Diritti interna

Doveri interna

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Ordinanza ingiunzione - 15 dicembre 2016 [6526145]

[doc. web n. 6526145]

Ordinanza ingiunzione - 15 dicembre 2016

Registro dei provvedimenti
n. 536 del 15 dicembre 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che l´Ufficio del Garante, con atto n. 16290/70547 del 3 agosto 2011 (notificato il 29 agosto 2011), che qui deve intendersi integralmente riportato, ha contestato al sig. XX, nato a XX, il XX, residente in Mira (VE), via XX, C.F. XX, nella sua qualità di titolare dell´impresa individuale XX di XX, la violazione delle disposizioni di cui agli artt. 13, 23, 45, 162, comma 2-bis, 164-bis, comma 3, e 167 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO, più precisamente, che l´atto di contestazione ha richiamato integralmente il provvedimento del Garante del 30 giugno 2011, n. 272 (in www.gpdp.it, doc. web n. 1834208), nei confronti del predetto sig. XX, evidenziando i seguenti elementi di criticità nei trattamenti di dati personali svolti dal sig. XX attraverso la propria impresa individuale "XX":

- XX ha utilizzato, per svolgere attività di invio di sms pubblicitari, un database denominato Planet new, che contiene circa 180.000 numeri di utenze telefoniche mobili. Tale database è stato costituito a seguito di accordi di sponsorizzazione con la società tedesca Planet 49 Gmbh la quale ha bandito un concorso a premi riservato a coloro che si fossero registrati al sito della società medesima. Le aziende che, come XX, aderivano agli accordi con Planet 49, potevano utilizzare a scopi promozionali i nominativi e i recapiti raccolti dalla società tedesca; come evidenziato nel provvedimento, gli accordi con la società tedesca hanno determinato la registrazione, nei sistemi di XX, di circa 2.000.000 di record contenenti dati personali, poi ridotti per effetto delle cancellazioni richieste dagli interessati a 180.699. I dati sono stati utilizzati da XX almeno in una circostanza, e cioè in occasione di una campagna promozionale effettuata per conto di Sky Italia s.r.l. con l´invio di circa 680.000 sms;

- XX disponeva, per l´invio di messaggi promozionali, anche di ulteriori database, nei quali confluivano i numeri di telefono mobile e gli indirizzi di posta elettronica raccolti tramite i siti web XX.org e vogliovincere.it, dei quali era titolare la stessa XX. Il sito XX.org consentiva a coloro che si registravano di ottenere ricariche telefoniche gratuite in ragione del numero di messaggi promozionali ricevuti; il sito vogliovincere.it ospitava un concorso a premi riservato a coloro che si registravano, fornendo, fra l´altro, il proprio numero di utenza telefonica mobile: per l´invio dei messaggi, i numeri di telefono venivano trasmessi alla società malese Ice Corporation (che si incaricava dell´invio di messaggi promozionali di cd. "alta qualità", cioè con la possibilità di personalizzare il mittente e di ottenere una conferma di ricezione) oppure alla società R&D Communication s.r.l. di Verona (per gli sms promozionali di cd. "bassa qualità", con mittente costituito da un numero di telefono non personalizzato e senza la possibilità di ottenere una conferma di ricezione);

- in particolare, mediante il sito vogliovincere.it, XX ha bandito un concorso a premi: coloro che intendevano concorrere all´assegnazione del premio finale (un tablet) dovevano registrarsi al sito fornendo i propri dati personali e il proprio numero di utenza telefonica mobile. Tali dati permanevano nel relativo database per tutta la durata del concorso a premi, nel corso del quale potevano essere utilizzati per l´invio di messaggi promozionali. Al termine del concorso veniva inviata una email ad ogni iscritto con la quale si comunicava, fra l´altro, che i dati dell´interessato sarebbero stati utilizzati per il successivo concorso salvo richiesta di cancellazione;

- oltre ai trattamenti connessi all´invio di messaggi promozionali, XX ha svolto trattamenti di dati personali per fornire un servizio di cd. "bulk sms" (invio massivo di messaggi sms): ogni cliente, per poter usufruire del servizio doveva registrarsi al sito inviasms.com (e non inviasms.it come indicato, per mero errore materiale, nell´atto di contestazione) e acquistare pacchetti prepagati di messaggi da inviare mediante una piattaforma messa a disposizione da XX; tale piattaforma consentiva la comunicazione fra i sistemi di XX e quelli degli operatori (anche in questo caso Ice Corporation e R&D Communication) con l´automatica trasmissione della lista dei numeri di telefono inserita dal cliente ai gateway degli operatori telefonici;

RILEVATO che con il citato atto del 3 agosto 2011 sono state contestate al sig. XX:

a) ai sensi del combinato disposto degli artt. 161 e 164-bis, comma 3, del Codice, la violazione delle disposizioni di cui all´art. 13 del medesimo Codice, concernenti l´omessa informativa agli interessati (poiché non risulta che XX abbia fornito un´informativa ai soggetti i cui dati sono stati registrati nel database Planet New nonché ai soggetti che si sono registrati ai siti di concorsi a premi XX.org e vogliovincere.it e al sito che offriva il servizio di "bulk sms" inviasms.com), ritenuta l´aggravante di cui all´art. 164-bis, comma 3, del Codice, in ragione dell´elevato numero di soggetti coinvolti;

b) ai sensi del combinato disposto degli artt. 162, comma 2-bis, e 164-bis, comma 3, del Codice, la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui agli artt. 23 e 130, commi 1 e 2, del medesimo Codice, relative alla raccolta del consenso degli interessati poiché: a) non risulta acquisito il prescritto consenso per l´invio di sms e e-mail pubblicitari ai soggetti i cui dati sono stati registrati nel database Planet New; b) sono stati utilizzati per invio di messaggi promozionali i recapiti dei soggetti che si sono registrati al sito vogliovincere.it successivamente alla scadenza dei concorsi; c) sono stati conservati i dati dei soggetti contattati dagli utenti del servizio di "bulk sms", senza aver richiesto ai medesimi il prescritto consenso al trattamento, ritenuta l´aggravante di cui all´art. 164-bis, comma 3, del Codice, in ragione dell´elevato numero di soggetti coinvolti;

c) ai sensi del combinato disposto degli artt. 162, comma 2-bis, e 164-bis, comma 3, del Codice, la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 45 del medesimo Codice, relative al trasferimento dei dati all´estero (poiché XX ha trasferito dati personali – segnatamente i numeri di utenza telefonica mobile – dei soggetti destinatari di sms pubblicitari e di sms nell´ambito del servizio "bulk sms" ad un paese non appartenente all´Unione Europea (Malesia), fuori dai casi di cui agli artt. 43 e 44 del Codice);

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 29 agosto 2011, 28 settembre 2011 e il verbale di audizione del 10 settembre 2012, che qui si intendono integralmente richiamati e che, in sintesi, rappresentano:

1) l´atto di contestazione di violazione amministrativa del 3 agosto 2011 risulterebbe viziato da insanabili nullità poiché avrebbe erroneamente indicato l´impresa individuale XX di XX quale titolare dei siti XX.org, vogliovincere.it e inviasms.it. I primi due siti, all´epoca dell´adozione dell´atto di contestazione, sarebbero stati trasferiti alla società di capitali XX s.r.l., il terzo invece non risulta sia mai stato nella titolarità di XX di XX, che invece possedeva il sito inviasms.com. Le sanzioni sarebbero pertanto state applicate ad un soggetto "giuridicamente privo della titolarità";

2) con riferimento alla contestazione relativa alla violazione dell´obbligo di informativa, XX avrebbe correttamente fornito agli interessati la necessaria informativa ai sensi dell´art. 13 del Codice. A tale riguardo la difesa di XX ha fornito copia di una welcome letter inviata agli utenti all´atto della registrazione al sito della società tedesca Planet49 Gmbh (memoria difensiva del 28 settembre 2011), evidenziando che con tale documento "l´impresa XX forniva invece correttamente l´informativa di cui all´art. 13 del Codice, come dagli allegati si evince. All´interno della stessa informativa infatti venivano indicate le finalità del trattamento, la natura obbligatoria e facoltativa del conferimento dati, e i soggetti e le categorie ai quali i dati venivano inviati. Inoltre, all´interno della stessa informativa, venivano indicati gli estremi identificativi del titolare e, se designati, di uno dei rappresentanti nel territorio dello Stato e del responsabile, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l´elenco aggiornato dei responsabili". Con riferimento ai servizi di bulk sms, è stato evidenziato (memoria difensiva del 29 agosto 2011) che "non è esatto dire che XX non forniva agli interessati alcuna informativa in quanto, per poter usufruire del sistema bulk, l´utente doveva compilare apposito modulo d´ordine ed accettare apposito disclaimer";

3) con riferimento alla contestazione relativa alla violazione dell´obbligo di acquisire il consenso per l´invio di e-mail e sms promozionali e per la conservazione dei dati dei soggetti contattati dagli utenti del servizio di "bulk sms", la difesa ha rappresentato (memoria del 28 settembre 2011) che i dati delle persone iscritte al sito vogliovincere.it non sono stati utilizzati successivamente alla scadenza dei concorsi poiché l´unico concorso effettuato da XX si è concluso in epoca successiva alla data di adozione del provvedimento di contestazione. Il sig. XX, con riferimento alla conservazione dei dati dei soggetti contattati dagli utenti del servizio di "bulk sms", ha dichiarato (audizione del 10 settembre 2012) "io agivo come un provider di indirizzi di posta elettronica; io concedevo un account al mio cliente il quale lo gestiva sotto sua responsabilità come meglio credeva. Tale account era protetto da password personali dell´utente che lo stesso poteva cambiare quando e come credeva. […] Io agivo come provider, mettendo a disposizione il mezzo per inviare i messaggi; ma nulla, né il contenuto né il numero di telefono del destinatario era sotto la mia responsabilità";

4) con riferimento alla contestazione relativa alla violazione dell´art. 45 del Codice, in relazione ai trasferimenti di dati all´estero, la parte ha osservato (audizione del 10 settembre 2012) che l´invio di sms e e-mail promozionali non è mai avvenuto utilizzando le piattaforme tecniche della società malese Ice Corporation poiché tramite l´azienda veronese R&D Communication tali invii risultavano di gran lunga più convenienti; ha inoltre osservato (memoria del 28 settembre 2011) che i clienti del servizio "bulk sms" avevano la facoltà di scegliere se inviare sms di bassa o alta qualità, scegliendo in tal modo l´instradamento dei messaggi attraverso una piattaforma italiana o straniera;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra, ma consentono tuttavia di escludere alcune delle violazioni contestate, per le motivazioni di seguito riportate:

1) con riferimento alla asserita illegittimità dell´atto di contestazione di violazione amministrativa, deve osservarsi che l´impresa individuale XX di XX è risultata essere la titolare dei siti vogliovincere.it, XX.org e inviasms.com così come rilevato nel corso degli accertamenti ispettivi svolti dall´Ufficio il 22, 23 e 24 settembre 2010 e nel successivo procedimento amministrativo avviato con avviso all´interessato del 23 maggio 2011. Per quanto riguarda il sito inviasms.com, come già in precedenza osservato, lo stesso è stato erroneamente indicato nel provvedimento del 30 giugno 2011 e nell´atto di contestazione come inviasms.it. Tuttavia, dal complesso dei riferimenti che sono presenti nel provvedimento e nell´atto di contestazione, si evince inequivocabilmente che l´Autorità ha preso in esame le attività del servizio "bulk sms" svolto dall´impresa individuale XX di XX, attività che viene regolarmente svolta tramite il sito inviasms.com. Pertanto l´indicazione del sito inviasms.it deve ascriversi a errore meramente formale, che non poteva generare fraintendimenti, tant´è che la parte ha infatti svolto le proprie osservazioni difensive con riferimento al sito inviasms.com;

2) per quanto riguarda la contestazione delle violazioni relative all´obbligo di informativa, deve osservarsi quanto segue:

- in ordine all´informativa che doveva essere resa in occasione della registrazione nel database Planet new dei dati acquisiti dalla società tedesca Planet 49, nel verbale degli accertamenti ispettivi del 24 settembre 2010 si legge "i verbalizzanti hanno chiesto alla parte [XX, n.d.r.] di esibire i testo dell´informativa che fu resa agli interessati per la registrazione al concorso a premi organizzato da Planet e sponsorizzato da 22 società di cui si è trattato nel corso delle giornate precedenti. La parte ha dichiarato di non disporre di tale testo poiché lo stesso è stato predisposto da Planet". La parte ha fornito tale documento il 27 settembre 2010. Successivamente, con la memoria difensiva del 29 agosto 2011, ha fornito un diverso documento recante una lettera di benvenuto inviata da XX alle persone che si erano iscritte al concorso della società Planet 49 e i cui dati erano confluiti nel database Planet new di proprietà di XX. Il primo documento è una informativa resa dalla società Planet 49 in base alla normativa nazionale tedesca in materia di protezione dei dati personali e non evidenzia in alcun modo che i dati acquisiti possano confluire nel database di XX in Italia. Il secondo documento è certamente stato realizzato da XX ma non può essere considerato un´informativa ai sensi dell´art. 13 del Codice poiché manca ogni riferimento alle finalità e modalità del trattamento, all´ambito di comunicazione dei dati, ai diritti esercitabili ai sensi dell´art. 7 del Codice e agli estremi identificativi del titolare del trattamento. Deve pertanto confermarsi la responsabilità del sig. XX in relazione alla violazione contestata al riguardo;

- in ordine all´informativa che doveva essere resa nell´ambito della raccolta dei dati tramite i siti euroms.org e vogliovincere.it, deve osservarsi che l´Ufficio, nel corso degli accertamenti ispettivi del 22-24 settembre 2010 ha acquisito "la stampa dei form, dei regolamenti e delle informative presenti all´interno dei siti", documenti che il provvedimento del 30 giugno 2011 ha ritenuto inidonei a fornire una completa informativa ai sensi dell´art. 13 del Codice, in particolare perché gli stessi non evidenziavano il trasferimento dei dati all´estero alla società malese Ice Corporation. Al riguardo, nelle memorie difensive, la parte ha negato di aver usufruito dei servizi di Ice Corporation in Malesia per l´invio di messaggi sms promozionali, ritenuti troppo costosi in quanto di cd. "alta qualità". Tuttavia deve evidenziarsi che il coinvolgimento di Ice Corporation nelle attività di invio di messaggi sms promozionali è stata confermata dallo stesso sig. XX nel corso degli accertamenti ispettivi e, in particolare nel verbale del 23 settembre 2010, nel quale si legge: "a domanda dei verbalizzanti la parte ha dichiarato che XX, per l´invio degli sms, si avvale di alcune aziende dalle quali acquista servizi di invio a basso prezzo. Attualmente tali società sono: R&D Communication (per l´Italia – "bassa qualità" e Francia) e Ice Corporation, società malese (per l´Italia – "alta qualità"). […] A domanda dei verbalizzanti la parte ha dichiarato che in concreto, l´invio degli sms tramite le predette aziende avviene mediante trasmissione di un file al fornitore del servizio di invio contenente il testo del messaggio, il mittente e i numeri di cellulare dei destinatari oltre ad altri dati tecnici necessari per l´invio". A fronte delle puntuali dichiarazioni rese in sede ispettiva, il sig. XX non ha fornito elementi documentali e circostanziali atti a comprovare che quanto in precedenza affermato non corrispondeva all´effettiva organizzazione dell´attività di XX. Deve pertanto ritenersi confermata la violazione al riguardo contestata;

- per ciò che riguarda l´informativa resa ai clienti che si registravano al sito inviasms.com, deve evidenziarsi che tale documento, non prodotto nel corso degli accertamenti ispettivi e nel corso dell´istruttoria benché richiesto, è stato successivamente esibito dalla parte in sede di memoria difensiva. Tale documento reca un´informativa sui trattamenti di dati personali che deve ritenersi idonea perché contenente tutti gli elementi richiesti dall´art. 13 del Codice. Deve pertanto escludersi la responsabilità del sig. XX in relazione a tale specifica violazione;

3) per quanto riguarda la contestazione delle violazioni relative all´obbligo di acquisizione del consenso, deve osservarsi quanto segue:

- per ciò che concerne i dati acquisiti dalla società tedesca Planet 49, la parte non ha prodotto alcun documento idoneo a comprovare l´acquisizione di un valido consenso da parte degli interessati per la ricezione di e-mail o sms promozionali, così come prescritto dagli artt. 130, commi 1 e 2, del Codice. Deve pertanto ritenersi confermata la responsabilità del sig. XX in ordine alla violazione contestata;

- per quanto riguarda i dati acquisiti tramite il sito vogliovincere.it, la parte ha negato che tali dati siano stati utilizzati al di fuori dei termini previsti nel concorso a premi bandito da XX, evidenziando che il concorso sarebbe scaduto ben oltre la data di adozione dell´atto di contestazione. Emerge dall´istruttoria che la data fissata per l´estrazione finale del predetto concorso a premi fosse il 30 giugno 2011. In tale data è stato adottato il provvedimento inibitorio del Garante che ha vietato, tra l´altro, l´ulteriore trattamento dei dati acquisiti mediante il sito vogliovincere.it. Deve pertanto ritenersi, non emergendo prove contrarie, che il sig. XX non abbia proseguito negli invii di sms a scopi promozionali dopo la notifica del provvedimento inibitorio e deve pertanto escludersi la sua responsabilità in ordine a tale specifica violazione;

- con riferimento alla conservazione dei dati dei soggetti contattati dai clienti del servizio "bulk sms", deve evidenziarsi quanto dichiarato dal sig. XX nel corso dell´accertamento del 23 settembre 2010: "la parte ha dichiarato che per quanto riguarda il servizio "bulk sms" XX conserva anche l´indirizzo IP del cliente che accede alla piattaforma per l´invio dei messaggi. A domanda dei verbalizzanti la parte ha dichiarato che il cliente ha la possibilità di cancellare autonomamente e definitivamente l´archivio dei propri sms inviati tramite la predetta piattaforma. Comunque, a cadenza annuale, XX provvede alla cancellazione totale degli archivi, compreso l´indirizzo IP di cui sopra". Tale dichiarazione contraddice quanto sostenuto dal sig. XX in sede di memoria difensiva, e cioè che lo stesso non poteva accedere agli archivi degli sms inviati dai propri clienti. Risulta pertanto confermato che XX ha conservato, almeno per un anno, in un archivio accessibile al sig. XX, tutti gli sms inviati dai propri clienti e i numeri di utenze telefoniche mobili utilizzati, in assenza di un consenso specifico degli interessati, ai sensi dell´art. 23 del Codice.

4)  per quanto riguarda la contestazione delle violazioni relative al trasferimento dei dati ad un paese non appartenente all´Unione Europea in assenza dei presupposti di cui agli artt. 43 e 44 del Codice e quindi in violazione dell´art. 45, ci si riporta, per quanto riguarda la trasmissione alla società malese Ice Corporation di numeri di utenze telefoniche mobili per l´invio di sms promozionali, a quanto evidenziato sotto il profilo dell´informativa (precedente punto 2). Per quanto riguarda la trasmissione alla società malese dei numeri di utenza telefonica mobile dei soggetti contattati dai clienti del servizio "bulk sms", appare inconferente il rilevo espresso in sede di memoria difensiva e audizione circa la facoltà del cliente di scegliere liberamente fra l´invio di sms di alta o di bassa qualità, e quindi fra l´instradamento delle comunicazioni tramite un server straniero o uno italiano. In primo luogo, tale facoltà di scelta non coinvolgeva gli interessati (i destinatari dei messaggi sms) i cui dati sono stati trasmessi alla Ice Corporation. In secondo luogo, ci si deve soffermare su quanto dichiarato in merito dal sig. XX (audizione del 10 settembre 2012) "la scelta di come far transitare i messaggi spettava all´utilizzatore e solo ad esso. Infatti, poteva scegliere con che rotta veicolare  i messaggi (italiana o straniera) e a che prezzo (alto o basso). Pertanto, tutta la responsabilità circa gli invii è a carico dell´utilizzatore come ampiamente spiegato nelle condizioni d´uso e nell´informativa della privacy contenute nel software". La parte ha prodotto i documenti recanti l´informativa e le condizioni d´uso del servizio: in essi non vi è alcun riferimento alla possibilità di trasferimento di dati all´estero, in particolare all´azienda malese Ice Corporation. Deve pertanto confermarsi la responsabilità del sig. XX in ordine alla violazione contestata;

5)  poiché tutte le violazioni hanno coinvolto un numero elevato di interessati, pari alla complessiva numerosità dei diversi database gestiti da XX (superiore alle 200.000 anagrafiche), deve essere applicata l´aggravante di cui all´art. 164-bis, comma 3, del Codice.

RILEVATO, quindi, che il sig. XX, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice:

1) la violazione di cui agli artt. 13 e 161 del Codice, ritenuta l´aggravante di cui all´art. 164-bis, comma 3, in ragione dell´elevato numero di interessati coinvolti, per aver: a) raccolto dati personali confluiti nel database Planet New, senza aver fornito agli interessati un´idonea informativa; b) raccolto dati personali tramite i siti XX.org e vogliovincere.it, senza aver fornito agli interessati un´idonea informativa, comprensiva dell´indicazione del trasferimento dei dati all´estero;

2) la violazione di cui agli artt. 23, 130 e 162, comma 2-bis, del Codice, ritenuta l´aggravante di cui all´art. 164-bis, comma 3, in ragione dell´elevato numero di interessati coinvolti, per aver: a) svolto trattamenti finalizzati all´invio di comunicazioni promozionali ai soggetti i cui dati personali sono stati registrati nel database Planet New, senza aver acquisito il prescritto consenso di cui all´art. 130, commi 1 e 2, del Codice; b) conservato i dati personali dei soggetti contattatati dai clienti del servizio "bulk sms", senza aver acquisito dagli interessati il prescritto consenso di cui all´art. 23 del Codice;

3) la violazione di cui agli artt. 45 e 162,  comma 2-bis, del Codice, ritenuta l´aggravante di cui all´art. 164-bis, comma 3, in ragione dell´elevato numero di interessati coinvolti, per aver: a) trasferito dati relativi ad utenze telefoniche mobili, per l´invio di messaggi sms a carattere promozionale, in un paese non appartenente all´Unione Europea, in assenza di una delle condizioni previste dagli artt. 43 e 44 del Codice; b) trasferito dati relativi ad utenze telefoniche mobili, per l´invio di messaggi sms nell´ambito del servizio "bulk sms", in un paese non appartenente all´Unione Europea, in assenza di una delle condizioni previste dagli artt. 43 e 44 del Codice.

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro; l´art. 162, comma 2-bis, del Codice che punisce le violazioni delle norme indicate nell´art. 167, fra le quali quelle di cui agli artt. 23, 130, commi 1 e 2, e 45 con la sanzione da diecimila a centoventimila euro; l´art. 164-bis, comma 3, che, in caso di violazioni di maggiore gravità o che coinvolgano un elevato numero di interessati, prevede che i limiti minimi e massimi delle predette sanzioni siano raddoppiati;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, le violazioni risultano connotate da elementi specifici posto che le condotte sopra descritte hanno permesso di realizzare una strutturata e ben avviata attività commerciale, in massima parte basata su trattamenti di dati personali confliggenti con la disciplina rilevante in materia di protezione dei dati;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che nei confronti di XX di XX è stato adottato un provvedimento inibitorio relativo ai trattamenti di dati personali ritenuti illeciti (provv. 30 giugno 2011, n. 272);

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che il sig. XX non risulta gravato da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2015;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge. n. 689/1981, l´ammontare della sanzione pecuniaria,  in ragione dei suddetti elementi valutati nel loro complesso, nella misura di:

- euro 12.000,00 (dodicimila) per le violazioni di cui all´art. 161, in relazione all´art. 13 del Codice, ritenuta l´aggravante di cui all´art. 164-bis, comma 3;

- euro 20.000,00 (ventimila) per le violazioni di cui all´art. 162, comma 2-bis, in relazione agli artt. 23 e 130 del Codice, ritenuta l´aggravante di cui all´art. 164-bis, comma 3;

- euro 40.000,00 (quarantamila) per le violazioni di cui all´art. 162, comma 2-bis, in relazione all´art. 45 del Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

Al sig. XX, nato a XX, il XX, residente in Mira (VE), via XX, C.F. XX, nella sua qualità di titolare dell´impresa individuale XX di XX, di pagare la somma di euro 72.000,00 (settantaduemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

Al medesimo sig. XX di pagare la somma di euro 72.000,00 (settantaduemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 15 dicembre 2016

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia