[doc. web n. 1906722]

Ordinanza di ingiunzione nei confronti di  Gema s.p.a. - 24 novembre 2011

Registro dei provvedimenti
n. 446 del 24 novembre 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto del Nucleo speciale privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per tre distinte violazioni amministrative redatto in data 10 dicembre 2009 nei confronti di Gema s.p.a., con sede in Foggia, corso del Mezzogiorno n. 34/B-8, in persona del legale rappresentante pro-tempore, per violazione degli artt. 13 e 37, comma 1, lett. f), del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice nr. 19999/53969 del 16 settembre 2009 formulata da questa Autorità, ha svolto gli accertamenti di cui al verbale di operazioni compiute redatto in data 24 e 25 novembre 2009 dal quale è risultato che: GEMA s.p.a. effettua un trattamento di dati personali raccogliendo i dati anagrafici sia degli utenti che degli Enti interessati tramite due form del sito Internet www.gemaspa.it al fine di fornirgli le informazioni richieste, senza rendere l´informativa di cui all´art. 13 del Codice; la stessa utilizza un impianto di videosorveglianza senza rendere l´informativa circostanziata di cui al citato art. 13 del Codice e contravvenendo a quanto previsto nel provvedimento del Garante datato 29 aprile 2004 in vigore all´epoca dei fatti. Il predetto verbale di operazioni compiute, unitamente agli elementi forniti con la nota n. 3007/09 del 9 dicembre 2009, ha consentito di accertare, altresì, che la GEMA s.p.a., costituita nel mese di settembre del 2006  per effetto della riforma del sistema della riscossione di cui al decreto legge n. 203/2005 (convertito con modifiche dalla legge n. 248/2005), a fronte della cessione del ramo di azienda afferente la riscossione tributi della G.E.M.A. s.p.a., non ha ottemperato tempestivamente all´obbligo di notificazione al Garante ai sensi dell´art. 37, comma 1 lett. f) del Codice, provvedendovi solo in data 26 aprile 2007;

VISTO il verbale nr. 81 del 10 dicembre 2009 (che qui si intende integralmente richiamato) con il quale sono state contestate alla predetta società le violazioni amministrative previste dagli artt. 161 e 163 del Codice, in relazione agli artt. 13 e 37, comma 1, lett. f), informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, datato 19 febbraio 2010, inviato ai sensi dell´art. 18 della legge n. 689/1981 nel quale la società, dopo aver rilevato che "Si tratta (…) di sanzioni per violazione dell´obbligo di informativa o di comunicazione al Garante e non di violazione nella protezione dei dati" ed evidenziando di essersi avvalsa della Qteam & Partners s.r.l. "(…) per conformarsi al dettato del D.Lgs. 196/2003", relativamente alla contestazione concernente l´omessa notificazione, ha descritto le complesse vicende societarie derivanti dall´entrata in vigore del decreto legge n. 203/2005 (convertito con modifiche dalla legge n. 248/2005) che ha riformato integralmente il sistema della riscossione a livello nazionale, a fronte delle quali "Pur rendendosi conto della grave svista (…) chiede al Garante di valutarla nel contesto societario e nelle circostanze in cui è avvenuta". Riguardo alla contestazione relativa alla raccolta di dati personali via web finalizzata alla richiesta di informazioni sia da parte degli utenti che degli enti, la società, dopo aver asserito che "(…) Solo relativamente a questi dati (raccolti nella sezione "consulenza" del sito web www.gemaspa.it ) l´informativa non veniva resa", ha sostenuto che "(…) nel momento in cui il soggetto sceglieva liberamente di inserire i propri ulteriori dati non obbligatori per l´erogazione del servizio, implicitamente prestava il proprio consenso al trattamento dei dati e quindi l´informativa (…) si rendeva superflua, ragion per cui non veniva resa";

VISTO il verbale dell´audizione delle parti redatto ai sensi dell´art. 18 della legge n. 689/1981 in data 14 giugno 2011 e la memoria integrativa datata 13 giugno 2011, prodotta in sede di audizione, con cui la società, nel ribadire quanto esposto negli scritti difensivi, ha rappresentato che, riguardo all´obbligo di tempestiva notificazione al Garante, per effetto di quanto previsto dall´art. 2506 del c.c. "(…) è chiaramente manifesto un fenomeno successorio a titolo particolare tra le predette società (G.E.M.A. s.p.a. e GEMA s.p.a.), che non comporta in nessun caso una nuova notificazione al Garante", tenuto conto che, al caso di specie, appare applicabile il principio secondo cui "(…) a seguito della scissione di una società, con cessione di patrimonio e di ramo di azienda, la società costituita risultante dalla scissione succede nei diritti e negli obblighi della società scissa" (ex multiis: Cass. Civ., 6143/2001). Inoltre GEMA s.p.a. ha rilevato come "(…) se non espressamente indicato nel corpo delle convenzioni, il titolare del trattamento dei dati personali è e rimane l´Ente impositore, relegando l´Agente di riscossione al ruolo di mero responsabile del trattamento, senza alcun obbligo per quest´ultimo di notificazione al Garante". Sotto questo profilo, nel momento dell´accertamento operato dalla Guardia di finanza, i form di raccolta oggetto di contestazione erano "(…) in manutenzione ed era stata appena inserita l´area consulenza utilizzabile anche dagli utenti non registrati. In quel momento tuttavia non era ancora iniziata alcuna raccolta di dati personali per questo servizio (…)", tenuto anche conto che, come riscontrato in altri provvedimenti (provv. del 4 giugno 2009 –Il Tarì-; provv. del 26 febbraio 2009 –Unicoop Firenze-; provv. del 23 marzo 2011), per i profili di illiceità rilevati "(…) non è espressamente previsto l´obbligo sanzionatorio";

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato. Relativamente alla contestazione afferente alla raccolta di dati personali via web finalizzata alla richiesta di informazioni sia per utenti che per Enti si evidenzia come la violazione sia stata accertata dalla Guardia di finanza in attuazione di quanto previsto dall´art. 13 della legge n. 689/1981 (così come si evince da quanto riportato a pag. 4 del verbale di operazioni compiute ove la società ha dichiarato "(…) solitamente abbiamo un flusso di circa una cinquantina di contatti al mese di utenti che richiedono informazioni o effettuano registrazione"), senza che il trasgressore abbia documentato l´asserita circostanza per la quale "(…) non era ancora iniziata alcuna raccolta di dati personali (…)". Inoltre, si rileva come, diversamente da quanto asserito dal trasgressore, lo spontaneo conferimento dei dati personali degli interessati quale forma di documentazione del consenso, non esime dall´obbligo di rendere l´informativa agli stessi ai sensi dell´art. 13 del Codice. Si osserva, altresì, che i citati provvedimenti del Garante datati 4 giugno 2009 e 26 febbraio 2009, diversamente da quanto ritenuto, accertano, ai sensi dell´art. 13 della legge n. 689/1981, gli eventuali illeciti rilevati, la cui contestazione avviene con separato atto. Diversamente, il provvedimento del 23 marzo 2011, che è conclusivo del procedimento amministrativo del ricorso al Garante, non ha rilevato alcun illecito. Con riferimento alle specifiche argomentazioni afferenti la contestata tardiva notificazione al Garante di cui all´art. 163 del Codice, prendendo anzitutto atto del fatto che la stessa società di fatto ammette la condotta contestatale "(..) rendendosi conto della grave svista (…)", si evidenzia come, diversamente da quanto ritenuto, la richiamata disciplina di cui all´art. 2506 del c.c. unitamente al citato principio enunciato dalla Suprema Corte (Cass. Civ., 6143/2001) non producono gli effetti asseriti sulla disciplina normata dal Codice. In effetti, tenendo conto della definizione contenuta nell´art. 2506 del c.c., la scissione rileva, dal punto di vista della disciplina dei dati personali, quale vicenda evolutiva/modificativa della società scissa (G.E.M.A. s.p.a.). Tale società, per effetto di quanto previsto dall´art. 2506, comma 3 del c.c. oltre che da quanto emerge dagli atti e da quanto risulta dalla consultazione del registro delle notificazioni al Garante, non si estingue, ma continua a operare attraverso la mutata struttura organizzativa risultante dalla scissione.

A fronte di tale situazione la GEMA s.p.a. (società risultante dalla scissione per cessione di ramo d´azienda della G.E.M.A. s.p.a.) è tenuta, come peraltro statuito dal Garante nel provvedimento prescrizionale in materia di operazioni di fusione e scissione fra società dell´8 aprile 2009 (in www.garanteprivacy.it, doc. web. n. 1609999), a effettuare la notificazione al Garante ai sensi degli artt. 37 e 38 del Codice nel caso in cui, come quello di specie, in relazione all´attività svolta, siano effettuati trattamenti per i quali la notificazione è dovuta (art. 37, comma 1 lett. h) del Codice).

Si osserva, poi, che, in odine a quanto asserito sulla natura delle violazioni contestate e sull´operato della  Qteam & Partners s.r.l., la rilevanza delle condotte omissive ai fini dell´accertamento delle violazioni è prevista dal Codice e la disciplina dell´errore scusabile, di cui all´art. 3 della legge n. 689/1981, non è applicabile al caso di specie, in quanto non è stato fornito alcun elemento positivo, estraneo all´autore della violazione, idoneo a ingenerare nell´agente l´incolpevole opinione di liceità del suo agire (Cass. Civ., Sez. I 11 febbraio 1999 n. 1151);

RILEVATO, invece, che l´altra violazione contestata, prevista dall´art. 13 e sanzionata dall´art. 161 del Codice, inerente l´omessa informativa circostanziata di cui all´art. 13 del Codice e al provvedimento sulla videosorveglianza del 29 aprile 2004 in vigore all´epoca dei fatti, deve essere archiviata in quanto il nuovo provvedimento del Garante sulla videosorveglianza dell´8 aprile 2010 (in www.garanteprivacy.it, doc. web n. 1712680) non impone più che l´informativa semplificata, nei luoghi diversi dalle aree esterne, sia necessariamente integrata con almeno un avviso circostanziato contenente tutti gli elementi richiesti dall´art. 13 del Codice, ma specifica solamente che il Garante ritiene "auspicabile" tale adempimento da parte del titolare del trattamento (punto 3.1);

CONSIDERATO, quindi, che sulla base degli atti e degli elementi forniti nel corso del procedimento non sussistono elementi per applicare la sanzione prevista dall´art. 161 di cui al precedente rilevato;

RILEVATO, quindi, che l´azienda ha effettuato un trattamento di dati personali, senza rendere un´idonea informativa ai sensi dell´art. 13 del Codice e senza effettuare tempestivamente la notificazione di cui all´art. 37, comma 1, lett. f);

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 163 del Codice, nella formulazione antecedente alla modifica apportata con d.l. n. 207 del 30 dicembre 2008, convertito con legge n. 14 del 27 febbraio 2009, che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minore rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della legge 24 novembre 1981 n.689, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge (cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054);

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, relativamente alla contestazione di cui all´art. 161 del codice, gli elementi dell´entità del pregiudizio o del pericolo, dell´intensità dell´elemento psicologico e della modalità concreta della condotta non sono caratterizzati da alcuna specificità, mentre, relativamente alla contestazione di cui all´art. 163 la società aveva già adempiuto, seppur tardivamente, all´obbligo di notificazione;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere favorevolmente valutato il fatto che la società ha provveduto a inserire la prescritta informativa ai sensi dell´art. 13 nei form di raccolta dati del sito Internet www.gemaspa.it oggetto di contestazione, mentre, relativamente alla contestazione di cui all´art. 163, si ribadisce quanto asserito al punto a);

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, si rileva che la società, per l´anno 2009, risulta  avere conseguito consistenti ricavi;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria per la violazione dell´art. 161 del Codice, nella misura del doppio del minimo pari a un importo di euro 12.000,00 (dodicimila) e l´ammontare della sanzione pecuniaria per la violazione dell´art. 163 del Codice nella misura del minimo pari a un importo di euro 10.000,00 (diecimila), per un importo complessivo pari a euro 22.000,00 (ventiduemila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Fortunato;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo con riferimento alla contestazione relativa alla violazione di cui all´art. 161 del Codice per non aver reso informativa circostanziata di cui all´art. 13 del Codice e al provvedimento sulla videosorveglianza del 29 aprile 2004 in vigore all´epoca dei fatti;

ORDINA

a Gema s.p.a., con sede in Foggia, corso del Mezzogiorno n. 34/B-8, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 22.000,00 (ventiduemila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 161 e per la violazione prevista dall´art. 163 del Codice;

INGIUNGE

alla medesima azienda di pagare la somma di euro 22.000,00 (ventiduemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del provvedimento stesso.

Roma, 24 novembre 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
De Paoli