[doc. web n. 4205347]

Ordinanza di ingiunzione nei confronti di Web performance s.r.l. - 16 aprile 2015

Registro dei provvedimenti
n. 228 del 16 aprile 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ex art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) (n. 17869/78073 del 6 luglio 2012), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 4 ottobre 2012 nei confronti di Web performance s.r.l. P.Iva: 02186380222, con sede in Trento, via dei Solteri n. 38, dai quali è risultato, tra l´altro, che, sul sito Internet www.webperformance.it della citata società, erano presenti cinque form di raccolta dati denominati "WP newsletter", "contatti", "richiedi la guida al web performance marketing", "richiedi la guida gratuita al Real Time Biddinge" e "lavora con noi". Per la raccolta di dati personali degli utenti effettuata tramite i citati form, veniva resa un´unica informativa ai sensi dell´art. 13 del Codice recante le seguenti finalità del trattamento: a) erogazione dei servizi richiesti e gestione di eventuali reclami e/o contestazioni; b) invio di comunicazioni commerciali relative a prodotti, servizi o iniziative dell´Editore e/o di suoi partner commerciali o di società terze; attività di vendita e di collocamento diretto ed indiretto; rilevazioni del grado di soddisfazione della clientela sulla qualità dei servizi forniti; effettuazioni di studi e ricerche statistiche e di mercato. A fronte di tale informativa, la manifestazione del consenso derivante dalle procedure di registrazione oltre ad essere obbligatoria, era indistinta rispetto alla pluralità di finalità del trattamento ivi indicate, in violazione di quanto previsto dall´art. 23 del Codice;

VISTO il verbale n. 80 del 17 ottobre 2012 con cui è stata contestata alla società, la violazione amministrativa previste dall´art. 162, comma 2-bis del Codice, in relazione all´art. 23, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689, per i trattamenti di dati personali effettuati tramite gli specificati form del sito Internet www.webperformance.it, senza acquisire un consenso libero e specifico rispetto alla pluralità di finalità del trattamento indicate nell´informativa;

RILEVATO dal rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al suddetto verbale di contestazione, che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, datato 12 dicembre 2012 e inviato ai sensi dell´art. 18 della legge 24 novembre 1981, n. 689, con il quale la società ha evidenziato che "(…) se il trattamento, inteso come molteplicità di operazioni riguardanti i dati forniti, è destinato a una pluralità di finalità, apparentemente distinte, peraltro tutte connesse e rientranti nell´unica e più ampia categoria di marketing, il consenso libero e specifico può essere acquisito un´unica volta con riferimento a tutte le suddette finalità, purché dettagliatamente illustrate". Inoltre, con riferimento al form di raccolta "lavora con noi" ha rilevato come "(…) l´informativa è differente da quella degli altri form (…) esclusivamente per un mero errore tecnico (…)" ove, peraltro, sul punto, ha evidenziato come "(…) ai sensi dell´art. 13, comma 5-bis D.Lgs. 196/2003 (…) l´informativa di cui al comma 1 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati (…)";

VISTO il verbale di audizione delle parti redatto in data 10 giugno 2013 ai sensi dell´art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmente ribadito quanto argomentato negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità in relazione a quanto contestato. Risulta pacifico che la società, nel raccogliere i dati degli interessati tramite il proprio sito Internet per mezzo dei cinque form, ha reso loro un´informativa, ai sensi dell´art. 13 del Codice, nella quale erano indicati molteplici trattamenti tra i quali quelli afferenti sia al marketing diretto, sia alla comunicazione e/o cessione dei dati a terzi, anch´essa finalizzata al marketing. A fronte di ciò, si evidenzia che subordinare all´espressione del consenso al trattamento dei dati il servizio richiesto così configurato, perfeziona l´illecito contestato, in quanto viola il principio di "liceità" del consenso previsto dall´art. 23, comma 3 del Codice. A ciò si aggiunga che, così come più volte esplicitato dall´Autorità in vari provvedimenti (ex multis, provvedimento dell´11 ottobre 2012, in www.garanteprivacy.it, [doc. web. n. 2089777]; provvedimento del 19 maggio 2011, in www.garanteprivacy.it, [doc. web. n. 1823148] e provvedimento n. 486 del 30 ottobre 2013, in www.garanteprivacy.it [doc. web. n. 2974595]) e avallato dalla pronuncia, in sede giurisdizionale, del Tribunale di Roma con sentenza n. 19281 del 5 ottobre 2011, la comunicazione e/o cessione degli stessi dati a terzi per l´effettuazione di attività di marketing presuppone, in ragione del grado di autonomia che caratterizza tali peculiari operazioni di trattamento, l´acquisizione del consenso. Anche sotto questo profilo, quindi, la società ha violato quanto previsto dall´art. 23, comma 3 del Codice, con riferimento al requisito della "specificità" del consenso per ciascun distinto trattamento. Si evidenzia, poi, l´inconferenza di quanto argomentato circa l´applicazione, al caso di specie, di quanto previsto dall´art. 13, comma 5-bis del Codice, atteso che la violazione contestata non inerisce l´inosservanza della disciplina sull´informativa agli interessati di cui all´art. 13 del Codice, bensì quella afferente il consenso di cui all´art. 23 del Codice;

RILEVATO che la società ha quindi effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) degli utenti (interessati) acquisendo, in violazione di quanto disposto dall´art. 23 del Codice, un consenso obbligatorio e indistinto rispetto alla pluralità di finalità del trattamento indicate nell´informativa resa agli interessati;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare delle due sanzioni pecuniarie deve essere quantificato nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Web performance s.r.l. P.Iva: 02186380222, con sede in Trento, via dei Solteri n. 38, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis del Codice;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 16 aprile 2015

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia