Ordinanza ingiunzione o revoca n. 229 del 01/06/2023

NH Italia S.p.A.: trattamento illecito di dati sulla salute degli ospiti e mancata regolamentazione dei fornitori di videosorveglianza

Il provvedimento riguarda NH Italia S.p.A., società del gruppo alberghiero NH, e trae origine da un’attività ispettiva svolta nell’ottobre 2019 presso alcune strutture alberghiere e sedi della società. L’Autorità ha esaminato i trattamenti connessi alla gestione degli ospiti, in particolare la raccolta di dati sulle allergie e intolleranze alimentari e l’utilizzo di sistemi di videosorveglianza con fornitori esterni.

Origine del procedimento e attività istruttoria

L’istruttoria è stata avviata d’ufficio dal Garante, con accertamenti in loco effettuati dal Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza l’8, 9, 10, 16 e 17 ottobre 2019. La società ha fornito chiarimenti e documentazione successiva, anche nel 2021 e nel 2022, in risposta a richieste di informazioni ex art. 157 del Codice privacy e alla comunicazione di avvio del procedimento sanzionatorio ex art. 166, comma 5, del Codice.

Il Garante ha esaminato in particolare:

• il trattamento dei dati raccolti al check-in e durante il soggiorno degli ospiti;
• la gestione di eventuali informazioni su allergie e/o intolleranze alimentari;
• i trattamenti connessi ai sistemi di videosorveglianza presenti nelle strutture;
• la regolamentazione dei rapporti con i fornitori addetti a installazione e manutenzione degli impianti.

Trattamento dei dati relativi ad allergie e intolleranze alimentari

Dagli atti è emerso che NH Italia acquisiva, in modo non sistematico ma comunque occasionale, informazioni comunicate dagli ospiti circa allergie e/o intolleranze alimentari, registrandole nel campo note del sistema TMS per il solo periodo del soggiorno.

Il Garante ha qualificato tali informazioni come dati relativi alla salute ai sensi dell’art. 4 GDPR, evidenziando che rientrano tra le categorie particolari di dati di cui all’art. 9 GDPR. Di conseguenza, il trattamento era soggetto al divieto generale di cui all’art. 9, par. 1, salvo deroga fondata su una delle condizioni del par. 2, tra cui il consenso esplicito dell’interessato.

L’Autorità ha ritenuto non dimostrata l’esistenza di un valido consenso esplicito, specifico e informato. In particolare:

• la semplice comunicazione orale del dato da parte dell’ospite non equivale a consenso esplicito;
• la registrazione nel campo note del sistema TMS non prova di per sé l’acquisizione di un consenso valido;
• l’interessato non risultava preventivamente informato, in modo chiaro e completo, sulle finalità, modalità e base giuridica del trattamento ex art. 13 GDPR.

È stato quindi accertato il contrasto con i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), nonché la violazione degli artt. 9 e 13 GDPR.

Informativa agli ospiti e requisiti di trasparenza

La società consegnava agli ospiti un Registration Form contenente un’informativa di base e indicazioni sulla possibilità di ottenere un’informativa più estesa. Tuttavia, per il trattamento occasionale dei dati sanitari relativi ad allergie/intolleranze, il Garante ha ritenuto che l’informazione resa non fosse sufficiente né adeguata a soddisfare il requisito di trasparenza.

In particolare, mancava una comunicazione preventiva e chiara sulla specifica finalità del trattamento di quei dati, sulla relativa base giuridica e sulle modalità di trattamento, con conseguente violazione dell’art. 13 GDPR. L’Autorità ha richiamato anche i principi elaborati nelle Linee guida 5/2020 sul consenso e la giurisprudenza della Corte di giustizia in tema di consenso libero, specifico e inequivocabile.

Videosorveglianza e rapporto con le società manutentrici

Un secondo profilo contestato ha riguardato i sistemi di videosorveglianza installati in quasi tutte le strutture gestite da NH Italia. La società ha dichiarato di avvalersi di fornitori per progettazione, installazione e manutenzione degli impianti, precisando che tali soggetti non avevano accesso continuo alle immagini, ma potevano comunque entrare in contatto con il sistema e con i dati registrati durante le attività tecniche.

Il Garante ha ritenuto che tali fornitori dovessero essere designati responsabili del trattamento ai sensi dell’art. 28 GDPR, tramite contratto o altro atto giuridico scritto contenente le istruzioni documentate, la durata, la natura e finalità del trattamento, il tipo di dati trattati, le categorie di interessati e gli obblighi delle parti.

È stato accertato che, al momento degli accertamenti ispettivi, NH Italia non aveva ancora adeguatamente regolato tali rapporti con i fornitori. Gli accordi formali sono stati prodotti solo successivamente, nel febbraio 2021, e dunque la violazione è stata ritenuta sussistente per il periodo antecedente alla loro sottoscrizione.

Valutazione complessiva del Garante

L’Autorità ha concluso che il trattamento complessivamente posto in essere da NH Italia fosse illecito per violazione di:

• art. 5, par. 1, lett. a), GDPR, per carenza di liceità, correttezza e trasparenza;
• art. 9 GDPR, per il trattamento di dati relativi alla salute in assenza di valida base giuridica;
• art. 13 GDPR, per informativa incompleta e inidonea;
• art. 28 GDPR, per la mancata previa formalizzazione dei rapporti con i responsabili del trattamento.

Pur prendendo atto delle misure correttive adottate dalla società nel corso del procedimento, il Garante ha ritenuto che esse non fossero sufficienti a giustificare l’archiviazione, ma ha escluso allo stato l’adozione di ulteriori misure correttive ex art. 58, par. 2, GDPR, ritenendo rilevante soprattutto l’intervento già effettuato dal titolare per adeguarsi alla normativa.

Misure correttive successivamente adottate dalla società

Nel corso dell’istruttoria NH Italia ha comunicato di aver introdotto una procedura interna specifica per la raccolta e il trattamento dei dati relativi ad allergie e intolleranze alimentari, con:

• predisposizione di un’informativa specifica;
• acquisizione del consenso esplicito dell’interessato;
• cancellazione dei dati al check-out, salvo eventuale distinto consenso alla conservazione per due anni per gli ospiti abituali.

Per la videosorveglianza, la società ha successivamente trasmesso accordi contrattuali con le società manutentrici, formalizzando la designazione a responsabili del trattamento.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha irrogato a NH Italia S.p.A. una sanzione amministrativa pecuniaria di euro 200.000,00, adottando ordinanza-ingiunzione ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice privacy.

Nella quantificazione della sanzione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, tra cui:

• natura, gravità e durata delle violazioni, relative a principi fondamentali del trattamento;
• carattere colposo della condotta;
• tipologia dei dati coinvolti, comprensivi di categorie particolari;
• adozione di misure correttive per limitare o eliminare le conseguenze delle violazioni;
• cooperazione con l’Autorità;
• assenza di precedenti violazioni o provvedimenti sanzionatori;
• condizioni economiche del contravventore, desunte dal bilancio 2021.

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito istituzionale.

Dispositivo e termini di impugnazione

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato da NH Italia S.p.A. per violazione degli artt. 5, par. 1, lett. a), 9, 13 e 28 GDPR;
• ordina il pagamento di euro 200.000,00 entro 30 giorni dalla notifica;
• richiama la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto dalla normativa applicabile;
• dispone la pubblicazione sul sito del Garante.

Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.