[doc. web n. 6689610]

Ordinanza ingiunzione nei confronti di Adsalsa Italia Publicidad Sucursal - 22 giugno 2017

Registro dei provvedimenti
n. 288 del 22 giugno 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a fronte di una segnalazione pervenuta all´Autorità in data 8 settembre 2014, con cui veniva lamentato un illecito trattamento di dati personali posto in essere da Adsalsa Italia Publicidad Sucursal (di seguito Società, con sede in Alcoy, Calle Filà Abencerrajes n. 4, e sede secondaria in Bresso (MI), via Roma n. 16, P.I. 06723050966,) la quale, dopo aver raccolto i dati personali del segnalante tramite un form presente sul proprio sito internet www.adsalsaitalybranch.com per l´effettuazione di un concorso a premi on line denominato "Vinci una 500", ha comunicato gli stessi dati a otto società terze per le loro finalità di marketing. L´Ufficio, pertanto, avviava un´istruttoria nei confronti della suddetta società mediante una richiesta di informazioni diretta a verificare il rispetto della normativa in materia di protezione dei dati personali (d.lgs. 30 giugno 2003 n. 196, di seguito "Codice");

PRESO ATTO del riscontro fornito dalla Società che, con la nota datata 15 ottobre 2014, ha dichiarato che il form utilizzato per la raccolta dei dati personali prevede che l´interessato, per completare la registrazione, prenda visione dell´informativa apponendo un flag sulla casella corrispondente e che esprima un consenso libero e facoltativo in ordine alle finalità di "invio di comunicazioni commerciali (marketing) e vendita diretta, tramite e-mail, fax, telefono ed ogni altra tecnologia di comunicazione a distanza anche riferiti a terzi" (punto 1, lett. b, dell´informativa) e di comunicazione dei dati a terzi per lo svolgimento di attività promozionale (punto 4 dell´informativa);

CONSIDERATO che, dall´esame della documentazione fornita dalla Società, in particolare dal testo dell´informativa prodotta, risulta che la stessa, in qualità di titolare del trattamento, ha indicato due finalità del trattamento, ulteriori a quelle funzionali al contratto (concorso a premi), ovvero la finalità di marketing e quella di cessione dei dati a terzi per le loro finalità promozionali, omettendo di acquisire un consenso specifico e differenziato per ciascuna delle due finalità, come richiesto dall´art. 23 del Codice;

VISTO il provvedimento del Garante n. 330 del 4 luglio 2013 (in www.garanteprivacy.it doc. web n. 2542348), recante "Linee guida in materia di attività promozionale e contrasto allo spam", con cui è richiesto ai titolari del trattamento che intendono perseguire finalità di marketing di prevedere due appositi e distinti consensi relativamente alle modalità di contatto, automatizzate e tradizionali, oppure, in alternativa, un unico consenso che comprenda i due tipi di modalità, permettendo all´interessato di esercitare il diritto di opposizione anche in parte, opponendosi ad esempio al solo invio di comunicazioni promozionali tramite strumenti automatizzati (punto 2.6.2 del provvedimento);

VISTO l´atto n. 523/95334 del 9 gennaio 2015, con cui l´Ufficio del Garante ha contestato a Adsalsa Italia Publicidad Sucursal, nella persona del legale rappresentante pro-tempore, le violazioni amministrative previste dall´art. 162, comma 2-ter, del Codice, in relazione all´art. 154, comma 1, lett. c), per non aver adempiuto alle prescrizioni impartite dal Garante con il provvedimento n. 330 del 4 luglio 2013 e dall´art. 162, comma 2-bis, in relazione all´art. 23 per non aver raccolto un consenso specifico in relazione a ciascuna finalità perseguita, informandola altresì della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dal rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 dall´Ufficio del Garante non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi del 9 febbraio 2015, inviati ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte, con riferimento alla violazione delle misure prescrittive contenute nel provvedimento del Garante n. 330 del 4 luglio 2013, ha evidenziato il breve lasso di tempo intercorso tra la pubblicazione in Gazzetta ufficiale del suddetto provvedimento (26 luglio 2013) e la raccolta dei dati del segnalante in relazione alla quale era stata predisposta l´informativa (25 agosto 2013). In tale periodo di tempo, l´informativa resa agli interessati (già in fase di adeguamento alle indicazioni del Garante) conteneva la precisazione in ordine alle diverse modalità di contatto (sia automatiche che tradizionali) utilizzate per l´invio di comunicazioni promozionali e, soprattutto, prevedeva la possibilità per l´interessato di opporsi a tali trattamenti anche parzialmente, chiedendo la cancellazione anche solo da uno dei canali di comunicazione usati. Con riguardo al secondo motivo di contestazione, la Società ha dichiarato che "l´informativa utilizzata per il concorso Vinci una 500 era quella generale utilizzata per le nostre attività sul web" e, come tale, "prevedeva tutte le varie finalità astrattamente perseguibili". Pertanto, "nel caso specifico del segnalante, la modalità di trattamento prevista era la sola comunicazione dei dati a terzi, escludendosi però l´utilizzo dei dati per le nostre attività di marketing", cosicché il consenso raccolto era riferito alla sola finalità effettivamente perseguita della cessione dei dati a terzi. La Società ha, infine, fatto presente di aver recepito tutte le indicazioni del Garante e di aver prontamente modificato l´informativa;

LETTO il verbale di audizione, svoltasi in data 20 aprile 2015 ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato negli scritti difensivi;

CONSIDERATO che le argomentazioni addotte sono solo in parte idonee ad escludere la responsabilità della parte in relazione a quanto contestato. Con riguardo al primo rilievo afferente la violazione dell´art. 154, comma 1, lett. c) del Codice, si osserva, preliminarmente, che le misure indicate nel provvedimento, che si assumono essere state violate, sono state adottate dal Garante ai sensi dell´art. 154, comma 1, lett. h) e che, pertanto, non sono sanzionabili ai sensi dell´art. 162, comma 2-ter. Ad ogni modo, dall´esame della documentazione in atti, risulta che l´informativa utilizzata dalla Società sia comunque conforme alle indicazioni fornite dal Garante nel già citato provvedimento del 4 luglio 2013, laddove essa contiene, dapprima, l´indicazione delle diverse modalità di contatto utilizzate per il marketing ("e-mail, fax, telefono e ogni altra tecnologia di comunicazione a distanza", punto 1, b) del testo), e, in secondo luogo, la possibilità per l´interessato di "opporsi in tutto o in parte al trattamento dei propri dati personali per finalità di marketing e/o vendita diretta, facendone semplice richiesta ad Adsalsa". Dunque, sebbene non sia stata prevista in maniera esplicita la possibilità per l´interessato di accettare solo alcune modalità di contatto, si ritiene che l´esercizio del diritto di opposizione sia stato comunque garantito e che, pertanto, si possa procedere con l´archiviazione del rilievo in questione.

Quanto alla violazione dell´art. 23 del Codice, si osserva che l´informativa di cui all´art. 13 del Codice deve essere predisposta in modo da fornire all´interessato una chiara enunciazione dei trattamenti effettivamente posti in essere dal titolare (con indicazione, tra l´altro, delle modalità e delle finalità del trattamento) e, conseguentemente, il consenso deve essere acquisito in maniera specifica, appunto in relazione ai trattamenti chiaramente individuati. Non è, dunque, corretta l´informativa che venga, invece, formulata in relazione a "finalità astrattamente perseguibili", così come ha riferito la parte; conseguentemente non è valido un consenso acquisito in ordine a più finalità tra loro eterogenee. Infatti, il consenso è validamente prestato "solo se è espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato (…)" (art. 23, comma 3, del Codice). Nel caso di specie, pertanto, considerato che le finalità indicate nell´informativa sono numerose e diverse tra loro (tra cui l´invio di messaggi e newsletter tematiche, l´invio di comunicazioni commerciali e vendita diretta, l´attività di analisi dei comportamenti, e la comunicazione dei dati a società terze per il loro trattamento a scopi commerciali e di pubblicità), aldilà della circostanza se esse siano effettivamente realizzate dal titolare, è comunque necessario che siano acquisiti distinti e specifici consensi per ciascuna di queste, così come richiesto dall´art. 23 del Codice;

RILEVATO, pertanto, che Adsalsa Italia Publicidad Sucursal, in qualità di titolare del trattamento ai sensi dell´art. 28 del Codice, ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di raccogliere un consenso specifico e differenziato per ciascuna delle finalità descritte nell´informativa, ulteriori a quelle funzionali al contratto, in violazione dell´art. 23 del Codice;

RITENUTO, invece, di dover archiviare il procedimento sanzionatorio di cui al citato verbale del 9 gennaio 2015 nella parte in cui viene contestata l´inosservanza del provvedimento del Garante n. 330 del 4 luglio 2013;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, altresì, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, pertanto, di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare della sanzione pecuniaria, nella misura di 20.000,00 euro (ventimila) per la violazione di cui all´art. 162, comma 2-bis;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

DISPONE

l´archiviazione del procedimento sanzionatorio relativo alla contestazione della violazione amministrativa di cui all´art. 162, comma 2-ter, del Codice, nei termini di cui in motivazione;

ORDINA

a Adsalsa Italia Publicidad Sucursal, con sede in Alcoy, Calle Filà Abencerrajes n. 4, e sede secondaria in Bresso (MI), via Roma n. 16, P.I. 06723050966, nella persona del legale rappresentante pro-tempore, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis, del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 22 giugno 2017

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia