[doc. web n. 1877014]

Ordinanza di ingiunzione nei confronti di Betfair Italia srl - 20 ottobre 2011

Registro dei provvedimenti
n. 391 del 20 ottobre 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione di violazione amministrativa redatto in data 7 ottobre 2009, nei confronti di Betfair Italia srl, con sede in Milano, Via Giosuè Carducci n. 36, in persona del legale appresentante pro-tempore, per la violazione degli artt. 13, 23 e 37 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

VISTI gli atti dell´accertamento ispettivo svolto dal Nucleo privacy della Guardia di finanza in data 15 luglio 2009, in esecuzione della richiesta di informazioni n. 14330/53969 e su delega del Garante n. 14333/53969, entrambe datate 23 giugno 2009;

VISTO il verbale n. 21832/64643 del 7 ottobre 2009 con cui sono state contestate alla predetta società le violazioni amministrative previste dagli artt. 161, in combinato disposto con l´art. 164-bis,comma 1, 162, comma 2-bis e 163 del Codice, in relazione agli artt. 13, 23 e 37 del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale Betfair Italia srl:

a) relativamente alla violazione di cui all´art. 161 del Codice per l´omessa indicazione della possibilità di azionare i diritti di cui all´art. 7 del Codice nel testo dell´informativa riportata nel "Contratto di servizio" ha rappresentato che:

- "l´informativa agli interessati non viene resa da Betfair attraverso il contratto, ma con un documento a parte ("Informativa ai clienti ai sensi dell´articolo 13 del Codice in materia di protezione dei dati personali") che il cliente deve dichiarare di aver letto prima di poter accedere al testo del contratto e, quindi, procedere alla sua stampa/sottoscrizione. Il punto n. 7 (Diritto di accesso ai dati personali ed altri diritti ai sensi dell´articolo 7 del Codice in materia di protezione dei dati personali) della medesima informativa menziona espressamente i diritti ex art. 7 del d. lgs. 196/2003 che il soggetto può esercitare". Tra l´altro, il Contratto di servizio, oggetto di contestazione, si basa su uno schema-tipo predisposto dall´Amministrazione Autonoma dei Monopoli di Stato (AAMS), per cui "la pubblicazione di un contratto di riferimento da parte dell´autorità regolatrice del settore dei giochi, non poteva che ingenerare, in un operatore di comune diligenza, il legittimo affidamento che lo stesso contratto fosse compatibile con le regole imperative dell´ordinamento italiano, anche in materia di protezione dei dati personali";

b) relativamente alla violazione amministrativa prevista dall´art. 162, comma 2-bis, ha dichiarato che:

- nonostante la premarcatura sul "sì" presente nel form "Apri un conto", "allo stesso utente era comunque possibile indicare l´opzione contraria (…). Inoltre, lo stesso form precisava all´utente che questi avrebbe potuto "disattivare questa opzione in qualsiasi momento consultando la sezione "Conto personale"(…)";

- "nessuna disposizione normativa impone (…) di indicare all´interno del contratto concluso tra operatore e utente le finalità per cui viene richiesto il consenso al trattamento dei dati personali; finalità che, per converso, possono essere indicate in calce alla pattuizione contrattuale (…) come avvenuto nel caso di specie". Sotto questo aspetto, dunque, la parte ha ritenuto di non aver commesso alcuna violazione, mentre la mancata numerazione dei paragrafi (con riferimento ai quali è richiesto di manifestare il consenso) è dovuta ad un mero disguido tecnico;

c) con riferimento alla violazione di cui all´art. 163 del Codice, la società ha ritenuto di non essere soggetta all´obbligo di notificazione, sulla base di un´erronea interpretazione del "Provvedimento relativo ai casi da sottrarre all´obbligo di notificazione" emanato dal Garante il 31 marzo 2004 e, in ogni caso, di aver provveduto, prontamente, alla notificazione;

CONSIDERATO che le argomentazioni addotte consentono solo in parte di escludere la responsabilità della società in relazione a quanto contestato. Secondo la procedura utilizzata dalla società Betfair, ai fini della conclusione del contratto, i clienti/utenti provvedono preliminarmente alla registrazione sul sito Internet e alla conseguente apertura del conto on-line e, solo dopo aver concluso questi passaggi, alla stampa e all´invio alla Betfair del contratto sottoscritto. Si rileva che, in effetti, all´atto della registrazione on-line (e del conseguente conferimento dei dati personali), l´informativa viene resa, conformemente alla disposizione di cui all´art. 13 del Codice ed è anche completa delle modalità di esercizio dei diritti di cui all´art. 7. Tali argomentazioni possono considerarsi valide anche per ciò che riguarda la formula utilizzata per raccogliere il consenso degli interessati, posta in calce allo stesso contratto di servizio, ove le finalità per cui si chiede il consenso, specificamente indicate, sono le stesse presenti nel form "Apri un conto" sulle quali il cliente si è già pronunciato in fase di registrazione. Diversamente, si rileva che le modalità di acquisizione del consenso disponibili sul form "Apri un conto" non sono conformi alla disposizione dell´art. 23 del Codice, dal momento che le opzioni sono premarcate sul "SI" e non lasciate alla libera scelta degli utenti. In diverse occasioni, il Garante ha, infatti, stigmatizzato tale modalità di acquisizione del consenso al trattamento dei dati personali, in quanto idoneo a "formare" la libera manifestazione dello stesso, richiesto come requisito essenziale dall´art. 23 del Codice [Provv. 12 ottobre 2005 doc. web n. 1179604; Provv. 10 maggio 2006 doc. web n. 1298709];

CONSIDERATO, altresì, che le argomentazioni addotte con riferimento alla violazione di cui all´art. 163 del Codice, non consentono di escludere la responsabilità della società in quanto non è stato fornito alcun elemento positivo, estraneo all´autore e idoneo a ingenerare in questi l´incolpevole opinione del suo agire, tale da poter applicare al caso di specie la disciplina dell´errore scusabile di cui all´art. 3 della legge 689/981 (Cass. civ. sez. I dell´11 febbraio 1999 n. 1151);

RILEVATO, pertanto, che la violazione contestata, prevista dall´art. 13 e sanzionata dall´art. 161 del Codice, considerati gli elementi istruttori acquisiti agli atti, deve essere archiviata;

RILEVATO, invece, che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) utilizzando una formula per raccogliere il consenso non conforme al disposto dell´art. 23 del Codice e omettendo di adempiere all´obbligo di notificazione di cui all´art. 37;

VISTO l´art. 162, comma 2-bis, del Codice, così come introdotto dal D.L. n. 207 del 30 dicembre 2008, convertito con modificazioni, nella legge n. 14 del 27 febbraio 2009, e nella formulazione antecedente alla modifica introdotta con la legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni di cui all´art. 167, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, nel complesso le violazione non risultano connotate da elementi specifici se valutate in relazione all´entità del pregiudizio o del pericolo, alle modalità concrete delle condotte e all´intensità dell´elemento psicologico;

b) ai fini della valutazione dell´opera svolta dall´agente, la società ha dichiarato di aver adempiuto all´obbligo di notificazione ai sensi degli artt. 37 e 38 del Codice; con riferimento alle formule di consenso, si rileva che queste ora sono premarcate sul "NO";

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, deve rilevarsi che la società, alla data del 30 aprile 2010, risulta in perdita;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, nella misura del minimo (euro 20.000,00) per entrambe le violazioni per un importo complessivo di euro 40.000,00 (quarantamila);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

DISPONE

l´archiviazione del procedimento amministrativo sanzionatorio con riferimento alla violazione amministrativa prevista dall´art. 161 del Codice;

ORDINA

a Betfair Italia srl, con sede in Milano, Via Giosuè Carducci n. 36, in persona del legale appresentante pro-tempore, di pagare la somma complessiva di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dall´art. 162, comma 2-bis, del Codice e dall´art. 163, come indicato in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 40.000,00 (quarantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento. Si avvisa che avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 20 ottobre 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
De Paoli