[doc. web n. 2284938]

Ordinanza di ingiunzione nei confronti di Italiasalute s.r.l. - 15 novembre 2012

Registro dei provvedimenti
n. 346 del 15 novembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano, componente e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni ex art. 157 del Codice in materia di protezione dei dati personali (di seguito denominato "Codice") prot. n. 4804/53969 del 4 marzo 2009, ha svolto accertamenti presso la società Italiasalute s.r.l. (di seguito la "società"), con sede legale in Roma, Via Antonio Serra n. 81/B, P.I. 06442601008, redigendo apposito verbale di operazioni compiute, datato 14 maggio 2009, da cui è risultato che la società ha effettuato un trattamento di dati personali per mezzo del form presente sul sito internet www.italiasalute.it senza rendere un´idonea informativa agli interessati e in violazione delle disposizioni sul consenso al trattamento dei dati personali;

VISTO il verbale n. 8293/63913 del 12 aprile 2010, con cui sono state contestate alla predetta società, in persona del legale rappresentante pro-tempore, le violazioni amministrative previste dagli artt. 161 e 162, comma 2-bis del Codice, posto che la stessa ha effettuato un trattamento di dati personali sul proprio sito web sul quale è stata riscontrata un´informativa inidonea (non si distinguono le finalità per le quali il rilascio del consenso sia facoltativo e tra queste vi è anche quella di profilazione della clientela per lo svolgimento di attività promozionali e di marketing), e, in ordine al consenso, questo è unico per tutte le finalità indicate nell´informativa, viene acquisito indistintamente per le finalità di profilazione e marketing e la casella di selezione è preimpostata al rilascio del consenso;

CONSIDERATO che la parte è stata informata della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO che dal rapporto predisposto dall´Ufficio del Garante, ai sensi dell´art. 17 della legge n. 689/1981, non risultano effettuati i pagamenti in misura ridotta;

VISTI gli scritti difensivi inviati ai sensi dell´art. 18 della legge n. 689/1981, con cui la società, oltre a chiedere di essere sentita dall´Autorità, ha dichiarato che "l´informativa (…) era stata copiata (…) per questo menzionava attività come la profilazione di cui non conoscevo neanche il vero significato" e, circa il flag preimpostato sul consenso al trattamento dei dati, che "era stato aggiunta per di più, per scrupolo, perché non necessaria, in quanto se viene effettuata solo la spedizione dell´ordine, è chiaro che chi fa l´acquisto voglia dare il consenso al trattamento perché se no non si potrebbe spedire il pacco". La società, infine, ha fatto richiesta di rateizzazione;

LETTO il verbale dell´audizione delle parti, tenutasi in data 28 aprile 2011 ai sensi dell´art. 18 della legge n. 689/1981, nel corso della quale la parte ha ribadito quanto dichiarato negli scritti difensivi, precisando di aver provveduto immediatamente all´adeguamento dell´informativa e alla rimozione del flag e ha chiesto l´annullamento delle contestazioni adottate nei suoi confronti;

CONSIDERATO che le argomentazioni addotte non consentono di escludere la responsabilità della società in relazione a quanto contestato. Con riguardo alla violazione di cui all´art. 161 del Codice, si osserva che, già al momento dell´accertamento ispettivo e come rilevato successivamente dall´Ufficio, il testo dell´informativa, presente sul sito web della società, conteneva indicazioni poco chiare e comunque inesatte rispetto ai trattamenti effettivamente posti in essere dalla società, con ciò facendo venir meno la ragione stessa dell´informativa, tra cui quella di rendere note agli interessati le operazioni di trattamento dei dati conferiti. Tale circostanza è stata, tra l´altro, confermata dalla stessa società, laddove ha riferito di aver provveduto a modificare il testo dell´informativa. Anche rispetto alla violazione di cui all´art. 162, comma 2-bis, del Codice, si rileva che è stato accertato come in calce al form "Registrazione" era presente una sola formula di acquisizione del consenso, tra l´altro già impostata sull´opzione di tipo positivo, relativamente alle diverse finalità indicate nell´informativa. La formula di consenso così impostata non è legittima in quanto, come rilevato dall´Autorità in diversi provvedimenti (tra gli altri, provv. 31 gennaio 2008 doc. web n. 1500829), gli interessati devono essere messi in grado di esprimere consapevolmente e liberamente le proprie scelte. Ciò si realizza predisponendo formule di tipo positivo e distinte per ciascuna finalità che si intende perseguire, secondo la prescrizione dell´art. 23 del Codice;

RILEVATO, pertanto, che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) rendendo agli interessati un´informativa inidonea ai sensi dell´art. 13 del Codice e in carenza di un valido consenso ai sensi dell´art. 23;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica introdotta con la legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni di cui all´art. 167, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

VISTO l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 6.000,00 (seimila) per la violazione di cui all´art. 161, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 162, comma 2-bis;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare, la diminuzione prevista dall´art. 164-bis, comma 1, del Codice e pertanto l´importo complessivo delle sanzioni è pari a euro 10.400,00 (diecimilaquattrocento);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano ;

ORDINA

a Italiasalute s.r.l., con sede in Roma, Via Antonio Serra n. 81/B, in persona del legale rappresentante pro-tempore, di pagare la somma complessiva di euro 10.400,00 (diecimilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dall´art. 161 e 162, comma 2-bis, del medesimo Codice, come indicato in motivazione, frazionandola, in accoglimento alla richiesta di rateizzazione, in 10 rate mensili dell´importo di 1.040,00 euro (millequaranta) i cui i cui versamenti saranno effettuati a partire dal giorno 15 del mese successivo a quello in cui avverrà la notifica della presente ordinanza;

INGIUNGE

alla medesima società di pagare la somma di euro 10.400,00 (diecimilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) da ogni versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 15 novembre 2012

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia