g-docweb-display Portlet

Provvedimento del 12 maggio 2022 [9789512]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9789512]

Provvedimento del 12 maggio 2022

Registro dei provvedimenti
n. 187 del 12 maggio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale ha preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito: “Regolamento” o “RGPD”);

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, integrato con le modifiche introdotte dal decreto legislativo 10 agosto 2018, n. 101 (di seguito: “Codice”);

VISTO Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (di seguito: “Regolamento 1/2019);

ESAMINATO il reclamo presentato dalla signora XX relativo ad un presunto trattamento illecito di dati personali a sé afferenti effettuato dell’agenzia investigativa Centro Investigazioni Sile s.r.l.;
Esaminate le informazioni fornite dalle parti;

Vista la restante documentazione in atti;

Viste le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell´ufficio del Garante per la protezione dei dati personali;

Relatore il prof. Pasquale Stanzione;

PREMESSO

La signora XX ha presentato a questa Autorità, ai sensi del RGPD, un reclamo relativo ad un presunto trattamento illecito dei suoi dati personali da parte della società di investigazione Centro Investigazioni Sile s.r.l. (di seguito: “Società”).

In particolare, la signora XX ha riferito che la Signora XX, collaboratrice della Società, si è presentata in data 9 dicembre 2019 presso XX, sede di lavoro del reclamante, affermando di essere una cliente interessata a un preventivo per un servizio d'indagine, ma, in realtà, allo scopo di svolgere attività investigativa e di effettuare riprese video, fotografiche e audiovideo.

La reclamante ha preso contezza della predetta attività investigativa solo quando il suo avvocato l’ha contattata e le ha mostrato un rapporto d'indagine formulato dalla sig.ra XX. La reclamante ha dichiarato di ignorare a che titolo sia stata disposta un'indagine nei suoi confronti dal suddetto istituto investigativo,

Dappoiché la reclamante si duole di non avere ricevuto alcuna informativa in ordine all’attività investigativa effettuata dalla Signora XX, né, ovviamente, di avere fornito alcun consenso al riguardo.

Questa Autorità ha chiesto alla Società di precisare se la Signora XX, all’atto delle investigazioni, avesse fornito alla Signora XX l’informativa di cui all’art. 13 del Regolamento e, in caso negativo, i motivi della mancata informativa, come pure, in caso positivo, se fosse stato ottenuto il consenso da parte della reclamante o, in caso contrario, il fondamento della liceità del trattamento senza consenso.

La Società ha fornito il riscontro richiesto, dichiarando, per quanto qui rileva:

“Stante la particolarità dell'investigazione finalizzata alla raccolta di elementi sul conto di XX, utili a far valere o difendere un legittimo diritto in sede giudiziaria, l'accertatrice dipendente Dr.ssa XX, su direttive dello scrivente e del suo diretto superiore-investigatore privato dipendente XX, essendo intervenuta presso un'entità terza (sede XX) ove è stata accolta da colei che solo successivamente si è avuto contezza corrispondere a XX, per poi sostenere il confronto direttamente con XX, così qualificatosi mediante consegna del ‘biglietto da visita’, nonché con altra persona operante all'interno della medesima agenzia (soggetti da considerarsi terzi), si è avvalsa della deroga all'obbligo di informativa preventiva agli interessati, nonché dell'obbligo di acquisirne il consenso per la trattazione dei dati, essendo stati peraltro i medesimi trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nonché per il fatto che tale informativa. qualora resa, avrebbe reso impossibile e gravemente pregiudicato il conseguimento della finalità del trattamento, ovvero il perseguimento del legittimo interesse (art. 9 paragrafo 2 lett. F - Regolamento UE 67912916 - ex art. 13, co. 5 lett. B e 24 co. 1 lett. F, D. L. vo 19612003; art. 14 GDPR - paragrafo 5). Per le suddette ragioni non si è ritenuto necessario ottenere il consenso da parte del signor XX e di altra persona in loco incontrata, trattandosi di soggetti terzi, nonché da parte della sedicente XX che solo successivamente, attraverso l'esibizione della sua immagine a XX, si è appreso corrispondere alla destinataria dell'investigazione XX, persona che all'interno dell'agenzia investigativa si è presentata solamente con il nome di battesimo ‘XX’ e si è limitata ai meri convenevoli.”.

Gli atti della istruttoria preliminare hanno quindi confermato che la Società ha condotto una attività investigativa acquisendo dati nei confronti della reclamante senza fornirle l’informativa dovuta. Poiché le giustificazioni fornite dalla medesima non sono apparse idonee a giustificare il suo operato, in quanto l’art. 13 del RGPD prevede l’obbligo di fornire l’informativa all’interessato quando i dati sono raccolti presso il medesimo, l’Ufficio ha comunicato alla Società, in qualità di titolare del trattamento, ed alla signora XX, in qualità di interessato reclamante, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del RGPD,  ai sensi degli articoli 77 e segg. del RGPD, dell’art. 166 del Codice in materia di protezione dei dati personali (d. lgs. 196 del 2003, di seguito Codice) e degli articoli 12 e segg. del Regolamento 1/2019, per la presunta violazione dell’art. 13 del RGPD.

L’Agenzia ha trasmesso note difensive, confermando quanto precedentemente rilevato e sostenendo, anche sulla base di una  allegata dichiarazione del committente delle attività investigative, quanto segue:

Da segnalare che, oltre alla natura dell’incarico che verteva sulla necessità di “appurare se XX svolgesse attività regolari e/o irregolari con conseguenti introiti, i cui esiti sarebbero stati sottoposti alla valutazione del Giudice per la giusta quantificazione del contributo a carico dello scrivente, ciò nell’ambito sia della causa di separazione, sia nella causa di divorzio”, il medesimo evidenzia la circostanza che a seguito del nostro intervento eseguito presso XX (avvenuto verso le ore 10:00, del giorno 09.12.2019, ed oggetto dell’odierna procedura), “verso le ore 11:00, del giorno 09.12.2019, ricevetti mediante WhatsApp una fotografia dall’investigatore privato XX, che mi chiedeva di conoscere se la donna ritratta fosse XX, che riconobbi fornendo il relativo riscontro positivo. Ne seguì una telefonata con il XX che mi informò che la donna ritratta nella fotografia era stata avvicinata all’interno degli uffici di un centro di investigazioni private di Padova, ove operava anche XX, e che essendosi presentata con il solo nome di XX ed avendo caratteristiche fisiche apparentemente non corrispondenti a quelle della foto che gli avevo consegnato all’atto del conferimento dell’incarico, non erano sicuri che si trattasse della mia ex moglie”.

In tale contesto appare chiaro ed ineludibile che nel confronto che l’accertatrice dipendente XX ha avuto all’interno della citata agenzia con la donna presentatasi con il solo nome di “XX”, non ebbe a realizzare che si trattasse di XX, persona nei cui confronti era indirizzata l’investigativa ed alla quale, qualora realmente riconosciuta, sarebbe stata fornita la rituale informativa ex art. 13 RGPD.

Quanto alla circostanza che ciò contrasterebbe con il contenuto della nostra relazione investigativa, nella quale alla pagina 8 si fa riferimento all’incontro avvenuto con la XX “non appaiono sufficienti a smentire l’acquisizione di informazioni tramite interlocuzione diretta con la reclamante, essendo indicato nella relazione investigativa redatta dall’Agenzia stessa che “XX, dopo averci confermato di essere colei con la quale avevamo interloquito telefonicamente e che ci aveva fissato l'incontro, ha partecipato al colloquio chiedendo anch'ella notizie in merito al contesto dei soggetti coinvolti nell'investigazione”, si evidenzia che tale elaborato costituisce il sunto ed il risultato delle attività condotte, nel senso che a posteriori ed a conclusione delle attività, si è dato giustamente atto che la persona incontrata era XX, soggetto che, si ripete e potrà essere anche documentato a mezzo di messaggistica intercorsa con il mandante XX, solo successivamente e dopo esserci allontanati da XX, si è avuto contezza corrispondere a XX, ciò dopo averne in tal senso ricevuto riscontro dal XX al quale era stata inoltrata una sua foto.

In relazione a quanto sopra riportato, si insiste ulteriormente nel considerare regolare e privo di vizi di legittimità l’operato svolto dal personale dipendente, che nel confronto diretto avuto con la donna qualificatasi con il nome di XX, costei non era stata assolutamente riconosciuta nella persona destinataria dell’investigazione – XX.

Nella denegata ipotesi di un mancato favorevole accoglimento della presente, valutata nella condotta del personale dipendente l’assenza di qualsiasi volontà lesiva del precetto normativo, da ricondurre pertanto alla buona fede ed all’evento fortuito, considerato peraltro che i dati raccolti sono stati conservati per il tempo strettamente necessario allo svolgimento dell’attività investigativa conferita tramite mandato e prontamente eliminati a seguito della stesura della relazione conclusiva, ci si rimette alla clemenza di Codesta On.le Autorità per le conseguenti determinazioni che riterrà opportuno adottare.

OSSERVA

Ai sensi dell’art. 4, paragrafo 1, n. 1), del RGPD, costituisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile”.

Ai sensi dell’art. 4, paragrafo 1, n. 2), del RGPD, costituisce trattamento “qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione”.

Pertanto, la raccolta delle informazioni relative alla reclamante, la loro registrazione, elaborazione, inserimento nella relazione investigativa e comunicazione al committente le attività investigative costituiscono trattamento di dati personali.

L’attività di investigazione privata, autorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1931, n. 773, e successive modificazioni e integrazioni) è, di per sé, lecita, ma deve essere esercitata nel rispetto delle norme che la disciplinano e delle disposizioni in materia di protezione dei dati personali.

Il rilievo del reclamante di non avere fornito il suo consenso agli investigatori non rileva, in quanto lo svolgimento di attività investigativa (id est, il trattamento dei dati personali) per difendere in giudizio un diritto non richieda il consenso dell’interessato (artt. 6, paragrafo 1, lettera e) e 9, paragrafo 2, lettera f), RGPD).

Dagli atti dell’istruttoria preliminare e da quelli successivamente acquisiti a seguito del presente procedimento, risulta tuttavia confermato che la Società ha acquisito dati personali direttamente presso l’interessata (id est la reclamante), senza fornirle l’informativa inderogabilmente dovuta ai sensi dell’art. 13 del RGPD.

La difesa della Società si basa principalmente sull’assunto che all’atto di acquisizione delle informazioni dalla reclamante, gli investigatori non erano sicuri che la persona con la quale hanno interloquito, “presentatasi con il solo nome di XX” fosse XX, ma di ciò ricevettero conferma solo dopo uno scambio di messaggi e fotografie con l’ex coniuge committente delle investigazioni.

Tale argomento non appare idoneo ad escludere la responsabilità della Società. Infatti, anche a volere accettare la tesi difensiva secondo cui gli investigatori - ancorché recatisi presso l’agenzia ove, stando alle notizie acquisite, sarebbe stata impiegata XX, avendo interloquito con persona qualificatasi con il nome di XX, essendo in possesso di un fotogramma sul quale era ripresa XX, ancorché risalente e poco chiaro – appresero l’identità della reclamante solo dopo lo svolgimento dell’investigazione ed a seguito di conferma del committente, resta il fatto che al momento di tale conferma, fu noto al titolare che i dati acquisiti direttamente presso l’interessata erano stati raccolti illegittimamente per la mancanza di informativa, onde questi non potevano essere utilizzati dall’agenzia investigativa, come prevede l’art. 2-decies del Codice (salva la successiva devoluzione in giudizio da parte del committente, che resta disciplinata dall’art. 160-bis del Codice  che non è oggetto del presente provvedimento).                                                                                                                                        
Sulla base dei criteri indicati dall’art. 83 del RGPD, considerando che la condotta ha esaurito i suoi effetti, che il numero di interessati al trattamento è limitato, che il titolare ha fornito piena collaborazione a questa Autorità e che non risultano eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento, si ritiene che nel caso di specie non ricorrano i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’art. 58, par. 2, lett. i) del Regolamento.

Essendo comunque stata accertata l’illiceità del trattamento di dati personali nei termini di cui in motivazione, si ritiene di dover ammonire, ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, il Centro Investigazioni Sile s.r.l. per aver violato l’art. 13, del RGPD.

TUTTO CIÒ PREMESSO IL GARANTE

DICHIARA

l'illiceità del trattamento dei dati del reclamante effettuato dall’agenzia investigativa Centro Investigazioni Sile s.r.l., per violazione delle disposizioni di cui all’articolo 13 del RGPD, nei termini di cui in motivazione e, per l’effetto,

AMMONISCE

l’agenzia investigativa Centro Investigazioni Sile s.r.l. per avere effettuato un trattamento di dati personali in violazione dell’articolo 13, paragrafo 1, lettera c), del RGPD, avendo raccolto dati personali presso l’interessato senza fornirgli l’informativa di cui al medesimo articolo.

Ai sensi dell’art. 78 del Regolamento, dell’art. 152 del d. lgs. 30 giugno 2018, n 101 e dell’art. 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione, in via alternativa, al tribunale del luogo in cui il titolare del trattamento risiede o ha sede ovvero al tribunale del luogo di residenza dell'interessato, entro trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all'estero.

Roma, 12 maggio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei