Ordinanza ingiunzione o revoca n. 700 del 14/11/2024

Mario Ionà – trattamento illecito tramite il sito lezioniprivate.eu, invio di comunicazioni promozionali e mancata trasparenza

Il Garante per la protezione dei dati personali ha esaminato il trattamento svolto tramite il sito lezioniprivate.eu, riconducibile a Mario Ionà, a seguito del reclamo di un’interessata che aveva ricevuto email e un sms promozionali indesiderati. Il procedimento ha riguardato anche la totale carenza informativa del sito e la mancata notifica di una presunta violazione di dati personali.

Origine del procedimento e attività istruttoria

La reclamante ha rappresentato di aver ricevuto tre email e un sms promozionali relativi a servizi di ripetizioni online, senza riuscire a individuare un referente del trattamento sul sito. L’Ufficio ha verificato l’assenza sul sito di indicazioni identificative del titolare e ha constatato la presenza di due form di raccolta dati: uno di contatto, con richiesta di nome, cognome, email, telefono e consenso, e uno di registrazione, con richiesta anche di codice fiscale, indirizzo fisico e data di nascita.

L’informativa privacy risultava generica e incompleta: non identificava correttamente il titolare, non descriveva in modo concreto modalità e finalità del trattamento, indicava basi giuridiche in modo ipotetico e non specificava tempi di conservazione. In essa compariva anche un riferimento non chiarito a una "piattaforma Indira" qualificata come responsabile del trattamento senza spiegazioni adeguate.

Attraverso l’hosting provider il sito è stato ricondotto a Mario Ionà, che ha confermato la paternità del sito ma ha fornito riscontri del tutto generici, richiamando un asserito attacco hacker e sostenendo che il recapito della reclamante sarebbe stato reperito online tramite intelligenza artificiale. L’Ufficio ha poi riscontrato che alcune email erano effettivamente partite da indirizzi riconducibili al titolare.

Invio di email e sms promozionali senza consenso

Il Garante ha ritenuto accertato l’invio alla reclamante di tre email e un sms promozionali in assenza di un idoneo consenso e di qualsiasi altra base giuridica, con violazione dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130, comma 2, del Codice privacy. L’Autorità ha osservato che la difesa fondata su un presunto attacco hacker non era supportata da alcuna documentazione tecnica e, comunque, non escludeva la responsabilità del titolare per un trattamento privo di base giuridica.

È stato inoltre rilevato che il titolare non aveva fornito alcun chiarimento sull’invio dell’sms, mentre le email risultavano inviate da indirizzi e domini riconducibili al medesimo soggetto.

Violazione degli obblighi di trasparenza e informativa

Il sito lezioniprivate.eu è stato ritenuto in contrasto con i principi di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR e con gli obblighi informativi dell’art. 13 GDPR. Il trattamento era infatti svolto attraverso form di raccolta dati privi di una informativa adeguata, in assenza persino dell’indicazione della denominazione e della partita IVA del titolare.

Il Garante ha sottolineato che, nonostante il titolare avesse dichiarato di aver chiuso il sito, le verifiche successive hanno mostrato che il sito era ancora raggiungibile online e permanevano le medesime carenze: assenza di informazioni sul titolare, assenza di descrizione delle finalità e modalità del trattamento, presenza dei form di raccolta dati.

Mancata notifica della violazione di dati personali

Secondo il titolare, il sito sarebbe stato oggetto di un non meglio definito attacco hacker. Tuttavia, non è stata prodotta alcuna documentazione idonea a dimostrare l’evento né risulta effettuata la notifica al Garante ai sensi dell’art. 33 GDPR.

Il Garante ha ritenuto che, anche prendendo in considerazione le dichiarazioni rese, la condotta del titolare denotasse negligenza nella gestione del trattamento e nella sicurezza del sito. È stato inoltre evidenziato che il titolare, quale soggetto che si occupava anche di servizi di consulenza informatica e sicurezza, avrebbe dovuto adottare misure adeguate, vigilare sull’operato di eventuali terzi e notificare l’eventuale data breach.

Valutazioni del Garante e responsabilità

L’Autorità ha concluso per la responsabilità di Mario Ionà in ordine a tre violazioni:

• art. 6, par. 1, lett. a), GDPR e art. 130, comma 2, Codice privacy, per l’invio di comunicazioni promozionali senza consenso;
• art. 5, par. 1, lett. a), e art. 13 GDPR, per la carenza di trasparenza e informativa nel sito;
• art. 33 GDPR, per la mancata notifica della violazione di dati personali.

Nella motivazione è stato richiamato anche il principio per cui il titolare resta responsabile della scelta e della vigilanza sui responsabili del trattamento e delle misure di sicurezza, non essendo sufficiente invocare genericamente l’intervento di terzi o un malfunzionamento del sito.

Divieto di trattamento e prescrizioni

Poiché il sito risultava ancora online e recava le medesime illiceità, il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto di trattare i dati eventualmente raccolti attraverso i form presenti nel sito lezioniprivate.eu, in mancanza di adeguate misure correttive.

Ha inoltre ingiunto al titolare, ai sensi dell’art. 157 del Codice, di comunicare all’Autorità entro 30 giorni dalla notifica le iniziative adottate per dare attuazione al divieto, avvertendo che l’eventuale mancato adempimento può comportare ulteriori sanzioni.

Sanzione amministrativa pecuniaria e criteri di quantificazione

L’Autorità ha applicato l’art. 83, par. 3, GDPR, ritenendo che le violazioni contestate riguardassero lo stesso trattamento o trattamenti collegati e imponessero la sanzione prevista per la violazione più grave. Il massimo edittale è stato individuato in 20 milioni di euro, ai sensi dell’art. 83, par. 5, GDPR, essendo il 4% del fatturato del titolare inferiore a tale importo.

Tra gli elementi aggravanti sono stati considerati:

• il numero potenziale dei soggetti coinvolti, dato che il sito era ancora accessibile e dotato di form di raccolta dati;
• il carattere gravemente colposo della violazione;
• l’elevato grado di responsabilità del titolare;
• la cooperazione insufficiente con l’Autorità.

Tra gli elementi attenuanti sono stati valorizzati:

• la limitatezza, per quanto emerso, dei soggetti coinvolti nell’invio promozionale;
• il danno contenuto subito dalla reclamante;
• l’assenza di precedenti violazioni pertinenti;
• le ridotte dimensioni economiche e organizzative del titolare.

Sulla base di tali elementi, il Garante ha irrogato una sanzione amministrativa pecuniaria di 2.000 euro, con possibilità di definizione agevolata mediante pagamento della metà entro 30 giorni ai sensi dell’art. 166, comma 8, del Codice.

Pubblicazione e rimedi

Il provvedimento dispone la pubblicazione sul sito internet del Garante sia del provvedimento sia dell’ordinanza-ingiunzione, nonché l’annotazione nel registro interno dell’Autorità. Contro il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.