[doc. web n. 8164680]

Ordinanza ingiunzione nei confronti di Yahoo Italia s.r.l. - 14 dicembre 2017

Registro dei provvedimenti
n. 531 del 14 dicembre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 14898/97157 del 21 maggio 2015, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto gli accertamenti presso Yahoo Italia s.r.l. (di seguito "la Società"), ora in liquidazione, già con sede in Milano, via Giovanni Spadolini n. 7, e ora con sede in Milano, Piazza della Repubblica n. 32, P.I. 13122290151, formalizzati nel verbale di operazioni compiute del 15 luglio 2015, diretti a verificare la liceità dei trattamenti di dati personali effettuati dalla società, volti a rilevare la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica;

CONSIDERATO che la Società, nel corso degli accertamenti ispettivi, ha dichiarato di non aver mai effettuato trattamento di dati personali relativi alla geolocalizzazione dei veicoli, ma che l´unica attività di geolocalizzazione posta in essere è quella relativa alla "rilevazione della posizione degli utenti che si collegano al sito www.yahoo.it.", rispetto alla quale era stata effettuata la notificazione al Garante in data 27 marzo 2008. La Società ha, altresì, precisato che dal 21 marzo 2014 "Yahoo Italia s.r.l. non fornisce più i servizi agli utenti del sito www.yahoo.it ma tali servizi sono transitati alla nostra società controllante Yahoo Emea Limited, con sede in Irlanda. Di conseguenza, a partire da quella data, la nostra società non è più titolare dei trattamenti di dati personali effettuati attraverso il predetto sito, ivi compresa l´attività di geolocalizzazione degli utenti stessi";

PRESO ATTO della nota inviata dalla Società in data 30 luglio 2015, a scioglimento delle riserve formulate nel corso dell´accertamento ispettivo, con cui la stessa ha dichiarato che "nel periodo in cui è stata titolare del trattamento dei dati degli utenti italiani, Yahoo ha raccolto le seguenti categorie di dati relativi alla localizzazione degli utenti (…): - ubicazione fisica (…); -indirizzo IP (…); informazioni dall´account sull´ubicazione (…); informazioni da partner sull´ubicazione (…)";

RILEVATO che, dall´interrogazione del Registro generale dei trattamenti effettuata in data 18 settembre 2015, risulta che la Società ha presentato la notificazione al Garante ai sensi dell´art. 37, comma 1, lett. a), del Codice, per i trattamenti di dati idonei a rilevare la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica, e di non aver notificato la cessazione del trattamento, ai sensi dell´art. 38, comma 4, del Codice;

VISTO il verbale n. 27893/101426 del 8 ottobre 2015, che qui si intende integralmente richiamato, con cui è stata contestata a Yahoo Italia s.r.l., ora in liquidazione, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, in relazione all´art. 38, comma 4, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dal rapporto predisposto dall´Ufficio del Garante ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 non risulta che la Società abbia effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi, inviati in data 6 novembre 2015 ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui la parte ha precisato che i dati di localizzazione, oggetto di trattamento, sono costituiti, in gran parte, da dati di traffico telematico. Rispetto a tale categoria di dati, dunque, "Yahoo ha applicato il regime di conservazione dei dati in ossequio al disposto dell´art. 132, comma 1, D.lgs. 196/2003" in base alla quale i dati di traffico telematico devono essere conservati dal fornitore per dodici mesi dalla data della comunicazione, per finalità di accertamento e repressione dei reati. "Ed è in tale ottica che la società, in assoluta buona fede, ha ritenuto la nuova notifica ex art. 38, comma 4, D.lgs. 196/2003 dovuta solo una volta decorso utilmente il termine prescritto ex art. 132, comma 1, D.lgs. 196/2003 (…)". Per tali motivi, la Società ha chiesto l´archiviazione del procedimento sanzionatorio o, in subordine, l´applicazione della diminuente di cui all´art. 164-bis, comma 1, e la riduzione della sanzione sulla base dei criteri elencati dall´art. 11 della legge n. 689/1981;

RITENUTO che le argomentazioni addotte non sono idonee ad escludere la responsabilità della parte in ordine a quanto contestato. La parte sostiene che i dati sulla localizzazione degli utenti siano in gran parte costituiti da dati di traffico telematico e, pertanto, soggetti alla medesima disciplina di cui all´art. 132 del Codice. In realtà, sebbene il traffico telematico consenta di risalire alla posizione geografica di un utente, i dati di traffico telematico e quelli di geolocalizzazione sono due fattispecie differenti, ciascuna soggetta a una diversa disciplina normativa. Infatti, mentre i dati sulla geolocalizzazione attengono all´identificazione della posizione geografica di persone o di oggetti (mediante una rete di comunicazione elettronica), i dati di traffico telematico comprendono molte più informazioni che solo in minima parte coincidono con quelle sulla ubicazione, come l´accesso alla rete Internet, la posta elettronica, i fax (nonché i messaggi sms e mms) via Internet, la telefonia via Internet (cd. Voice over Internet Protocol–VoIP). Inoltre, mentre l´art. 132, comma 1, del Codice si riferisce ai tempi di conservazione dei dati di traffico, l´art. 38 (la cui violazione è oggetto del presente procedimento sanzionatorio) riguarda la cessazione di un trattamento di dati. Pertanto, la prima norma impone al titolare del trattamento di cancellare determinate categorie di dati una volta decorso il termine di legge; la seconda dispone che, prima della cessazione del trattamento, il titolare provveda a comunicare tale circostanza al Garante mediante la notificazione. La differenza tra le due tipologie di dati si evince anche dalla documentazione prodotta dalla parte nel corso del procedimento relativo all´istruttoria, laddove la Società ha descritto le categorie di dati di geolocalizzazione oggetto di trattamento, precisando come questi si riferiscano all´ubicazione fisica dell´utente che si collega al sito www.yahoo.it, ottenuti tramite GPS o wi-fi (previa autorizzazione rilasciata a Yahoo Italia tramite il dispositivo o il browser), oppure tramite l´indirizzo IP, o ancora tramite informazioni ottenute dall´account o da terzi soggetti, partner di Yahoo Italia. Quanto all´argomentazione addotta dalla parte, per la quale la cessazione del trattamento sarebbe stata notificata una volta decorso il termine di cui all´art. 132 del Codice, questa è assolutamente priva di fondamento. Non soltanto, per quanto sopra detto in merito alla differenza di dati oggetto del trattamento, ma anche perché alla data dell´accertamento ispettivo (15 luglio 2015) il termine di 12 mesi previsto dall´art. 132 del Codice per la conservazione dei dati di traffico telematico era già scaduto, tenendo conto che la titolarità del trattamento è rimasta in capo a Yahoo Italia fino al 21 marzo 2014. Pertanto, deve confermarsi la responsabilità della parte in ordine alla violazione de quo, non potendosi ravvisare l´esimente della buona fede di cui all´art. 3 della legge n. 689/1981. Quanto, invece, alla richiesta avanzata dalla parte di applicare la sanzione con l´attenuante di cui all´art. 164-bis, comma 1, del Codice, si osserva che l´applicazione di tale norma tiene conto della natura economica e sociale dell´attività e che tali elementi non si ravvisano nel caso in esame;

RILEVATO, pertanto, che Yahoo Italia s.r.l. in liquidazione, in qualità di titolare del trattamento, ai sensi degli artt. 4 e 28 del Codice, ha omesso di presentare la notificazione al Garante, con riferimento alla cessazione del trattamento dei dati personali, ai sensi dell´art. 38, comma 4, del Codice;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che Yahoo Italia s.r.l. in liquidazione non ha notificato la cessazione del trattamento, ai sensi dell´art. 38, comma 4, del Codice;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria,  in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 80.000,00 (ottantamila) per la violazione di cui all´art. 163, in relazione all´ art. 38 del Codice;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

ORDINA

a Yahoo Italia s.r.l. in liquidazione, con sede in Milano, Piazza della Repubblica n. 32, P.I. 13122290151, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 80.000,00 (ottantamila) a titolo di sanzione amministrativa pecuniaria, per la violazione di cui all´art. 163, in relazione all´art. 38 del Codice, come indicato in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 80.000,00 (ottantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 14 dicembre 2017

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia