[doc. web n. 2574813]

Ordinanza di ingiunzione nei confronti di Travel Factory - 11 aprile 2013

Registro dei provvedimenti
n. 184 dell´11 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 12348/53969 del 20 maggio 2010 formulata ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196-di seguito "Codice") ha svolto accertamenti presso la Travel Factory srl in liquidazione, già con sede in Roma, via sant´Agata dei Goti n. 2 e attualmente con sede in Roma, via Nicotera n. 29, P.I. 01424301008, come riportato nel verbale di operazioni compiute del 27 maggio 2010, da cui è risultato che la società effettua attività di invio fax per conto di terzi utilizzando, all´occorrenza, dati relativi ad agenzie di viaggio contenuti in un proprio database, "formato a partire dal 1988 e continuamente aggiornato fino ai giorni nostri", rispetto ai quali non è stata fornita l´informativa di cui all´art. 13 del Codice. Inoltre, è risultato che nei siti web gestiti dalla società (www.travelfactory.it, www.totalfax.it, www.masterviaggi.it e www.italybyitaly.it) sono presenti dei form di raccolta dati in calce ai quali è stata riscontrata l´assenza dell´informativa di cui all´art. 13 del Codice;

VISTO il verbale n. 51 del 15 giugno 2010 con cui sono state contestate alla Travel Factory srl in liquidazione, in persona del legale rappresentante pro tempore, due distinte violazioni amministrative previste dall´art. 161 del Codice, sia con riferimento al trattamento dei dati personali presenti nel database e finalizzato all´invio di comunicazioni promozionali via fax per conto di terzi, sia con riferimento al trattamento dei dati personali effettuato tramite i form di raccolta dati presenti sui siti web gestiti dalla stessa, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

CONSIDERATO che, sulla base degli atti risultanti dall´attività ispettiva, l´Autorità ha adottato nei confronti della società un provvedimento di divieto e prescrizione, ai sensi dell´art. 143, comma 1, lett. b) e c) e dell´art. 154, comma 1, lett. c) e d) del Codice, datato 2 marzo 2011, che qui si richiama integralmente, con cui, tra l´altro, è stato dichiarato illecito il trattamento dei dati personali effettuato dalla società Travel Factory tramite l´invio di fax promozionali in assenza dell´informativa e in carenza di un valido consenso degli interessati;

VISTO il verbale n. 8127/71345 del 20 aprile 2011 con cui è stata contestata alla società la violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice per avere la stessa effettuato attività promozionale via fax in carenza di un valido consenso degli interessati ai sensi dell´art. 130, comma 2, del medesimo Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATI i rapporti predisposti dal Nucleo privacy della Guardia di finanza e dall´Ufficio del Garante ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dai quali non risultano essere stati effettuati i pagamenti in misura ridotta;

VISTI gli scritti difensivi, inviati ai sensi dell´art. 18 della legge 24 novembre 1981, n. 689, con cui la società ha dichiarato di rivolgere la propria attività esclusivamente ad aziende del settore "Turismo e trasporto aereo" e di inviare le proprie comunicazioni per mezzo del fax "esclusivamente ad aziende del settore che ne facevano espressa richiesta. Pertanto, l´attività della Travel Factory srl, lungi dall´essere lesiva del diritto alla privacy delle aziende destinatarie dei fax promozionali, era la conseguenza logica ed indefettibile dell´adempimento delle obbligazioni assunte a seguito dell´accettazione delle richieste pervenute (…)". Per quanto sopra, non ha raccolto il consenso degli interessati, ritenendolo implicitamente reso al momento della richiesta di inserimento nel database. Per quanto concerne, invece, i siti web, la società ha precisato, nel corso dell´attività istruttoria, che i dati ricevuti tramite i form presenti sui propri siti web non sono mai stati utilizzati per finalità promozionali essendo la propria attività rivolta solo a quelle società che ne hanno fatto espressa richiesta, tant´è che, per quanto concerne il sito www.masterviaggi.it, ha dichiarato che il conferimento dei dati non è necessario, essendo il form finalizzato unicamente a commentare le notizie ivi pubblicate;

RILEVATO che, a fronte di numerose convocazioni, la parte non si è presentata a nessuna delle audizioni per le quali è stata convocata, senza portare alcuna giustificazione della sua assenza;

RITENUTO che le argomentazioni addotte non sono idonee ad escludere la responsabilità della parte in ordine alle violazioni amministrative sopra richiamate. Per quanto concerne la violazione di cui all´art. 161 del Codice, si osserva che l´assenza dell´informativa in calce ai form di raccolta dati presenti sui diversi siti web gestiti dalla società era stata riscontrata già in sede di accertamento ispettivo dalla Guardia di finanza. In quell´occasione, la parte aveva anche dichiarato che i dati acquisiti tramite i form erano utilizzati per dare riscontro alle richieste di informazioni o per evadere agli ordini e/o alle prenotazioni che pervenivano e, solo successivamente, venivano cancellati. A fronte di tali operazioni, che sostanziano un trattamento di dati personali ai sensi dell´art. 4, comma 1, lett. a) e b) del Codice, non rileva l´argomentazione della parte secondo cui i dati richiesti non erano necessari per il perseguimento delle predette finalità, essendo invece necessario che gli utenti siano messi in grado di avere tutte le informazioni utili, ad esempio, ad individuare il titolare del trattamento, il soggetto a cui rivolgere le proprie richieste ai sensi dell´art. 7 del Codice e le operazioni effettuate sui dati conferiti. Tale argomentazione è alla base anche dell´ulteriore contestazione, relativa alla violazione di cui all´art. 161 del Codice, elevata alla società con riferimento ai dati contenuti nel proprio database e che essa utilizza quale titolare del trattamento. In tal caso, infatti, sebbene il database sia formato esclusivamente dai dati di quelle società che hanno fatto espressa richiesta di ricevere le comunicazioni promozionali dalla Travel Factory e non anche dai dati diversamente acquisiti (ad esempio tramite i form di raccolta dati presenti sui vari siti Internet), si osserva che in ogni caso grava sul titolare del trattamento l´obbligo di rendere agli interessati l´informativa sul trattamento dei dati personali. Rispetto, invece, alla violazione di cui all´art. 162, comma 2-bis, si osserva che l´art. 130, comma 2, espressamente richiede per l´invio di comunicazioni promozionali via fax che sia acquisito uno specifico consenso degli interessati, e ciò vale in ogni caso, a prescindere cioè che la richiesta sia stata avanzata direttamente dagli interessati. Sotto questo profilo, non possono qualificarsi come manifestazioni del consenso le dichiarazioni, prodotte dalla parte e rese da alcune società sue clienti, con cui le stesse hanno dichiarato di aver acconsentito a ricevere le comunicazioni via fax sin dai tempi più lontani, in quanto le stesse non sostanziano i requisiti previsti dalla norma. In ultimo, si rileva che non trova accoglimento l´argomentazione della parte secondo cui l´invio dei fax avveniva in adempimento delle obbligazioni assunte con le società sue clienti, in primo luogo perché non è stato esibito alcun contratto che dimostri l´esistenza di una obbligazione a suo carico, e in secondo luogo perché l´art. 130, comma 3, esclude che questo tipo di comunicazioni rientri tra i trattamenti che possono essere effettuati in carenza del consenso, secondo le disposizioni dell´art. 24 del Codice;

RILEVATO, pertanto, che Travel Factory srl in liquidazione ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) sia per mezzo dei form presente sui siti web, avvenuto in assenza dell´informativa di cui all´art. 13 del Codice, sia tramite l´invio di fax promozionali, avvenuto in assenza dell´informativa di cui all´art. 13 e in mancanza del consenso di cui all´art. 130 del medesimo Codice;

VISTO l´art. 161 del Codice, che punisce la violazione delle disposizioni di cui all´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 130 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

VISTA la legge 24 novembre 1981 n. 689 e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, gli elementi dell´entità del pregiudizio o del pericolo e delle modalità concrete della condotta e dell´intensità devono essere valutati alla luce del fatto che la parte non ha reso l´informativa agli interessati che hanno conferito i propri dati per finalità promozionali né a quelli che li hanno conferiti tramite i tre siti web, omettendo in tal caso anche di acquisirne il consenso, mentre l´elemento dell´intensità dell´elemento psicologico deve essere valutato di lieve entità;

b) circa la personalità della violazione, deve essere considerata la circostanza che nei confronti della società l´Autorità ha adottato, in data 2 marzo 2011, un provvedimento prescrittivo e di divieto;

c) con riferimento alle condizioni economiche del trasgressore, si osserva che la società è in liquidazione;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare della sanzione pecuniaria nella misura di euro 6.000,00 (seimila) per la violazione di cui all´art. 161, con riferimento ai form di raccolta dati presente sui siti web, nella misura di euro 6.000,00 (seimila) per la violazione di cui all´art. 161, con riferimento ai dati contenuti nel database e nella misura di 10.000,00 (diecimila) per la violazione di cui all´art. 162, comma 2-bis;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Travel Factory srl in liquidazione, già con sede in Roma, via sant´Agata dei Goti n. 2 e attualmente con sede in Roma, via Nicotera n. 29, di pagare la somma complessiva di euro 22.000,00 (ventiduemila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161  e 162, comma 2-bis, del Codice, come indicato in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 22.000,00 (ventiduemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma,11 aprile 2013

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia