[doc. web n. 9924466]

Provvedimento del 6 luglio 2023

Registro dei provvedimenti
n. 292 del 6 luglio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento dalla sig.ra XX nei confronti di Romagna Dolciumi s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo nei confronti della società e l’attività istruttoria.

In data 11 ottobre 2021, la sig.ra XX ha presentato un reclamo, regolarizzato il 12 novembre 2021, nei confronti di Romagna Dolciumi s.r.l. (di seguito, la Società), lamentando presunte violazioni del Regolamento e in particolare: l’impossibilità di esercitare il diritto di accesso ex art. 15 del Regolamento ai dati trattati con riferimento alla lettera di licenziamento del 21 maggio 2021, nonché l’assenza di informativa in merito al trattamento dei predetti dati riferiti e in merito alle modalità del trattamento dei dati riferiti alla reclamante nell’ambito della contestazione disciplinare.

Il Dipartimento ha avviato l’istruttoria preliminare, con nota del 25 febbraio 2022, con cui il titolare del trattamento è stato invitato a fornire riscontro in ordine ai fatti oggetto di reclamo a questa Autorità.
Stante l’assenza di riscontro alla stessa, la nota è stata nuovamente inviata, in data 25 maggio 2022, ai sensi dell’art. 157 del Codice, invitando il titolare del trattamento a fornire risposta entro 15 giorni successivi al ricevimento della richiesta.

Considerato che la Società non ha fornito riscontro neanche all’indicata richiesta di informazioni, l’Ufficio ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza lo svolgimento dell’accertamento ispettivo che si è svolto in data 4 ottobre 2022, nel contesto del quale è stato notificato anche l’atto di avvio del procedimento per l’adozione dei provvedimenti sanzionatori con riferimento all’art. 157 del Codice.

In occasione dell’accertamento ispettivo, la Società, attraverso il legale rappresentante, ha dichiarato (v. verbale di operazioni compiute del 4.10.2022) che:

- “la Società, a seguito del noto stato pandemico Covid-19, ha dovuto licenziare il personale dipendente, pertanto le vicissitudini in ambito lavorativo sorte con la ex dipendente […] erano state affidate preliminarmente all’avv. […] consulente esterno della società e successivamente all’avv. […] i quali, in ogni caso, non potevano accedere alle comunicazioni PEC aziendali, che sono pertanto rimaste inevase per assenza di personale che potesse occuparsi di tale compito amministrativo”;

- “la richiesta a mezzo PEC della reclamante è rimasta inevasa […] al pari delle missive PEC del Garante, per l’assenza di personale preposto alle trattazioni amministrative, certamente una rilevante distrazione causata da una nostra mancanza, che ha comportato anche l’omessa indicata comunicazione ai sensi dell’art. 12, par. 4 del Regolamento […] alla stessa richiedente”;

- “soltanto oggi, con il vostro intervento, ho provveduto a scaricare e prendere visione di quanto richiesto dall’interessata […] per il tramite del proprio legale, e dalle due richieste del Garante”;

- “nel momento in cui la dipendente, per propria condotta, era stata interessata da provvedimenti disciplinari, pressappoco dal mese di marzo 2021, per vari motivi a fronte dell’attività svolta nella nostra azienda, tali condotte sono poi sfociate anche in ambito penale, con querela presentata da parte dell’amministratore pro-tempore […] per le quali è stata interessata la magistratura ordinaria, con un procedimento attualmente in corso”;

- “dopo aver preso visione del contenuto della richiesta di esercizio dei diritti da parte della [reclamante] sono disponibile a confrontarmi direttamente con l’interessata”.

In data 10 ottobre 2022, la Società, a scioglimento delle riserve formulate in sede di ispezione, ha presentato propri scritti difensivi nei quali ha dichiarato che:

- “a partire dal 23/03/2021 la lavoratrice non si presentava più al lavoro, in ragione di un’asserita malattia, inviando foto di certificati medici” (v. nota 10.10.2022 cit., p. 3);

- “tuttavia, da informazioni assunte, risultava che la [reclamante] lavorasse per un’altra compagine sociale nel periodo in cui era assente per malattia; per tale ragione, in data 18/04/2021 si conferiva verbalmente incarico all’agenzia investigativa «Euro Detective» […] per accertare quanto appreso” (v. nota cit., p. 3, 4);

- “l’incarico di svolgere investigazioni difensive veniva conferito verbalmente dalla [allora] legale rappresentante della società Romagna Dolciumi s.r.l. al titolare della società Euro detective […] il quale a conclusione dell’incarico svolto effettuava fattura elettronica e veniva regolarmente pagato” (v. nota cit., p. 4);

- “in relazione al comportamento tenuto dalla [reclamante] la società Romagna Dolciumi s.r.l. presentava presso la competente Procura della Repubblica denuncia – querela del 09/08/2021 nei suoi confronti […] e conseguentemente si apriva un procedimento penale” (v. nota cit., p. 5);

- “con la richiesta del 30/08/2021 l’avv[ocato della reclamante] richiedeva, in nome e per conto della [reclamante] l’accesso a dati e documenti riservati che non potevano essere comunicati né, tantomeno, consegnati, per due ordini di ragioni: 1. Erano atti coperti dal segreto istruttorio e non potevano essere divulgati, ex art. 329 c.p.p., essendo pendente un procedimento penale che si trovava nella fase delle indagini preliminari, visto che antecedentemente alla richiesta del legale della lavoratrice era stata presentata denuncia – querela. 2. Erano atti riservati, facenti parte del procedimento disciplinare intrapreso nei confronti della [reclamante], e la loro pubblicazione avrebbe potuto determinare un nocumento per il diritto di difesa della società Romagna Dolciumi s.r.l., che avrebbe dovuto anticipare delle prove da produrre in un futuro giudizio, qualora la [reclamante] avesse impugnato il licenziamento comminatole” (v. nota cit., p. 5, 6);

- “solo con provvedimento del 07/09/2022 è stato comunicato alla p.o. che il P.M. aveva […] richiesto l’archiviazione del procedimento penale […] nei confronti della [reclamante] e che, ad oggi, non è pervenuto alcun avviso riguardante l’avvenuta archiviazione del detto procedimento” (v. nota cit., p. 6);

- “si ritiene che, anche qualora la società Romagna Dolciumi s.r.l. avesse avuto notizia delle richieste della lavoratrice e del Garante della privacy, non avrebbe potuto fornire dei documenti facenti parte di un procedimento penale che si trovava nella fase delle indagini preliminari” (v. nota cit., p. 6).

Con nota dell’11 ottobre 2022, la Società ha precisato che:

- “tutti i documenti in possesso della società Romagna Dolciumi s.r.l. sono stati prontamente forniti alla G.D.F, una volta avuta contezza della richiesta” (v. nota 11.10.2022 cit., p. 2);

- “i detti documenti saranno inviati anche alla [reclamante] quando perverrà la comunicazione di avvenuta archiviazione del procedimento penale e decadrà pertanto l’obbligo di riservatezza istruttoria” (v. nota cit., p. 2).

In data 7 marzo 2023, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Società delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. a) del Regolamento in relazione a quanto previsto dall’art. 2-quater del Codice, 12 e 15 del Regolamento.

Con gli scritti difensivi inviati in data 6 aprile 2023, la Società ha dichiarato che:

- “oggetto del trattamento di cui al presente procedimento, è la relazione corroborata da rilievi fotografici dell’investigatore privato” (v. nota 6.4.2023 cit., p. 2);

- “la […] condotta posta in essere dalla [reclamante] veniva contestata con lettera del 05/05/2021, in cui veniva precisato «di essere in possesso di idonea documentazione fotografica e video attestante la sua attività, corroborata da idonea relazione scritta» […] ed in data 21/05/2021 le veniva comminato il provvedimento disciplinare del licenziamento per giusta causa” (v. nota cit., p. 2);

- “solo successivamente all’archiviazione del procedimento penale, non sussistevano più i motivi per cui i documenti ed i dati acquisiti relativi alla [reclamante] dovessero rimanere riservati. Difatti, una volta resa edotta delle richieste pervenute, di cui non aveva conoscenza, la società Romagna Dolciumi s.r.l. si è prontamente attivata, fornendo tutti i documenti e le informazioni richieste” (v. nota cit., p. 4);

- “il carattere della condotta tenuta dalla società Romagna Dolciumi s.r.l. può essere connotato da elementi colposi ma non certamente dolosi” (v. nota cit., p. 5);

- “non si sarebbe provocato alcun nocumento alla [reclamante], che - anche se avesse ricevuto riscontro dalla società Datrice di Lavoro – non avrebbe potuto accedere agli atti richiesti in quanto la risposta sarebbe stata comunque negativa” (v. nota cit., p. 5);

- “sussiste al contrario un evento colposo, costituito dal fatto che la società Romagna Dolciumi s.r.l., per problematiche amministrative interne all’azienda, non aveva preso visione della richiesta del 30.08.2021” (v. nota cit., p. 5);

- “si precisa che solo con provvedimento del 07.09.2022 è stato comunicato alla parte offesa che il P.M. aveva richiesto l’archiviazione del procedimento penale […] nei confronti della [reclamante]. In ogni caso, una volta resa edotta delle richieste pervenute, di cui prima non aveva conoscenza, la società Romagna Dolciumi s.r.l. si è prontamente e responsabilmente attivata, fornendo tutti i documenti e le informazioni richieste. Infatti in data 10.10.2022 l’Avv. [della Società] depositava presso la «Guardia di Finanza Nucleo Speciale Tutela Privacy e Frodi Tecnologiche» una memoria difensiva per la società Romagna Dolciumi s.r.l. con cui veniva illustrata la situazione reale allegando documenti volti a provare quanto sostenuto. Inoltre, in data 28/03/2023 l’Avv. [della Società] inviava alla [reclamante] - presso il [proprio] legale […] – una p.e.c. con cui venivano indicate le ragioni per cui non si era potuto quanto prima comunicare né, tantomeno, consegnare la documentazione richiesta dall’interessata ed – in tale occasione – veniva trasmessa la relazione dell’agenzia investigativa «Euro Detective» […]. La società Romagna Dolciumi s.r.l. ha quindi fatto tutto quanto in suo potere per correggere le proprie azioni non appena si è resa conto delle sue violazioni” (v. nota cit., p. 5, 6);

- “i dati personali della [reclamante] non sono stati comunicati ad alcun soggetto terzo, visto che è stata fornita all’agenzia investigativa esclusivamente l’indirizzo del luogo ove la [reclamante] svolgeva attività lavorativa in concorrenza con la società Romagna Dolciumi S.r.l. mentre si trovava in malattia. L’investigatore privato altro non ha fatto, se non effettuare rilievi fotografici, ma non ha avuto alcun accesso ai dati personali della [reclamante] di cui era in possesso la società Romagna Dolciumi s.r.l.” (v. nota cit., p. 6);

- “la società Romagna Dolciumi s.r.l. […] non appena è venuta a conoscenza dell’atto di avvio del procedimento per l’adozione dei provvedimenti sanzionatori […] del 20/09/2022 e richiamato allegato, nonché Richiesta di informazioni […] del 15/05/2022 e richiamati allegati, ha pienamente collaborato per tentare di porre rimedio all’eventuale violazione” (v. nota cit., p. 6);

- “la società ha quindi tenuto un comportamento collaborativo e costruttivo, volto a sanare la deficitaria condotta della gestione della posta elettronica certificata della stessa società” (v. nota cit., p. 7).

2. L’esito dell’istruttoria.

2.1. Fatti accertati e osservazioni sulla normativa in materia di protezione dei dati personali.

Premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”, in base agli elementi acquisiti nel corso dell’attività istruttoria (richiamati nel precedente paragrafo 1) nonché delle successive valutazioni di questo Dipartimento, risulta accertato che la Società:

non ha fornito alcun riscontro all’istanza di accesso presentata dalla reclamante, in data 30 agosto 2021, relativamente ai dati trattati dalla Società nell’ambito del licenziamento, in particolare la reclamante aveva chiesto di accedere a “dati acquisiti (fotogrammi, fotografie, riprese, altro) – l’origine dei dati, ovvero il soggetto o la specifica fonte dalla quale essi sono stati acquisiti e, in particolare, se l’acquisizione è avvenuta per il tramite di vostri dipendenti e/o incaricati e/o soggetti abilitati all’esercizio di attività investigativa; - le modalità del medesimo trattamento; - la natura degli strumenti utilizzati per la raccolta dei dati (ausilio di apparecchi elettronici, fotogrammi, fotografie, riprese ecc.); - la logica applicata al trattamento effettuato; - i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venire a conoscenza in qualità di rappresentanti o di incaricati o di responsabili”. Solo successivamente alla presentazione del reclamo e all’accertamento ispettivo effettuato, in particolare in data 28 marzo 2023, la Società (tramite il proprio avvocato) ha inviato alla reclamante un riscontro all’istanza di accesso nel quale sono state indicate le ragioni per cui non si era potuto consegnare la documentazione richiesta dall’interessata ed è stata trasmessa la relazione dell’agenzia investigativa;

ha conferito a un’agenzia investigativa, esclusivamente in forma orale, l’incarico di svolgere investigazioni difensive nei confronti della reclamante;

non ha fornito riscontro alle richieste presentate dall’Autorità, anche ai sensi dell’art. 157 del Codice, tanto che è stato necessario delegare al Nucleo speciale tutela privacy e frodi tecnologiche l’acquisizione delle informazioni richieste con la nota formulata ai sensi dell’art. 157 del Codice in merito ai fatti oggetto di reclamo.

L’art. 12 del Regolamento, da leggere anche in combinato disposto con le norme relative agli specifici diritti riconosciuti dall’ordinamento all’interessato, dispone che “il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento” (par. 1) e che “il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22” (par. 2).

Il paragrafo 3 del medesimo articolo precisa che “il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta”.

In base al paragrafo 4 del medesimo articolo il titolare del trattamento, qualora non ottemperi all’istanza dell’interessato, “informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.

In base all’art. 15, par. 1, del Regolamento “l’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso di ottenere l’accesso ai dati personali e alle […] informazioni [indicate nello stesso articolo 15], e che in base al paragrafo 3 del medesimo articolo “il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi”.

In base all’art. 2-undecies del Codice, la limitazione o l’esclusione dell’esercizio dei diritti previsti dal Regolamento può essere disposta solo per il tempo (e nei limiti) in cui ciò costituisca una misura necessaria e proporzionata “con comunicazione motivata e resa senza ritardo all'interessato, a meno che la comunicazione possa compromettere la finalità della limitazione”.

L’art. 5 par. 1 lett. a) del Regolamento richiede che i dati personali siano trattati, tra l’altro, in modo lecito e corretto (principio di liceità e principio di correttezza).

L’art. 2-quater, comma 4, del Codice dispone che “il rispetto delle disposizioni contenute nelle regole deontologiche di cui al comma 1 costituisce condizione essenziale per la liceità e la correttezza del trattamento dei dati personali”.

In base all’art. 8 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria pubblicate ai sensi dell’art. 20, comma 4, del d. lgs. 10 agosto 2018, n. 101, l’investigatore privato può eseguire investigazioni “esclusivamente sulla base di apposito incarico conferito per iscritto” e “l’atto di incarico deve menzionare in maniera specifica il diritto che si intende esercitare in sede giudiziaria, ovvero il procedimento penale al quale l’investigazione è collegata, nonché i principali elementi di fatto che giustificano l’investigazione e il termine ragionevole entro cui questa deve essere conclusa”.

L’art. 157 del Codice dispone che “nell’ambito dei poteri di cui all’articolo 58 del Regolamento, e per l’espletamento dei propri compiti, il Garante può richiedere al titolare, al responsabile, al rappresentante del titolare o del responsabile, all’interessato o anche a terzi di fornire informazioni e di esibire documenti anche con riferimento al contenuto di banche dati”.

2.3. Violazioni accertate.

2.3.1. La condotta tenuta dalla Società che è consistita nel non fornire riscontro alcuno, neanche per informare del diniego, dei motivi dello stesso e della possibilità di presentare reclamo al Garante o ricorso all’autorità giudiziaria ordinaria, all’istanza di esercizio del diritto di accesso presentata dalla reclamante, per il tramite del proprio legale, in data 30 agosto 2021, non risulta conforme alla disciplina di protezione dei dati.

La Società, in particolare, ha dichiarato di non avere fornito riscontro, neanche ai sensi dell’art. 12, par. 4, del Regolamento “per assenza di personale che potesse occuparsi di tale compito amministrativo” e che comunque non avrebbe potuto consentire l’accesso in quanto i documenti richiesti erano coperti dal segreto istruttorio essendo pendente un procedimento penale a seguito della presentazione di denuncia-querela nei confronti della reclamante stessa da parte della Società.

La Società ha precisato di avere scaricato e visionato l’istanza di esercizio dei diritti e le richieste inviate dall’Autorità, solo il giorno dell’attività ispettiva (4.10.2022).

Solo in data 23 marzo 2023, la Società ha inviato alla reclamante il riscontro all’istanza di accesso nel quale sono state indicate le ragioni per cui non si era potuto consegnare la documentazione richiesta dall’interessata ed è stata trasmessa la relazione dell’agenzia investigativa.

In proposito, in ogni caso, con riferimento alla prospettata necessità della Società di non consentire l’accesso a quanto richiesto con l’istanza di esercizio dei diritti per evitare un “nocumento per il diritto di difesa della società Romagna Dolciumi s.r.l., che avrebbe dovuto anticipare delle prove da produrre in un futuro giudizio, qualora la [reclamante] avesse impugnato giudizialmente il licenziamento comminatole” si osserva, in termini generali, come l’esercizio dei diritti riconosciuti agli interessati dal Regolamento possa essere limitato, con riferimento a quanto previsto dall’art. 2-undecies del Codice, solo qualora dall’esercizio degli stessi diritti “possa derivare un pregiudizio effettivo e concreto” tra l’altro “allo svolgimento delle investigazioni difensive o all’esercizio di un diritto in sede giudiziaria”.

La condotta tenuta dalla Società, dalla data di presentazione dell’istanza fino al 23 marzo 2023, si pone pertanto in contrasto con quanto previsto dall’art. 12, con riferimento all’art. 15 del Regolamento.

Ciò in quanto la Società avrebbe dovuto in ogni caso, nei termini pervisti dall’art. 12 par. 4 del Regolamento, fornire alla reclamante un riscontro con l’indicazione dei motivi dell’inottemperanza e della possibilità di proporre reclamo al Garante o ricorso all’autorità giudiziaria ordinaria.

Il titolare del trattamento, a fronte di un’istanza di esercizio dei diritti presentata da un interessato, deve comunque informare l’interessato anche qualora ritenga di non ottemperare nel merito a quanto richiesto, in tal modo rendendo effettivo il diritto di presentare un ricorso o un reclamo alle autorità competenti.

Lo stesso art. 2-undecies del Codice prevede che la limitazione o l’esclusione dell’esercizio dei diritti previsti dal Regolamento può essere disposta solo per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata “con comunicazione motivata e resa senza ritardo all'interessato, a meno che la comunicazione possa compromettere la finalità della limitazione”.

Con riferimento a quanto sostenuto dalla Società relativamente alla mancanza di presa visione dell’istanza di esercizio del diritto di accesso e delle richieste dell’Autorità si richiama l’orientamento della Corte di Cassazione secondo cui la responsabilità per la mancata lettura di una comunicazione/notifica ricevuta a mezzo pec è da attribuire all’imprenditore, se conseguente ad una sua carenza relativamente alla manutenzione e controllo della casella di posta (v. sul punto Corte di cassazione n. 13917/2016 secondo cui “è onere della parte che eserciti l'attività d'impresa, normativamente obbligata D.L. 29 novembre 2008, n. 185, ex art. 16, comma 6, convertito nella L. 28 gennaio 2009, n. 2; ex L. 28 gennaio 2009, n. 2; D.L. n. 179 del 2012, ex art. 5, convertito nella L. n. 221 del 2012, a munirsi di un indirizzo PEC e ad assicurarsi del corretto funzionamento della propria casella postale certificata, se del caso delegando tale controllo, manutenzione o assistenza a persone esperte del ramo (i cui costi, palesemente inerenti all'attività dell'impresa, sono in qualche modo riconducibili alle spese rilevanti ed afferenti al proprio bilancio di esercizio)”, principi richiamati da Corte di cassazione n. 7083 del 3.3.2022).

Risulta quindi accertato l’elemento soggettivo della colpa da parte del titolare del trattamento che, non avendo verificato il contenuto della casella di posta elettronica certificata, non ha dato riscontro, seppur nei termini del diniego, all’istanza di esercizio dei diritti, legittimamente presentata dall’interessata, e alle richieste istruttorie dell’Autorità.

2.3.2. È stato inoltre accertato che la Società ha conferito a un’agenzia investigativa, esclusivamente in forma orale, l’incarico di svolgere investigazioni difensive nei confronti della reclamante.

Ciò risulta in contrasto con quanto previsto dall’art. 8 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria pubblicate ai sensi dell’art. 20, comma 4, del d. lgs. 10 agosto 2018, n. 101, in base al quale l’investigatore privato può eseguire investigazioni “esclusivamente sulla base di apposito incarico conferito per iscritto” e “l’atto di incarico deve menzionare in maniera specifica il diritto che si intende esercitare in sede giudiziaria, ovvero il procedimento penale al quale l’investigazione è collegata, nonché i principali elementi di fatto che giustificano l’investigazione e il termine ragionevole entro cui questa deve essere conclusa”.

In base all’art. 2-quater, comma 4, del Codice “il rispetto delle disposizioni contenute nelle regole deontologiche di cui al comma 1 costituisce condizione essenziale per la liceità e la correttezza del trattamento dei dati personali”.

La condotta tenuta dalla Società costituisce pertanto violazione dell’art. 5, par. 1, lett. a) del Regolamento in relazione a quanto previsto dall’art. 2-quater del Codice.

2.3.3. La Società, inoltre, non ha fornito riscontro alcuno alla richiesta di informazioni ex art. 157 del Codice inviata dall’Ufficio.

Con riferimento infine alla richiesta della reclamante volta ad ottenere “il blocco di qualsiasi trattamento, compresa la conservazione e la divulgazione a terzi dei dati, acquisiti e/o trattati per il tramite di soggetti che hanno effettuato la raccolta di dati riguardanti la reclamante” si rammenta che in base all’art. 160-bis del Codice “La validità, l'efficacia e l’utilizzabilità nel procedimento giudiziario di atti, documenti e provvedimenti basati sul trattamento di dati personali non conforme a disposizioni di legge o di Regolamento restano disciplinate dalle pertinenti disposizioni processuali”.

3. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

La condotta posta in essere dalla Società che è consistita nell’omesso riscontro all’istanza di accesso presentata dalla reclamante e nel conferimento a un’agenzia investigativa, esclusivamente in forma orale, dell’incarico di svolgere investigazioni difensive nei confronti della reclamante risulta infatti illecita, nei termini su esposti, in relazione agli artt. 5, par. 1 lett. a) del Regolamento in relazione a quanto previsto dall’art. 2-quater del Codice, 12 e 15 del Regolamento, così come il mancato riscontro alla richiesta istruttoria inviata dall’Autorità non risulta conforme a quanto previsto dall’art. 157 del Codice stesso.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento, si dispone una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento risulta che Romagna Dolciumi s.r.l. ha violato gli artt. 5, par. 1, lett. a) del Regolamento in relazione a quanto previsto dall’art. 2-quater del Codice, 12 e 15 del Regolamento. Per la violazione delle predette disposizioni è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) e b) del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

L’impresa ha altresì violato l’art. 157 del Codice. Per la violazione di tale disposizione è prevista, secondo quanto disposto dall’art. 166, comma 2, del Codice l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5 del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a) in relazione alla natura, gravità e durata della violazione è stata considerata la natura della violazione che ha riguardato, tra l’altro, l’esercizio dei diritti dell’interessato nonché la durata della violazione stessa in quanto il titolare del trattamento ha fornito riscontro solo successivamente all’intervento dell’Autorità;

b) con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare è stata presa in considerazione la negligenza connessa alla mancata consultazione della casella pec, all’avere fornito solo oralmente l’incarico all’agenzia investigativa nonché all’omesso riscontro alle richieste dell’Autorità;

c) a favore del titolare è stato considerato il fatto che, successivamente all’accertamento ispettivo, abbia fornito riscontro alla reclamante;

d) a favore del titolare si è tenuto conto della circostanza che la violazione accertata ha riguardato una sola interessata.

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla Società con riferimento alla dichiarazione di imposta per l’anno 2022. Da ultimo si tiene conto dell’entità delle sanzioni irrogate in casi analoghi.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Romagna Dolciumi s.r.l. la sanzione amministrativa del pagamento di una somma pari ad euro 10.000,00 (diecimila).

In tale quadro si ritiene, altresì, in considerazione della tipologia delle violazioni accertate che hanno riguardato l’esercizio dei diritti dell’interessato, la violazione delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria nonché la violazione dell’art. 157 del Codice, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito Internet del Garante.

Si ritiene, altresì, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Romagna Dolciumi s.r.l., con sede legale in Via del Salice, 3, Santarcangelo di Romagna (RN) P. iva 04410890406, ai sensi dell’art. 143 del Codice, per la violazione degli artt. 5, par. 1 lett. a) del Regolamento in relazione a quanto previsto dall’art. 2-quater del Codice, 12 e 15 del Regolamento, 157 del Codice;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a Romagna Dolciumi s.r.l., di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi a Romagna Dolciumi s.r.l. di pagare la predetta somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento - sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/20129, e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 6 luglio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei