[doc. web n. 1905908]

Ordinanza di ingiunzione nei confronti di XY s.r.l. - 5 aprile 2012

Registro dei provvedimenti
n. 135 del 5 aprile 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante per la protezione dei dati personali predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 26 febbraio 2010 nei confronti di XY s.r.l., già con sede in Milano, via KK, in persona del legale rappresentante pro-tempore, per violazione degli artt. 13, 23 e 130 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

CONSIDERATO che, a fronte di una segnalazione di Ruval International s.p.a. che lamentava la ricezione di plurime comunicazioni indesiderate di natura commerciale sulla propria casella di posta elettronica nonostante l´opposizione manifestata numerose volte dal segnalante, il Dipartimento comunicazioni e reti telematiche, con la nota n. 0021584/U del 5 ottobre 2009, ha richiesto a XY s.r.l. ogni informazione utile alla valutazione del caso;

RILEVATO  che la medesima società, fornendo riscontro con una nota pervenuta in data 11 novembre 2009, ha affermato che l´indirizzo della segnalante proveniva da elenchi e servizi di pubblico dominio o pubblicati e di essersi attivata, in qualità di titolare del trattamento, per la cancellazione dal proprio data-base dell´indirizzo della segnalante facendo presente altresì la sussistenza di un´anomalia nel proprio sistema informatico;

CONSIDERATO che, a fronte del riscontro fornito, il predetto Dipartimento, con la nota n. 0001315/U del 20 gennaio 2010 ha richiesto a XY s.r.l. ulteriori elementi al fine di valutare il rispetto della normativa in materia di protezione dei dati personali, riservandosi di verificare la sussistenza dei presupposti per l´applicazione delle sanzioni previste dal Codice per omessa informativa e mancato consenso;

VISTO il verbale n. 4433/65449 del 26 febbraio 2010 con cui sono state contestate alla predetta società le violazioni amministrative previste dagli artt. 161, in relazione all´art. 13,  e 162, comma 2-bis del Codice, nella formulazione antecedente alla modifica introdotta con legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui agli artt. 23 e 130 del medesimo Codice;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi inviati ai sensi dell´art. 18 della legge n. 689/1981, con i quali, oltre a chiedere di essere sentiti presso l´Autorità, la società, relativamente a entrambe le violazioni contestate, ha osservato che l´indirizzo di posta elettronica della Ruval International s.p.a. è stato lecitamente utilizzato in quanto tratto da una banca dati costituita sulla base di elenchi pubblici formati prima del 1° agosto 2005 e "poiché al tempo degli asseriti invii (giugno e settembre 2009) vigeva una, seppur temporanea, deroga agli artt. 13 e 23 del codice in materia di protezione dei dati personali ai sensi dell´art. 44, c. 1 bis. della legge 27/02/2009 n. 14" ed, inoltre, ha rilevato che "le sanzioni irrogate risultano ictu oculi particolarmente elevate e sproporzionate considerata l´entità dell´asserita violazione", chiedendo, alla luce delle motivazioni esposte, di annullare e/o revocare la contestazione adottata ovvero di ridurre l´importo delle sanzioni irrogate;

VISTO il verbale dell´audizione delle parti redatto, ai sensi dell´art. 18 della legge n. 689/1981, in data 28 aprile 2011 con il quale la parte, oltre a ribadire quanto argomentato negli scritti difensivi, ha osservato che "secondo il combinato disposto degli artt. 130 comma 3-bis del d. lgs. 196/2003 e l´art. 58 del Codice del consumo, in tema di comunicazioni indesiderate si prevede espressamente la possibilità per un professionista di inviare anche mediante posta elettronica comunicazioni promozionali a soggetti i cui dati personali siano inclusi negli elenchi degli abbonati a disposizione del pubblico";

RITENUTO che le argomentazioni addotte non risultano idonee in relazione ai due illeciti accertati: infatti, in ordine al primo motivo esposto nella memoria difensiva, la disciplina delle banche dati formate anteriormente al 1° agosto 2005 riguarda solo quelle costituite utilizzando "dati estratti da elenchi telefonici" (Provvedimento del Garante del 12 marzo 2009 [doc. web n. 1598808]). Non è pertanto applicabile al caso di specie, che riguarda attività di marketing effettuate via e-mail, la deroga prevista dal Provvedimento citato per il quale "i dati personali presenti nelle banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1° agosto 2005 sono lecitamente utilizzabili per fini promozionali sino al 31 dicembre 2009, anche in deroga agli articoli 13 e 23 del Codice". Per quanto attiene l´invio delle e-mail pubblicitarie, il Provvedimento del Garante del 29 maggio 2003 [doc. web n. 29840] afferma la necessità di un´idonea informativa, il cui contenuto è individuato dalla legge, che preceda la raccolta del consenso. Il predetto provvedimento, in ordine al consenso dell´interessato, dopo aver disposto che l´utilizzazione degli indirizzi di posta elettronica "è possibile solo se il soggetto cui si riferiscono i dati ha manifestato in precedenza un consenso libero, specifico e informato", e che , come più volte ribadito dall´Autorità, "la circostanza che gli indirizzi di posta elettronica possano essere reperiti con una certa facilità in Internet non comporta il diritto di utilizzarli liberamente per inviare messaggi pubblicitari", prescrive ai titolari del trattamento che "il consenso, da documentare per iscritto, deve essere manifestato liberamente, in modo esplicito e in forma differenziata rispetto alle diverse finalità e alle categorie di servizi e prodotti offerti, prima dell´inoltro dei messaggi". Inoltre il provvedimento del 2003, relativamente ai diritti degli interessati, dispone che "indipendentemente dal rapporto esistente tra i mittenti e i destinatari dei messaggi, chi detiene i dati deve assicurare in ogni caso agli interessati la possibilità di far valere in ogni momento i diritti riconosciuti dalla legge, i quali sono spesso esercitati per conoscere da quale fonte sono stati tratti i dati, o per far interrompere gratuitamente la loro ulteriore utilizzazione ai fini commerciali-pubblicitari, oppure per far cancellare i dati trattati in violazione di legge". Nel caso di specie invece risulta documentato che XY ha continuato a trattare l´indirizzo di posta elettronica della società segnalante per l´invio di comunicazioni promozionali nonostante la stessa avesse espressamente e ripetutamente manifestato la propria opposizione chiedendo la cancellazione dei dati. Relativamente al secondo motivo eccepito dalla società con il quale si osserva la sproporzione fra l´ammontare pecuniario delle sanzioni contestate rispetto alle violazioni commesse, si rileva come tale importo sia scaturito dalla corretta applicazione della legge n. 689/1981 la quale, all´art. 16, afferma: "E´ ammesso il pagamento di una somma in misura ridotta pari alla terza parte del massimo della sanzione prevista per la violazione commessa, o, se più favorevole e qualora sia stabilito il minimo della sanzione edittale pari al doppio del relativo importo". Da ultimo si fa presente che le e-mail inviate da XY s.r.l. a Ruval International s.p.a. e allegate agli atti, non sono due, bensì cinque, l´ultima delle quali successiva all´avvio del procedimento relativo alla segnalazione al Garante;

RILEVATO che la società ha quindi effettuato un trattamento di dati (art. 4 comma 1, lett. a) e b) del Codice) inviando e-mail di natura promozionale senza rendere l´informativa ai sensi dell´art. 13 del Codice e senza acquisire il consenso di cui agli artt. 23 e 130 del Codice;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica introdotta con legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui agli artt. 23 e 130 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della l. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge [cfr. Cass. Civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) per quanto riguarda la violazione dell´art. 13 del Codice in ordine all´aspetto della gravità, l´entità del pregiudizio o del pericolo deve considerarsi normale, l´intensità dell´elemento psicologico è moderato e, relativamente alle modalità concrete della condotta, si rileva che la violazione risulta provata con riferimento all´invio di cinque e-mail; in ordine alla violazione degli artt. 23 e 130 deve essere valutato che la parte non ha fornito alcun elemento che permetta di accertare se sia stato raccolto il consenso dell´interessato e si deve altresì considerare che il titolare del trattamento ha perseverato nell´invio delle e-mail nonostante la continua e ripetuta opposizione dell´interessato;

b) ai fini della valutazione dell´opera svolta dall´agente, relativamente alle due contestazioni, la società ha comunicato che avrebbe provveduto all´eliminazione del segnalante dalla propria banca dati ma non ha fornito elementi atti a provare l´avvenuta cancellazione;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulta avere precedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, si rileva che la società risulta aver conseguito una perdita di esercizio per l´anno 2010;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare delle sanzioni pecuniarie per entrambe le violazioni, in ragione dei suddetti elementi valutati nel loro complesso, per la sanzione prevista dall´art. 161 a un importo di euro 6.000,00 (seimila) e per la sanzione prevista dall´art. 162, comma 2-bis a un importo di euro 20.000,00 (ventimila), per un importo complessivo di euro 26.000,00 euro (ventiseimila);

VISTO l´art. 164-bis, comma 1, del Codice che prevede che per le sanzioni amministrative di cui al Titolo III, Capo I, del Codice i limiti minimi e massimi  possono essere applicati in misura pari a due quinti se la violazione è di minore gravità ovvero in ragione della natura economica e sociale dell´attività svolta;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare la diminuzione a due quinti, prevista dall´art. 164-bis, comma 1, del Codice nella misura complessiva di euro 10.400,00 (diecimilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott.Giuseppe Chiaravalloti;

ORDINA

a XY s.r.l., con sede in Casorezzo (MI), KK, nella persona del legale rappresentante pro tempore, di pagare la somma di euro 10.400,00 (diecimilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 10.400,00 (diecimilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 5 aprile 2012

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
De Paoli