[doc. web n. 3750400]

Ordinanza ingiunzione nei confronti di Messaggero s.p.a.- 18 dicembre 2014

Registro dei provvedimenti
n. 613 del 18 dicembre 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ex art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) (n. 3040/71895 del 7 febbraio 2012), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 5 luglio 2012 nei confronti di Il Messaggero s.p.a. P.Iva: 05629251009, con sede in Roma, via del Tritone n. 152, in persona del legale rappresentante pro-tempore, dai quali è risultato, tra l´altro, che, sul sito Internet www.ilmessaggero.it, era presente una sezione denominata "scrivi un commento", mediante la quale gli utenti che effettuavano la procedura di registrazione avevano la possibilità di scrivere commenti sulle notizie di cronaca fornite dal portale. Per effettuare la registrazione, gli utenti/interessati erano tenuti a conferire un valido indirizzo di posta elettronica per ottenere le credenziali di autenticazione (username e password) con cui poter eseguire gli accessi e inserire i commenti. Per completare la procedura di registrazione, gli utenti/interessati dovevano necessariamente prestare il consenso al trattamento dei loro dati anche per finalità ulteriori rispetto a quelle funzionali alla gestione ed erogazione dei servizi, ovvero invio di informazioni promozionali, effettuazione di analisi statistiche e sondaggi di opinione sia da parte de Il Messaggero s.p.a. che da parte di aziende terze. Il consenso per le predette finalità ulteriori era acquisito mediante due appositi flag", senza i quali la procedura di registrazione non poteva essere conclusa, che risultano pre-impostati in corrispondenza della dicitura "Accetto", impedendo, quindi, agli interessati di raggiungere lo scopo principale della registrazione al servizio, senza accettare anche i servizi accessori connessi all´attività di marketing;

VISTO il verbale n. 66/2012 del 5 settembre 2012 con cui è stata contestata alla società, la violazione amministrativa prevista dall´art. 162, comma 2-bis del Codice, in relazione all´art. 23, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689 nella forma aggravata ai sensi dell´art. 164-bis, comma 3 del Codice, per il trattamento effettuato mediante la procedura di registrazione presente nella sezione "scrivi un commento" del sito Internet www.ilmessaggero.it;

RILEVATO dal rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al suddetto verbale di contestazione, che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, datato 2 ottobre 2012 e inviato ai sensi dell´art. 18 della legge 24 novembre 1981, n. 689, con il quale la società ha evidenziato come, in ragione del fatto che "(…) l´utente veniva correttamente e pienamente informato sulle finalità per le quali veniva richiesto il consenso" e che "(…) la registrazione dell´utente non era collegata ad un´offerta contrattuale (…). In nessun modo (…) la volontà dell´utente veniva forzata o distorta, al fine di ottenere il consenso al trattamento dei dati e pertanto (…) la procedura contestata non faceva venir meno la libertà di consenso". Inoltre, in base al quadro normativo dettato dal disposto dell´art. 167 del Codice "(…) la violazione delle regole relative alla raccolta del consenso per il trattamento dei dati ( art. 23 comma 3 D.Lgs. 196/2003) dà luogo a sanzione amministrativa solo quando dal fatto derivi un nocumento". Relativamente all´applicazione, nel caso che ci occupa, dell´aggravante di cui all´art. 164-bis, comma 3 del Codice in sede di contestazione, ha osservato come "(…) sarebbe fuorviante commisurare la sanzione unicamente al numero degli iscritti a "Scrivi un commento", senza considerare le concrete modalità del trattamento posto in essere";

VISTO il verbale di audizione delle parti redatto in data 4 febbraio 2013 ai sensi dell´art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmente ribadito quanto argomentato negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato. L´art. 23 del Codice, impone che, per poter essere acquisito validamente, il consenso al trattamento deve essere espresso dall´interessato, oltre che specificamente, anche liberamente. Nel caso che ci occupa le accertate finalità ulteriori del trattamento dei dati degli interessati (invio di informazioni promozionali, effettuazione di analisi statistiche e sondaggi di opinione sia da parte de Il Messaggero che da parte di aziende terze) non sostanziano alcuna delle previsioni di cui all´art. 24 del Codice sui casi di esclusione dell´obbligo in argomento, ma impongono anzi di acquisire il consenso specifico, oltre che libero, per ogni distinta finalità che si intende perseguire,  secondo quanto previsto dall´ art.  23 del Codice e dai provvedimenti del Garante in materia di marketing. Il fatto, non contestato, che le manifestazioni del consenso fossero obbligatorie (e quindi non libere) mediante la pre-impostazione dei flag non modificabili, non consentiva il lecito trattamento dei dati raccolti per le predette finalità, così come peraltro più volte asserito dall´Autorità in diversi provvedimenti (già con provv. 10 maggio 2006 doc. web n. 1298709 e più di recente, tra gli altri, con provv. del 4 luglio 2013 doc. web n. 2542348 recante Linee guida in materia di attività promozionale e contrasto allo spam). Si evidenzia, poi, come risulti infondato quanto evidenziato in ordine all´insussistenza del nocumento che, diversamente da quanto ritenuto, sostanzia la condizione obiettiva di punibilità della fattispecie di reato prevista dall´art. 167 del Codice, mentre nel caso che occupa, quello contestato, è un illecito amministrativo. Il legislatore, nel regolare i due distinti ambiti sanzionatori (penale e amministrativo) ha voluto individuare interessi pubblici compatibili ma diversi e li ha voluti tutelare distintamente e disgiuntamente attraverso norme distinte sul piano penale (art. 167) e su quello amministrativo (art. 162, comma 2-bis). Pertanto, gli elementi costitutivi dell´illecito amministrativo contestato, nel caso di specie, sono qualitativamente diversi da quelli penali, tanto è vero che l´art. 162, comma 2-bis dispone che la sanzione amministrativa si applica "altresì" e "in ogni caso", a prescindere dall´illecito penale. Circa l´applicabilità al caso di specie dell´aggravante di cui all´art. 164-bis, comma 3 del Codice, si rileva come l´elevato numero di iscritti alla sezione "scrivi un commento" (105.893 come accertato in atti) di per sé sostanzi una delle previsioni esplicitate nel citato articolo -"la violazione coinvolga numerosi interessati"-, e quindi comporti la necessaria applicazione dell´ipotesi aggravata di cui alla norma citata;

RILEVATO che la società ha quindi effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) degli utenti (interessati) che effettuano la procedura di registrazione per mezzo di una sezione denominata "scrivi un commento" presente sul sito web www.ilmessagero.it, acquisendo il prescritto consenso attraverso caselle preimpostate, che autorizzavano il trattamento per il perseguimento di finalità ulteriori anche da parte di terzi in violazione  dell´art. 23 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO, in ogni caso, che, così come rilevato nel verbale di contestazione, sussistono gli elementi che consentono di applicare la previsione di cui all´art. 164-bis, comma 3, del Codice per l´illecito contestato;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria deve essere quantificato nella misura di euro 40.000,00 (quarantamila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Il Messaggero s.p.a. P.Iva: 05629251009, con sede in Roma, via del Tritone n. 152, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis del Codice, in combinato disposto con l´art. 164-bis, comma 3 del Codice;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 40.000,00 (quarantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 18 dicembre 2014

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia