[doc. web n. 9038510]

Ordinanza ingiunzione nei confronti di MP Tuscolana s.r.l. - 6 giugno 2018

Registro dei provvedimenti
n. 379 del 6 giugno 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che, nell’ambito delle indagini di cui al p.p. 12986/15 mod. 44 incardinato presso la Procura della Repubblica di Roma e concernente l’illecita attivazione di schede telefoniche, il Nucleo privacy della Guardia di finanza svolgeva indagini volte a verificare i tempi, i luoghi e le modalità con cui si era proceduto all’intestazione in capo a due soggetti del tutto ignari di due schede telefoniche dell’operatore H3G. Nel corso delle indagini espletate, venivano individuate precise responsabilità in capo a MP Tuscolana s.r.l. la quale, sulla base di un contratto di affiliazione stipulato in data 24 giugno 2011 con Key 21 Italia Trading Company S.p.a., in qualità di subagente di quest’ultima svolgeva attività di promozione di prodotti e servizi H3G. Risultava, pertanto, che la MP Tuscolana s.r.l., avvalendosi di un proprio incaricato alle vendite, aveva attivato due schede telefoniche all’insaputa degli interessati, in assenza del loro specifico consenso. A fronte della concessione di specifico nulla osta della Procura della Repubblica di Roma datato 28 ottobre 2015, il predetto Nucleo procedeva alla contestazione della violazione amministrativa nei confronti della MP Tuscolana s.r.l., con sede legale in Roma, via Quinto Novio n. 39/41, P.I. 11417011001, nonché di Key 21 Italia Trading Company S.p.a., con sede legale in Sesto San Giovanni (MI), viale Casiraghi n. 359, P.I. 02982980613, oggi denominata My Best Direct s.r.l.;

VISTO il verbale n. 88/15, datato 23 novembre 2015, che qui si intende integralmente richiamato, con cui è stata contestata a MP Tuscolana s.r.l., in persona del legale appresentante pro-tempore, in qualità di responsabile del trattamento e trasgressore, e a My Best Direct s.r.l. (già Key 21 Italia Trading Company S.p.a., di seguito “MBD)”, in qualità di titolare del trattamento e obbligato in solido ai sensi dell’art. 6 della legge n. 689/1981, la violazione amministrativa prevista dall’art. 162, comma 2-bis, del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003 n. 196, di seguito “Codice”) per aver effettuato un trattamento di dati personali di 2 soggetti, intestando a loro insaputa schede telefoniche, in assenza del consenso previsto dall’art. 23 del medesimo Codice;

ESAMINATO il rapporto predisposto dal predetto Nucleo ai sensi dell’art. 17 della legge 24 novembre 1981, n. 689 e relativo al verbale di contestazione redatto nei confronti di MP Tuscolana s.r.l., nella sua qualità di responsabile del trattamento dei dati/trasgressore, e di MBD quale titolare del trattamento/obbligato in solido ai sensi dell’art. 6 della legge n. 689/1981, dal quale non risultano essere stati effettuati i pagamenti in misura ridotta; 

VISTI gli scritti difensivi, inviati in data 29 dicembre 2015 ai sensi dell’art. 18 della legge n. 689/1981, con cui MP Tuscolana s.r.l. ha illustrato le modalità con cui i dati personali dei clienti vengono raccolti ai fini dell’attivazione delle schede telefoniche e ha descritto il rapporto in base al quale gli agenti mandatari svolgono l’attività promozionale per suo conto. In particolare, sotto questo aspetto, la società ha evidenziato che tali agenti, tra i quali figurava anche quello che ha materialmente attivato le schede telefoniche oggetto dell’indagine de quo, “operano autonomamente in regime di partita IVA (…)” e che, come risulta dal contratto sottoscritto e allegato agli atti, “operavano senza rappresentanza della MP Tuscolana, svolgendo la propria attività in modo libero e indipendente, quindi senza vincolo di esclusiva e/o subordinazione (…). Per tali ragioni, non è corretto l’assunto da cui muove l’organo accertatore secondo cui la MP Tuscolana s.r.l. attraverso la sua dipendente avrebbe attivato le utenze in questione (…)”. La parte, dunque, ha sottolineato come, “in forza del proprio ruolo di sub-agente (di MBD) inviava gli agenti porta a porta con il compito di far sottoscrivere ai potenziali clienti dei meri ordinativi di acquisto (…)”. Gli agenti, inoltre, per mezzo di un tablet su cui era installata una specifica “App”, alla quale era possibile accedere mediante username e password del venditore, inviavano a MBD il documento di identità del cliente e il contratto da questi sottoscritto. Pertanto, “da un punto di vista formale la pratica si appalesava completa nella documentazione raccolta e, all’apparenza, del tutto legittima”. La parte ha, infine, chiesto, sulla base delle proprie argomentazioni, l’archiviazione del procedimento sanzionatorio o, in subordine, l’applicazione dell’istituto del cumulo giuridico di cui all’art. 8 della legge n. 689/1981 e dell’attenuante di cui all’art. 164- bis, comma 1, del Codice; 

VISTA la nota invaiata in data 2 maggio 2018 con cui la parte ha rinunciato all’audizione di cui all’art. 18 della legge n. 689/1981;

VISTI, altresì, gli scritti difensivi, inviati in data 11 gennaio 2016 da MBD in qualità di obbligato in solido ai sensi dell’art. 6 della legge n. 689/1981, con cui la  società ha chiarito che la propria attività consiste nella promozione e distribuzione di prodotti e servizi (tra cui quelli di H3G con cui è in essere un contratto di agenzia) e che “nell’erogazione dei sevizi di agenzia si avvale di sub-agenti, tra cui la MP Tuscolana s.r.l., con cui aveva instaurato un rapporto contrattuale attraverso un’affiliazione commerciale (franchising) (…) e un contratto di subagenzia (…)”. In particolare, secondo la parte, il contratto di affiliazione commerciale è presupposto fondamentale per escludere la responsabilità dell’affiliante rispetto all’operato del franchisee e viceversa. Il profilo di autonomia viene ulteriormente confermato dal contratto di subagenzia (allegato agli atti) in cui “il sub-agente (MP Tuscolana) svolgerà l’incarico oggetto del contratto, con organizzazione propria dei mezzi necessari e con gestione a proprio rischio, sia con riferimento al risultato sia con riferimento alla forza lavoro necessaria”, specificando, altresì, che “il sub-agente non potrà agire quale rappresentante del sub-preponente ovvero dei partner commerciali”. Tali argomentazioni escludono che vi possa essere una responsabilità di MBD ai sensi dell’art. 6 della legge n. 689/1981, rispetto alle condotte poste in essere da MP Tuscolana e dai suoi collaboratori, ove, tra l’altro “l’illecito ove accertato sarebbe stato commesso da persona non legata a MBD da alcun tipo di rapporto professionale (…)”, e “soltanto attraverso un falso materiale commesso nella fase di originaria acquisizione delle informazioni”. La parte ha, dunque, concluso la propria memoria difensiva chiedendo l’archiviazione del procedimento sanzionatorio avviato nei suoi confronti, quale obbligato in solido; 

LETTO il verbale di audizione dell’11 luglio 2016, ai sensi dell’art. 18 della legge n. 689/1981, con cui MBD ha ribadito quanto già argomentato nelle memorie difensive;

CONSIDERATO che le argomentazioni addotte da MP Tuscolana s.r.l., in relazione al verbale di contestazione di cui sopra, non sono idonee ad escluderne la responsabilità in relazione a quanto contestato. Si osserva che sebbene l’incaricato alle vendite, sulla base del contratto stipulato con la società (denominato “Autorizzazione alla distribuzione di prodotti e servizi”), svolgesse la propria attività “secondo la propria libera organizzazione e a proprie cure e spese”, senza poteri di rappresentanza e “assumendosi ogni responsabilità per il suo operato”,  lo stesso era “tenuto a conformarsi alle politiche della società in ordine alla distribuzione dei prodotti e servizi” (punto 3 del Contratto, recante Compiti dell’incaricato alla vendita diretta a domicilio). L’incaricato alle vendite, conformemente alla normativa di settore di cui alla legge n. 173/2005, nel caso di specie, ha agito senza vincolo di subordinazione e senza poteri di rappresentanza, dunque come lavoratore autonomo; tuttavia, per gli aspetti che qui interessano, si deve porre attenzione alle modalità e alle finalità con cui i dati personali dei clienti vengono raccolti e utilizzati, posto che sotto il profilo della protezione dei dati personali tali elementi permettono di individuare correttamente i ruoli e le responsabilità dei soggetti coinvolti nelle suddette operazioni. E così, nel caso di specie, l’incaricato alle vendite ha operato quale dipendente della MP Tuscolana s.r.l., raccogliendo i dati personali dei clienti nell’esercizio della sua attività senza acquisire il consenso richiesto per l’attivazione delle schede telefoniche; tali dati sono, poi, entrati nella disponibilità di MP Tuscolana che, designata a sua volta responsabile del trattamento ai sensi dell’art. 29 del Codice da parte di MBD (di cui era anche sub-agente), ha fornito all’incaricato alle vendite gli strumenti necessari per svolgere la propria attività, mettendo a sua disposizione il codice identificativo personale necessario per procedere all’attivazione delle schede telefoniche, unitamente a un tablet e a una specifica App per mezzo della quale i dati dei clienti venivano registrati e trasmessi a MBD, titolare del trattamento. Pertanto, sia MP Tuscolana che MBD devono considerarsi responsabili delle illecite attivazioni, in virtù delle posizioni ricoperte da ciascuna nell’ambito delle operazioni di trattamento dei dati personali. Quanto alla determinazione dell’importo della sanzione pecuniaria, si osserva l’inapplicabilità del cumulo giuridico di cui all’art. 8, comma 1, della legge n. 689/1981. Come è stato più volte sottolineato dal Garante in casi analoghi, le condotte sono state poste in essere nei confronti di soggetti diversi e, pertanto, devono ritenersi distinte e indipendenti l’una dall’altra e, come tali, sanzionabili autonomamente. Si rileva, inoltre, che la fattispecie sanzionata non rientra nei casi per i quali sia possibile applicare l’attenuante di cui all’art. 164-bis, comma 1, del Codice, non ricorrendone i presupposti. Mentre, gli elementi di valutazione che sono stati suggeriti dalla parte negli scritti difensivi (riferiti, in particolare, alla circostanza che a fronte di circa 3.756 contratti solo in due circostanze si sono verificate le problematiche che hanno portato all’accertamento della violazione) sono senz’altro indicativi ai fini della determinazione dell’ammontare della sanzione pecuniaria, secondo le determinazioni di cui all’art. 11 della legge n. 689/1981;

RITENUTO, altresì, che le argomentazioni addotte da MBD ai sensi dell’art. 18 della legge n. 689/1981 non sono idonee ad escludere le responsabilità rispetto ai fatti oggetto di contestazione. Infatti, come già detto in precedenza, ai fini dell’attivazione delle schede telefoniche, la società MBD ha agito in qualità di titolare del trattamento e, come tale, nell’ambito del potere di organizzazione del trattamento dei dati, ha designato la Mp Tuscolana s.r.l. responsabile del trattamento, ai sensi dell’art. 29 del Codice. Pertanto, MBD è chiamata a rispondere a titolo di responsabilità solidale ai sensi dell’art. 6, comma 2, della legge n. 689/1981, non avendo fornito alcuna prova di non aver potuto impedire il fatto (ad es. ponendo in essere controlli periodici sull’osservanza delle istruzioni impartite);

RILEVATO che MP Tuscolana s.r.l. quale responsabile del trattamento dei dati designato ai sensi dell’art. 29 del Codice, ha effettuato un illecito trattamento di dati personali, intestando due schede telefoniche a due soggetti, omettendo di acquisire il loro consenso, e che a MBD, per le ragioni sopra indicate, va ascritta la responsabilità solidale ai sensi dell’art. 6, comma 2 delle legge n. 689/1981;

VISTO l’art. 1, comma 2, della legge n. 689/1981, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTO l’art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell’art. 167 del Codice, tra le quali quelle di cui all’art. 23, del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro per ciascuna delle due violazioni contestate;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l’ammontare della sanzione pecuniaria per la violazione di cui all’art. 162, comma 2-bis deve essere quantificato nella misura di euro 10.000,00 (diecimila) per ciascuno dei 2 rilievi, per un importo complessivo pari a euro 20.000,00 (ventimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a MP Tuscolana s.r.l., con sede legale in Roma, via Quinto Novio n. 39/41, P.I. 11417011001, in persona del legale rappresentante pro-tempore, quale trasgressore e a My Best Direct s.r.l., con sede legale in Sesto San Giovanni (MI), viale Casiraghi n. 359, P.I. 02982980613,  in persona del legale rappresentante pro-tempore, nella sua qualità di obbligato in solido ai sensi dell’art. 6, comma 2, della legge n. 689/1981, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall’art. 162, comma 2-bis, del Codice, come indicato in motivazione; 

INGIUNGE

ai medesimi soggetti di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 6 giugno 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia