g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di Iperal S.p.A. - 13 maggio 2015 [4210697]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 4210697]

Ordinanza di ingiunzione nei confronti di Iperal S.p.A. - 13 maggio 2015

Registro dei provvedimenti
n. 293 del 13 maggio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice-presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo di Polizia Tributaria di Brescia, ha contestato, con atto, che qui deve intendersi integralmente riportato, del 21 novembre 2011 (notificato in pari data) a Iperal S.p.A. (di seguito "Iperal"), con sede in Milano, via Amadei n. 4, P.IVA 03248050969,  quale società incorporante di Sermark S.p.A., in persona del legale rappresentante pro-tempore, la violazione delle disposizioni di cui agli artt. 13 e 161 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice") per l´attivazione di n. 11 schede telefoniche in capo a 5 persone effettuata all´insaputa degli stessi interessati;

VISTO che nell´atto di contestazione del 3 novembre 2011 si dichiara che "nel gennaio del 2007 questo Reparto ha concluso una complessa indagine di P.G. nei confronti di un sodalizio criminale dedito al traffico di stupefacenti. In tale contesto si accertava che i reali utilizzatori di molte utenze mobili, sottoposte ad intercettazioni, non corrispondevano ai formali intestatari. Gli approfondimenti eseguiti permettevano di acquisire dai formali intestatari delle sim card predette formali denunce di disconoscimento e di individuare una società, con sede nella provincia di Brescia, che, in qualità di "master dealer" della Vodafone Omnitel N.V., risultava aver attivato tali utenze"; "Le investigazioni espletate nei confronti del dealer "Sermark S.p.A." […] hanno permesso di rilevare come quest´ultima ditta individuale abbia intestato numerose sim-card a terzi, risultati ignari di tali attribuzioni […]"; "L´esito di tale attività portava alla raccolta di 5 querele relative a complessive 11 attivazioni di sim card, effettuate dalla "Sermark S.p.A." […]. Si provvedeva quindi ad acquisire dal gestore Vodafone N.V. copia di alcuni dei contrati stipulati e oggetto di querela […] dal cui esame si evidenziava la difformità tra le firme apposte sui contratti e quelle riportate sui documenti d´identità";

RILEVATO che dal rapporto relativo all´atto di contestazione di cui sopra, predisposto dal predetto Nucleo di Polizia Tributaria ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689,  non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi del 21 dicembre 2011 in ordine alla predetta contestazione:

- la parte ha segnalato che "all´esito delle ricerche documentali nel corso dell´ispezione, emergeva che la Sermark aveva provveduto alla vendita soltanto di 3 delle 9 sim card oggetto di indagine […] Nessun documento, invece, veniva fornito con riferimento agli altri contratti che – come dichiarato anche dai dipendenti dell´esercizio commerciale presenti nei giorni in cui sarebbero stati sottoscritti i contratti oggetto di indagine […] – non erano stati sottoscritti da Sermark […] In nessun modo la Guardia di Finanza ha dimostrato che le schede telefoniche che si afferma essere state intestate ai soggetti querelanti a loro insaputa siano state effettivamente vendute da Sermark […] La mancanza di tali dati non permette di attribuire responsabilità alcuna a Sermark e vizia irreparabilmente il procedimento in contestazione […]"; ha inoltre evidenziato che "tra gli obblighi in capo a Sermark in forza della policy predisposta da Vodafone, non rientra alcun obbligo di conservazione della documentazione idonea ad identificare il cliente né tantomeno alcun obbligo di conservare documentazione che attesti il rilascio dell´informativa ai sensi dell´art. 13 del Codice Privacy […] Sermark non può essere sanzionato per un fatto che non ha commesso solo perché nei propri archivi la Guardia di Finanza non ha trovato riscontro a documentazione che né ai sensi del Codice Privacy, né sensi della policy di Vodafone, né infine ai sensi dell´accordo commerciale con il Master Dealer, la scrivente società è tenuta a conservare […] Nel caso di specie, poi, l´illecito contestato a Sermark risulterebbe essere stato commesso in una più ampia attività criminale realizzata da un´associazione dedita al traffico degli stupefacenti […] Non può escludersi (ed è qui che ancora una volta si appalesa l´evidente superficialità dell´accertamento) che taluno degli affiliati all´associazione abbia commesso attività tali da violare il sistema informativo di Sermark o addirittura della Vodafone stessa. In tale quadro, non era ragionevolmente ipotizzabile che Sermark, che pure utilizza la più ampia diligenza per la sicurezza del proprio sistema informativo, si potesse accorgere di tale macchinazione ad opera di terzi, con conseguente assenza di colpa a proprio carico";

VISTO, inoltre, il verbale di audizione delle parti redatto in data 1 ottobre 2012 ai sensi dell´art. 18 della legge n. 689/1981, nel quale il trasgressore, ammettendo gli illeciti contestati, ha sostanzialmente ribadito quanto argomentato negli scritti difensivi;

RITENUTO che le argomentazioni addotte da Iperal nelle memorie difensive e in sede di audizione non consentono di escludere le responsabilità della società in relazione a quanto contestato in considerazione:

- con riferimento alle osservazioni sulla mancata acquisizione da parte della Guardia di finanza di documentazione idonea a comprovare la responsabilità della società in ordine alle condotte contestate, deve evidenziarsi che sono presenti in atti alcuni dei moduli di identificazione dei clienti, predisposti da Vodafone, dai quali si evince che le utenze disconosciute sono state attivate da Semark S.p.A. (poi incorporata da Iperal S.p.A.); sono altresì presenti le denunce-querele presentate dai 5 intestatari delle utenze telefoniche oggetto di disconoscimento, in ordine alle quali non risulta che siano stati avviati procedimenti penali per il reato di calunnia previsto e punito dall´art. 368 del Codice penale;

- deve inoltre evidenziarsi che il verbale di contestazione di violazione amministrativa, nella parte in cui dà atto che le utenze disconosciute erano state attivate dalla società, riferisce di circostanze attestate dal pubblico ufficiale che lo stesso ha potuto conoscere senza alcun margine di apprezzamento e quindi costituisce piena prova fino a querela di falso;

-  quanto alla ipotizzata possibilità che il sistema informatico della società possa essere stato oggetto di intrusione da parte di terzi che potrebbero aver attivato le utenze telefoniche attribuendo poi l´operato alla società, premesso che tale possibilità appare quantomeno remota sotto il profilo strettamente tecnico, deve evidenziarsi che a norma degli artt. 15 e 31 del Codice e dell´art. 2050 del Codice civile, è onere di colui che gestisce il sistema informatico dimostrare di aver posto in essere ogni misura idonea, rapportata alla natura dei trattamenti e al progresso tecnologico, per ridurre al minimo i rischi di perdita, distruzione o utilizzo illecito dei dati personali in esso contenuti;

RITENUTO, pertanto, con riferimento al complessivo trattamento svolto dalla società finalizzato all´attivazione di schede telefoniche all´insaputa dei relativi intestatari, deve osservarsi altresì quanto segue:

-  le modalità affinché l´attivazione di schede telefoniche sia svolta in una cornice di legittimità rispetto alle disposizioni del Codice sono state indicate nel provvedimento a carattere generale del 16 febbraio 2006 (pubblicato in G.U. n. 54 del 6 marzo 2006, rinvenibile in www.gpdp.it, doc. web n. 1242592), nel quale si rappresenta, fra l´altro, che "tutti i soggetti coinvolti nel loro trattamento sono tenuti ad assicurare che i dati siano raccolti e registrati per scopi determinati, espliciti e legittimi, e trattati anche successivamente in modo lecito e secondo correttezza" e che "agenti e rivenditori rivestono la qualità di titolari autonomi del trattamento dei dati utilizzati ai fini dell´attivazione dei servizi quando, in base alle modalità della propria attività, esercitano un potere decisionale reale e del tutto autonomo sulle modalità e sulle finalità del trattamento effettuato nel proprio ambito (cfr. art. 4, comma 1, lett. f) del Codice). In tal caso, essi devono adempiere autonomamente agli obblighi previsti dal Codice, con particolare riferimento a quelli, sopra specificati, di informativa, di raccolta del consenso eventualmente necessario e dell´adozione di idonee misure di sicurezza";

- nel caso in argomento, la società ha trattato dati personali di clienti del gestore di telefonia Vodafone, in forza di un accordo sottoscritto con la società Wanted Electronics s.r.l. (che aveva assunto il ruolo di Master dealer);

- in tale accordo si precisa, fra l´altro, che la società "si assume l´obbligo e la responsabilità di identificare gli acquirenti di: Carte Telefoniche, Prepagate, Contratti di Abbonamento e di qualsiasi altro servizio offerto da Vodafone. L´identificazione è compiuta prima della consegna della Carta Sim, acquisendo i dati anagrafici riportati in un valido documento d´identità" e deve, fra l´altro, "rendere l´informativa ai clienti Vodafone concernente le finalità e le modalità del trattamento dei dati personali ed i diritti degli interessati (tale informativa è contenuta nella modulistica predisposta da Vodafone)"; "trattare i dati personali dei Clienti Vodafone contenuti nella modulistica nel rispetto degli obblighi contenuti nel presente accordo, solo ed esclusivamente per le finalità correlate all´adempimento degli obblighi contrattuali vigenti"; "effettuare la raccolta dei dati personali dei clienti e le operazioni di attivazione e postattivazione in modo riservato, avendo cura che non sia possibile per altri soggetti assistere direttamente alle operazioni riguardanti i dati personali dei Clienti"; "identificare il cliente mediante un documento di riconoscimento prima di effettuare interventi di visualizzazione dell´utenza sul supporto informatico";

- 5 persone hanno disconosciuto la titolarità delle schede telefoniche attivate a loro insaputa con denunce presentate alla Guardia di finanza fra il febbraio e l´aprile del 2008: in tutte le denunce si rappresenta che le predette persone non hanno mai richiesto l´attivazione a proprio nome delle utenze oggetto di disconoscimento e non hanno mai dato incarico ad altri di provvedervi per proprio conto;

- alla luce di quanto in precedenza rilevato, e cioè che la difesa non risulta aver contestato in sede penale le denunce presentate dai 5 querelanti, consegue il fatto che le schede telefoniche oggetto di disconoscimento sono state attivate all´insaputa degli intestatari e quindi contravvenendo a numerose diposizioni contrattuali (ad esempio in materia di identificazione del soggetto che richiede l´attivazione di schede o servizi aggiuntivi o anche solo la visualizzazione della proprio posizione contrattuale) che legano le operazioni di trattamento dei dati personali svolto dalla società al complessivo trattamento di cui il gestore telefonico è titolare;

- emerge pertanto che, con riferimento alle operazioni volte all´attivazione di schede telefoniche in assenza dell´intestatario e senza l´acquisizione di un suo valido documento, la società ha svolto trattamenti di dati personali esercitando un potere decisionale del tutto autonomo e svincolato dalle disposizioni che la legavano al gestore telefonico e al Master dealer, assumendo la veste giuridica di titolare del trattamento, così come delineato dal richiamato provvedimento del Garante del 16 febbraio 2006;

- a ciò si aggiunge che Vodafone, con riferimento alle attivazioni di schede telefoniche oggetto di attività di indagine da parte della Guardia di finanza di Brescia, ha rappresentato che "i rivenditori Autorizzati Vodafone Dealer/Master Dealer sono Titolari autonomi del trattamento dei dati personali dei clienti Vodafone e nella qualità di Titolare del trattamento dei dati, il Dealer/Master Dealer nomina "Incaricati" i soggetti che procedono, per conto dello stesso Titolare, alla raccolta, alla registrazione ed alla trasmissione a Vodafone dei dati personali dei propri Clienti";

- da ciò deriva che la società, in qualità di autonomo titolare del trattamento, avrebbe dovuto rendere agli intestatari delle schede telefoniche l´informativa contenente tutti gli elementi indicati nell´art. 13 del Codice prima della raccolta dei dati, circostanza che non risulta sia mai avvenuta;

- per tali ragioni e per quanto sopra osservato in ordine alle specifiche argomentazioni difensive della parte, si ritiene correttamente contestata a Iperal la violazione delle disposizioni di cui all´art. 13 del Codice;

- in considerazione del fatto che tutte le attivazioni sono avvenute nell´anno 2007, la predetta contestazione, notificata il 21 novembre 2011, risulta essere stata effettuata nel rispetto dei termini prescrizionali quinquennali di cui all´art. 28 della legge n. 689/1981 oltre che dei termini di notifica della contestazione di cui all´art. 14 della medesima legge, in relazione alla data dell´accertamento, da collocarsi in epoca successiva al 15 settembre 2011, data in cui il Pubblico Ministero di Brescia ha autorizzato la Guardia di finanza a utilizzare gli atti del procedimento penale n. 8893/07 r.g.n.r.;

- in considerazione del fatto che le condotte finalizzate all´attivazione di schede telefoniche all´insaputa dei 5 intestatari e le correlate violazioni dell´art. 13 del Codice risultano autonome, distinte e indipendenti poiché poste in essere nei confronti di soggetti diversi e quindi con trattamenti di dati personali molteplici e diversi, appare correttamente applicato in tale contestazione il cumulo materiale con riferimento ai diversi intestatari delle schede telefoniche;

RILEVATO, quindi, che la società, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare ai sensi degli artt. 4 e 28 del Codice, la violazione di cui al successivo art. 161, per aver svolto trattamenti di dati personali finalizzati all´attivazione di n. 11 schede telefoniche all´insaputa di n. 5 intestatari, e quindi senza avere reso agli stessi l´informativa di cui all´art. 13 del Codice prima della raccolta dei dati personali;

VISTO l´art. 161 del Codice, nella formulazione vigente all´epoca dei fatti, che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da tremila euro a diciottomila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, le violazioni risultano connotate da elementi specifici dettati dalla circostanza che la società, al fine di attivare indebitamente 11 schede telefoniche, ha violato le disposizioni in tema di informativa di cui all´art. 13 del Codice, contravvenendo altresì a specifiche disposizioni contrattuali oltre che a quanto stabilito dal Garante con il provvedimento del 16 febbraio 2006;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere considerato in termini non favorevoli il fatto che Iperal abbia negato ogni addebito tentando di addossare le responsabilità ad ignoti soggetti che si sarebbero introdotti nel sistema informatico aziendale, e quindi non adoperandosi in alcun modo per eliminare o attenuare le conseguenze della violazione;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che Iperal non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali per l´anno d´imposta 2013;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria,  in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 8.000,00 (ottomila) per ciascuna delle cinque violazioni contestate, per un totale complessivo pari a euro 40.000,00 (quarantamila) per le violazioni di cui all´art. 161;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a Iperal S.p.A., con sede in Milano, via Amadei n. 4, P.IVA 03248050969, quale società incorporante di Sermark S.p.A., in persona del legale rappresentante pro-tempore, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 40.000,00 (quarantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 13 maggio 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia