Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Società Editrice Sud s.p.a.

PROVVEDIMENTO DEL 20 FEBBRAIO 2014

Registro dei provvedimenti
 n. 85 del 20 febbraio 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti edel dott. Giuseppe Busia, segretario generale;

RILEVATOche il Nucleo privacy della Guardia di finanza, in esecuzione della richiestadi informazioni n. 3029/78073 del 7 febbraio 2012 formulata ai sensi dell'art.157 del d.lgs. 30 giugno 2003, recante il Codice in materia di protezione deidati personali (di seguito "Codice"), ha svolto gli accertamentipresso la Società Editrice Sud s.p.a., società editrice della testatagiornalistica Gazzetta del Sud, con sede legale in Messina, via U. Bonino n.15/C, P.I. 00072240831, formalizzati nel verbale di operazioni compiute dell'8marzo 2012, da cui è emerso che la società effettua un trattamento di datipersonali attraverso due moduli di raccolta dati:

- unprimo modulo è presente alla pagina web "Registrazione" del sitointernet www.gazzettadelsud.it ed è utilizzato dagli utenti per l'abbonamentoal giornale in edizione on line. In calce al form di raccolta dati è statariscontrata la presenza di un'informativa inidonea, perché, oltre a richiamarela legge n. 675/1996, è risultata priva di alcuni elementi essenziali, quali lemodalità e le finalità del trattamento;

- unaltro modulo, denominato "Ordine archivio", è invece di tipo cartaceoe viene compilato direttamente dal cliente presso la sede della società.Rispetto al trattamento dei dati effettuato mediante questo modulo è stataaccertata l'assenza dell'informativa di cui all'art. 13 del Codice;

VISTAla successiva nota, fatta pervenire dalla società a scioglimento delle riserveformulate nel corso dell'attività ispettiva, con la quale è stata prodottadocumentazione relativa ai moduli cartacei utilizzati per la sottoscrizionedegli abbonamenti, sui quali, una volta compilati, viene apposto un timbrorecante l'informativa e la sottoscrizione dell'interessato. Per quantoriguarda, invece, i dati raccolti attraverso i moduli di registrazione on-line,è stato precisato che gli stessi sono conservati ed utilizzati per esclusivefinalità aziendali;

RILEVATOche, sulla base degli elementi acquisiti, l'Autorità ha adottato in data 4aprile 2013 un provvedimento (che qui deve intendersi integralmente richiamato)nei confronti della Società Editrice Sud s.p.a., ai sensi degli artt. 143,comma 1, lett. b) e 154, comma 1, lett. c) del Codice, con cui le è statoprescritto di formulare un'informativa completa rispetto al trattamentoeffettuato mediante la modulistica (cartacea e on-line) utilizzata per lagestione degli abbonamenti;

VISTOil verbale n. 24 del 16 aprile 2012 con cui è stata contestata alla SocietàEditrice Sud s.p.a., in persona del legale rappresentante pro-tempore, laviolazione amministrativa prevista dall'art. 161 del Codice, in relazioneall'inidonea informativa resa sul modulo di registrazione on-line, e lamedesima violazione amministrativa in relazione all'omessa informativa suimoduli cartacei;

RILEVATOche dal rapporto predisposto ai sensi dell'art. 17 della legge 24 novembre 1981n. 689 dal predetto Nucleo che non risultano effettuati i pagamenti in misuraridotta;

VISTOlo scritto difensivo inviato ai sensi dell'art. 18 della legge 24 novembre 1981n. 689 con cui la parte, ha eccepito la fondatezza della contestazione perl'inidonea informativa sul sito internet, in quanto il testo pubblicato sulweb, pur richiamando la legge n. 675/1996, fornisce agli utenti che accedono alservizio tutte le informazioni necessarie, come richiesto dall'art. 13dell'attuale Codice: sono, infatti, indicate sia le finalità, che consistononello svolgimento delle attività editoriali, che le modalità del trattamento,ovvero l'utilizzo di supporti elettronici protetti. Quanto, invece, all'omessainformativa che è stata riscontrata sui moduli cartacei di raccolta dati, lasocietà ha illustrato le procedure seguite per la sottoscrizione degliabbonamenti, in base alle quali l'informativa viene resa in forma orale daicollaboratori a ciò incaricati, i quali raccolgono altresì il consenso altrattamento dei dati. Su questo aspetto, la parte ha fatto presente che laraccolta del consenso degli interessati, nel caso di specie, non è unadempimento obbligatorio, perché i dati sono raccolti unicamente per finalitàcontabili e di conclusione del contratto, così come è previsto dalprovvedimento del Garante del 19 giugno 2008 recante "Semplificazione ditaluni adempimenti in ambito pubblico e privato rispetto a trattamenti perfinalità amministrative e contabili" e dall'art. 24 del Codice;

LETTOil verbale di audizione del 19 novembre 2012, ai sensi dell'art. 18 della legge24 novembre 1981, n. 689, con cui la parte ha ribadito quanto già dichiaratonelle memorie difensive, chiedendo, nel caso in cui le violazioni fosseroconfermate, la riduzione delle sanzioni comminate;

RITENUTOche le argomentazioni addotte dalla parte non risultano idonee in relazione aquanto contestato. Per quanto concerne il primo dei rilievi contestati, ovverol'inidonea informativa rispetto alla raccolta dei dati effettuata on-line, sievidenzia come le numerose imprecisioni e incompletezze riscontrate nel testoin argomento rendono tale informativa assolutamente inadatta ad informare gliinteressati circa il trattamento posto in essere. D'altra parte, un'informativaincompleta e non corretta, oltre a non assolvere alla sua specifica funzione, ècontraria ai principi di correttezza e di liceità che devono improntare iltrattamento dei dati personali. Nello specifico, si rileva che nell'informativaoggetto di contestazione si dà atto che l'utente è stato già informato in modopieno ed esaustivo circa una serie di elementi che, tuttavia, non vengono inalcun modo chiariti. Ad esempio, per l'esercizio dei diritti di cui all'art. 7(che nell'informativa sono indicati come art. 13 della legge n. 675/1996), nonsono in alcun modo specificate le modalità con cui l'interessato può esercitarei suoi diritti o a chi rivolgersi. Quanto detto vale maggiormente rispetto aitrattamenti effettuati in mancanza dell'informativa, come è avvenuto per imoduli cartacei utilizzati dalla società. Al riguardo, la parte ha dapprimaprodotto a titolo di esempio tre moduli, allo scopo di dimostrare chel'informativa era comunque resa oralmente all'atto del conferimento dei dati,procedendosi anche alla raccolta del consenso. Si osserva, tuttavia, che, dallalettura del testo apposto a mezzo di un timbro sui moduli inviati, non sievincono gli elementi richiesti dall'art. 13 del Codice, laddove invece sirinvia ad un'informativa completa, che l'interessato avrebbe ricevuto daltitolare del trattamento, della quale non è stata fornita alcuna prova. Purammettendo la possibilità, prevista dalla legge, che l'informativa sia resaoralmente, nell'ambito dell'intero procedimento, la società non ha prodottoalcun documento a sostegno di quanto dichiarato, che consentisse di verificareil contenuto (e quindi la completezza) della predetta informativa; nemmeno sonostate esibite le specifiche istruzioni impartite al personale incaricato diraccogliere i moduli di abbonamento dei clienti dalle quali si rilevi che unatale procedura fosse effettivamente attuata. Infine, si rileva l'inconferenzadell'argomentazione proposta con riguardo alla raccolta del consenso, in quantoquesta non è stata oggetto di alcun rilievo sanzionatorio;

RILEVATO,pertanto, che Società Editrice Sud s.p.a. ha effettuato un trattamento di datipersonali ai sensi dell'art. 4, comma 1, lett. a) e b) del Codice, in mancanzadi una idonea informativa ai sensi dell'art. 13 del medesimo Codice;

VISTOl'art. 161 del Codice che punisce la violazione delle disposizioni di cui all'art.13 con la sanzione amministrativa del pagamento di una somma da seimila euro atrentaseimila euro;

VISTOl'art. 164-bis, comma 1, del Codice il quale prevede che se taluna delleviolazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limitiminimi e massimi stabiliti negli stessi articoli sono applicati in misura paria due quinti;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, l'ammontare della sanzione pecuniaria, nella misura di euro 4.800,00(quattromilaottocento) con riferimento alla violazione di cui all'art. 161 delCodice, in relazione all'inidoneità dell'informativa resa sul sito internet,applicata in combinato disposto con l'art. 164-bis, comma 1, nella misura dieuro 12.000,00 (dodicimila) con riferimento alla medesima violazione inrelazione all'omessa informativa sui moduli cartacei, per un ammontarecomplessivo pari a euro 16.800,00 (sedicimilaottocento);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREil dott. Antonello Soro;

ORDINA

a SocietàEditrice Sud s.p.a., con sede legale in Messina, via U. Bonino n. 15/C, P.I.00072240831, in persona del legale rappresentante pro-tempore, di pagare lasomma di euro 16.800,00 (sedicimilaottocento) a titolo di sanzioneamministrativa pecuniaria per le violazioni previste dall'art. 161 del Codiceindicate in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 16.800,00 (sedicimilaottocento)secondo le modalità indicate in allegato, entro 30 giorni dalla notificazionedel presente provvedimento, pena l'adozione dei conseguenti atti esecutivi anorma dall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entroil termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità,in originale o in copia autentica, quietanza dell'avvenuto versamento.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 20 febbraio 2014

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia