g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Tempocasa S.p.A. - 27 maggio 2021 [9689375]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9689375]

Ordinanza ingiunzione nei confronti di Tempocasa S.p.A. - 27 maggio 2021

Registro dei provvedimenti
n. 217 del 27 maggio 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 apri-le 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTE, fra i provvedimenti del Garante a contenuto generale più rilevanti, le Linee guida in materia di attività promozionale e contrasto allo spam - 4 luglio 2013;

VISTA la complessiva documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamen-to del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. La segnalazione pervenuta, l’attività istruttoria dell’Ufficio e i relativi esiti

Con segnalazione pervenuta a questa Autorità il 24 febbraio 2020, il signor XX ha lamentato la ricezione di telefonate indesiderate tese a promuovere il marchio Tempocasa e avvenute in assenza di un suo consenso e nonostante l’iscrizione della propria utenza telefonica nel Registro pubblico delle opposizioni.

Al riguardo l’Ufficio ha avviato un’apposita attività istruttoria, il 22 aprile 2020, al fine di acquisire maggiori elementi di valutazione: tale attività, che per la singola doglianza non ha fatto emergere elementi di criticità a carico di Tempocasa S.p.A. (di seguito indicata anche come “Tempocasa o “Società”), ha fornito l’occasione di condurre accertamenti d’Ufficio a più ampio raggio riguardo ai trattamenti di dati posti in essere dalla Società, anche con riferimento al sito internet www.tempocasa.it e, in particolare, ai testi dell’informativa privacy e dell’informativa relativa alla newsletter.

Sulla base della documentazione complessivamente acquisita, dalla quale è emerso che gli utenti registrati al citato sito internet sono quantificabili in circa 600, l’Ufficio ha constatato che: 

A) l’informativa privacy risultava carente riguardo:

1. all’indicazione delle modalità del contatto promozionale, essendo rappresentata soltanto la finalità pubblicitaria perseguita;

2. all’individuazione dei soggetti terzi e/o delle categorie merceologiche delle Società terze cui vengono comunicati i dati per fini promozionali;

3. alla chiara identificazione delle Società terze di rilevazione della qualità dei servizi alle quali Tempocasa comunica i dati personali degli utenti;

4. al riferimento al diritto alla limitazione (ex art. 18 del Regolamento), nell’ambito dell’elenco dei diritti esercitabili dall’interessato.

Inoltre, l’informativa in questione indicava espressamente che la registrazione “del […] nominativo” dell’interessato al sito internet comportava l’acquisizione ‘automatica’ di un consenso alla comunicazione dei dati nonché ai trattamenti per finalità promozionali anche da parte di Società del gruppo o di Società terze: tale consenso, privo dei caratteri di libertà e di specificità individuati nell’art. 4, punto 11, del Regolamento, non sembra costituire un’idonea base giuridica per i citati trattamenti, ai sensi dell’art. 6 del Regolamento medesimo.

Infine, l’iscrizione alla newsletter comportava anche l’acquisizione del consenso alla ricezione di e-mail riguardanti indistintamente: i) offerte promozionali di Tempocasa; ii) aggiornamento sulle novità del sito web; iii) novità editoriali. Peraltro la medesima iscrizione, nell’impostazione dichiarata dalla Società, implicava l’acquisizione del consenso alla profilazione a scopo di marketing. Pertanto, rispetto a tali trattamenti, non risultando acquisito alcun consenso specifico da parte degli interessati per le citate finalità, né risultando applicabile altra base giuridica (v. artt. 6, par. 1, del Regolamento e 130 del Codice), è emersa la possibile violazione delle disposizioni di cui agli artt. 6, 12 e 13 del Regolamento;

B) l’informativa relativa alla newsletter presentava le seguenti criticità:

5. l’inadeguata individuazione dei soggetti contitolari, mancando l’indicazione delle Società affiliate;

6. ambigua con riguardo al “Trasferimento dei dati all’estero” di cui al punto 7 dell’informativa in questione.

Conseguentemente, anche con riferimento a questa seconda informativa, è stata rilevata la possibile violazione degli artt. 12 e 13 del Regolamento.

Inoltre, la lacunosità e genericità delle due citate informative hanno messo in luce una non corretta ed inadeguata impostazione dei trattamenti in rilievo, integrando la violazione del principio di privacy by design individuato dall’art. 25, par. 1, del Regolamento.

Ciò considerato, con nota del 10 febbraio 2021, è stato notificato a Tempocasa l’avvio del procedimento per l’adozione delle misure correttive, come previsto dall’art. 166, comma 5, del Codice, contestando la presunta violazione degli artt. 6, 12, 13 e 25, par. 1, del Regolamento, prospettando conseguentemente l’applicabilità anche delle sanzioni amministrative previste dall’art. 83 del Regolamento, come richiamato dall’art. 166, comma 2, del Codice.

Con la memoria difensiva del 25 febbraio 2021 la Società, nel sottolineare di aver aggiornato le informative oggetto del procedimento al fine di “garantire in modo celere e collaborativo un sempre maggior livello di tutela degli interessati”, ha eccepito l’infondatezza delle contestazioni formulate dall’Autorità.

In particolare, con riferimento all’informativa privacy, il titolare ha sostenuto come le informazioni sui mezzi utilizzati (telefono ed e-mail) e sui soggetti terzi e/o categorie merceologiche delle Società terze a cui vengono comunicati i dati per finalità pubblicitarie fossero conoscibili dagli utenti mediante una soluzione grafica adottata da Tempocasa -  accedendo alla sezione del sito internet contenente il form di raccolta dati - che consiste in “specifici pop up che si attivano automaticamente non appena l’utente posiziona il cursore del mouse sopra ciascun flag box di raccolta consenso”.

Con riguardo alla mancata identificazione delle Società terze e degli enti di rilevazione della qualità dei servizi di cui Tempocasa si avvale per perseguire la finalità di comunicazione dei dati personali, la Società ha respinto tale contestazione ritenendo sufficiente aver indicato la categoria merceologica di riferimento (cit. “società o enti di rilevazione della qualità dei servizi”) come previsto dalle “Linee guida in materia di attività promozionale e contrasto allo spam” del 4 luglio 2013.

Inoltre, nel considerare il diritto alla limitazione del trattamento (art. 18 del Regolamento) affine al diritto di ottenere “il blocco dei dati trattati in violazione di legge, ivi compresi quelli non più necessari al perseguimento degli scopi per i quali sono stai raccolti” (art. 7 del Codice), Tempocasa - a seguito della contestazione notificata dall’Ufficio ed in un’ottica di “collaborazione e propensione al miglioramento costante della compliance privacy”- ha sostenuto di aver pubblicato nel proprio sito internet un modulo di esercizio dei diritti “all’interno del quale è indicato anche il diritto alla limitazione del trattamento”.

In ordine all’individuazione dei contitolari nell’informativa newsletter, la Società ha rappresentato di aver fornito le relative informazioni (ragione sociale e dati di contatti) tramite i link “Trova agenzia” e “Elenco completo” presenti nel footer del sito internet ed in calce all’informativa in questione, nonché accedendo al form di raccolta dati nel quale sono riportati “in epigrafe i dati dell’affiliato con cui l’interessato entra in contatto”.

Peraltro, nella medesima occasione, la Società ha sostenuto di non effettuare trasferimenti dei dati verso Paesi extra UE ma soltanto “verso Paesi dell’Unione Europea”; conseguentemente ha affermato di essere esente dall’obbligo informativo agli interessati su tale aspetto nonché dal correlato adempimento del consenso libero, specifico e documentato per la citata finalità di trasferimento.

Più in generale, con riferimento all’acquisizione di un unico consenso per più finalità eterogenee, la Società ha rappresentato che nel form di raccolta dati erano previsti "separati e specifici consensi [...] per le distinte finalità [del trattamento] presenti nel testo dell'informativa [privacy]" e che non ha utilizzato i dati personali degli utenti iscritti al sito e alla newsletter per perseguire finalità di marketing e profilazione. Ha, inoltre, evidenziato come “il tipo di comunicazioni commerciali contestate da codesta Autorità avrebbe riguardato immobili di interesse per gli” utenti i quali, quindi, avrebbero avuto “l’aspettativa di riceverle”.

Tempocasa ha poi chiarito di non aver "mai subordinato la fornitura dei propri servizi ad alcun consenso per marketing, profilazione, o di qualsiasi altro tipo" ed ha evidenziato di essere intervenuto con azioni correttive e migliorative, avviando "il rifacimento del proprio sito nel Novembre 2020, prima quindi dell'avvio del [...] procedimento [dell'Autorità]" e di aver "riscritto le informative contestate tenendo conto delle criticità segnalate".

Nel corso dell’audizione, tenutasi il 3 marzo 2021, la Società - nel sottolineare di aver improntato la propria condotta ai principi di buona fede, correttezza e lealtà anche nell’ambito della vicenda oggetto del procedimento – ha rappresentato di aver incrementato ulteriormente gli investimenti effettuati per la digitalizzazione dei processi aziendali (per i quali sono stati spesi circa 300.000 euro nel periodo febbraio/dicembre 2020) al fine di garantire una sempre maggiore conformità alla normativa in materia di protezione dei dati personali, “avendo particolare riguardo alle informative e ai consensi privacy” e in un’ottica di privacy by design. Inoltre, ha dichiarato che “il sito web www.tempocasa.it è un mero sito vetrina […] attivo dall’estate del 2018” ed ha ribadito di non aver effettuato trattamenti di dati degli utenti del citato sito se non per ragioni contrattuali o di erogazione dei servizi offerti, per le quali non è necessario acquisire un consenso libero e specifico. Le richieste pervenute mediante il form di contatto presente nel sito internet, peraltro, “sono state gestite esclusivamente dagli affiliati competenti per zona solo per dar[vi] riscontro e […] quindi, gli indirizzi mail, così acquisiti, non sono stati utilizzati per fini promozionali”.

2. Valutazioni di ordine giuridico

Alla luce degli elementi complessivamente acquisiti, anche in base alle affermazioni della So-cietà, di cui il dichiarante può essere chiamato a rispondere penalmente ai sensi dell’art. 168 del Codice, si definiscono di seguito le valutazioni dell’Autorità.

Va evidenziato preliminarmente che Tempocasa S.p.A. è da ritenersi titolare del trattamento dei dati effettuato mediante il proprio sito internet, avendo la medesima stabilito sia le finalità che le modalità di contatto (v. art. 28 del Regolamento); alla medesima Società sono dunque di-rettamente riconducibili tanto gli adempimenti posti dalla normativa in materia di protezione dei dati personali quanto la responsabilità per le violazioni rilevate.

Ciò premesso, con riferimento alle criticità emerse nei testi delle informative privacy e newslet-ter, vanno in primo luogo accolte le argomentazioni addotte dalla Società in ordine a quelle so-pra indicate con i punti 4. e 6. e pertanto si ritiene che non ricorrano gli estremi delle violazioni ivi prospettate.

Relativamente agli ulteriori elementi sollevati (modalità di contatto promozionale; soggetti terzi a cui vengono comunicati i dati personali; contitolari) e preso atto che gli elementi mancan-ti sono ricavabili dal form di raccolta dati, attraverso la soluzione grafica descritta dalla parte, deve osservarsi che la carenza di tali informazioni nei testi delle citate informative non può rite-nersi superata dal fatto che i dati possano essere conosciuti aliunde, né può considerarsi idoneo, e quindi legittimo, un meccanismo che costringa l’interessato ad effettuare ricerche nel sito web per poter acquisire tutte le informazioni obbligatoriamente previste dall’art. 13 del Regolamento, contravvenendo, così, anche al requisito di facile accessibilità e fruibilità delle informazioni pre-visto dall’art. 12 del Regolamento, nel più ampio contesto del basilare principio di trasparenza. In tal senso anche il Gruppo di lavoro ex Articolo 29 che, nella versione emendata delle Linee guida sulla trasparenza adottata l’11 aprile 2018 (in www.garanteprivacy.it, rinvenibile al link https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227), ha chiarito dapprima che “l’elemento della facile accessibilità implica che l’interessato non sia costretto a cercare le informazioni, ma che anzi gli sia immediatamente chiaro dove e come queste siano accessibili” e poi, nel promuovere un approccio stratificato dell’informativa, ha sottolineato che “il design e il layout del primo strato della dichiarazione/informativa sulla privacy dovrebbe essere tale da offrire all’interessato una panora-mica chiara delle informazioni a sua disposizione sul trattamento dei dati personali e del luogo e del mo-do in cui può trovarle fra i diversi strati. […]. Ciò significa che “il titolare del trattamento deve atti-varsi per fornire le informazioni in questione all’interessato o per indirizzarlo verso il punto in cui si trovano (ad es. mediante link diretto, utilizzo di un codice QR, ecc.). […] il Gruppo raccomanda che tut-te le informazioni rivolte agli interessati siano messe a loro disposizione in un unico luogo o in un unico documento completo (ad es., in formato digitale su un sito Internet o su supporto cartaceo) cui si possa accedere facilmente per consultarle nella loro interezza”. L’approccio stratificato dell’informativa, quindi, non può prescindere dalla sua completezza, con riguardo a tutti gli elementi codificati dall’art. 13 del Regolamento, favorendo un livello di intellegibilità e di trasparenza sotteso al fondamentale principio di autodeterminazione dell’interessato in ordine al trattamento dei suoi dati personali. 

Con riguardo all’automatica acquisizione dei consensi per finalità promozionali, di comuni-cazione a terzi e di profilazione, all’atto di iscrizione al sito internet e alla newsletter, il fatto che Tempocasa abbia dichiarato di non aver inviato alcuna comunicazione promozionale ai 600 utenti registrati (e di non aver effettuato le ulteriori attività di profilazione e di comunicazione a terzi per finalità promozionali) non esclude la sussistenza della violazione, posto che già con la raccolta e registrazione dei dati negli archivi della Società si sono realizzate le primarie opera-zioni di trattamento riconducibili alle sopra menzionate finalità.

Nell’osservare che emerge, nell’impostazione complessiva dei trattamenti da parte di Tempo-casa, sia un’evidente incoerenza tra i trattamenti descritti nelle informative ed i trattamenti ef-fettivamente svolti (v. provv. 15 gennaio 2020 n. 85, doc. web n.  9256486 par. 3.5.), sia l’ulteriore incoerenza tra i trattamenti descritti ed i consensi da richiedere agli interessati, deve rilevarsi che, nel form di raccolta dei dati predisposto dalla Società, non risulta sia richiesto agli utenti il necessario libero e specifico consenso al trattamento dei dati per la finalità di profilazio-ne. Inoltre, non può ritenersi affatto chiaro se il consenso ivi richiesto (“consenso attività di marke-ting di società terze”) sia riferito al marketing effettuato dalla Società per conto di terzi oppure alla comunicazione a tali soggetti per lo svolgimento in proprio delle attività promozionali. Pertanto, la formulazione testé espressamente indicata non può costituire un’idonea base giuridica (v. art. 6 del Regolamento, cit.) né per trattamenti che implichino la comunicazione a terzi né, tantome-no, per trattamenti aventi finalità promozionali.

Come detto, la circostanza che Tempocasa abbia affermato di non aver mai effettuato le di-chiarate finalità promozionali, di profilazione e di comunicazione a terzi, non rileva ai fini delle violazioni contestate, in quanto, come previsto dal legislatore nazionale e comunitario (art. 4, par. 2, del Regolamento) e ribadito dal Garante in più circostanze, la raccolta e la conservazione dei dati costituiscono trattamenti di dati personali che richiedono specifiche garanzie riguardo ad informativa e consenso. In tal senso non può accogliersi l’eccezione presentata dalla Società sulla legittima aspettativa maturata dagli interessati alla ricezione di comunicazioni promozio-nali riguardanti l’acquisto e/o alla vendita di un immobile, “in linea con [i propri] interessi, biso-gni”, poiché  nelle informative prese in considerazione non erano distinte né la modalità, né la frequenza, né l’oggetto delle comunicazioni in parola (necessarie per delimitare la possibile por-tata del trattamento promozionale) e in quanto non è possibile ravvisare, nella fattispecie, un le-gittimo interesse quale idonea base giuridica per l’attività di marketing. Infatti, come chiarito an-che in occasione del citato provv. 15 gennaio 2020 (par. 3.1.), “non può invocarsi quale base giuri-dica […] quella del ‘legittimo interesse’ alle attività di marketing, magari unitamente al presunto inte-resse del soggetto ‘referenziante’, che coinvolge nella promozione l’amico o il parente. Va poi evidenziato che il legittimo interesse, di cui all'art. 6, par. 1, lett. f), del Regolamento - già previsto sia dall'abrogata direttiva 95/46/CE, nonché dal Codice previgente alle modifiche apportatevi dal d.lgs. n. 101/2018 (d.lgs. n. 196/2003, art. 24, comma 1, lett. g) - non può surrogare - in via generale - il consenso dell’interessato quale base giuridica del marketing. Invero, il Regolamento stesso – come già la direttiva 95/46/CE all’art. 7, comma 1, lett. f) - lo ammette solo ‘a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato’. L'applicazione della base giuridica del legittimo interes-se presuppone quindi la prevalenza in concreto (in base a un bilanciamento rimesso al titolare, ma sem-pre valutabile dall'Autorità di controllo) di quest'ultimo sui diritti, libertà e meri interessi degli interes-sati (nello specifico, i destinatari delle comunicazioni promozionali non assistite dal consenso). In tale confronto, è necessaria l'attenta ponderazione dell'impatto del trattamento, che si intende effettuare su tali diritti, libertà ed interessi (fra cui, nel caso del marketing, sono ravvisabili anzitutto il diritto alla protezione dei dati e il diritto alla tranquillità individuale dell’interessato).” Peraltro, “il titolare del trattamento non può ricorrere retroattivamente alla base dell’interesse legittimo […] Poiché ha l’obbligo di comunicare [nell’informativa rilasciata all’interessato] la base legittima al momento della raccolta dei dati personali, il titolare del trattamento deve aver deciso la base legittima prima della raccolta dei dati” (v. Linee guida del Gruppo Art. 29 in materia di consenso, 10 aprile 2018, WP 259).

Inoltre, in particolare, per le comunicazioni promozionali con modalità automatizzate, quali la posta elettronica, la regola generale è il consenso preventivo, libero e specifico dei destinatari (art. 130, commi 1 e 2, Codice), fatta salva l’eccezione del cd. “soft spam” (art. 130, comma 4, Codice).

Occorre ribadire che la stessa capacità di autodeterminazione degli utenti non è rispettata quando non si assicuri l’effettiva e consapevole libertà di scelta riguardo ai trattamenti dei pro-pri dati, né tantomeno quando, come prospettato dalla Società in entrambe le citate informative, venga condizionata l’adesione ad un servizio all’automatica accettazione del trattamento dei dati personali (v. provv. “Servizi online: richiesta di consenso "obbligato" per finalità promozionali” - 27 ottobre 2016, doc. web n. 5687770).

In tale quadro la Società - sebbene si sia “impegnata” e sia “intervenuta con azioni correttive e di miglioramento” dei trattamenti contestati, “avviando il rifacimento del proprio sito nel Novembre 2020” e riscrivendo le informative interessate sulla base “delle criticità segnalate da [questa] Auto-rità” nell’ambito del presente procedimento -  risulta aver posto in essere, sin dalla raccolta dei dati, un non corretto disegno degli stessi e della loro presentazione al pubblico, in chiara viola-zione del principio di privacy by design individuato dall’art. 25 del Regolamento. Infatti, “tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche”, Tempocasa non risulta aver messo in atto adeguate “misure tecniche e organizzative adeguate […] volte ad […] integrare nel trattamento le necessarie garanzie al fine di […] tutelare i diritti degli interessati” (v. anche i considerando 75 e 78 del Regolamento).

Alla luce di quanto sopra rappresentato, si ritiene che le condotte descritte abbiano comples-sivamente integrato la violazione degli artt. 6, 12, 13 e 25, par. 1, del Regolamento. Pertanto si ritiene, ai sensi dell’art. 58, par. 2, lett. d) e f), del Regolamento, di dover adottare nei confronti di Tempocasa il divieto dei trattamenti sopra descritti, ingiungendo, altresì, di conformarli alla disciplina vigente.

3. Ordinanza-ingiunzione per l’applicazione della sanzione amministrativa pecuniaria

Le violazioni, come sopra indicate, impongono anche l’adozione di un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di Tempocasa delle sanzioni amministrative pecuniarie previste dall’art. 83, paragrafi 4 e 5, del Regolamento (con il previsto pagamento di una somma fino a € 20.000.000 ovvero, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore).

Tali violazioni risultano integrate in relazione a trattamenti collegati effettuati da Tempocasa, per cui si ritiene applicabile la disposizione di maggior favore prevista dall'art. 83, par. 3, del Regolamento, in base al quale se, in relazione allo stesso trattamento o a trattamenti collegati, sono state violate, con dolo o colpa, varie disposizioni del Regolamento, la sanzione comminata per la violazione più grave (di cui all’art. 83, par. 5, lett. a e b, del Regolamento) può assorbire quella applicabile per la violazione meno grave (v. art. 83, par. 4, lett. a, del Regolamento).

Per la determinazione dell’ammontare della sanzione nella fattispecie concreta occorre tenere conto degli elementi indicati nell’art. 83, par. 2, del Regolamento che, nella presente fattispecie, possono considerarsi nei termini seguenti. In particolare, possono ritenersi come attenuanti:

- la dimensione soggettiva della condotta, che deve ritenersi più congruamente colposa, anzi-ché dolosa (art. 83, par. 2, lett. b);

- la circostanza che i trattamenti per le finalità ulteriori indicate nell’informativa (in particola-re, quelle promozionali o di profilazione) non siano stati compiutamente realizzati (art. 83, par. 2, lett. a);

- il comportamento proattivo della Società che risulta aver modificato i testi delle informative e le formule di acquisizione del consenso, anche se solo successivamente all’avvio dell'istrutto-ria con la citata nota del 22 aprile 2020 (art. 83, par. 2, lett. c);
-    l’assenza di precedenti violazioni contestate e di provvedimenti dell’Autorità a carico della Società (art. 83, par. 2, lett. e);

- la pronta cooperazione con l’Autorità nel corso della complessiva istruttoria (art. 83, par. 2, lett. f);

- gli investimenti economici già effettuati dalla Società per migliorare la conformità dei propri strumenti, come in particolare il sito web, nonché la situazione di grave crisi sociale ed eco-nomica collegata alla pandemia in corso (art. 83, par. 2, lett. k).

Quali circostanze aggravanti, invece, emergono:

- anzitutto la significativa difformità dell’azione condotta rispetto alla consistente attività provvedimentale del Garante, con la quale sono state fornite indicazioni e chiarimenti in ma-teria (v. Linee Guida sopra citate e numerosi provvedimenti inibitori e prescrittivi su casi spe-cifici) e che può ragionevolmente far ritenere raggiunta da tutti gli operatori (inclusa Tempo-casa) una sufficiente consapevolezza delle disposizioni che devono essere indefettibilmente osservate (art. 83, par. 2, lett. k cit.). Si tratta infatti di obblighi, quali l’informativa ed il con-senso, chiaramente disciplinati già nella prima legge privacy italiana, L. 675/96, e poi dal Codice, infine riaffermati nel Regolamento.

- in secondo luogo, è da considerarsi il livello elevato di ricavi derivanti dalle attività svolte dalla Società, come risultante dal bilancio prodotto.

In base al complesso degli elementi sopra indicati, in applicazione dei principi di effettivi-tà, proporzionalità e dissuasività indicati nell’art. 83, par. 1, del Regolamento, tenuto conto del necessario bilanciamento fra diritti degli interessati e libertà di impresa, in via di prima applica-zione delle sanzioni amministrative pecuniarie previste dal Regolamento, anche al fine di limita-re l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali della Società, si ritiene debba applicarsi a Tempocasa la sanzione amministrativa del pagamento di una somma di euro 120.000,00 (centoventimila) pari allo 0,6% del massimo edittale.

Nel caso di specie si ritiene che debba applicarsi anche la sanzione accessoria della pub-blicazione nel sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e dall’ art. 16 del Regolamento del Garante n. 1/2019, tenuto conto del carattere macro-scopico delle violazioni rilevate con riguardo a principi giuridici ormai consolidati nella “giuri-sprudenza” dell’Autorità e alla pervasività dei trattamenti presi in esame.

Ricorrono infine i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Si ricorda che, ai sensi dell’art. 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni e che, in ca-so di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa la sanzione di cui all’art. 83, par. 5, lett. e), del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione e adotta le seguenti misure correttive nei confronti di Tempocasa S.p.A., con sede in Bresso (MI), via Carolina Romani n. 2, c.f.: 02152730137, p. iva 11974070150:

a) ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, dispone il divieto del trattamento dei dati personali degli interessati, per i quali non disponga di un consenso adeguatamente informato, libero e specifico per ciascuna delle finalità indicate nelle menzionate informative, ulteriori e diverse da quelle prettamente contrattuali o amministrativo–contabili o in assenza di un’altra idonea e documentata base giuridica, ai sensi degli artt. 6 e 7 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiunge l’implementazione di misure tecniche ed organizzative tali da assicurare che vengano trattati, per le finalità indicate nelle menzionate informative ulteriori e diverse da quelle prettamente contrattuali o amministrati-vo–contabili, solo i dati personali per i quali disponga di un consenso adeguatamente infor-mato, libero e specifico oppure di un’altra idonea e documentata base giuridica (artt. 6 e 7, cit.).

Ai sensi dell’art. 58, par.1, lett. a), del Regolamento nonché dell’art. 157 del Codice, ingiunge alla medesima Società di fornire, nel termine di 30 giorni dal ricevimento del presente provvedimento, riscontro documentato con riguardo alle iniziative intraprese al fine di dare attuazione a quanto disposto alle lettere a) e b). L’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. e), del Regolamento;

ORDINA

a Tempocasa S.p.A., in persona del legale rappresentante pro-tempore, di pagare la somma di euro 120.000,00 (centoventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 120.000,00 (centoventimila), secondo le modalità indicate in allegato entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

quale sanzione accessoria, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019, la pubblicazione sul sito del Garante del presente provvedimento e, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° settem-bre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'inte-ressato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 27 maggio 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei