[doc. web n. 3857003]

Ordinanza di ingiunzione nei confronti di Back Office - 8 gennaio 2015

Registro dei provvedimenti
n. 6 dell´8 gennaio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ex art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) (n. 17869/78073 del 6 luglio 2012), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 13 settembre 2012 nei confronti di Back Office s.r.l. P.Iva: 10030581002, con sede in Roma, via della Fisica n. 7 (già con sede in Roma, via Australia n. 23), in persona del legale rappresentante pro-tempore, dai quali è risultato, tra l´altro, che la società, operante nel settore dell´intermediazione creditizia, tramite un apposito form del sito Internet aziendale www.mutuiperlacasa.com/info-mutuo, effettua una raccolta di dati degli interessati che, registrandosi al sito Internet, richiedono una consulenza volta all´erogazione di un mutuo. La manifestazione del consenso derivante dalla procedura di registrazione, senza la quale la citata procedura non può essere conclusa, comporta anche il consenso per un trattamento diverso rispetto a quello oggetto della registrazione (invio di newsletter) che risultano essere state inviate a circa 10.000 (diecimila) interessati contravvenendo a quanto previsto dall´art. 23 del Codice;

VISTO il verbale n. 73/2012 del 24 settembre 2012 con cui è stata contestata alla società, la violazione amministrativa prevista dall´art. 162, comma 2-bis del Codice, in relazione all´art. 23, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689 per il trattamento illecito effettuato mediante la procedura di registrazione finalizzata all´erogazione di un mutuo;

RILEVATO dal rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al suddetto verbale di contestazione, che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, datato 14 novembre 2012 e inviato ai sensi dell´art. 18 della legge 24 novembre 1981, n. 689, con il quale la società rileva come, a fronte dell´analiticità dell´informativa resa agli interessati ai sensi dell´art. 13 del Codice all´atto della registrazione al sito Internet aziendale, "E´ (…) nella previsione del disposto ex art. 23, comma 2°, che risiede l´illegittimità della contestazione (…), ove al titolare del trattamento è espressamente garantita una scelta tra la raccolta di un consenso di tipo unitario, (…) o plurimo, ovvero richiesto per ogni singola operazione di cui il trattamento si compone. Ebbene, nel caso di specie la Back Office s.r.l. ha adottato la scelta (…) della richiesta del consenso espresso di tipo unitario e non plurimo (…)". Inoltre, ha osservato come "(…) ad una più attenta lettura delle finalità di trattamento indicate dalla società deducente nell´informativa sulla privacy (…) si sarebbe dovuto rilevare come le stesse rispondano non solo alle finalità principali legate all´erogazione del servizio di intermediazione creditizia, bensì anche a tutte le attività ad essa connesse e strumentali (…) finalità per le quali, ai sensi dell´art. 24, comma 2° lett. a) il consenso non è neanche dovuto";

VISTO il verbale di audizione delle parti redatto in data 8 luglio 2013 ai sensi dell´art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmente ribadito quanto argomentato negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato. Il trasgressore ritiene erroneamente applicabile, al caso di specie, quanto previsto dall´art. 23, comma 2 del Codice, atteso che quello che viene definito "consenso di tipo unitario o plurimo" afferisce al singolo trattamento di dati, relativo all´intermediazione creditizia, mentre quello cui si riferisce la contestazione è un trattamento di dati distinto consistente nell´invio di comunicazioni a contenuto promozionale. L´informativa resa agli interessati, della quale viene dato atto nel verbale di operazioni compiute del 13 settembre 2012, fornisce gli elementi richiesti dal Codice per diversi trattamenti di dati quali la fornitura del servizio di intermediazione creditizia, per il quale, ai sensi dell´art. 24, comma 1 lett. b), non è necessario richiedere il consenso, e l´invio di comunicazioni a scopo commerciale, per "(…) l´offerta di prodotti e/o servizi, per la diffusione di materiale pubblicitario, per la realezzazione di ricerche di mercato (…)", per il quale, invece, il consenso è necessario. Inoltre, risulta privo di pregio anche quanto dedotto circa l´art. 24, comma 1 lett. a) del Codice, atteso che il distinto trattamento di dati afferente l´invio di comunicazioni commerciali non può essere considerato necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria. Pertanto, tenendo conto di quanto argomentato, si deve considerare come l´art. 23 del Codice impone che, per poter essere acquisito validamente, il consenso al trattamento deve essere espresso dall´interessato, oltre che specificamente per ciascuna finalità perseguita, anche liberamente. Il fatto, non contestato, che il consenso relativo al distinto trattamento di dati (invio di comunicazioni commerciali) fosse obbligatorio a fronte della procedura di registrazione al sito Internet della società, evidentemente condizionava la volontà dell´interessato, al quale, invece, deve essere lasciata la possibilità di non acconsentire a che i propri dati vengano utilizzati per un trattamento diverso da quello principale per il quale l´interessato li ha forniti;

RILEVATO che la società ha quindi effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) degli interessati che effettuano la procedura di registrazione per fruire del servizio di intermediazione creditizia presente sul sito web www.mutuiperlacasa.com/info-mutuo, senza acquisire validamente il prescritto consenso ai sensi dell´art. 23 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro per ciascun rilievo;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria deve essere quantificato nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Back Office s.r.l. P.Iva: 10030581002, con sede in Roma, via della Fisica n. 7, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis del Codice;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 8 gennaio 2015

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia