fatti contestati, in ragione del-le celle agganciate dall’utenza telefonica quando genera traffico. Per quanto in atti, Tim risulta aver trascurato anche la gestione della richiesta dei tabulati in entrata, in quanto dapprima ha eccepito (pur di fronte all’originaria richiesta puntuale e motivata del difensore del reclamante) la mancata compilazione del modulo preposto; successivamente, la Società, pur avendo rice-vuto il detto modulo debitamente compilato, non ha provveduto alla consegna né ha fornito alcun riscontro. Solo con pec del 17.02.2021, Tim ha dichiarato di non poter fornire siffatti ta-bulati perché, a tal data, erano conservati unicamente per gli specifici reati previsti dall’art. 132 del Codice, aggiungendo ancor più tardi (pec 21.4.21) un’ulteriore nuova motivazione, os-sia che il danno che il richiedente avrebbe potuto subire a causa del mancato invio non sarebbe stato “correttamente dimostrato”.

Come detto sopra, la fattispecie sottesa al presente reclamo risulta connotata da profili di stretta analogia con il caso oggetto del provvedimento 14 maggio 2020, che è stato impugnato presso l’autorità giudiziaria da Tim, anche sulla base dell’asserita esigenza di ricevere un ordi-ne puntuale da parte dell’Autorità di estrarre i tabulati dal data base riservato alle Autorità giudiziarie per le finalità di antiterrorismo, non disponendo di altra possibile copia, per poter soddisfare l’istanza del reclamante. Orbene, è opportuno ricordare che il Tribunale di Milano, con sentenza n. 2939 del 9 aprile 2021, ha rigettato il ricorso proposto da Tim, in particolare confermando la legittimità dell’impostazione giuridica fornita dall’Autorità con riguardo alla necessità di tutelare le istanze degli interessati ai tabulati, a prescindere dallo specifico titolo formale utilizzato a sostegno delle stesse.

Peraltro, com’è noto, la disposizione di cui all’art. 150, comma 5, del Codice che preve-deva la possibilità, in caso di “difficoltà o contestazioni riguardo all’esecuzione del provvedimento”, di rivolgersi al Garante perché disponesse “le modalità di attuazione”, non è stata confermata dal nuovo quadro normativo, probabilmente conformemente al diverso approccio basato sull’accountability del titolare. Ciò nonostante, in sede di definizione del presente reclamo, l’Autorità deve preliminarmente tener conto che, nel caso in esame (come negli altri sopra cita-ti), Tim - che non ha dato fattivo riscontro alle istanze di esercizio del diritto di accesso ai tabu-lati tempestivamente formulate dal legale del reclamante per investigazioni difensive nell’ambito di un procedimento penale - ha affermato di non aver conservato i tabulati, essen-do trascorsi i 24 mesi (previsti dal comma 1, dell’art. 132, cit.), se non esclusivamente per le esigenze di accertamento e prevenzione dei particolari reati di cui alla legge n. 167/2017, se-condo la maggiore durata (72 mesi) ivi disposta.

È dunque indiscutibile -contrariamente a quanto complessivamente emergente dalla dife-sa di Tim- la violazione dell’obbligo di consegnare siffatti dati a fronte di una richiesta legittima quanto tempestiva. In tal senso, non può aver rilievo la disponibilità manifestata da Tim, solo a termini ormai superati.

Come già chiaramente statuito nel citato provv. 8 luglio 2021, la correttezza e tempestivi-tà della richiesta inoltrata dal reclamante, invero, è fatto giuridico costitutivo dell’obbligo della Società di rilasciare i dati. Non può rilevare, invero, in funzione esonerativa di tale obbligo, il decorso –nelle more- del lasso temporale di 24 mesi ex lege contemplato per la conservazione dei dati, trattandosi di fatto: - ascrivibile unicamente all’inerzia colpevole della Società e, quin-di, ad una sua condotta illecita che non può riverberarsi in danno del reclamante: - non riconducibile in alcun modo allo stesso reclamante, attivatosi per contro in guisa diligente e tempe-stiva al fine della acquisizione dei dati. Pertanto, la circostanza – pure allegata dalla Società - per cui i dati in questione non sarebbero stati “conservati” ovvero “congelati” nella banca dati “ordinaria” ex art. 132 del Regolamento, essendo al momento detenuti solo all’interno delle ba-si dati funzionali esclusivamente a garantire le indagini ed il perseguimento dei particolari e gravi reati di cui all’art. 24 della L. 167/2017:

a) non può assumere alcuna valenza scusante rispetto al mancato adempimento dell’obbligo di rilascio dei dati, valendo di contro a connotare in termini di maggior disvalore il contegno sostanzialmente omissivo della Società che, benché destinataria di una tempestiva richiesta, ha lasciato inutilmente decorrere il periodo di 24 mesi ivi contemplato, non mai peritandosi  - come pure una logica prudenziale e di attenzione nei confronti dell’interessato avrebbe ri-chiesto – di “congelare” ovvero “continuare a conservare nell’apposito sistema” i dati in questione sin dal momento della richiesta;

b) non può frustrare le legittime aspirazioni del reclamante all’ottenimento, in “forma specifi-ca”, dell’agognato bene della vita, con l’acquisizione di dati funzionali alla piena e consape-vole esplicazione delle proprie guarentigie difensive nel procedimento penale di cui è parte. E ciò – come stabilito nel citato provv. 8 luglio 2021- in ossequio ai principi generali per cui:

- l’adempimento dell’obbligo in questione, in funzione della tutela delle indefettibili prero-gative difensive dell’indagato oltre che dell’interesse pubblicistico al giusto processo (artt. 24 e 111 Cost.; art. 6 e 13 CEDU; art. 47 Carta di Nizza), non può in alcun modo essere rimessa alla “libera scelta” del soggetto (fornitore) che all’assolvimento di quell’obbligo è indefettibilmente chiamato, in guisa effettiva, diligente e tempestiva;

- il “tempo” occorso per la definizione della vicenda –dapprima nei confronti del fornitore, e poi nel procedimento “giustiziale” esperito avanti a questa Autorità- non può andare in danno del soggetto “che ha ragione”.

Peraltro, va considerato che Tim, anche sulla base dei recenti citati provvedimenti in ma-teria (tesi a bilanciare il diritto alla protezione dei dati con il diritto alla difesa dell’imputato mediante l’ordine di soddisfare l’istanza di accesso del reclamante: v. provv. 14 maggio 2020, cit.; anche, ove necessario, mediante il recupero dei tabulati dal SAG e loro trasmissione al di-fensore del richiedente: v. provv. 8 luglio 2021, cit.), avrebbe potuto/dovuto attivarsi fin dal momento – 4 maggio u.s. - della richiesta di informazioni riguardo al reclamo in parola, come formulata dall’Ufficio dell’Autorità (o al più tardi dal momento – 8 novembre u.s. - della rice-zione della contestazione), senza dover attendere il nuovo ulteriore eventuale provvedimento del Collegio (o, in alternativa, l’archiviazione dell’istruttoria avviata) soprattutto tenendo con-to del persistente interesse dell’imputato a ricevere i tabulati (pur decorso il termine di 24 mesi previsto dalla legge), in ragione del procedimento penale in corso (di cui un’udienza si è infatti tenuta il 15 dicembre u.s.). Da quanto precisato, emerge – a differenza di quanto lamentato da Tim- un orientamento costante e coerente dall’Autorità al riguardo, pur declinato in tempi di-versi (nella presente fattispecie, attendendo gli esiti della memoria difensiva e dell’audizione), in ragione delle specificità delle doglianze e del contesto di riferimento (come eventuali ‘recidi-ve’; situazione socio-economica peculiare della Società; emergenza pandemica) e tenendo con-to altresì non solo della normativa in fieri ma anche dell’avvenuta impugnazione da parte di Tim del provv. 27 maggio 2021, cit., per una presunta lesione del contraddittorio, nonché degli altri citati analoghi provvedimenti.

Tutto ciò considerato, non potendo ammettersi che il fondamentale diritto di difesa in ambito penale possa rimanere sostanzialmente compromesso –per fatto colpevole ascrivibile unicamente al contegno omissivo ed inadempiente del fornitore (v. provv. 8 luglio u.s., cit.) – si ritiene, ai sensi dell’art. 57 par. 1, lett. f), del Regolamento, di dover adottare nei confronti di Tim un provvedimento che anzitutto dichiari illecita la condotta della Società in quanto violativa del diritto di accesso del reclamante ai tabulati. Inoltre, ai sensi dell’art. 58, par. 2, lett. c), del Regolamento, occorre ordinare a Tim di soddisfare la richiesta del reclamante, fornendogli senza ulteriore ritardo i dati in questione, in quanto tempestivamente richiesti, in data rientrante nel periodo di 24 mesi contemplato ex lege per la conservazione ai sensi dell’art. 132 del Regolamento, “anche attraverso la verifica di idonee soluzioni tecniche per il recupero dei tabulati in questione” (v., in questi termini, già il provv. 8 luglio 2021, cit.).

Si ritiene di dover soprassedere, nel caso di specie, dall’ingiungere l’adozione di apposite misure organizzative e tecniche, tenuto conto che tale prescrizione era già contenuta nel citato provvedimento 14 maggio 2020 e che comunque nel frattempo (fra fine novembre 2020 e l’inizio dello scorso febbraio) Tim ha comunicato all’Autorità di aver predisposto più ampie ed articolate misure per gestire le istanze di esercizio dei diritti di cui agli artt. 15-22 del Regolamento, in attuazione del menzionato provvedimento 15 gennaio 2020.

Si ritiene, viceversa, di non poter soprassedere –differentemente dal citato provvedimento adottato il 14 maggio 2020- dall’applicazione di una sanzione amministrativa pecuniaria, considerato che il caso odierno (unitamente ad ulteriori analoghi reclami pervenuti all’Autorità) “impone di leggere il comportamento tenuto da TIM non già come esito errato della gestione di una singola istanza” (v. in questi termini provv. 8 luglio, cit.), ma piuttosto come una prassi aziendale lacunosa nell’adeguata ottemperanza all’obbligo normativo, con riferimento a vicende in cui peraltro sono in gioco fondamentali diritti della persona legati al diritto di difesa in sede penalistica. In tal senso, il comportamento risulta aggravato dal non aver neanche previsto una modalità cautelare specifica di conservazione dei tabulati in questione per il tempo legato al contenzioso in essere.

4. Ordinanza-ingiunzione per l’applicazione della sanzione amministrativa pecuniaria.

La violazione delle norme sopra indicate impone dunque l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di TIM delle sanzioni amministrative pecuniarie previste dall’art. 83, par. 5, del Regolamento (pagamento di una somma fino a € 20.000.000 ovvero, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore).

Per la determinazione dell’ammontare della sanzione, occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento, che, nella presente fattispecie, possono considerarsi nei termini seguenti.

Rilevate, in particolare, in funzione aggravante:

1. la gravità della violazione (art. 83, par. 2, lett. a), con riferimento alla particolare natura dei trattamenti connessi all’esercizio dei diritti in sede giudiziaria e alla circostanza che le con-dotte della Società hanno ostacolato l’agevole esercizio del proprio diritto di difesa nei ter-mini accordati dalla legge, in quanto -pur ove eventualmente assicurato poi dall’intervento del giudice- può rilevarsi un aggravio delle procedure processuali, anch’esso elemento ido-neo ad incidere sulla sfera soggettiva dell’interessato medesimo;

2. la dimensione soggettiva della condotta, che deve ritenersi gravemente colposa, avendo tra-scurato il riscontro a istanze chiare e motivate, in fatto e in diritto, nonché reiterate, con particolare riguardo a quelle presentate dal difensore (art. 83, par. 2, lett. b);

3. i provvedimenti inibitori, correttivi e sanzionatori, adottati dell’Autorità a carico della Socie-tà, con riguardo anche alla non corretta gestione dei diritti degli interessati, fra cui il provv. 15 gennaio 2020, n. 7, doc. web n. 9256486; l’ord. ingiunz. 18 gennaio 2018, n. 16, doc web n. 7665804, collegata al provv. 22 giugno 2016 n. 275, doc. web n.5255159; l’ord. ingiunz. n. 433 del 3 ottobre 2013, doc. web n. 2726332 (art. 83, par. 2, lett. e));

4. il menzionato precedente provvedimento correttivo (provv. 14 maggio 2020, cit.), con cui era stata accertata la non corretta gestione delle istanze relative ai tabulati nell’ambito delle investigazioni difensive, pur senza comminare sanzioni, avendo ritenuta collocabile la vio-lazione riscontrata nel contesto dei trattamenti oggetto del citato provv. 15 gennaio 2020, nonché due citati precedenti sanzionatori specifici: provv. 8 luglio 2021 e provv. 11 novem-bre 2021 (art. 83, par. 2, lett. k);

5. la particolare rilevanza economica della Società (art. 83, par. 2, lett. k), tenuto conto dei dati di bilancio 2020, con specifico riferimento ai ricavi complessivi e all’utile netto.

Rilevate, come circostanze attenuanti:

1. l’asserito rilevante numero delle istanze di esercizio dei diritti degli interessati, e in particola-re di richieste di tabulati, pervenute alla Società nel periodo di riferimento (art. 83, par. 2, lett. a);

2. la comunicata adozione di misure, con specifico riguardo alle istanze aventi ad oggetto i tabulati telefonici per indagini difensive, che ragionevolmente dovrebbero impedire o comunque limitare analoghe problematiche (art. 83, par. 2, lett. c);

3. la situazione di grave crisi socio-economica collegata alla pandemia in corso, unitamente agli investimenti asseritamente sostenuti da Tim per attuare alcuni dei citati specifici prov-vedimenti correttivi del Garante (art. 83, par. 2, lett. k).

In base al complesso degli elementi sopra indicati, in applicazione dei principi di effettivi-tà, proporzionalità e dissuasività indicati nell’art. 83, par. 1, del Regolamento, tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali della Società, si ritiene debba applicarsi a Tim spa la sanzione amministrativa di euro 200.000,00 (duecentomila/00).

Nel caso in argomento si ritiene che debba applicarsi anche la sanzione accessoria della pubblicazione nel sito web del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto del carat-tere macroscopico delle violazioni rilevate con riguardo a principi giuridici ormai consolidati nell’attività provvedimentale del Garante e nella giurisprudenza (v. in tal senso anche provv. 11 novembre 2021, cit.).

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Si ricorda che, in caso di inosservanza del medesimo provvedimento, è applicabile la sanzione di cui all’art. 83, par. 5, lett. e), del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

a) ai sensi dell’art. 57 par. 1, lett. f), del Regolamento, dichiara illecita la condotta di Tim S.p.A. - con sede legale in Via Gaetano Negri, 1, Milano; p. iva 00488410010 - e pertanto dichiara il reclamo fondato nei termini di cui in motivazione; 

b) ai sensi dell’art. 58, par. 2, lett. c), del Regolamento, ingiunge a Tim Spa di fornire al re-clamante i dati richiesti, anche attraverso la verifica di idonee soluzioni tecniche per il re-cupero dei tabulati in questione, senza ulteriore ritardo, e comunque entro il termine di 7 giorni dalla data di ricezione del presente provvedimento, trattandosi di dati tempesti-vamente richiesti dal reclamante, prima della scadenza del termine di 24 mesi contem-plato dall’art. 132 del Regolamento, colpevolmente lasciato decorrere dalla TIM;

c) chiede a Tim S.p.A. di fornire riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice entro 15 giorni dalla data di ricevimento del presente provvedimento. Si ri-corda che il mancato riscontro alle richieste di cui sopra integra gli estremi dell'illecito amministrativo di cui all'art. 166, comma 2, del Codice;

ORDINA

a Tim S.p.A., in persona del legale rappresentante pro-tempore, di pagare la somma di euro 200.000,00 (duecentomila/00) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 200.000,00 (duecentomila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

quale sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, la pubblicazione nel sito web del Garante del presente provvedimento, e, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma,  13 gennaio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei