[doc. web n. 2740662]

Ordinanza di ingiunzione nei confronti di Axis Strategic Vision srl - 25 luglio 2013

Registro dei provvedimenti
n. 371 del 25 luglio 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo privacy della Guardia di finanza, in esecuzione della richiesta di informazioni formulata da questa Autorità ai sensi dell´art. 157 del d. lgs. 196/2003, recante il Codice in materia di protezione dei dati personali (prot. n. 5703/53969 del 28 marzo 2011), ha svolto accertamenti presso Axis Strategic Vision srl, con sede in Cagliari, Via Azuni n. 46, P.I. 02380570925, redigendo apposito verbale di operazioni compiute, datato 6 settembre 2011, dal quale risulta che la società gestisce due siti internet (www.axis-sv.it e www.bancadaticurriculum.it) tramite i quali effettua un trattamento di dati personali per mezzo di due form di raccolta dati, in calce ai quali sono riportate informative inidonee, perché prive degli elementi previsti dall´art. 13 del Codice;

VISTO il verbale n. 55 del 6 settembre 2011 con cui sono state contestate alla predetta società, in persona del legale rappresentante pro-tempore, le violazioni amministrative previste dall´art. 161 del Codice, applicate in combinato disposto con l´art. 164-bis, comma 1, in relazione alla raccolta di dati personali effettuata tramite i due distinti form;

CONSIDERATO che la parte è stata informata della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dal rapporto predisposto dal predetto Nucleo ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 non risultano effettuati i pagamenti in misura ridotta;

VISTI gli scritti difensivi inviati ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui la società ha dichiarato che il modulo di raccolta dati presente sul sito internet www.axis-sv.it assolve l´unica finalità di fornire informazioni agli utenti che ne facciano richiesta circa il servizio reso, per cui "il contesto del trattamento è noto all´interessato (…) presumibilmente già consapevole degli elementi essenziali del trattamento". Per quanto concerne, invece, il sito internet www.bancadaticurriculum.it la parte ha precisato che tale sito era stato realizzato in virtù di un contratto stipulato con l´Agenzia Regionale del lavoro della Regione Sardegna, in base al quale la società Axis si limitava ad inserire i contenuti di volta in volta stabiliti dalla committente, motivo per cui la titolarità del trattamento deve essere riconosciuta in capo alla suddetta Agenzia. A seguito della risoluzione contrattuale, e precisamente a partire dal 13 ottobre 2009, il sito è "accessibile e visibile liberamente solo all´interno degli uffici della scrivente", mentre dall´esterno è accessibile solo previa autenticazione. La parte ha, infine, richiamato le disposizioni del Codice che prevedono modalità semplificate sul rilascio dell´informativa (artt. 11, 118 e 134) e, in particolare, la modifica legislativa che ha eliminato l´obbligo di fornire l´informativa nei casi di invio spontaneo dei curricula;

CONSIDERATO che le argomentazioni addotte non consentono di escludere la responsabilità della società in relazione a quanto contestato. Il mero riferimento ai principi di correttezza, liceità e trasparenza nel trattamento dei dati personali effettuato dalla parte, come indicato nei testi posti in calce a entrambi i form di raccolta dati, non soddisfa i requisiti previsti dall´art. 13 del Codice che, invece, individua una serie di elementi di cui l´interessato deve venire a conoscenza all´atto del conferimento dei propri dati personali e che sono del tutto assenti al punto da non essere nemmeno qualificabile come informativa semplificata. Tale assunto rileva a prescindere dalla circostanza che i dati siano conferiti spontaneamente dall´utente al fine di ottenere un riscontro alle proprie richieste. Per quanto concerne il sito www.bancadaticurriculum.it, rispetto al quale la parte ha escluso la propria titolarità, si osserva che, sebbene dalla documentazione prodotta (risalente al periodo 2003-2004) risulti che la società Axis sia stata incaricata dall´Agenzia regionale del lavoro a provvedere alla progettazione e alla realizzazione del sito, limitandosi all´inserimento dei contenuti dalla stessa indicati (circostanza che permetterebbe di attribuire la titolarità del trattamento alla committente), a seguito della risoluzione contrattuale la banca dati ha continuato ad essere visibile e fruibile da parte della Axis, tanto che al momento dell´accertamento ispettivo la consultazione dei curricula era possibile all´amministratore della Axis, sig. Pili, che era in possesso delle credenziali di autenticazione. Dal verbale redatto dalla Guardia di finanza, inoltre, si evince che non solo il sito in questione era ancora visibile on line ma anche che gli utenti erano ancora in grado di "modificare o cancellare il proprio profilo in qualsiasi momento tramite le credenziali in loro possesso" e che risultavano presenti 223 curricula. Tali circostanze inducono ad attribuire la titolarità del trattamento alla parte anche per quel che concerne i dati personali raccolti tramite il sito www.bancadaticurriculum.it. Per quanto riguarda, infine, l´applicabilità al caso di specie dell´art. 13, comma 5-bis, del Codice, va precisato che tale norma prevede che il titolare del trattamento possa rendere l´informativa a coloro che inviano spontaneamente il proprio curriculum successivamente alla ricezione dello stesso, in considerazione dell´impossibilità di assolvere tale obbligo previamente. In tal senso si era già espresso il Garante con il provvedimento del 10 gennaio 2002 in materia di "Lavoro e previdenza sociale- informativa negli annunci relativi ad offerte di lavoro" (doc. web n. 1064553). Diversamente, nel caso che ci occupa, il titolare del trattamento ha predisposto un form per raccogliere i curricula e tale circostanza, ben diversa dal caso di invio spontaneo e non sollecitato dei curricula, richiede, anche a normativa vigente, che l´interessato sia previamente informato ai sensi dell´art. 13 del Codice;

RILEVATO, pertanto, che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) per mezzo di due form di raccolta dati fornendo un´informativa inidonea;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila a trentaseimila euro;

VISTO l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare delle sanzioni pecuniarie nella misura di euro 4.800,00 (2.400,00 per ciascuno dei form);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Axis Strategic Vision srl, con sede in Cagliari, Via Azuni n. 46, P.I. 02380570925, in persona del legale appresentante pro-tempore, di pagare la somma di euro 4.800,00 (quattromilaottocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dall´art. 161 del Codice, come indicato in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 4.800,00 (quattromilaottocento)  secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 25 luglio 2013

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia