Garante per la protezione
    dei dati personali


Illecito trattamento di dati personali da parte diun albergo

PROVVEDIMENTO DEL 11 SETTEMBRE 2014

Registrodei provvedimenti
 n. 402 dell'11 settembre 2014

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTO ild.lgs. 30 giugno 2003, n. 196, recante il Codice in materia di protezione deidati personali (di seguito "Codice");

VISTO ilreclamo di XY del 24 settembre 2013, regolarizzato con nota del 19 novembre2013;

VISTE lenote inviate da Fin-Alberghi S.p.A., Best Western Italia S.c.p.a. e da XX,nonché le successive osservazioni formulate dalle parti;

ESAMINATAla documentazione in atti;

VISTE leosservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1. Ilreclamo.

1. Conreclamo del 24 settembre 2013, il sig. XY ha lamentato un illecito trattamentodei suoi dati personali da parte di Fin-Alberghi S.p.A., Best Western ItaliaS.c.p.a. e del sig. XX.

Riferiscel'istante –componente del Sindacato Nazionale Agenti di assicurazione (diseguito S.N.A.) e titolato, nella veste di associato all'organizzazione, abeneficiare di condizioni economiche di favore in occasione dei soggiornieffettuati presso gli alberghi della catena "Best Western"– chea seguito del suo pernottamento nel 2012 presso l'Hotel Galles di Milano,appartenente alla suddetta catena, il rappresentante legale di Fin-AlberghiS.p.A. (società gerente la struttura) avrebbe indebitamente comunicato alcunidati personali che lo riguardavano –segnatamente riconducibili alla suapermanenza in hotel in compagnia di altra persona e al comportamento dallostesso tenuto in occasione del pagamento del soggiorno– al sig. XX, altempo membro dello stesso sindacato, che li avrebbe a sua volta illecitamentecomunicati a terzi. Tali trattamenti, meglio circostanziati dal reclamantenella documentazione allegata all'istanza e nella successiva nota dell'11novembre 2013, trarrebbero origine da un episodio verificatosi all'internodell'hotel in danno della sua accompagnatrice, che sarebbe rimasta vittima dimolestie a sfondo sessuale ad opera di uno sconosciuto.

Secondouna prima ricostruzione prospettata da Fin-Alberghi S.p.A. e da subitocontestata, anche in questa sede, dall'interessato, l'odierno istante, aseguito dell'accaduto, avrebbe insistentemente preteso, al momento del saldo,uno "sconto" sul prezzo da pagare per il soggiorno fruito presso lastruttura, minacciando future richieste risarcitorie e assumendo un contegnonon consono all'occasione.

Percontro, in base alle dichiarazioni rese dal reclamante –rimasto inattesa, anche successivamente all'avvenuto pagamento integrale del conto, diuna proposta ristoratrice da parte dell'hotel (invero mai pervenuta)–, lasocietà avrebbe indebitamente provveduto a comunicare le predette circostanzeal sig. XX, il quale le avrebbe a sua volta veicolate, via telefono e nel corsodi una riunione dello S.N.A., ad altri componenti dell'organizzazione.

Ritenendoche l'operato della società e dello stesso XX fosse, oltre che lesivo dellapropria onorabilità e reputazione, anche in violazione della disciplina inmateria di protezione dei dati personali (in particolare, sotto il profilodella indebita "diffusione" delle informazioni raccolte), ilreclamante ha chiesto all'Autorità di intervenire, adottando gli opportuniprovvedimenti del caso; provvedimenti che, a detta dell'istante, dovrebberoriguardare anche Best Western Italia S.c.p.a., nella sua qualità di stipulantela convenzione intercorsa con lo S.N.A.

Ariprova delle violazioni lamentate, il reclamante ha prodotto copia de: lacorrispondenza intercorsa successivamente all'accaduto con le società soprarichiamate e con XX; l'accordo stipulato tra Best Western Italia S.c.p.a. e loS.N.A.

2. Lareplica delle società.

Aseguito della richiesta di informazioni formulata dall'Ufficio (indirizzataanche a XX e riscontrata da quest'ultimo nei termini di cui al successivo punto3), Best Western Italia S.c.p.a. e Fin-Alberghi S.p.A. hanno fatto pervenire leproprie osservazioni sulla vicenda.

BestWestern Italia S.c.p.a., con nota del 21 marzo 2014, ha precisato che"tutti gli hotel appartenenti alla catena Best Western sono di proprietàindipendente e hanno una gestione autonoma" e che "in caso diprenotazioni effettuate direttamente presso l'hotel, come nel caso di specie,titolare del trattamento dei dati personali relativi al cliente che effettua laprenotazione e soggiorna presso la struttura è l'hotel stesso (o, più precisamente,l'impresa che lo gestisce)".

Fin-AlberghiS.p.A., con nota del 19 marzo 2014, ha dichiarato che la comunicazione quicontestata "non è stata effettuata a terzi estranei all[']organizzazionema solo e soltanto a un soggetto, il dott. XX con il quale v'è un rapporto dicollaborazione professionale". Quest'ultimo, nella duplice veste diintermediario assicurativo di Fin-Alberghi S.p.A. e di referente dello S.N.A.per la convenzione intercorsa con Best Western Italia S.c.p.a. e con la stessaFin-Alberghi S.p.A., sarebbe stato contattato, in seguito all'accaduto, nonsolo per verificare i presupposti per l'eventuale attivazione della polizza diassistenza legale, ma anche per valutare l'opportunità –stante ilcomportamento tenuto dall'interessato– di una ipotetica revisione deitermini contrattuali concordati con l'organizzazione sindacale.

Muovendodall'assunto che sarebbe comunque "doveroso nella gestione delle pratichecommerciali ed in stretta aderenza degli obblighi di leale cooperazione tra leparti contraenti comunicare tempestivamente eventuali problematiche occorse aiclienti [ä] non solo al fine di regolarmente adempiere alle proprieobbligazioni, ma anche per evitare l'insorgere futuro di altre analoghecontestazioni", la società ha ritenuto che la comunicazione a XX dei datipersonali dell'interessato non fosse ingiustificata; e ciò, anche in ragionedel fatto che la modificabilità dei termini della convenzione dipenderebbe,oltre che da specifiche clausole contrattuali, da "fattori commerciali ecomportamentali", tra cui "rilevanti e/o frequenti problematichecreate dai clienti durante il soggiorno" (cfr. successiva comunicazionedel 29 aprile 2014).

Asostegno delle proprie argomentazioni, Fin-Alberghi S.p.A. ha prodottodocumentazione relativa, tra l'altro, a: il comportamento tenuto dal reclamantein occasione del saldo del conto; l'informativa resa ai clienti in merito altrattamento dei loro dati personali; la designazione degli incaricati e deiresponsabili del trattamento; il contratto di assicurazione per l'assistenzalegale e i rapporti con l'intermediario assicurativo; la prenotazioneeffettuata da XY; il contratto di albergo e le procedure di gestione deireclami dei clienti.

3. Leconsiderazioni di XX.

Concomunicazione del 25 marzo 2014, XX ha confermato di aver acquisito i datipersonali dell'istante dal rappresentante legale di Fin-Alberghi S.p.A., ilquale ha ritenuto di doverlo contattare, nella sua qualità (tra l'altro) direferente dello S.N.A., anche in vista di un'eventuale revisione degli accordisottoscritti con Best Western Italia S.c.p.a. e Fin-Alberghi S.p.A.

Nellaconvinzione che la vicenda potesse avere risvolti deontologici interniall'organizzazione sindacale, costui ha provveduto a segnalare a sua voltal'accaduto ad alcuni membri dello S.N.A., anche in vista di eventuali decisionida assumersi nell'ambito del giudizio dei probiviri statutariamente previsto.In tale cornice, il XX ha ritenuto di poter operare in assenza di informativa econsenso dell'interessato "stante la natura dei dati trattati e le finalitàspecifiche del trattamento stesso e la necessità dello stesso alla luce siadell'art. 24, comma 1, lett. b del Codice in materia di dati personali" –avendol'odierno reclamante "soggiornato in albergo nella sua veste di componentedello S.N.A. [ä] e quindi di aderente alla convenzione contrattuale"–"sia alla luce dell'art. 13, comma 5 lett. a)" dello stesso Codice.

In ognicaso, le poche informazioni trattate sarebbero state confidenzialmentecomunicate in forma unicamente orale e sarebbe stato lo stesso reclamante, afronte di operazioni di trattamento comunque occasionali ed effettuate in uncontesto sostanzialmente unitario ed ormai esauritosi, a "me[ttere] periscritto", in occasione delle reiterate richieste volte a ottenere ilrisarcimento dei danni subiti, "i dettagli della vicenda inquestione".

Inallegato alla propria comunicazione, il resistente ha prodotto documentazione,successivamente integrata con nota del 16 aprile 2014, relativa a: la copiadello statuto dello S.N.A.; la copia del Codice deontologico"Professionalità e rispetto dei diritti della clientela, alla base deiprincìpi etici degli agenti iscritti allo S.N.A."; il verbale dellariunione dell'Esecutivo Nazionale dello S.N.A. del 27 gennaio 2012, da cui siricavano le deleghe a suo tempo assegnate dall'organizzazione sindacale (tracui figurano l'"Area iniziative e interventi legislativi e regolamentari,fiscale-tributario, rapporti tecnici con Antitrust e Mise", affidata allostesso XX, e l'"Area servizi agli iscritti e convenzioni", attribuitaad altro componente).

4. Leulteriori osservazioni del reclamante.

Con notadel 13 maggio 2014 (ma inviata il giorno successivo), XY ha contestato in totoquanto ex adverso dedotto, riscontrando una carenza di oggettività nellaprospettazione della vicenda fornita dalle controparti.

Inmerito, poi, alla presunta responsabilità "solidale" asseritamenteascrivibile a Best Western Italia S.c.p.a., il reclamante ritiene inevitabileil coinvolgimento della società nella violazione dei profili contestati inconsiderazione del fatto che: l'Hotel Galles di Milano appartiene alla catenaalberghiera ad insegna "Best Western", da cui sarebbe lecitopretendere un servizio pari alla relativa rinomanza; la convenzione con loS.N.A., di cui lo stesso si è avvalso per il pernottamento presso la struttura,è stata stipulata da Best Western Italia S.c.p.a.; le carte di fidelizzazioneintestate all'interessato risultano rilasciate da quest'ultima.

Infine,con riferimento alla posizione di XX, l'istante non ritiene che costui avessetitolo, anche in ragione delle deleghe conferitegli e del ruolo rivestitoall'interno dello S.N.A., per segnalare a terzi eventuali comportamentirilevanti sul piano deontologico, peraltro nemmeno seguiti da una formale"denuncia" agli organi competenti. E ciò, comunque, a fronte dellaperdurante mancata adozione, da parte del sindacato, di uno specifico codicedeontologico applicabile nei confronti degli iscritti.

Ilreclamante ha quindi insistito, in ragione di tali ultime considerazioni, perl'accoglimento dell'istanza.

5. Lecontrodeduzioni di Fin-Alberghi S.p.A. e di XX.

Connuova nota del 26 maggio 2014, Fin-Alberghi S.p.A., nel respingereulteriormente le violazioni ascrittele dal reclamante, ha ribadito le ragionidel proprio operato, sostenendone sia la conformità alle disposizioni dellapolizza assicurativa sottoscritta per il tramite del sig. XX –e, inparticolare, a quelle che prevedono la necessaria dettagliata descrizione,nella denuncia di sinistro, dei fatti che lo hanno originato, nonché dellegeneralità delle persone interessate e coinvolte, anche nella veste ditestimoni (art. 10 del contratto di assicurazione di tutela legale)–, siala rispondenza ai princìpi di buona fede che regolano, sulla base dell'art.1375 cod. civ., l'esecuzione delle convenzioni intercorrenti con lo S.N.A. »solo in virtù di detti rapporti contrattuali (argomentando, ex art. 24, comma1, lett. b), del Codice), dunque, che sarebbe stata effettuata la comunicazionedei dati personali dell'interessato, peraltro nei confronti di un soggettoastrattamente titolato a conoscerli proprio in ragione della sua veste di agenteassicurativo e di referente delle convenzioni medesime. Tenuto conto, infine,che i dati dell'interessato non sarebbero stati oggetto di ulterioredivulgazione da parte della società, quest'ultima ha chiesto all'Autorità diarchiviare il procedimento.

AncheXX, con nota del 3 giugno 2014, ha replicato alle ulteriori considerazioniformulate dal reclamante, confermando il proprio ruolo di"negoziatore" degli accordi sottoscritti con Best Western ItaliaS.c.p.a. e Fin-Alberghi S.p.A. e allegando, a riprova, talune dichiarazionirilasciate da altro componente dell'esecutivo nazionale dello S.N.A. Nelribadire, quindi, le proprie competenze in merito alla stipula dei predettiaccordi, quest'ultimo ha poi riaffermato, contrariamente a quanto sostenuto dalreclamante, l'operatività del codice deontologico degli agenti iscritti alloS.N.A., già acquisito in corso di istruttoria e disponibile, tra l'altro, anchesul sito web dell'organizzazione sindacale.

Ilresistente ha quindi concluso per il rigetto dell'istanza e per l'archiviazionedel procedimento.

6. Levalutazioni dell'Autorità.

6.1. Lafattispecie sottoposta all'attenzione dell'Autorità, diversamente da quanto sostenutodall'istante, non integra un'ipotesi di "diffusione" di datipersonali (nell'accezione accolta dall'art. 4, comma 1, lett. m) del Codice),bensì di "comunicazione" (ex art. 4, comma 1, lett. l) dello stessoCodice).

Perquanto attiene alle questioni preliminari, occorre anzitutto evidenziare cheesula dalle competenze che la legge attribuisce al Garante (art. 154 delCodice) la valutazione dei discussi profili ritenuti lesivi dell'onorabilità edella reputazione dell'interessato, eventualmente sindacabili dal reclamanteinnanzi alla preposta autorità giudiziaria.

Sottoaltro profilo, muovendo dalle dichiarazioni rese sul punto da Best WesternItalia S.c.p.a. (della cui genuinità l'autore si è assunto ogni responsabilitàanche penale) e asseverate dalla documentazione acquisita agli atti (cfr. imodelli di informativa e di designazione a responsabile del trattamentoallegati da Fin-Alberghi S.p.A., nonché la lettera inviata all'interessatodalla stessa Best Western Italia S.c.p.a. con plico del 2 maggio 2013), deveessere disattesa la richiesta del reclamante di adottare provvedimenti anchenei confronti di detta società. Fermo restando, infatti, il successivotrattamento di dati personali effettuato da XX (rispetto al quale v. piùdiffusamente infra), le risultanze non hanno evidenziato, allo stato, elementitali da indurre a ritenere che l'impulso decisionale relativo al contestatotrattamento possa essere ricondotto in capo a soggetti diversi da Fin-AlberghiS.p.A.

Nelmerito, da un esame complessivo delle (talora discordanti) dichiarazioni resedalle parti e della documentazione prodotta, e in assenza di una comprovatadesignazione a responsabile del trattamento del sig. XX, risulta che lacomunicazione dei dati personali dell'interessato effettuata da Fin-AlberghiS.p.A. allo stesso XX non è avvenuta in conformità alla legge.

Lasocietà, infatti, ha dichiarato che la predetta comunicazione si è resanecessaria, anzitutto, per verificare la ricorrenza dei presupposti perl'eventuale attivazione della polizza di assistenza legale. Orbene, taliverifiche, sulla base delle informazioni raccolte, avrebbero potuto essereugualmente effettuate dalla società senza necessità di comunicare a terzi anchedati identificativi dell'interessato; questi ultimi, contrattualmente necessarisolo a fronte di un sinistro formalmente denunciato, per iscritto, all'agenziao alla compagnia assicurativa (circostanza, questa, non ricorrente nel caso dispecie), non risultano infatti necessari in una fase –quale quella quiconsiderata– preordinata unicamente a verificare l'eventualericonducibilità della fattispecie rappresentata tra quelle previste dallecondizioni generali di polizza. La società, pertanto, avrebbe dovuto limitarsia rappresentare all'agente assicurativo le sole circostanze (pur dettagliatenella loro dinamica) descrittive del "sinistro", senza tuttaviacomunicare a quest'ultimo anche elementi immediatamente riconducibiliall'interessato (eventualmente utilizzabili solo successivamente, sulla base diuna denuncia formalmente presentata).

Considerazioniin parte analoghe possono essere svolte con riferimento alla dichiarata volontàdi Fin Alberghi S.p.A. di rivedere i termini della convenzione intercorsa conlo S.N.A. Dalle risultanze istruttorie, infatti, non sono emersi rigorosi edocumentati elementi volti a comprovare l'effettiva necessità per la società,in una fase –a tutto concedere– embrionale e solo eventualmentepropedeutica a una successiva revisione dell'accordo, di trattare datipuntualmente identificativi dell'interessato; né, per altro verso, dettielementi sono desumibili aliunde, men che meno dall'accordo sottoscritto traBest Western Italia S.c.p.a. e lo S.N.A., che si limita a richiamare, nellaversione fornita dal reclamante (applicabile, ratione temporis, allafattispecie in questione), la mera possibilità di "rinnovo" dellaconvenzione in presenza di specifiche condizioni, peraltro diverse da quellaqui considerata (cfr. art. 7 della convenzione).

Fermarestando, quindi, la non comprovata necessità e proporzionalità del trattamento(art. 11, comma 1, lett. d), del Codice), occorre poi evidenziare che la societànon è stata nemmeno in grado di dimostrare di aver operato con il consensodell'interessato (art. 23 del Codice), né in presenza di altro idoneopresupposto equipollente (art. 24 del Codice), non potendo ritenersi tale –comeinvece parrebbe sostenersi– neanche l'asserito adempimento a presuntiobblighi contrattuali di cui lo stesso interessato, peraltro, neppure è parte.E ciò incide negativamente, tra l'altro, sotto il profilo dell'osservanzadell'art. 11, comma 1, lett. a), del Codice, a mente del quale i dati personalidevono essere trattati in maniera lecita e secondo correttezza.

Allaluce di tali considerazioni, deve ritenersi che la comunicazione di datipersonali effettuata da Fin-Alberghi S.p.A. a XX sia avvenuta in violazionedegli artt. 11, comma 1, lett. a) e d), e 23 del Codice; conseguentemente, devedisporsi nei confronti della società, ai sensi degli artt. 143, comma 1, lett. c)e 154, comma 1, lett. d), il divieto dell'ulteriore comunicazione a terzi deidati personali del sig. XY, ove non sorretta da idonei presuppostigiustificativi, in particolare sotto il profilo della liceità, necessità eproporzionalità del trattamento.

6.2.Parimenti illecita deve essere considerata la comunicazione dei dati personalidel reclamante –già di per sé inutilizzabili (art. 11, comma 2, delCodice)– successivamente effettuata da XX (il cui ruolo di prepostoreferente per la convenzione sottoscritta con lo S.N.A., sulla base dellediscordanti dichiarazioni rese dalle parti e della documentazione prodotta,risulta, peraltro, tuttora in discussione). Posto, infatti, che non sussistonoevidenze tali da ricondurre in capo allo S.N.A. l'ascrivibilità del contestatotrattamento (art. 4, comma 1, lett. f), del Codice), occorre rilevare chel'unico presupposto invocato dal resistente a giustificazione del propriooperato (cfr. punto 3 del presente provvedimento) non risulta applicabile alcaso di specie, atteso che l'interessato non è parte contrattuale dellaconvenzione sottoscritta con lo S.N.A. In assenza di altri presupposti diliceità astrattamente applicabili (art. 24 del Codice), nemmeno addotti dalresistente, non può non rilevarsi come il trattamento effettuato daquest'ultimo senza il consenso dell'interessato si ponga in contrasto conl'art. 23 del Codice, oltre che in violazione del già citato art. 11, comma 1,lett. a) del d.lgs. n. 196/2003. E ciò, anche in considerazione del fatto chelo stesso codice deontologico evocato dal resistente sull'assunto di una suapossibile violazione da parte dell'interessato non sembra applicabile al casodi specie, essendo riferito ai soli rapporti intercorrenti tra gli agenti e laclientela.

Né, daultimo, può essere condivisa l'ulteriore eccezione formulata dal XX in meritoalla ritenuta applicabilità, alla fattispecie in esame, dell'art. 13, comma 5,lett. a), del Codice, risultando del tutto inconferente, ai fini dell'esonerodall'informativa, il richiamo da questi effettuato ad eventuali obblighi dilegge, di regolamento o della normativa comunitaria.

Conclusivamente,deve ritenersi illecito, per violazione dei citati artt. 11, comma 1, lett. a),13 e 23 del Codice, anche il successivo trattamento effettuato da XX, con laconseguenza che, nei confronti di quest'ultimo, ai sensi degli artt. 143, comma1, lett. c) e 154, comma 1, lett. d) del Codice, deve essere disposto ildivieto dell'ulteriore comunicazione a terzi dei dati personalidell'interessato, ove non accompagnata dal relativo consenso informato o daaltro idoneo presupposto equipollente (art. 24 del Codice).

TUTTO CIO' PREMESSO, IL GARANTE

– dichiara illecite, per le ragioni di cui inmotivazione, le comunicazioni dei dati personali relative al sig. XYeffettuate, rispettivamente, da Fin-Alberghi S.p.A. e da XX, con conseguenteinutilizzabilità dei dati trattati (art. 11, comma 2, del Codice), ad eccezionedella loro conservazione in adempimento a eventuali obblighi di legge o peresigenze di tutela di diritti in sede giudiziaria;

– per l'effetto, vieta a Fin-Alberghi S.p.A., aisensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), l'ulteriorecomunicazione a terzi dei dati personali dell'interessato, ove non sorretta daidonei presupposti giustificativi, in particolare sotto il profilo della liceità,necessità e proporzionalità del trattamento (artt. 11, commi 1, lett. a) e d),23 e 24 del Codice);

– ai sensi degli artt. 143, comma 1, lett. c) e154, comma 1, lett. d) del Codice, vieta a XX di comunicare ulteriormente aterzi i dati personali dell'interessato senza il relativo consenso informato(artt. 13 e 23 del Codice) o in presenza di altro idoneo presuppostoequipollente (art. 24 del Codice).

Ai sensidegli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 11 settembre 2014

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia