g-docweb-display Portlet

Illecito trattamento di dati personali da parte di un albergo - 11 settembre 2014 [3512691]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 3512691]

Illecito trattamento di dati personali da parte di un albergo - 11 settembre 2014

Registro dei provvedimenti
n. 402 dell´11 settembre 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lgs. 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice");

VISTO il reclamo di XY del 24 settembre 2013, regolarizzato con nota del 19 novembre 2013;

VISTE le note inviate da Fin-Alberghi S.p.A., Best Western Italia S.c.p.a. e da XX, nonché le successive osservazioni formulate dalle parti;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1. Il reclamo.

1. Con reclamo del 24 settembre 2013, il sig. XY ha lamentato un illecito trattamento dei suoi dati personali da parte di Fin-Alberghi S.p.A., Best Western Italia S.c.p.a. e del sig. XX.

Riferisce l´istante –componente del Sindacato Nazionale Agenti di assicurazione (di seguito S.N.A.) e titolato, nella veste di associato all´organizzazione, a beneficiare di condizioni economiche di favore in occasione dei soggiorni effettuati presso gli alberghi della catena "Best Western"– che a seguito del suo pernottamento nel 2012 presso l´Hotel Galles di Milano, appartenente alla suddetta catena, il rappresentante legale di Fin-Alberghi S.p.A. (società gerente la struttura) avrebbe indebitamente comunicato alcuni dati personali che lo riguardavano –segnatamente riconducibili alla sua permanenza in hotel in compagnia di altra persona e al comportamento dallo stesso tenuto in occasione del pagamento del soggiorno– al sig. XX, al tempo membro dello stesso sindacato, che li avrebbe a sua volta illecitamente comunicati a terzi. Tali trattamenti, meglio circostanziati dal reclamante nella documentazione allegata all´istanza e nella successiva nota dell´11 novembre 2013, trarrebbero origine da un episodio verificatosi all´interno dell´hotel in danno della sua accompagnatrice, che sarebbe rimasta vittima di molestie a sfondo sessuale ad opera di uno sconosciuto.

Secondo una prima ricostruzione prospettata da Fin-Alberghi S.p.A. e da subito contestata, anche in questa sede, dall´interessato, l´odierno istante, a seguito dell´accaduto, avrebbe insistentemente preteso, al momento del saldo, uno "sconto" sul prezzo da pagare per il soggiorno fruito presso la struttura, minacciando future richieste risarcitorie e assumendo un contegno non consono all´occasione.

Per contro, in base alle dichiarazioni rese dal reclamante –rimasto in attesa, anche successivamente all´avvenuto pagamento integrale del conto, di una proposta ristoratrice da parte dell´hotel (invero mai pervenuta)–, la società avrebbe indebitamente provveduto a comunicare le predette circostanze al sig. XX, il quale le avrebbe a sua volta veicolate, via telefono e nel corso di una riunione dello S.N.A., ad altri componenti dell´organizzazione.

Ritenendo che l´operato della società e dello stesso XX fosse, oltre che lesivo della propria onorabilità e reputazione, anche in violazione della disciplina in materia di protezione dei dati personali (in particolare, sotto il profilo della indebita "diffusione" delle informazioni raccolte), il reclamante ha chiesto all´Autorità di intervenire, adottando gli opportuni provvedimenti del caso; provvedimenti che, a detta dell´istante, dovrebbero riguardare anche Best Western Italia S.c.p.a., nella sua qualità di stipulante la convenzione intercorsa con lo S.N.A.

A riprova delle violazioni lamentate, il reclamante ha prodotto copia de: la corrispondenza intercorsa successivamente all´accaduto con le società sopra richiamate e con XX; l´accordo stipulato tra Best Western Italia S.c.p.a. e lo S.N.A.

2. La replica delle società.

A seguito della richiesta di informazioni formulata dall´Ufficio (indirizzata anche a XX e riscontrata da quest´ultimo nei termini di cui al successivo punto 3), Best Western Italia S.c.p.a. e Fin-Alberghi S.p.A. hanno fatto pervenire le proprie osservazioni sulla vicenda.

Best Western Italia S.c.p.a., con nota del 21 marzo 2014, ha precisato che "tutti gli hotel appartenenti alla catena Best Western sono di proprietà indipendente e hanno una gestione autonoma" e che "in caso di prenotazioni effettuate direttamente presso l´hotel, come nel caso di specie, titolare del trattamento dei dati personali relativi al cliente che effettua la prenotazione e soggiorna presso la struttura è l´hotel stesso (o, più precisamente, l´impresa che lo gestisce)".

Fin-Alberghi S.p.A., con nota del 19 marzo 2014, ha dichiarato che la comunicazione qui contestata "non è stata effettuata a terzi estranei all[´]organizzazione ma solo e soltanto a un soggetto, il dott. XX con il quale v´è un rapporto di collaborazione professionale". Quest´ultimo, nella duplice veste di intermediario assicurativo di Fin-Alberghi S.p.A. e di referente dello S.N.A. per la convenzione intercorsa con Best Western Italia S.c.p.a. e con la stessa Fin-Alberghi S.p.A., sarebbe stato contattato, in seguito all´accaduto, non solo per verificare i presupposti per l´eventuale attivazione della polizza di assistenza legale, ma anche per valutare l´opportunità –stante il comportamento tenuto dall´interessato– di una ipotetica revisione dei termini contrattuali concordati con l´organizzazione sindacale.

Muovendo dall´assunto che sarebbe comunque "doveroso nella gestione delle pratiche commerciali ed in stretta aderenza degli obblighi di leale cooperazione tra le parti contraenti comunicare tempestivamente eventuali problematiche occorse ai clienti […] non solo al fine di regolarmente adempiere alle proprie obbligazioni, ma anche per evitare l´insorgere futuro di altre analoghe contestazioni", la società ha ritenuto che la comunicazione a XX dei dati personali dell´interessato non fosse ingiustificata; e ciò, anche in ragione del fatto che la modificabilità dei termini della convenzione dipenderebbe, oltre che da specifiche clausole contrattuali, da "fattori commerciali e comportamentali", tra cui "rilevanti e/o frequenti problematiche create dai clienti durante il soggiorno" (cfr. successiva comunicazione del 29 aprile 2014).

A sostegno delle proprie argomentazioni, Fin-Alberghi S.p.A. ha prodotto documentazione relativa, tra l´altro, a: il comportamento tenuto dal reclamante in occasione del saldo del conto; l´informativa resa ai clienti in merito al trattamento dei loro dati personali; la designazione degli incaricati e dei responsabili del trattamento; il contratto di assicurazione per l´assistenza legale e i rapporti con l´intermediario assicurativo; la prenotazione effettuata da XY; il contratto di albergo e le procedure di gestione dei reclami dei clienti.

3. Le considerazioni di XX.

Con comunicazione del 25 marzo 2014, XX ha confermato di aver acquisito i dati personali dell´istante dal rappresentante legale di Fin-Alberghi S.p.A., il quale ha ritenuto di doverlo contattare, nella sua qualità (tra l´altro) di referente dello S.N.A., anche in vista di un´eventuale revisione degli accordi sottoscritti con Best Western Italia S.c.p.a. e Fin-Alberghi S.p.A.

Nella convinzione che la vicenda potesse avere risvolti deontologici interni all´organizzazione sindacale, costui ha provveduto a segnalare a sua volta l´accaduto ad alcuni membri dello S.N.A., anche in vista di eventuali decisioni da assumersi nell´ambito del giudizio dei probiviri statutariamente previsto. In tale cornice, il XX ha ritenuto di poter operare in assenza di informativa e consenso dell´interessato "stante la natura dei dati trattati e le finalità specifiche del trattamento stesso e la necessità dello stesso alla luce sia dell´art. 24, comma 1, lett. b del Codice in materia di dati personali" –avendo l´odierno reclamante "soggiornato in albergo nella sua veste di componente dello S.N.A. […] e quindi di aderente alla convenzione contrattuale"– "sia alla luce dell´art. 13, comma 5 lett. a)" dello stesso Codice.

In ogni caso, le poche informazioni trattate sarebbero state confidenzialmente comunicate in forma unicamente orale e sarebbe stato lo stesso reclamante, a fronte di operazioni di trattamento comunque occasionali ed effettuate in un contesto sostanzialmente unitario ed ormai esauritosi, a "me[ttere] per iscritto", in occasione delle reiterate richieste volte a ottenere il risarcimento dei danni subiti, "i dettagli della vicenda in questione".

In allegato alla propria comunicazione, il resistente ha prodotto documentazione, successivamente integrata con nota del 16 aprile 2014, relativa a: la copia dello statuto dello S.N.A.; la copia del Codice deontologico "Professionalità e rispetto dei diritti della clientela, alla base dei princìpi etici degli agenti iscritti allo S.N.A."; il verbale della riunione dell´Esecutivo Nazionale dello S.N.A. del 27 gennaio 2012, da cui si ricavano le deleghe a suo tempo assegnate dall´organizzazione sindacale (tra cui figurano l´"Area iniziative e interventi legislativi e regolamentari, fiscale-tributario, rapporti tecnici con Antitrust e Mise", affidata allo stesso XX, e l´"Area servizi agli iscritti e convenzioni", attribuita ad altro componente).

4. Le ulteriori osservazioni del reclamante.

Con nota del 13 maggio 2014 (ma inviata il giorno successivo), XY ha contestato in toto quanto ex adverso dedotto, riscontrando una carenza di oggettività nella prospettazione della vicenda fornita dalle controparti.

In merito, poi, alla presunta responsabilità "solidale" asseritamente ascrivibile a Best Western Italia S.c.p.a., il reclamante ritiene inevitabile il coinvolgimento della società nella violazione dei profili contestati in considerazione del fatto che: l´Hotel Galles di Milano appartiene alla catena alberghiera ad insegna "Best Western", da cui sarebbe lecito pretendere un servizio pari alla relativa rinomanza; la convenzione con lo S.N.A., di cui lo stesso si è avvalso per il pernottamento presso la struttura, è stata stipulata da Best Western Italia S.c.p.a.; le carte di fidelizzazione intestate all´interessato risultano rilasciate da quest´ultima.

Infine, con riferimento alla posizione di XX, l´istante non ritiene che costui avesse titolo, anche in ragione delle deleghe conferitegli e del ruolo rivestito all´interno dello S.N.A., per segnalare a terzi eventuali comportamenti rilevanti sul piano deontologico, peraltro nemmeno seguiti da una formale "denuncia" agli organi competenti. E ciò, comunque, a fronte della perdurante mancata adozione, da parte del sindacato, di uno specifico codice deontologico applicabile nei confronti degli iscritti.

Il reclamante ha quindi insistito, in ragione di tali ultime considerazioni, per l´accoglimento dell´istanza.

5. Le controdeduzioni di Fin-Alberghi S.p.A. e di XX.

Con nuova nota del 26 maggio 2014, Fin-Alberghi S.p.A., nel respingere ulteriormente le violazioni ascrittele dal reclamante, ha ribadito le ragioni del proprio operato, sostenendone sia la conformità alle disposizioni della polizza assicurativa sottoscritta per il tramite del sig. XX –e, in particolare, a quelle che prevedono la necessaria dettagliata descrizione, nella denuncia di sinistro, dei fatti che lo hanno originato, nonché delle generalità delle persone interessate e coinvolte, anche nella veste di testimoni (art. 10 del contratto di assicurazione di tutela legale)–, sia la rispondenza ai princìpi di buona fede che regolano, sulla base dell´art. 1375 cod. civ., l´esecuzione delle convenzioni intercorrenti con lo S.N.A. È solo in virtù di detti rapporti contrattuali (argomentando, ex art. 24, comma 1, lett. b), del Codice), dunque, che sarebbe stata effettuata la comunicazione dei dati personali dell´interessato, peraltro nei confronti di un soggetto astrattamente titolato a conoscerli proprio in ragione della sua veste di agente assicurativo e di referente delle convenzioni medesime. Tenuto conto, infine, che i dati dell´interessato non sarebbero stati oggetto di ulteriore divulgazione da parte della società, quest´ultima ha chiesto all´Autorità di archiviare il procedimento.

Anche XX, con nota del 3 giugno 2014, ha replicato alle ulteriori considerazioni formulate dal reclamante, confermando il proprio ruolo di "negoziatore" degli accordi sottoscritti con Best Western Italia S.c.p.a. e Fin-Alberghi S.p.A. e allegando, a riprova, talune dichiarazioni rilasciate da altro componente dell´esecutivo nazionale dello S.N.A. Nel ribadire, quindi, le proprie competenze in merito alla stipula dei predetti accordi, quest´ultimo ha poi riaffermato, contrariamente a quanto sostenuto dal reclamante, l´operatività del codice deontologico degli agenti iscritti allo S.N.A., già acquisito in corso di istruttoria e disponibile, tra l´altro, anche sul sito web dell´organizzazione sindacale.

Il resistente ha quindi concluso per il rigetto dell´istanza e per l´archiviazione del procedimento.

6. Le valutazioni dell´Autorità.

6.1. La fattispecie sottoposta all´attenzione dell´Autorità, diversamente da quanto sostenuto dall´istante, non integra un´ipotesi di "diffusione" di dati personali (nell´accezione accolta dall´art. 4, comma 1, lett. m) del Codice), bensì di "comunicazione" (ex art. 4, comma 1, lett. l) dello stesso Codice).

Per quanto attiene alle questioni preliminari, occorre anzitutto evidenziare che esula dalle competenze che la legge attribuisce al Garante (art. 154 del Codice) la valutazione dei discussi profili ritenuti lesivi dell´onorabilità e della reputazione dell´interessato, eventualmente sindacabili dal reclamante innanzi alla preposta autorità giudiziaria.

Sotto altro profilo, muovendo dalle dichiarazioni rese sul punto da Best Western Italia S.c.p.a. (della cui genuinità l´autore si è assunto ogni responsabilità anche penale) e asseverate dalla documentazione acquisita agli atti (cfr. i modelli di informativa e di designazione a responsabile del trattamento allegati da Fin-Alberghi S.p.A., nonché la lettera inviata all´interessato dalla stessa Best Western Italia S.c.p.a. con plico del 2 maggio 2013), deve essere disattesa la richiesta del reclamante di adottare provvedimenti anche nei confronti di detta società. Fermo restando, infatti, il successivo trattamento di dati personali effettuato da XX (rispetto al quale v. più diffusamente infra), le risultanze non hanno evidenziato, allo stato, elementi tali da indurre a ritenere che l´impulso decisionale relativo al contestato trattamento possa essere ricondotto in capo a soggetti diversi da Fin-Alberghi S.p.A.

Nel merito, da un esame complessivo delle (talora discordanti) dichiarazioni rese dalle parti e della documentazione prodotta, e in assenza di una comprovata designazione a responsabile del trattamento del sig. XX, risulta che la comunicazione dei dati personali dell´interessato effettuata da Fin-Alberghi S.p.A. allo stesso XX non è avvenuta in conformità alla legge.

La società, infatti, ha dichiarato che la predetta comunicazione si è resa necessaria, anzitutto, per verificare la ricorrenza dei presupposti per l´eventuale attivazione della polizza di assistenza legale. Orbene, tali verifiche, sulla base delle informazioni raccolte, avrebbero potuto essere ugualmente effettuate dalla società senza necessità di comunicare a terzi anche dati identificativi dell´interessato; questi ultimi, contrattualmente necessari solo a fronte di un sinistro formalmente denunciato, per iscritto, all´agenzia o alla compagnia assicurativa (circostanza, questa, non ricorrente nel caso di specie), non risultano infatti necessari in una fase –quale quella qui considerata– preordinata unicamente a verificare l´eventuale riconducibilità della fattispecie rappresentata tra quelle previste dalle condizioni generali di polizza. La società, pertanto, avrebbe dovuto limitarsi a rappresentare all´agente assicurativo le sole circostanze (pur dettagliate nella loro dinamica) descrittive del "sinistro", senza tuttavia comunicare a quest´ultimo anche elementi immediatamente riconducibili all´interessato (eventualmente utilizzabili solo successivamente, sulla base di una denuncia formalmente presentata).

Considerazioni in parte analoghe possono essere svolte con riferimento alla dichiarata volontà di Fin Alberghi S.p.A. di rivedere i termini della convenzione intercorsa con lo S.N.A. Dalle risultanze istruttorie, infatti, non sono emersi rigorosi e documentati elementi volti a comprovare l´effettiva necessità per la società, in una fase –a tutto concedere– embrionale e solo eventualmente propedeutica a una successiva revisione dell´accordo, di trattare dati puntualmente identificativi dell´interessato; né, per altro verso, detti elementi sono desumibili aliunde, men che meno dall´accordo sottoscritto tra Best Western Italia S.c.p.a. e lo S.N.A., che si limita a richiamare, nella versione fornita dal reclamante (applicabile, ratione temporis, alla fattispecie in questione), la mera possibilità di "rinnovo" della convenzione in presenza di specifiche condizioni, peraltro diverse da quella qui considerata (cfr. art. 7 della convenzione).

Ferma restando, quindi, la non comprovata necessità e proporzionalità del trattamento (art. 11, comma 1, lett. d), del Codice), occorre poi evidenziare che la società non è stata nemmeno in grado di dimostrare di aver operato con il consenso dell´interessato (art. 23 del Codice), né in presenza di altro idoneo presupposto equipollente (art. 24 del Codice), non potendo ritenersi tale –come invece parrebbe sostenersi– neanche l´asserito adempimento a presunti obblighi contrattuali di cui lo stesso interessato, peraltro, neppure è parte. E ciò incide negativamente, tra l´altro, sotto il profilo dell´osservanza dell´art. 11, comma 1, lett. a), del Codice, a mente del quale i dati personali devono essere trattati in maniera lecita e secondo correttezza.

Alla luce di tali considerazioni, deve ritenersi che la comunicazione di dati personali effettuata da Fin-Alberghi S.p.A. a XX sia avvenuta in violazione degli artt. 11, comma 1, lett. a) e d), e 23 del Codice; conseguentemente, deve disporsi nei confronti della società, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), il divieto dell´ulteriore comunicazione a terzi dei dati personali del sig. XY, ove non sorretta da idonei presupposti giustificativi, in particolare sotto il profilo della liceità, necessità e proporzionalità del trattamento.

6.2. Parimenti illecita deve essere considerata la comunicazione dei dati personali del reclamante –già di per sé inutilizzabili (art. 11, comma 2, del Codice)– successivamente effettuata da XX (il cui ruolo di preposto referente per la convenzione sottoscritta con lo S.N.A., sulla base delle discordanti dichiarazioni rese dalle parti e della documentazione prodotta, risulta, peraltro, tuttora in discussione). Posto, infatti, che non sussistono evidenze tali da ricondurre in capo allo S.N.A. l´ascrivibilità del contestato trattamento (art. 4, comma 1, lett. f), del Codice), occorre rilevare che l´unico presupposto invocato dal resistente a giustificazione del proprio operato (cfr. punto 3 del presente provvedimento) non risulta applicabile al caso di specie, atteso che l´interessato non è parte contrattuale della convenzione sottoscritta con lo S.N.A. In assenza di altri presupposti di liceità astrattamente applicabili (art. 24 del Codice), nemmeno addotti dal resistente, non può non rilevarsi come il trattamento effettuato da quest´ultimo senza il consenso dell´interessato si ponga in contrasto con l´art. 23 del Codice, oltre che in violazione del già citato art. 11, comma 1, lett. a) del d.lgs. n. 196/2003. E ciò, anche in considerazione del fatto che lo stesso codice deontologico evocato dal resistente sull´assunto di una sua possibile violazione da parte dell´interessato non sembra applicabile al caso di specie, essendo riferito ai soli rapporti intercorrenti tra gli agenti e la clientela.

Né, da ultimo, può essere condivisa l´ulteriore eccezione formulata dal XX in merito alla ritenuta applicabilità, alla fattispecie in esame, dell´art. 13, comma 5, lett. a), del Codice, risultando del tutto inconferente, ai fini dell´esonero dall´informativa, il richiamo da questi effettuato ad eventuali obblighi di legge, di regolamento o della normativa comunitaria.

Conclusivamente, deve ritenersi illecito, per violazione dei citati artt. 11, comma 1, lett. a), 13 e 23 del Codice, anche il successivo trattamento effettuato da XX, con la conseguenza che, nei confronti di quest´ultimo, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice, deve essere disposto il divieto dell´ulteriore comunicazione a terzi dei dati personali dell´interessato, ove non accompagnata dal relativo consenso informato o da altro idoneo presupposto equipollente (art. 24 del Codice).

TUTTO CIÒ PREMESSO, IL GARANTE

– dichiara illecite, per le ragioni di cui in motivazione, le comunicazioni dei dati personali relative al sig. XY effettuate, rispettivamente, da Fin-Alberghi S.p.A. e da XX, con conseguente inutilizzabilità dei dati trattati (art. 11, comma 2, del Codice), ad eccezione della loro conservazione in adempimento a eventuali obblighi di legge o per esigenze di tutela di diritti in sede giudiziaria;

– per l´effetto, vieta a Fin-Alberghi S.p.A., ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), l´ulteriore comunicazione a terzi dei dati personali dell´interessato, ove non sorretta da idonei presupposti giustificativi, in particolare sotto il profilo della liceità, necessità e proporzionalità del trattamento (artt. 11, commi 1, lett. a) e d), 23 e 24 del Codice);

– ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice, vieta a XX di comunicare ulteriormente a terzi i dati personali dell´interessato senza il relativo consenso informato (artt. 13 e 23 del Codice) o in presenza di altro idoneo presupposto equipollente (art. 24 del Codice).

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 settembre 2014

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia