Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Omnia energia s.p.a.

PROVVEDIMENTO DEL 26 GIUGNO 2014

Registro dei provvedimenti
 n. 330 del 26 giugno 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche il Comando Nucleo speciale privacy della Guardia di finanza, in attuazionedella richiesta di informazioni (n. 9523/53969 datata 6 maggio 2011)  exart. 157 del d.lg. 30 giugno 2003, n. 196 recante Codice in materia diprotezione dei dati personali (di seguito denominato Codice) e su specificadelega di questa Autorità, ha svolto, nei confronti di Omnia energia s.p.a.,P.Iva: 02599020787, già con sede in Zumpano (Cs), contrada Mennavence ad oggicon sede in Zumpano (Cs) via beato Francesco Marino n. 102, in persona dellegale rappresentante pro-tempore, l'attività di controllo di cui al verbale dioperazioni compiute datato 9 maggio 2012, a fronte della quale,successivamente, è stato accertato che Omnia energia s.p.a. effettuava, qualetitolare, un trattamento di dati personali mediante l'utilizzo di un impiantodi videosorveglianza composto da 10 telecamere delle quali 9 poste all'internodell'area aziendale che riprendono l'area parcheggio e una all'interno situatapresso la reception, un monitor per la visione delle immagini e un hard-diskper la registrazione, omettendo di rendere un'idonea informativa semplificataai sensi dell'art. 13 del Codice e del provvedimento in materia divideosorveglianza datato 8 aprile 2010. La medesima attività di controllo haconsentito di accertare anche che la società effettuava una raccolta di datipersonali (dati anagrafici, indirizzo di posta elettronica e numero di utenzatelefonica) degli utenti che, tramite il sito web www.omniaenergia.it,richiedono informazioni per mezzo un apposito form di raccolta presente nellapagina "Richiesta di informazioni" senza fornire l'informativa di cuiall'art. 13 del Codice;

VISTOil verbale n. 39/2012 dell'8 giugno 2012 con cui sono state contestate allapredetta società due violazioni amministrative previste, entrambe, dall'art.161, in relazione all'art. 13 del Codice, rilevando, per la sola violazioneinerente l'informativa semplificata di cui all'impianto di videosorveglianza, ipresupposti applicativi di cui all'art. 164-bis, comma 1 del Codice e informandola, quindi, della facoltà di effettuare, per ciascuna di esse, ilpagamento in misura ridotta ai sensi dell'art. 16 della legge 24 novembre 1981,n. 689;

ESAMINATOil rapporto del Nucleo speciale privacy  predisposto ai sensi dell'art. 17della legge n. 689/1981, dal quale risulta che non è stato effettuato ilpagamento in misura ridotta;

VISTOlo scritto difensivo, datato 18 luglio 2012, inviato ai sensi dell'art. 18della legge n. 689/1981 nel quale la società, relativamente all'assenzadell'informativa di cui all'art. 13 del Codice a fronte della raccolta di datitramite il sito web www.omniaenergia.it, per mezzo di un apposito form, haevidenziato come "Il difetto di funzionamento della sezione privacy,rilevato nell'accesso del 9 maggio 2012 (verbale relativo pag. 3), non solo hacostituito fatto meramente temporaneo dovuto a mero disguido, quantosoprattutto risulta non idoneo, nella fattispecie, a configurare una incisivaviolazione delle misure minime di sicurezza poste a tutela della protezione deidati personali ()", sottolineando di aver "() immediatamenteprovveduto () al completo ripristino del sito, rendendo funzionante anche lacasella privacy visionabile dall'home page ()". Inoltre, ha rilevato comedal verbale di operazioni compiute risulti che "() all'interno del sitointernet è presente in calce al modulo nuova fornitura di energia elettrica(vgs. All.6) un'informativa sul trattamento dei dati personali. All'internodell'area denominata servizio di data managment (vgs. All. 7) è presenteall'interno delle avvertenze un riferimento alla privacy. Dalla paginadocumenti della sezione trattamenti dati personali è visionabile il CodicePrivacy". Sul punto ha osservato, altresì, che, " Come si evincedallo script della società allegato, nella gestione contatti (lead) da web,preliminarmente a ogni colloquio informativo, l'operatore della società fornivalettura degli artt. 7 e 13 D.Lgs. n. 196/03 e l'utente acconsentivaespressamente al trattamento dei dati ()" Con riferimento al distintorilievo inerente l'inidoneità dell'informativa semplificata a fronte deltrattamento di dati effettuato mediante l'impianto di videosorveglianza, lasocietà ha rilevato come "Quanto alla mancata indicazione del titolare deltrattamento dei dati sul cartello riportante il logo e la dicitura di areavideosorvegliata, si osserva che lo stesso risulta indicato nell'insegna postasul tetto della struttura da cui risultava il nominativo del legalerappresentante (titolare del trattamento). Analogamente, le finalità deltrattamento dei dati, () si desume dalle stesse modalità di ripresa edislocazione delle telecamere, la cui presenza è stata segnalata in modo benvisibile";

VISTOil verbale di audizione delle parti redatto in data 21 gennaio 2013 ai sensidell'art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmenteribadito quanto argomentato negli scritti difensivi;

RITENUTOche le argomentazioni addotte non risultano idonee per escludere laresponsabilità in relazione a quanto contestato. La raccolta di dati effettuatatramite l'apposito form di raccolta sito nella pagina "Richiesta diinformazioni" del sito www.omniaenergia.it, qualifica un trattamento didati personali distinto e separato da tutti gli altri trattamenti effettuatidalla società, a fronte dei quali la Guardia di finanza non ha rilevato alcunacriticità. Il menzionato organo di controllo, quindi, ha puntualmenteaccertato, ai sensi dell'art. 13 delle legge n. 689/1981, l'illecito contestatopur tenendo conto, come evincibile dal richiamato verbale di operazionicompiute e dagli allegati in esso richiamati, di tutti gli elementi posti abase delle argomentazioni proposte dalla società con gli scritti difensivi.Diversamente, riguardo a quanto contestato circa l'inidoneità dell'informativasemplificata a fronte del trattamento di dati effettuato mediante l'impianto divideosorveglianza, si evidenzia come l'allegato 1 al provvedimento del Garantein materia di videosorveglianza dell'8 aprile 2010, imponga l'indicazione,nell'informativa semplificata, sia del titolare del trattamento che dellafinalità, senza che quanto argomentato circa la presenza dell'insegna dellasocietà "() posta sul tetto della struttura ()" e circa le "()modalità di ripresa e dislocazione delle telecamere ()" possa soddisfarein alcun modo tali obblighi. All'interessato, devono essere fornite leinformazioni attinenti allo specifico trattamento di dati personali che ci siaccinge ad effettuare, non potendo essere rimesso allo stesso il compito diindividuare (o indovinare) la titolarità del trattamento ovvero la finalitàdello stesso;RILEVATO, pertanto, che la società ha effettuato un trattamento didati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di rendereun'idonea informativa di cui all'art. 13 del Codice, nella forma semplificataprevista dal provvedimento in materia di videosorveglianza datato 8 aprile 2010e omettendo di rendere l'informativa ai sensi dell'art. 13 del Codice a frontedella raccolta di dati personali degli utenti che, tramite il sito webwww.omniaenergia.it, richiedono informazioni per mezzo un apposito form diraccolta presente nella pagina "Richiesta di informazioni"

VISTOl'art. 161 del Codice, che punisce la violazione delle disposizioni di cuiall'art. 13 del medesimo Codice con la sanzione amministrativa del pagamento diuna somma da seimila euro a trentaseimila euro per ciascuno dei due rilievi;

RITENUTO,in ogni caso, che, con riferimento alla sola violazione di cui all'art. 161 delCodice relativa all'inidoneità dell'informativa resa in relazione all'impiantodi videosorveglianza, sussistono gli elementi che consentono di applicare laprevisione di cui all'art. 164-bis, comma 1, del Codice per l'illecitocontestato;

CONSIDERATOche, ai fini della determinazione dell'ammontare delle due sanzioni pecuniarie,occorre tenere conto, ai sensi dell'art. 11 della legge n. 689/1981, dell'operasvolta dall'agente per eliminare o attenuare le conseguenze della violazione,della gravità della violazione, della personalità e delle condizioni economichedel contravventore e che pertanto l'ammontare per ciascuna delle due sanzionideve essere quantificato nella misura di euro 2.400,00 (duemilaquattrocento)per il rilievo all'inidoneità dell'informativa semplificata dell'impianto divideosorveglianza e di euro 6.000,00 (seimila) per l'omessa informativa sulsito web del trasgressore, per un importo complessivo pari a euro 8.400,00(ottomilaquattrocento);

VISTAla documentazione in atti;

VISTAla legge n. 689/1981, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla prof.ssa Licia Califano;

ORDINA

aOmnia energia s.p.a., P.Iva: 02599020787, con sede in Zumpano (Cs) via beatoFrancesco Marino n. 102, in persona del legale rappresentante pro-tempore, dipagare la somma di euro 8.400,00 (ottomilaquattrocento) a titolo di sanzioneamministrativa pecuniaria per la violazione prevista dall'art. 161 del Codice,in combinato disposto con l'art. 164-bis, comma 1 del Codice, come indicato inmotivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 8.400,00 (ottomilaquattrocento)secondo le modalità indicate in allegato, entro 30 giorni dalla notificazionedel presente provvedimento, pena l'adozione dei conseguenti atti esecutivi anorma dall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che,entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questaAutorità, in originale o in copia autentica, quietanza dell'avvenutoversamento.

Aisensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 26 giugno 2014

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia