[doc. web n. 2974924]

Ordinanza di ingiunzione nei confronti di Continental Terme srl, - 30 ottobre 2013

Registro dei provvedimenti
n. 487 del 30 ottobre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Tenenza di Ischia, in esecuzione della richiesta di informazioni n. 15250/53969 del 30 giugno 2010 formulata da questa Autorità ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato "Codice"), ha svolto un´attività di controllo presso Continental Terme srl, con sede legale in Napoli, Via Cervantes n. 55, P.I. 03376570630, formalizzata nel verbale di operazioni compiute redatto in data 22 settembre 2010, a fronte della quale è stato accertato che la società effettua una raccolta di dati personali, anche di natura sensibile, di coloro che si recano presso la struttura alberghiera sita a Ischia (NA), via M. Mazzella, per effettuare le cure termali, rendendo un´informativa inidonea, perché priva degli elementi di cui alle lettere d), e) ed f) dell´art. 13 del Codice, e acquisendo un unico consenso a fronte di diversi trattamenti, in violazione dell´art. 23, comma 3, del Codice;

VISTO il verbale del 13 dicembre 2010 con cui sono state contestate alla predetta società, in persona del legale rappresentante pro-tempore, le violazioni amministrative previste dagli artt. 161 e 162, comma 2-bis, del Codice in relazione agli artt. 13 e 23 del medesimo Codice;

ESAMINATO il rapporto della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con il quale la società ha eccepito la fondatezza della violazione dell´art. 23 del Codice, in quanto il consenso viene espresso da parte degli interessati "sottoscrivendo la scheda sanitaria a piè di pagina in conformità a quanto stabilito dal comma 2 del citato art. 23". Per quanto concerne, invece, la violazione dell´art. 13 del Codice, la parte ha precisato che il riferimento alla "Terme di Merano" contenuta nel testo dell´informativa "è da considerarsi un mero lapsus calami, non in grado di incidere e di inficiare la sostanza dell´atto stesso, ove si consideri che in più punti dell´informativa, nell´intestazione e a piè di pagina, risulta ben chiara la stampigliatura della società erogante i servizi che è appunto l´istante Continental Terme"; quanto alla mancata indicazione dei diritti di cui all´art. 7 del Codice e dei terzi a cui i dati sono comunicati, la parte ha fatto presente che l´informativa agli interessati può essere resa anche oralmente;

PRESO ATTO della rinuncia all´audizione inizialmente richiesta ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689 e delle ulteriori osservazioni pervenute in data 8 giugno 2012 con cui la parte ha osservato che in calce alla scheda sanitaria sono riportate le autorizzazioni al consenso da parte degli interessati. "I verbalizzanti hanno contestato che la sottoscrizione doveva essere pretesa singolarmente per quanto attiene all´informativa di cui al decreto legislativo 196/2003 e per il consenso al trattamento dei dati personali e sensibili. Nel caso di specie invece le due dichiarazioni sono contenute in un unico atto che l´utente sottoscrive (…)";

RITENUTO che le argomentazioni addotte non risultano idonee in relazione agli illeciti accertati. Per quanto concerne la violazione dell´art. 13 del Codice, si osserva che l´informativa adottata dalla società è carente di alcuni elementi essenziali, quali: l´indicazione dei soggetti ai quali i dati personali possono essere comunicati (art. 13, comma 1, lett. d) e l´indicazione relativa all´esercizio dei diritti di cui all´art. 7 del Codice (art. 13, comma 1, lett. e). Va, inoltre, osservato che l´esame della modulistica utilizzata dalla società (modulo denominato "scheda sanitaria" e l´informativa ad essa correlata) prevede che i dati personali raccolti siano utilizzati per diversi trattamenti di dati, oltre a quelli relativi alle cure termali, tra i quali vi sono il marketing, le ricerche di mercato e la spedizione di materiale informativo/pubblicitario. In base alle disposizioni del Codice, laddove i dati personali raccolti siano utilizzati per trattamenti diversi, il titolare del trattamento deve acquisire un consenso specifico in rapporto a ciascun trattamento chiaramente individuato. Nel caso di specie, la società doveva, quindi, necessariamente distinguere il consenso relativo alle finalità di cura da quello relativo agli ulteriori trattamenti per finalità amministrative e commerciali eventualmente ad essi correlati. Sotto questo aspetto, dunque, la formula predisposta dalla società non è corretta, perché costringe di fatto gli interessati ad acconsentire, all´atto della prestazione del consenso relativo ai trattamenti dei dati necessari per l´erogazione delle cure termali, anche a trattamenti non indispensabili, aventi natura promozionale, così impedendo loro di esprimere liberamente la propria scelta;

RILEVATO, pertanto, che la società ha effettuato un trattamento di dati personali dei clienti (art. 4 comma 1, lett. a) e d) del Codice), rendendo un´informativa inidonea e omettendo di acquisire un  consenso specifico;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

VISTO l´art. 164-bis, comma 1, del Codice, che prevede che, se taluna delle violazioni di cui agli artt. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti nei medesimi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, limitatamente alla violazione di cui all´art. 161 del Codice, ricorrono le condizioni per applicare l´art. 164-bis, comma 1, del medesimo Codice;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare della sanzione pecuniaria prevista dall´art. 161 del Codice nella misura di euro 2.400,00 (duemilaquattrocento) e l´ammontare della sanzione pecuniaria prevista dall´art. 162, comma 2-bis, nella misura di euro 10.000,00 (diecimila) per un ammontare complessivo pari a euro 12.400,00 (dodicimilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Continental Terme srl, con sede legale in Napoli, Via Cervantes n. 55, P.I. 03376570630, nella persona del legale rappresentante pro tempore, di pagare la somma di euro 12.400,00 (dodicimilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 12.400,00 (dodicimilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 30 ottobre 2013

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia