Diritti interna

Doveri interna

ricerca avanzata

Ordinanza ingiunzione nei confronti di IDEASORRISO S.R.L. - 31 maggio 2018 [9038386]

[doc. web n. 9038386]

Ordinanza ingiunzione nei confronti di IDEASORRISO S.R.L. - 31 maggio 2018

Registro dei provvedimenti
n. 369 del 31 maggio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO  che, a fronte di due segnalazioni pervenute all'Autorità nel marzo 2017, con cui si lamentava la ricezione di chiamate promozionali indesiderate da parte della Clinica odontoiatrica “IDEASORRISO S.R.L.” sulla utenze mobili dei segnalanti e nonostante l'assenza di ogni consenso al riguardo, l'Ufficio ha avviato un'attività istruttoria volta a verificare i fatti oggetto delle segnalazioni e, più in generale, l'osservanza delle disposizioni in materia di protezione dei dati personali con riguardo all'attività di telemarketing ed ha effettuato verifiche ai sensi degli artt. 157 e 158 del Codice il 10, 11 e 12 aprile 2017 presso IDEASORRISO S.R.L. (di seguito “Società”), e il 16 e 17 maggio 2017 presso MINGARDI MEDICAL CENTER S.R.L. (di seguito “MMC”), nel corso delle quali è risultato tra l’altro che: - l’oggetto  sociale della Società consiste nell'attività di marketing nel settore sanitario (in particolare con riguardo a servizi odontoiatrici), che viene svolta esclusivamente nell'interesse di MMC, condividendone la sede in Padova, in virtù di un apposito contratto di servizio stipulato tra le parti (dr. verbale 10.4.2017, all. 1); - l'attività promozionale è stata svolta dalla Società sia attraverso i dati personali acquisiti mediante il sito web della Società (punti 4.1 ss.), sia (in particolare in relazione ai fatti oggetto di segnalazione) mediante attività di telemarketing (punti 5.1 ss.);

RILEVATO che l'Autorità ha adottato nei confronti della Società, oltre che della MMC in qualità di co-titolari, il provvedimento di divieto e prescrittivo n. 268 del 15 giugno 2017 [doc. web n. 6629169], le cui motivazioni devono intendersi integralmente richiamate, a mezzo del quale, esaminate le segnalazioni, nonché le dichiarazioni rese dalla Società e gli esiti delle verifiche effettuate mediante accesso ai sistemi informativi della Società nel corso dei suddetti accertamenti, si è accertato che “… il trattamento dei dati personali per le menzionate finalità di marketing, effettuato da Idea Sorriso e MMC in modo promiscuo e senza alcuna compartimentazione tra le Società …, sia stato realizzato nell'inosservanza delle disposizioni contenute nella disciplina di protezione dei dati personali” (punto 7.1. del Provv. cit.). In particolare, si è accertato che la società ha raccolto dati personali attraverso tre distinti canali di approvvigionamento, ovvero la compilazione da parte degli interessati di un form online presente sul sito www.ideasorriso.it, gli elenchi telefonici pubblici, in particolare quelli presenti sul sito internet www.pagine bianche.it ed, infine, le liste di numerazioni telefoniche consegnate su chiavetta USB dalla succursale di Lugano di XX In relazione ai dati in questione, parte dei quali effettivamente utilizzato per lo svolgimento di attività promozionale, è stato possibile rilevare che:

• “[…] l'informativa fornita (sul sito www.ideasorriso.it) ai sensi dell'art. 13 del Codice, (è) da ritenersi inidonea in quanto […] nessun riferimento si rinviene all'ambito di circolazione [...] dei dati raccolti mediante il predetto sito web [...]” (punto 9.1 del Provv. cit.);

•  “[…] egualmente illecita la previsione di un unico consenso (sul sito www.ideasorriso.it) oltre che generico, preselezionato per il trattamento dei dati che vengono inseriti dagli utenti rispetto a tutte le finalità richiamate nell'informativa. In particolare viene richiesto un consenso ultroneo […] per il perseguimento delle fìnalità strettamente connesse all’erogazione del servizio, manca invece la possibilità di manifestare liberamente il consenso per le finalità di invio di newsletter a contenuto promozionale [...] che per altro non consta siano state effettivamente inviate [...] come invece richiesto dall'art. 23, c. 3. del Codice (cfr. provv.ti 9 ottobre 2014, n. 447, doc. web n. 3568046; 20 novembre 2014, n. 532, doc. web n. 3657934; 18 novembre 2015, n. 605, doc. web n. 4487559) [...]” (punto 9.2 del Provv. cit.);

• “[…] l'attività di natura promozionale (è stata svolta) nel periodo gennaio-marzo 2017 su un campione di numerazioni residenziali tratte da elenchi telefonici pubblici, […] in particolare dal sito internet www.pagine bianche.it [...] (nonché, tratte da) [...] liste di numerazioni telefoniche sia fisse che mobili relative a circa un milione (1.000.000) di utenti, [...] consegnate [...] a IdeaSorriso su supporto USE dalla succursale di Lugano di XX Llc [...]” (punti 5.1 e 5.2 del Provv. cit.);

• “[…] (i dati trattati) non hanno formato oggetto di verifica presso il Registro pubblico  [delle opposizioni] (ai sensi degli art. 130, comma 3-bis del Codice e 5, d.P.R. n. 178/2010), nè è risultata comprovata l’esistenza di alcuna altra base giuridica per il loro utilizzo per la menzionata finalità (artt. 23, 24 e 130, c. 3, del Codice) […] " (punto 8 del Provv. cit.).

Ciò considerato l’Autorità ha prescritto alla Società, oltre che a MMC, una serie di misure, ha vietato l’ulteriore trattamento illecito e si è riservata di contestare con autonomo procedimento nei confronti della Società, oltre che di MMC, in quanto co-titolari del trattamento sia dei dati asseritamente acquisiti per il tramite di www.paginebianche.it e www.ideasorriso.it sia di quelli acquistati da XX ed utilizzati per finalità di telemarketing, le violazioni amministrative concernenti gli artt. 13, 23 e 130, commi 3 e 3-bis (artt. 161, 162, comma 2-bis, e 2-quater, 167, comma l, del Codice) e la violazione di cui all'art. 164-bis comma 2 del Codice (punto 12.1. del Provv. cit.);

RILEVATO che la parte, non avendo impugnato il Provvedimento suddetto, ha prestato acquiescenza a quanto dallo stesso accertato (cfr. Trib. Arezzo 12.5.2016 n. 607 e Trib. Taranto n. 2384/2017);  

VISTA la nota n. 24239 in data 10 luglio 2017 del Dipartimento comunicazioni e reti telematiche di questa Autorità, con la quale sono stati trasmessi gli atti al Dipartimento attività ispettive e sanzioni competente per le valutazioni in ordine alla sussistenza delle violazioni amministrative da parte della Società;

VISTO il verbale n. 25950/116588 del 25 luglio 2017, che qui integralmente si richiama, con cui sono state contestate alla Società “IDEASORRISO S.R.L.”, con sede legale in Padova, via E. Filiberto di Savoia n. 47, P.I. 04606380287, nella persona del legale rappresentante pro-tempore, le violazioni amministrative previste:

a) dall’art. 161 per la violazione dell’art. 13 del Codice in relazione all’inidoneità dell’informativa resa sul sito web;

b) dall’art. 162, comma 2-bis, del Codice per la violazione dell’art. 23 del Codice, in relazione all’acquisizione di un consenso unico, generico e preselezionato presente sul sito web;

c) dall’art. 162, comma 2-bis, del Codice per la violazione degli artt. 23 e 130 comma 3 del Codice, in quanto “non è stata in grado di fornire alcuna prova dell’eventuale acquisizione del consenso informato degli interessati a cui si riferiscono le numerazioni telefoniche per l’effettuazione dell’attività di telemarketing”;

d) dall’art. 162 comma 2-quater del Codice per la violazione dell’art. 130 comma 3-bis del Codice, in relazione alla mancata verifica delle numerazioni contattate presso il Registro pubblico delle opposizioni;

e) dall’art. 164-bis, comma 2, del Codice in relazione al rilevantissimo numero di dati personali contenuti nella banca dati (circa 1.000.000 di numerazioni), per la quale non è ammesso il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

CONSIDERATO che la fattispecie di cui all’art. 164-bis comma 2 del Codice è del tutto autonoma e distinta rispetto alle fattispecie in essa richiamate, come ribadito sia dalla giurisprudenza di merito sia dalla giurisprudenza di legittimità (Trib. Milano 11.3.2014, Corte di Cass. del 17.8.2016 n. 17143). Ne discende, quindi, la configurabilità del cumulo materiale, conseguente all’astratta ipotizzabilità del concorso (non formale) degli illeciti amministrativi tra le fattispecie di cui agli artt. 161 e 162, comma 2-bis, in rapporto a quella di cui all’art. 164-bis, comma 2, del Codice, quando le prime violazioni (tra le tante possibili secondo il tenore della disposizione esaminata) siano commesse con riferimento a una banca dati di particolare rilevanza e dimensioni (cfr. all. 18);

RILEVATO che dal rapporto predisposto dall'Ufficio ai sensi dell'art. 17 della legge 24 novembre 1981 n. 689 non risulta che siano stati effettuati i pagamenti in misura ridotta in relazione agli artt. 161, 162 comma 2-bis, 162 comma 2-quater;

CONSIDERATO che la Società non si è avvalsa delle facoltà previste dall'art. 18 della legge n. 689/1981, non inviando all'Autorità scritti difensivi né chiedendo di essere ascoltata;

RILEVATO, pertanto, che “IDEASORRISO S.R.L.”, in qualità di titolare del trattamento ai sensi degli artt. 4 comma 1 lett. f) e 28 del Codice, ha effettuato un trattamento di dati personali per mezzo del sito internet www.ideasorriso.it, rendendo un’informativa inidonea e omettendo di acquisire un consenso specifico in relazione a ciascuna finalità perseguita, in violazione degli artt. 13 e 23 del medesimo Codice ed ha effettuato attività di natura promozionale su un campione di numerazioni telefoniche sia fisse che mobili, omettendo di acquisire il consenso informato degli interessati cui si riferiscono le numerazioni telefoniche (acquisite dalla XX di Lugano), in violazione degli artt. 130 comma 3 e 23 del Codice, e omettendo di svolgere la verifica presso il Registro pubblico delle opposizioni, in violazione dell’art. 130 comma 3-bis del Codice;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTO l'art. 161 del Codice, che punisce la violazione dell'art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l'art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell'art. 167 del Codice, tra le quali quella di cui all'art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

VISTO l'art. 162, comma 2-bis del Codice, che punisce la violazione delle disposizioni indicate nell'art. 167, che richiama gli artt. 23 e 130, con la sanzione amministrativa del pagamento di una somma da euro 10.000,00 a euro 120.000,00;

VISTO l'art. 162, comma 2-quater del Codice, che punisce la violazione delle disposizioni indicate nell' art. 130 comma 3-bis, che richiama il comma 2-bis dell'art 162, con la sanzione amministrativa del pagamento di una somma da euro 10.000,00 a euro 120.000,00;

VISTO l'art. 164-bis comma 2 del Codice, che punisce la violazione di un'unica o più disposizioni indicate nel Capo I del Codice, rubricato in violazioni amministrative, commesse anche in tempi diversi in relazione a banche dati di particolare rilevanza o dimensioni, con la sanzione amministrativa del pagamento di una somma da euro 50.000.00 (cinquantamila) ad euro 300.000,00 (trecentomila), per la quale non è ammesso il pagamento in misura ridotta;

CONSIDERATO che, ai fini della determinazione dell'ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell'art. 11 della legge n. 689/1981, dell'opera svolta dall'agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, quindi, di dover determinare, ai sensi dell'art. 11 della legge n. 689/1981, l'ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di:

- euro 6.000,00 (seimila) per la violazione di cui all'art. 161, in relazione all’inidoneità dell’informativa resa sul sito web (art. 13 del Codice);

- euro 10.000,00 (diecimila) per la violazione di cui all'art. 162, comma 2-bis in relazione all’acquisizione di un consenso unico, generico e preselezionato presente sul sito web (art. 23 del Codice);

- euro 10.000,00 (diecimila) per la violazione di cui all'art. 162, comma 2-bis in quanto “non è stata in grado di fornire alcuna prova dell’eventuale acquisizione del consenso informato degli interessati a cui si riferiscono le numerazioni telefoniche per l’effettuazione dell’attività di telemarketing” (artt. 23 e 130 del Codice);

- euro 10.000,00 (diecimila) per la violazione di cui all'art. 162, comma 2-quater in relazione alla mancata verifica delle numerazioni contattate presso il Registro pubblico delle opposizioni (art. 130 comma 3-bis del Codice);

- euro 50.000,00 (cinquantamila) per la violazione di cui all'art. 164-bis comma 2 in relazione al rilevantissimo numero di dati personali contenuti nella banca dati (art. 130 comma 3-bis);
per l’ammontare complessivo pari a euro 86.000,00 (ottantaseimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a “IDEASORRISO S.R.L.”, con sede legale in Padova, via E. Filiberto di Savoia n. 47, P.I. 04606380287, nella persona del legale rappresentante pro-tempore, di pagare la somma di euro 86.000,00 (ottantaseimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 86.000,00 (ottantaseimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 31 maggio 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia