[doc. web n. 9047355]

Ordinanza ingiunzione nei confronti di BUTALI S.P.A. - 19 luglio 2018

Registro dei provvedimenti
n. 431 del 19 luglio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO  che in data 23 marzo 2013 è pervenuta a questa Autorità  una segnalazione per un presunto trattamento illecito di dati da parte di BUTALI S.P.A.- C.F. 01305510511 -  esercente il commercio all’ingrosso, fra altro, di elettrodomestici, radio e televisori, con sede legale in Arezzo, località San Zeno, Strada n. 6 (d’ora innanzi la “Società”), in relazione all'attivazione di una Sim telefonica per il segnalante senza che quest’ultimo ricevesse preliminarmente l'informativa prevista dall'art.13 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”) e potesse liberamente esprimere il consenso per le tre distinte finalità del trattamento indicate sul modulo di richiesta di attivazione come previsto dall’art. 23 del Codice medesimo;

VISTA la nota del Dipartimento Comunicazioni e Reti Telematiche prot. n. 15454/85738 del 18 giugno 2013, con la quale la Società è stata invitata a fornire ogni informazione utile all’esame della vicenda, tornata al mittente per compiuta giacenza; 

VISTA la nota del Dipartimento Comunicazioni e Reti Telematiche prot. n. 29301/85738 del 19 novembre 2013 inviata al Dipartimento Attività Ispettive e Sanzioni al fine di provvedere alla notificazione alla Società di una nuova richiesta di informazioni, ai sensi dell’art. 157 del Codice e alla relativa acquisizione di tali informazioni in loco, per il tramite del Nucleo Speciale Privacy della Guardia di Finanza; 

VISTA la nota  del Dipartimento Attività Ispettive e Sanzioni prot. n. 4317/85738 del 12 febbraio 2014 indirizzata al Nucleo Speciale Privacy della Guardia di Finanza; 

RILEVATO che la II Sezione del Nucleo Speciale Privacy della Guardia di Finanza, in esecuzione della richiesta di informazioni del Garante n. 4312/85738 del 12 febbraio 2014, formulata ai sensi dell’art. 157 del Codice, ha svolto gli accertamenti, ai sensi dell’art. 13 della legge 689/1981, presso il negozio della Società in cui ha avuto luogo la vicenda oggetto di segnalazione, sito in San Giovanni Valdarno, formalizzati nel verbale di operazioni compiute nel giorno 11 marzo 2014 e diretti a verificare la liceità dei trattamenti di dati personali effettuati dalla Società;

VISTI gli atti dell’accertamento ispettivo; 

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti e della documentazione inviata dalla Società al Nucleo Speciale Privacy della Guardia di Finanza a scioglimento delle riserve formulate nel corso dell’ispezione, è risultato che: 

- la Società si occupa di commercio all’ingrosso e al dettaglio di prodotti elettronici ed elettrici, fra i quali, prodotti del gestore telefonico TIM; 

- la Società, per la vendita di prodotti del citato gestore telefonico è stata nominata “Responsabile del trattamento dei dati” da “Telecom Italia S.p.A.”  (verbale di operazioni compiute del 11 marzo 2014, punto n. 1, pag. 3);

- la dipendente della Società, alla richiesta di attivazione di una Sim telefonica, forniva l'informativa ai clienti solo dopo aver inserito nel gestionale TIM tutti i dati anagrafici di questi ultimi; 

- una volta inseriti i dati nel sistema, la dipendente stampava il predetto modulo nel quale risultava già precompilato sul "SI" sia il consenso al trattamento dei dati personali per finalità di invio di materiale pubblicitario, vendita diretta, ricerche di mercato etc. sia quello relativo alla profilazione e precompilato sul NO il consenso al trattamento dei dati per finalità di comunicazione e/o invio di materiale pubblicitario e informazioni commerciali di soggetti terzi con modalità automatizzate di contatto;

ESAMINATA l'ulteriore documentazione inviata dalla Società, con nota datata 24 marzo 2014, al Nucleo Speciale Privacy e pervenuta al Garante in data 30 aprile 2014 e riguardante il Contratto tra Telecom e la Società, nonché la nomina della Società a Responsabile del trattamento dei dati personali e le relative istruzioni. In particolare l’istruzione n. 12, la quale dispone che il Responsabile “Esegue ogni altro adempimento e/o operazione richiesti dal Titolare e/o necessari per garantire il pieno rispetto delle disposizioni del Codice privacy, con particolare riferimento agli adempimenti relativi all’informativa da fornire ai clienti e all’acquisizione del consenso”;

VISTA la nota prot. n. 15188 del 13 maggio 2014 con cui il Dipartimento Attività Ispettive e Sanzioni ha trasmesso il fascicolo relativo alla vicenda in questione al Dipartimento Comunicazioni e reti telematiche; 

VISTA la nota prot. n. 15637/85738 del 19 maggio 2014 con cui il Dipartimento comunicazioni e reti telematiche del Garante ha comunicato al segnalante e alla Società l’esito dell’istruttoria per cui in ordine alla vicenda segnalata ha riscontrato una condotta non conforme alla disciplina in materia di protezione dei dati personali e ha ritenuto, per tale motivo, di riservarsi la valutazione in ordine all’avvio di un procedimento sanzionatorio nei confronti della Società in relazione ai profili del mancato rilascio dell’informativa sul trattamento dei dati personali alla clientela e dell’acquisizione del consenso libero e specifico di quest’ultima  nella compilazione del modulo di attivazione della sim Tim;  

VISTA la nota prot. n. 15639/85738 del 19 maggio 2014 di trasmissione degli atti dal Dipartimento Comunicazioni e Reti Telematiche al Dipartimento Attività Ispettive e Sanzioni; 

VISTO il verbale di contestazione 21722/85738 del 14 luglio 2014 con cui il Garante ha contestato alla Società:

- la violazione delle disposizioni di cui agli artt. 13 e 161 del Codice, in relazione ai fatti sopra menzionati, per aver effettuato un trattamento di dati personali non fornendo previamente alla clientela l'informativa così come previsto dal citato art. 13;

- la violazione delle disposizioni di cui agli artt. 23, 167, 162, comma 2-bis, del Codice, in relazione ai fatti suddetti, per aver attivato una sim card telefonica in assenza del libero consenso della clientela per tre distinte finalità;

RILEVATO che dal rapporto predisposto dalla II Sezione del Nucleo Speciale Privacy della Guardia di Finanza ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, non risultano essere stati effettuati i pagamenti in misura ridotta;

RITENUTO che la Società, in considerazione del fatto che non rispettando le istruzioni impartite dal Titolare (nel caso specifico la n. 12, sopra citata, per cui il Responsabile “Esegue ogni altro adempimento e/o operazione richiesti dal Titolare e/o necessari per garantire il pieno rispetto delle disposizioni del Codice privacy, con particolare riferimento agli adempimenti relativi all’informativa da fornire ai clienti e all’acquisizione del consenso”), ha esercitato un potere decisionale del tutto autonomo, tale da assumere la veste giuridica di titolare del trattamento, così come delineato dal richiamato provvedimento del Garante del 16 febbraio 2006 (doc. web n. 1242592 in www.gpdp.it), per cui "agenti e rivenditori rivestono la qualità di titolari autonomi del trattamento dei dati utilizzati ai fini dell´attivazione dei servizi quando, in base alle modalità della propria attività, esercitano un potere decisionale reale e del tutto autonomo sulle modalità e sulle finalità del trattamento effettuato nel proprio ambito (cfr. art. 4, comma 1, lett. f) del Codice). In tal caso, essi devono adempiere autonomamente agli obblighi previsti dal Codice, con particolare riferimento a quelli, (…) di informativa, di raccolta del consenso eventualmente necessario e dell´adozione di idonee misure di sicurezza";

PRESO ATTO, altresì, che la società non ha presentato memorie difensive e non ha richiesto di essere sentita dall’Autorità; 

RITENUTO di dover confermare la responsabilità della società in ordine alla violazione contestata, poiché risulta pienamente provato in atti, anche sulla base delle dichiarazioni della società medesima, che ha attivato una Sim telefonica per il segnalante senza che quest’ultimo ricevesse preliminarmente l'informativa di cui all’art. 13 del Codice e potesse liberamente esprimere il consenso per le tre distinte finalità del trattamento indicate sul modulo di richiesta di attivazione ai sensi dell’art. 23 del Codice;

VISTO l’art. 161 del Codice che punisce la violazione della disposizione di cui all’art. 13 del Codice con la sanzione amministrativa del pagamento di una somma da euro seimila a trentaseimila;

VISTO l’art. 162, comma 2-bis, del Codice che punisce, fra altro, la violazione delle disposizioni indicate nell’art. 167, con riferimento, in tal caso, all’art.  23 del Codice medesimo con la sanzione amministrativa del pagamento di una somma da diecimila a centoventimila euro; 
CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico le violazioni contestate  non risultano connotate da elementi specifici;

b) circa la personalità dell’autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

c) in merito alle condizioni economiche dell’agente, sono stati presi in considerazione gli elementi del bilancio ordinario d’esercizio per l’anno  2017;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria in ragione dei suddetti elementi valutati nel loro complesso, con riferimento all’art. 161 del codice, per la violazione dell’art.13 del codice medesimo, nella misura di euro 6.000,00 (seimila) e con riferimento all’art. 162, comma 2-bis del Codice, per la violazione dell’art.23 del medesimo Codice, nella misura di euro 10.000,00 (diecimila) per un ammontare complessivo di euro 16.000,00 (sedicimila);  

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981, n. 689 e successive modificazioni e integrazioni;

VISTO l’art. 1, comma 2, della legge sopra citata, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a BUTALI S.P.A. - C.F. 01305510511 -  con sede legale in Arezzo, località San Zeno, Strada n. 6 di pagare la somma di euro 16.000,00 (sedicimila), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; 

INGIUNGE

alla medesima Società di pagare la somma di euro 16.000,00 (sedicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689. 

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 19 luglio 2018

IL PRESIDENTE
Iannini

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia