g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di SSTC srl - 17 aprile 2014 [3800951]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 3800951]

Ordinanza di ingiunzione nei confronti di SSTC srl - 17 aprile 2014

Registro dei provvedimenti
n.  del 17 aprile 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di numerose segnalazioni pervenute in Autorità nel periodo 2010-2011 con cui veniva lamentata la ricezione di telefonate promozionali indesiderate (alcune delle quali pre-registrate) aventi ad oggetto prodotti di Cassine di Pietra, l´Ufficio avviava un´attività istruttoria all´esito della quale veniva accertato che l´utenza telefonica utilizzata per lo svolgimento dell´attività di telemarketing oggetto delle segnalazioni era intestata alla S.S.T.C. srl, con sede legale in Verona, piazza Pradaval n. 18, P.I. 03875400230;

CONSIDERATO che, sulla base delle istruttorie svolte dall´Ufficio e delle dichiarazioni fornite dalla società con le note del 24.05.2011 e del 10.10.2011, con cui la stessa ha dichiarato che nessuna delle utenze telefoniche indicate nelle segnalazioni era presente nel proprio database e che i contatti lamentati erano presumibilmente avvenuti a causa di errori nella digitazione dei numeri, sono stati avviati nei confronti della società undici distinti procedimenti sanzionatori (uno per ogni segnalazione ricevuta) per avere effettuato attività di telemarketing nei confronti dei segnalanti, in assenza della documentazione attestante il loro consenso;

RILEVATO, inoltre, che l´Ufficio, al fine di verificare la conformità del trattamento posto in essere dalla società rispetto alla normativa in materia di protezione dati personali, ha svolto un accertamento ispettivo presso la sede operativa della società, sita in San Pietro Mussolino (VI), in data 9 e 10 maggio 2012, per mezzo del quale è stato possibile verificare che la società S.S.T.C. ha dapprima preso in affitto e poi acquistato l´azienda e il marchio di Azienda Cassine di Pietra srl (dichiarata fallita il 6.12.2010), acquisendone "tutti i beni necessari all´espletamento dell´attività, inclusa tutta la clientela (…) e di conseguenza anche il database dei clienti (…)";

CONSIDERATO che, sulla base degli elementi acquisiti nel corso dell´accertamento ispettivo e della successiva documentazione inviata dalla società in data 25 maggio 2012, l´Autorità ha adottato nei confronti di S.S.T.C. srl un provvedimento inibitorio e prescrittivo, datato 11 ottobre 2012 (che qui deve intendersi integralmente richiamato), con cui sono stati dichiarati illeciti:

- il trattamento dei dati personali contenuti nel database acquistato da Azienda Cassine di Pietra srl, effettuato dalla società per l´invio di proposte commerciali via posta cartacea ed elettronica e per l´attività di telemarketing, perché avvenuto senza aver reso l´informativa ai sensi dell´art. 13, comma 4, del Codice;

- il trattamento dei dati personali acquisiti direttamente dalla società mediante inserti pubblicitari su riviste, moduli cd. "presenta amico" e il sito internet www.cassine.com, effettuato per l´invio di proposte commerciali via posta cartacea ed elettronica e per l´attività di telemarketing, perché avvenuto rendendo un´informativa inidonea e senza acquisire un consenso libero, specifico e documentato ai sensi degli artt. 13, 23 e 130 del Codice;

VISTI gli undici verbali nn. 2286/75888, 2295/75888, 2297/75888, 2298/75888, 2299/75888, 2338/69511, 2326/75844, 2310/73493, 2331/72625, 2329/69554, 2302/69236 datati 27 gennaio 2012, notificati in data 2 marzo 2012, con cui sono state contestate a S.S.T.C. srl, in persona del legale rappresentante pro-tempore, le violazioni amministrative previste dall´art. 162, comma 2-bis, del Codice in relazione all´art. 23;

VISTO il verbale n. 28608/80232 del 16 novembre 2012, notificato in pari data, con cui sono state contestate alla S.S.T.C. srl, in persona del legale rappresentante pro-tempore, le violazioni amministrative previste dagli artt. 161 e 162, comma 2-bis, del Codice, in combinato disposto con l´art. 164-bis,comma 3, in relazione agli artt. 13, comma 1, 13, comma 4, 23 e 130 del medesimo Codice;

RILEVATO dai rapporti predisposti ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 dall´Ufficio del Garante, che non risultano essere stati effettuati i pagamenti in misura ridotta;

VISTI gli scritti difensivi datati 30 marzo 2012, inviati ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui la società, in relazione agli undici verbali di contestazione elevati a suo carico per la violazione dell´art. 23 del Codice, ha dichiarato che "in merito ai soggetti contattati, salvo errori che sono sempre possibili, agendo per il tramite di operatori, la nostra società contatta propri clienti o soggetti che hanno comunque reso il loro consenso verbale a successivi contatti anche tramite il telefono (…). Inoltre coloro che ci manifestano la loro volontà di opporsi al trattamento dei loro dati vengono effettivamente cancellati dal nostro archivio e non sono più contattati salvo loro diversa dichiarazione". Inoltre, la parte ha chiesto che, sotto il profilo sanzionatorio, venga valutata l´unitarietà della condotta posta in essere, "stante l´unicità della finalità del trattamento stesso e l´identità dei sistemi adottati per la gestione dell´attività di contatto", o, in subordine, che si proceda all´applicazione della sanzione nella misura del minimo con la rateizzazione del relativo importo, a causa delle difficili condizioni economiche;

VISTI gli ulteriori scritti difensivi datati 14 dicembre 2012, inviati ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689 e relativi al verbale di contestazione del 13 novembre 2012, con cui la società ha precisato che le dichiarazioni rese durante l´ispezione del 9 e 10 maggio 2012 si riferivano alla circostanza che non vi è stata "una specifica informativa consegnata individualmente e preventivamente a un soggetto interessato presente nel database", perché considerato particolarmente oneroso, ma "l´informativa è stata formulata verbalmente in occasione del primo contatto telefonico con l´interessato, effettuato da SSTC srl, quale titolare del trattamento, dopo l´acquisizione del ramo d´azienda dell´Azienda Cassine di Pietra (…)". Quando, a seguito del primo contatto telefonico, l´interessato manifestava la volontà di continuare a ricevere le comunicazioni promozionali, i relativi dati (così aggiornati) venivano trasferiti dal database di Cassine di Pietra a quello di S.S.T.C. srl. Pertanto, ha ritenuto non sussistente la violazione dell´art. 13, comma 4, del Codice. Rispetto, invece, alla violazione degli artt. 13, comma 1, 23 e 130 del Codice, la parte ha dichiarato che i dati raccolti mediante i moduli e i coupon erano in realtà utilizzati unicamente per gestire gli ordini, mentre "l´ulteriore finalità di utilizzare i dati stessi dei clienti per futuri contatti commerciali, evocata nelle informative stesse, in realtà non veniva perseguita direttamente (…). (…) Solo a seguito del contatto effettuato con il cliente per verificare l´effettiva consegna della merce, nel caso in cui il cliente manifestasse la sua volontà di ricevere future chiamate promozionali da parte nostra, si procedeva ad annotare il dato nel nostro database (…)". Per quanto concerne la formula di consenso, che l´Autorità ha valutato come illecita perché resa in modalità opt-out, la parte ha fatto presente che tale modalità è stata scelta per "permettere al cliente di anticipare la sua intenzione di non ricevere richieste in tal senso". Infine, la parte ha ritenuto non appropriata l´applicazione dell´aggravante di cui all´art. 164-bis, comma 3, del Codice in quanto il database in uso alla società contiene un numero di anagrafiche inferiore a quello indicato in sede di ispezione;

RITENUTO che le argomentazioni addotte non sono idonee ad escludere la responsabilità della parte in relazione a quanto contestato. Procedendo, dapprima, con l´esame dei procedimenti sanzionatori avviati nei confronti della società per la violazione dell´art. 23 del Codice, si evidenzia che, dalla documentazione acquisita nel corso dell´istruttoria e del successivo procedimento, era stata sempre addotta quale possibile causa dei contatti lamentati errori di digitazione da parte dei propri operatori. Tuttavia, rispetto a tale circostanza, non è stata fornita prova dell´esistenza dell´errore incolpevole, essendo invece necessario, al fine dell´applicazione della disciplina sull´errore di fatto di cui all´art. 3 della legge n. 689/1981, che ricorra un elemento positivo ed estraneo all´autore della violazione tale da ingenerare in lui la convinzione della liceità del suo agire. Devono, altresì, essere rigettate le ulteriori argomentazione addotte dalla parte, secondo cui ai casi contestati debba applicarsi la disciplina del cumulo giuridico, di cui all´art. 8, comma 1, della legge n. 689/1981, sul presupposto dell´unicità del trattamento posto in essere con riferimento a più segnalazioni attinenti la medesima condotta. Al contrario, si rileva che, poichè è stato effettuato un trattamento illecito nei confronti di ciascuno dei soggetti contattati, rispetto ai quali non è stato raccolto alcun consenso, le condotte devono ritenersi distinte e indipendenti l´una dall´altra, ciascuna autonomamente sanzionata. La inapplicabilità a casi del genere della disciplina del cumulo giuridico è un orientamento ampiamente consolidato nelle decisioni adottate dal Garante (v. doc. web n. 2691090 del 18 aprile 2013). Relativamente, invece, alla contestazione n. 2338/69511, rispetto alla quale la parte ha ritenuto che la notifica sarebbe avvenuta oltre il termine di 90 giorni dall´accertamento, si deve preliminarmente precisare che il rispetto del suddetto termine è collegato non alla data della commissione della violazione (o, come sostenuto dalla parte, a quella della segnalazione) bensì a quella della conclusione del procedimento di accertamento, nell´ambito del quale tutte le circostanze di fatto e gli elementi di diritto sono acquisiti e valutati dall´organo accertatore ai fini della corretta individuazione di una condotta sanzionabile quale illecito amministrativo [cfr. Cass. civ., sez. Trib. n. 5467, Cass. Civ. 12830/06 e Cass. Sez. lav. 3115/04]. Nel caso in esame, la violazione è stata accertata dall´Ufficio con la nota del 16 gennaio 2012 indicata nel verbale di contestazione, cosicché la notifica del verbale è avvenuta nel rispetto dei termini di legge, il 2 marzo 2012;

Con riferimento, invece, al verbale di contestazione scaturito dagli accertamenti ispettivi e dal provvedimento dell´Autorità dell´11 ottobre 2012, si rileva che le violazioni ivi descritte devono essere confermate. In primo luogo, per quanto concerne la violazione dell´art. 13, comma 4, del Codice, si osserva che la dichiarazione resa dalla parte nel corso degli accertamenti ispettivi (v. verbale del 10 maggio 2012), secondo cui il database acquisito da Azienda Cassine di Pietra srl conteneva tutte le specifiche relative al consenso e all´eventuale diniego e che pertanto non riteneva necessario procedere all´aggiornamento dell´informativa (perché già resa dal precedente titolare), è stata corretta negli scritti difensivi, laddove la parte ha precisato che l´informativa "aggiornata" è stata resa ai clienti in un momento successivo a quello dell´acquisto del database, ovvero nella fase di registrazione dei dati dei clienti nel proprio database. Sotto questo aspetto, tuttavia, si rileva che dagli atti ispettivi non risulta che il database in uso alla società sia distinto da quello acquistato da Azienda Cassine di Pietra srl, né che siano state eseguite le verifiche sulla correttezza dei dati al momento del suo acquisto. Pertanto, considerato anche che non è stata fornita alcuna prova dell´avvenuto adempimento dell´obbligo di rendere l´informativa, deve imputarsi alla società la responsabilità della condotta illecita. Infatti, la circostanza in base alla quale la società SSTC, che ha acquistato la banca dati di Azienda Cassine di Pietra srl, non ha fornito l´informativa con la quale si informava del proprio "subentro" nel trattamento dei dati personali, non solo è contraria al principio di correttezza (art. 11, comma 1, lett. a) del Codice), ma non consente agli interessati di conoscere le eventuali modifiche intervenute al trattamento e di esercitare, laddove volessero, i diritti di cui all´art. 7 del Codice. E´ essenziale, dunque, che l´adempimento relativo all´obbligo di rendere l´informativa, nel caso in cui il dato non sia raccolto direttamente presso l´interessato, sia effettuato nei termini di cui all´art. 13, comma 4, circostanza che, come accertato nel provvedimento dell´Autorità dell´11 ottobre 2012 n. 286,  nel caso di specie non è stato rispettata. Sul punto occorre precisare che, con riferimento a questo così come agli altri profili oggetto di contestazione, il predetto provvedimento non risulta essere stato impugnato da parte della società. Relativamente alle violazioni degli artt. 13 e 23 del Codice, connesse alla raccolta dei dati personali effettuata con le diverse modalità a disposizione della società, si osserva che, al di là delle finalità effettivamente perseguite, l´informativa resa non è stata giudicata idonea in quanto priva di alcuni degli elementi indicati nell´art. 13 del Codice, come è stato analiticamente rilevato nel citato provvedimento; mentre, rispetto alla formula di consenso predisposta in modalità cd. opt-out, si rileva che più volte il Garante ha avuto modo di chiarire che tale procedura non è lecita, in quanto l´autorizzazione al trattamento dei dati da parte della clientela deve risultare da opzioni di tipo positivo che consentano agli interessati di esprimere consapevolmente e liberamente le proprie scelte (tra tutti il provvedimento 31 gennaio 2008, doc. web n. 1500829). Infine, quanto all´applicazione dell´art. 164-bis, comma 3, del Codice (che in fase di contestazione è stata motivata in considerazione del numero di anagrafiche in uso alla società), sebbene non siano stati prodotti elementi e documenti utili ad accertare una consistenza numerica del database inferiore a quella dichiarata nel corso dell´ispezione, si ritiene di non procedere alla sua applicazione sulla base di una valutazione complessiva delle violazioni accertate, tenendo conto in particolare dei criteri di cui all´art. 11 della legge n. 689/1981;

RILEVATO, quindi, che la società ha effettuato un trattamento di dati personali per finalità di telemarketing (art. 4 comma 1, lett. a) e b) del Codice) senza aver acquisire il preventivo consenso di undici interessati ai sensi dell´art. 23 del medesimo Codice;

RILEVATO, inoltre, che la società ha effettuato un trattamento di dati personali finalizzato all´attività promozionale e di telemarketing rendendo un´informativa inidonea e senza acquisire un valido consenso, ai sensi degli artt. 13, 23 e 130 del Codice;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui agli artt. 23 e 130 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che, limitatamente alle violazioni di cui all´art. 162, comma 2-bis, in relazione all´attività di telemarketing effettuata nei confronti di undici segnalanti, ricorrono le condizioni per applicare l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare della sanzione pecuniaria nella misura di euro 66.000,00 (sessantaseimila), di cui:

- euro 44.000,00 (quarantaquattromila), (4.000,00 per ciascuno degli undici segnalanti) per la violazione di cui all´art. 162, comma 2-bis, in combinato disposto con l´art. 164-bis, comma 1;

- euro 6.000,00 (seimila), per la violazione di cui all´art. 161, in relazione all´art. 13, comma 1;

- euro 6.000,00 (seimila) per la violazione di cui all´art. 161, in relazione all´art. 13, comma 4;

- euro 10.000,00 (diecimila) per la violazione di cui all´art. 162, comma 2-bis, in relazione agli artt. 23 e 130;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a SSTC srl, con sede in Verona, Via Pradaval n. 18, P.I. 03875400230, in persona del legale rappresentante pro-tempore, di pagare la somma complessiva di euro 66.000,00 (sessantaseimila)  a titolo di sanzione amministrativa pecuniaria per la violazione prevista dagli artt. 161 e 162, comma 2-bis, del Codice, come indicato in motivazione, frazionandola in 20 rate mensili dall´importo di euro 3.300,00 (tremilatrecento) ciascuna;

INGIUNGE

alla medesima società di pagare la somma di euro 66.000,00 (sessantaseimila) secondo le modalità indicate in allegato, i cui versamenti saranno effettuati a partire dal giorno 15 del mese successivo a quello in cui avverrà la notifica della presente ordinanza, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 17 aprile 2014

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia