[doc. web n. 9803345]

Ordinanza ingiunzione nei confronti di Federazione Italiana Sommelier, Albergatori e Ristoratori - 30 giugno 2022

Registro dei provvedimenti
n. 239 del 30 giugno 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato dal Sig. XX in data 05/05/2021 – e regolarizzato il 31/08/2021 - ai sensi dell’art. 77 del Regolamento, con cui è stata lamentata una presunta violazione della disciplina in materia di protezione dei dati personali da parte della Federazione Italiana Sommelier, Albergatori e Ristoratori (di seguito “FISAR” o “Associazione” o “Federazione”);

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo e l’attività istruttoria.

Con il reclamo presentato a questa Autorità in data 05/05/2021 – regolarizzato il 31/08/2021 – nei confronti della Federazione Italiana Sommelier, Albergatori e Ristoratori, il Sig. XX, socio della predetta Federazione, ha lamentato l’illiceità del trattamento dei dati personali che lo riguardano, con particolare riferimento alla indebita comunicazione a tutti gli associati dei dati concernenti il provvedimento di esclusione, adottato nei suoi confronti dal Consiglio nazionale nella riunione del 16 gennaio 2021; tali dati, in particolare, erano contenuti nel verbale della riunione anzidetta che sarebbe stato inviato a tutti i soci in forma integrale. Nel reclamo l’interessato ha, peraltro, evidenziato come la Federazione, in riscontro alla nota del 14 marzo 2021 con cui lo stesso esprimeva il proprio disappunto per quanto occorso, si è limitata ad affermare di “non aver posto in essere alcun comportamento in violazione delle norme poste a tutela della privacy”.

A seguito dell’invito formulato da questo Ufficio il 15/09/2021 a fornire osservazioni in ordine ai fatti oggetto del reclamo, con nota datata 9/11/2021, FISAR, rappresentata e difesa dall’avv. Andrea Duretti, nell’affermare che il verbale oggetto di doglianza “non reca alcun dato sensibile del reclamante se non il nome e il cognome e il nome della società di cui è legale rappresentante, dati questi pubblici e non coperti da alcun divieto di diffusione”, ha altresì precisato che:

lo stesso “non è stato inviato a tutti gli associati bensì inserito, come del resto tutti i verbali del CN, nel fisarcloud degli associati FISAR, i quali entrano in tale sezione con le loro credenziali di accesso”;

“in merito alle procedure adottate da FISAR a tutela della privacy dei propri associati”, la Federazione, al momento dell’adesione da parte degli stessi (come si evince dal modulo di adesione allegato in copia), fornisce “l’informativa sul trattamento dei dati personali che viene controfirmata per presa visione ed accettazione da tutti i soci al momento del tesseramento; l’informativa rimanda altresì allo Statuto di FISAR che a sua volta rimanda al Regolamento interno”.
Con successiva nota del 03/12/2021, la Federazione, in riscontro alla richiesta di ulteriori chiarimenti formulata dall’Ufficio, in data 18/11/2021, in ordine all’eventuale individuazione - nello Statuto o in altro atto deliberativo adottato dalla FISAR - dell’ambito e delle modalità di circolazione delle informazioni relative ai soci all’interno della compagine associativa, ha dichiarato che:

“lo Statuto Societario e il Regolamento interno sono i due principali documenti su cui si regge il telaio strutturale della nostra associazione”; mentre, “attraverso lo Statuto, FISAR esprime formalmente e solennemente i principi fondamentali che riguardano l’organizzazione e l’ordinamento della Federazione”, il Regolamento Interno Generale prevede “particolari norme di funzionamento e di esecuzione dello Statuto”; a questi si aggiungono una serie di ulteriori “regolamenti interni attraverso i quali la Federazione intende disciplinare tutti gli aspetti non trattati in dettaglio nello Statuto ma non per questo meno importanti nel funzionamento dei rapporti con i soci: l’utilizzo di regolamenti è stato ritenuto necessario ed utile per disciplinare il rapporto sociale orientandosi a principi di correttezza, trasparenza e completezza delle informazioni (…)”;

“Utile alla presente trattazione è senz’altro l’art. 19 del Regolamento titolato “Provvedimenti disciplinari”, con particolare riguardo al comma 5 laddove è previsto che “I provvedimenti disciplinari di cui alla lettere c) e d) [rispettivamente inibizione temporanea o definitiva a ricoprire cariche o incarichi nell’associazione e radiazione] del comma 1 del presente articolo, una volta divenuti definitivi, per mancato ricorso al Collegio dei probiviri o a seguito di decisione di quest’ultimo, devono essere pubblicati sull’organo ufficiale dell’associazione (sito e rivista)”.

Al riguardo FISAR ha affermato che “La redazione di quest’ultimo punto ha comportato, in sede di stesura del regolamento, non poche riflessioni, soprattutto in merito alle modalità di trattamento dei dati personali dell’associato radiato dall’associazione. Le scelte, considerato l’interesse degli associati ad essere informati sui soggetti che non potranno più rappresentare l’associazione, si sono rivolte verso la “pubblicazione” dei nominativi dei soggetti radiati onde evitare che gli associati possano farvi affidamento, inconsapevoli che l’associato non può più in nessun modo rappresentare la Federazione”; ha quindi aggiunto che “La scelta dei mezzi di diffusione dei provvedimenti di esclusione ha tenuto conto del fatto che non tutti gli associati sono fruitori dei servizi telematici e possono non avere accesso direttamente e ininterrottamente al sito internet (il quale contiene il FISARCLOUD), per loro scelta o per impossibilità; ecco che si è scelta la rivista quale strumento ausiliario e complementare per raggiungere gli scopi descritti dall’art. 19 del regolamento che tutti gli associandi e gli associati dichiarano di conoscere e di accettare, insieme alle norme statutarie, alle modalità di pagamento e agli importi complessivi di adesione, al momento della sottoscrizione del “Modello di richiesta tesseramento” che forniamo in allegato”.

Con comunicazione del 04/01/2022, il reclamante ha fatto pervenire a questa Autorità ulteriore documentazione attestante gli sviluppi della vicenda occorsa; in particolare, nel rappresentare che in data 26/07/2021 il Collegio Nazionale dei Probiviri (al quale lo stesso aveva presentato formale ricorso secondo le modalità previste dai regolamenti associativi) ha riconosciuto la fondatezza della sua opposizione (con conseguente annullamento della delibera del Consiglio nazionale che aveva disposto la sua esclusione dall’associazione), ha evidenziato come tale provvedimento, a differenza del precedente, non sia stato oggetto di alcuna diffusione; al contempo ha sottolineato come “all’interno del Cloud FISAR accessibile a tutti gli associati, ma non al sottoscritto al quale gli accessi sono ancora interdetti, sono ancora presenti i documenti relativi all’esclusione (ma non alla vittoria del ricorso)”; l’interessato ha quindi fatto presente di essersi rivolto al Consiglio nazionale il 20/12/2021, chiedendo allo stesso di provvedere affinché tutti i soci possano venire a conoscenza dell’anzidetta decisione del Collegio dei probiviri.

La Federazione, con nota pervenuta a questa Autorità il 28/01/2022, ha trasmesso copia di un documento attestante l’avvenuta rettifica sugli organi di informazione FISAR del provvedimento di annullamento dell’esclusione del Sig. XX.

L’Ufficio, pertanto, sulla base della documentazione in atti e degli elementi acquisiti nel corso dell’istruttoria, con comunicazione del 23/02/2022, ha provveduto a notificare alla FISAR l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione dell’art. 6, par. 1, lett. a) e f) del Regolamento nonché dei principi generali di liceità e minimizzazione dei dati rispetto alle finalità perseguite, di cui all’art. 5, par. 1, lett. a) e c) del Regolamento.

La Federazione, in data 24/03/2022, ha fatto pervenire i propri scritti difensivi ai sensi dell’art. 18 della legge n. 689/1981, con i quali, nel formulare richiesta di audizione (audizione che non è stata effettuata per mancato riscontro all’invito formulato dall’ufficio in data 14/04/2022), ha evidenziato che:

“l’art. 19, comma 5 del regolamento sui Procedimenti disciplinari non può essere letto senza tenere in considerazione quanto indicato dall’art. 5, comma 6 dello Statuto sociale che letteralmente recita: “L’esclusione è deliberata dal Consiglio nazionale, su istanza della Giunta esecutiva nazionale nei seguenti casi (…)”;

l’art. 5, comma 7 dello Statuto sociale indica che “Il provvedimento di esclusione è comunicato con lettera raccomandata o sistemi equipollenti ed è immediatamente esecutivo” e pertanto “non è soggetto ad ulteriore ratifica da parte del Collegio dei Probiviri”, che è “un organo di garanzia per gli associati e per i terzi (…) il quale tuttavia interviene solo dopo ricorso della parte interessata e nei termini previsti; solo a questo punto il Collegio dei Probiviri potrà pronunciarsi, nel termine di 60 giorni decidendo, in questo caso si, in modo definitivo, nulla togliendo alla effettività e alla esecutività della decisione presa dal Consiglio Nazionale”; in particolare, “al punto 7 dell’art. 14 dello Statuto sociale viene ribadito che “Il Collegio dei Probiviri, inoltre, decide definitivamente sul ricorso degli associati in caso di esclusione”; decide sul ricorso e non su una decisione del Consiglio nazionale la quale, in caso di esclusione, diventa immediatamente esecutiva (…)”:

“A suggello di quanto sostenuto finora, se per assurdo il Consiglio non avesse provveduto alla pubblicazione del provvedimento, non avrebbe correttamente ottemperato ai doveri di correttezza e di trasparenza nei confronti degli associati, violando quanto sancito dal citato comma 7 dell’art. 5 dello Statuto sociale”.

Con successiva nota del 6 aprile 2022, il reclamante ha rappresentato a questa Autorità che, in data 24/03/2022, a seguito del nuovo tesseramento richiesto e accettato dalla Federazione in data 09/02/2022, ha ricevuto comunicazione di un nuovo provvedimento di esclusione, deliberato dal Consiglio nazionale “durante la riunione del 19 febbraio 2022 al termine di un’istruttoria che ha rilevato comportamenti in contrasto con gli interessi di FISAR”. Nella medesima nota, l’interessato ha altresì sottolineato come, alla data del 3 aprile 2022, “all’interno del Cloud sono ancora presenti tutti i documenti relativi alla vicenda (ma non alla vittoria del ricorso) oltre che informazioni relative al sottoscritto ed alla mia società WineTrade” (profilo, questo, di cui non è stata fornita evidenza).

2. L’esito dell’istruttoria.

All’esito dell’esame delle dichiarazioni rese dal titolare del trattamento nel corso del procedimento (della cui veridicità l’autore risponde ai sensi e per gli effetti di cui all’art. 168 del Codice), nonché della documentazione acquisita agli atti, questa Autorità formula le seguenti considerazioni.

FISAR è un’associazione di categoria che, come riportato all’art. 3 dello Statuto approvato il 20 gennaio 2018, ha come scopo “l’attività di promozione e di tutela della figura del sommelier” e che, per il raggiungimento di tali finalità, può svolgere tutte le attività indicate, “a titolo esemplificativo e non esaustivo”, all’art. 4 dello Statuto medesimo, nonché “tutte quelle attività che non contrastino con la sua natura associativa e ed al suo scopo (…)”.

In questo contesto, il trattamento dei dati personali degli associati, con riferimento ai dati comuni, è lecito laddove gli stessi abbiano prestato il loro consenso (art. 6, par. 1, lett. a) e Cons. 40 del Regolamento) ovvero il trattamento sia necessario per il perseguimento del legittimo interesse dell’associazione o di terzi a condizione però che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato (art. 6, par. 1, lett. f) del Regolamento), “tenendo conto delle ragionevoli aspettative nutrite dall’interessato medesimo in base alla sua relazione con il titolare” e delle circostanze in cui l’interessato non possa “ragionevolmente attendersi un ulteriore trattamento dei suoi dati” (cfr. Cons. 47 del Regolamento).

Ciò considerato, è alla regolamentazione interna dell’associazione che deve necessariamente farsi riferimento per individuare i presupposti del c.d. “legittimo interesse” al trattamento dei dati dell’associato, con la conseguenza che il trattamento è lecito - ai sensi dell’art. 6, comma 1, lett. f) del Regolamento - nei casi in cui lo stesso sia posto in essere nello svolgimento delle finalità associative, come individuate nello Statuto, e nei limiti in cui l’interessato, al momento della raccolta dei suoi dati, potesse ragionevolmente attendersi il trattamento medesimo.

Al di fuori di questo ambito, il presupposto di liceità del trattamento dei dati dell’associato è rinvenibile nel consenso espresso dallo stesso, adeguatamente informato, al momento dell’adesione all’associazione.

Tanto premesso, nel caso in esame, è emerso che FISAR ha comunicato a tutti gli associati informazioni relative all’interessato, concernenti il provvedimento di esclusione adottato nei suoi confronti dal Consiglio nazionale nella riunione del 16 gennaio 2021.

E’ altresì emerso che, al momento dell’iscrizione, la Federazione rende a ciascun aderente l’informativa ai sensi dell’art. 13 del Regolamento nella quale è specificato che il trattamento dei dati degli associati è effettuato per il perseguimento delle finalità associative, cosi come individuate nello Statuto e nei limiti e secondo le modalità stabilite nel Regolamento Interno Generale (che prevede “particolari norme di funzionamento e di esecuzione dello Statuto”) nonché nei diversi “regolamenti interni attraverso i quali la Federazione ha disciplinato tutti gli aspetti non trattati in dettaglio nello Statuto”.
In particolare, il regolamento recante il titolo “Provvedimenti disciplinari”, all’art. 19, comma 5, prevede espressamente – nella parte relativa all’interesse degli associati a “essere informati sui soggetti che non potranno più rappresentare l’associazione” - la pubblicazione “sull’organo ufficiale dell’associazione (sito e rivista)” dei provvedimenti disciplinari dell’inibizione temporanea o definitiva a ricoprire cariche o incarichi nell’associazione e della radiazione “una volta divenuti definitivi, per mancato ricorso al Collegio dei probiviri o a seguito di decisione di quest’ultimo”.

Nel caso di specie, tuttavia, la pubblicazione in questione, benché prevista nel citato art. 19, comma 5 del regolamento sui Procedimenti disciplinari, ha avuto a oggetto un provvedimento, adottato dal Consiglio nazionale ai sensi dell’art. 5, comma 6 dello Statuto, ancora non definitivo, peraltro successivamente annullato proprio dal Collegio dei probiviri che ha ritenuto fondato il ricorso proposto dal reclamante ai sensi del successivo comma 7 dell’art. 5 dello Statuto.

Ciò ha quindi comportato che, a fronte di una specifica regolamentazione interna che disciplina puntualmente le modalità e i limiti della conoscibilità dei provvedimenti disciplinari all’interno della compagine associativa - prevedendo che ciascun provvedimento sia oggetto di pubblicazione sull’organo ufficiale dell’associazione soltanto “una volta divenuto definitivo” – il provvedimento relativo al reclamante è stato invece comunicato a tutti gli associati senza verificare che lo stesso avesse queste caratteristiche. Peraltro, anche successivamente all’annullamento del provvedimento da parte del Collegio dei Probiviri e fino al 28 gennaio 2022, il provvedimento disciplinare ha continuato a essere pubblicato sulla piattaforma cloud alla quale accedono gli associati della Fisar, contribuendo così a dare una rappresentazione non più pertinente dell’interessato.

Pertanto, il trattamento in questione risulta illecito per violazione dell’art. 6, par. 1 del Regolamento essendo stato effettuato non rispettando le condizioni di liceità richieste dalla norma (par. 1, lett. a) e f)) nonché i principi generali di liceità e minimizzazione dei dati, rispetto alle finalità perseguite, di cui all’art. 5, par. 1, lett. a) e c) del Regolamento.

3. Conclusioni: illiceità dei trattamenti effettuati.

Alla luce delle valutazioni che precedono, si rileva che le dichiarazioni rese dal titolare del trattamento nelle memorie difensive, seppure meritevoli di considerazione e della cui veridicità si può essere chiamati a rispondere ai sensi del citato art. 168 del Codice, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano pertanto insufficienti a consentirne l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019, concernente le procedure interne all’Autorità aventi rilevanza esterna.

Per i suesposti motivi, pertanto, si dichiara fondato il reclamo presentato ai sensi dell’art. 77 del Regolamento e, nell’esercizio dei poteri correttivi attribuiti all’Autorità ai sensi dell’art. 58, par. 2, del Regolamento, si dispone l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, del Regolamento.

Considerato infatti che, nel corso del procedimento, il titolare del trattamento ha dichiarato di avere provveduto alla rettifica, sugli organi di informazione FISAR, dell’informazione concernente il provvedimento di esclusione del reclamante, dando evidenza che lo stesso è stato annullato “per provvedimento Probiviri”, si ritiene non ricorrano i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

4. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali riferito al reclamante, di cui è stata accertata l’illiceità, nei termini sopra esposti.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione è stata considerata rilevante la natura della violazione, che ha riguardato i princìpi generali di liceità nel trattamento dei dati personali e la gravità della stessa, con riferimento alla circostanza che tutti gli associati sono stati destinatari della comunicazione illecita;

è stato positivamente considerato il fatto che la Federazione abbia provveduto a rettificare l’informazione oggetto di illecita comunicazione, dando evidenza dell’avvenuto annullamento del provvedimento di esclusione, dopo l’avvio del procedimento;

la circostanza che l’associazione ha attivamente cooperato con l’Autorità nel corso del procedimento;

il fatto che non risultano precedenti violazioni commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento;

la circostanza che i dati personali interessati dalla violazione, pur riguardando aspetti connaturati da una certa delicatezza in quanto relativi all’adozione di un procedimento disciplinare, non rientrano comunque nella categoria dei dati particolari di cui all’art. 9 del Regolamento.

Si ritiene, inoltre, che assuma rilevanza, nel caso di specie, in considerazione dei richiamati principi di effettività, proporzionalità e dissuasività (art. 83, par. 1, del Regolamento) ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione, il fatto che il contravventore sia un ente associativo che non persegue finalità di lucro.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000 (cinquemila) per la violazione degli artt. 5, par. 1, lett. a) e f) e 6, par. 1 del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata, che ha riguardato i principi di protezione dei dati personali, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e f) e 6, par. 1 del Regolamento;

ORDINA

a Federazione Italiana Sommelier, Albergatori e Ristoratori, in persona del Presidente pro-tempore, con sede in Asciano (PI), Via dei Condotti n. 16, P.I. 01111200505, ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 5.000 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

alla medesima Federazione di pagare la somma di euro 5.000 (cinquemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 30 giugno 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei