[doc. web n. 3336778]

Ordinanza di ingiunzione nei confronti di Omnia energia s.p.a. - 26 giugno 2014

Registro dei provvedimenti
n. 330 del 26 giugno 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Comando Nucleo speciale privacy della Guardia di finanza, in attuazione della richiesta di informazioni (n. 9523/53969 datata 6 maggio 2011)  ex art. 157 del d.lg. 30 giugno 2003, n. 196 recante Codice in materia di protezione dei dati personali (di seguito denominato Codice) e su specifica delega di questa Autorità, ha svolto, nei confronti di Omnia energia s.p.a., P.Iva: 02599020787, già con sede in Zumpano (Cs), contrada Mennavence ad oggi con sede in Zumpano (Cs) via beato Francesco Marino n. 102, in persona del legale rappresentante pro-tempore, l´attività di controllo di cui al verbale di operazioni compiute datato 9 maggio 2012, a fronte della quale, successivamente, è stato accertato che Omnia energia s.p.a. effettuava, quale titolare, un trattamento di dati personali mediante l´utilizzo di un impianto di videosorveglianza composto da 10 telecamere delle quali 9 poste all´interno dell´area aziendale che riprendono l´area parcheggio e una all´interno situata presso la reception, un monitor per la visione delle immagini e un hard-disk per la registrazione, omettendo di rendere un´idonea informativa semplificata ai sensi dell´art. 13 del Codice e del provvedimento in materia di videosorveglianza datato 8 aprile 2010. La medesima attività di controllo ha consentito di accertare anche che la società effettuava una raccolta di dati personali (dati anagrafici, indirizzo di posta elettronica e numero di utenza telefonica) degli utenti che, tramite il sito web www.omniaenergia.it, richiedono informazioni per mezzo un apposito form di raccolta presente nella pagina "Richiesta di informazioni" senza fornire l´informativa di cui all´art. 13 del Codice;

VISTO il verbale n. 39/2012 dell´8 giugno 2012 con cui sono state contestate alla predetta società due violazioni amministrative previste, entrambe, dall´art. 161, in relazione all´art. 13 del Codice, rilevando, per la sola violazione inerente l´informativa semplificata di cui all´impianto di videosorveglianza, i presupposti applicativi di cui all´art. 164-bis, comma 1 del Codice e  informandola, quindi, della facoltà di effettuare, per ciascuna di esse, il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto del Nucleo speciale privacy  predisposto ai sensi dell´art. 17 della legge n. 689/1981, dal quale risulta che non è stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, datato 18 luglio 2012, inviato ai sensi dell´art. 18 della legge n. 689/1981 nel quale la società, relativamente all´assenza dell´informativa di cui all´art. 13 del Codice a fronte della raccolta di dati tramite il sito web www.omniaenergia.it, per mezzo di un apposito form, ha evidenziato come "Il difetto di funzionamento della sezione privacy, rilevato nell´accesso del 9 maggio 2012 (verbale relativo pag. 3), non solo ha costituito fatto meramente temporaneo dovuto a mero disguido, quanto soprattutto risulta non idoneo, nella fattispecie, a configurare una incisiva violazione delle misure minime di sicurezza poste a tutela della protezione dei dati personali (…)", sottolineando di aver "(…) immediatamente provveduto (…) al completo ripristino del sito, rendendo funzionante anche la casella privacy visionabile dall´home page (…)". Inoltre, ha rilevato come dal verbale di operazioni compiute risulti che "(…) all´interno del sito internet è presente in calce al modulo nuova fornitura di energia elettrica (vgs. All.6) un´informativa sul trattamento dei dati personali. All´interno dell´area denominata servizio di data managment (vgs. All. 7) è presente all´interno delle avvertenze un riferimento alla privacy. Dalla pagina documenti della sezione trattamenti dati personali è visionabile il Codice Privacy". Sul punto ha osservato, altresì, che, " Come si evince dallo script della società allegato, nella gestione contatti (lead) da web, preliminarmente a ogni colloquio informativo, l´operatore della società forniva lettura degli artt. 7 e 13 D.Lgs. n. 196/03 e l´utente acconsentiva espressamente al trattamento dei dati (…)" Con riferimento al distinto rilievo inerente l´inidoneità dell´informativa semplificata a fronte del trattamento di dati effettuato mediante l´impianto di videosorveglianza, la società ha rilevato come "Quanto alla mancata indicazione del titolare del trattamento dei dati sul cartello riportante il logo e la dicitura di area videosorvegliata, si osserva che lo stesso risulta indicato nell´insegna posta sul tetto della struttura da cui risultava il nominativo del legale rappresentante (titolare del trattamento). Analogamente, le finalità del trattamento dei dati, (…) si desume dalle stesse modalità di ripresa e dislocazione delle telecamere, la cui presenza è stata segnalata in modo ben visibile";

VISTO il verbale di audizione delle parti redatto in data 21 gennaio 2013 ai sensi dell´art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmente ribadito quanto argomentato negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee per escludere la responsabilità in relazione a quanto contestato. La raccolta di dati effettuata tramite l´apposito form di raccolta sito nella pagina "Richiesta di informazioni" del sito www.omniaenergia.it, qualifica un trattamento di dati personali distinto e separato da tutti gli altri trattamenti effettuati dalla società, a fronte dei quali la Guardia di finanza non ha rilevato alcuna criticità. Il menzionato organo di controllo, quindi, ha puntualmente accertato, ai sensi dell´art. 13 delle legge n. 689/1981, l´illecito contestato pur tenendo conto, come evincibile dal richiamato verbale di operazioni compiute e dagli allegati in esso richiamati, di tutti gli elementi posti a base delle argomentazioni proposte dalla società con gli scritti difensivi. Diversamente, riguardo a quanto contestato circa l´inidoneità dell´informativa semplificata a fronte del trattamento di dati effettuato mediante l´impianto di videosorveglianza, si evidenzia come l´allegato 1 al provvedimento del Garante in materia di videosorveglianza dell´8 aprile 2010, imponga l´indicazione, nell´informativa semplificata, sia del titolare del trattamento che della finalità, senza che quanto argomentato circa la presenza dell´insegna della società "(…) posta sul tetto della struttura (…)" e circa le "(…) modalità di ripresa e dislocazione delle telecamere (…)" possa soddisfare in alcun modo tali obblighi. All´interessato, devono essere fornite le informazioni attinenti allo specifico trattamento di dati personali che ci si accinge ad effettuare, non potendo essere rimesso allo stesso il compito di individuare (o indovinare) la titolarità del trattamento ovvero la finalità dello stesso;RILEVATO, pertanto, che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di rendere un´idonea informativa di cui all´art. 13 del Codice, nella forma semplificata prevista dal provvedimento in materia di videosorveglianza datato 8 aprile 2010 e omettendo di rendere l´informativa ai sensi dell´art. 13 del Codice a fronte della raccolta di dati personali degli utenti che, tramite il sito web www.omniaenergia.it, richiedono informazioni per mezzo un apposito form di raccolta presente nella pagina "Richiesta di informazioni"

VISTO l´art. 161 del Codice, che punisce la violazione delle disposizioni di cui all´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro per ciascuno dei due rilievi;

RITENUTO, in ogni caso, che, con riferimento alla sola violazione di cui all´art. 161 del Codice relativa all´inidoneità dell´informativa resa in relazione all´impianto di videosorveglianza, sussistono gli elementi che consentono di applicare la previsione di cui all´art. 164-bis, comma 1, del Codice per l´illecito contestato;

CONSIDERATO che, ai fini della determinazione dell´ammontare delle due sanzioni pecuniarie, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare per ciascuna delle due sanzioni deve essere quantificato nella misura di euro 2.400,00 (duemilaquattrocento) per il rilievo all´inidoneità dell´informativa semplificata dell´impianto di videosorveglianza e di euro 6.000,00 (seimila) per l´omessa informativa sul sito web del trasgressore, per un importo complessivo pari a euro 8.400,00 (ottomilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Omnia energia s.p.a., P.Iva: 02599020787, con sede in Zumpano (Cs) via beato Francesco Marino n. 102, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 8.400,00 (ottomilaquattrocento) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 161 del Codice, in combinato disposto con l´art. 164-bis, comma 1 del Codice, come indicato in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 8.400,00 (ottomilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 26 giugno 2014

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia