Ordinanza ingiunzione o revoca n. 130 del 13/04/2023

Unione Piloti: illecito trattamento di indirizzi e-mail e sanzione amministrativa

Il Garante ha accertato che Unione Piloti ha effettuato un trattamento illecito di dati personali consistente nell’utilizzo e nella comunicazione di indirizzi e-mail di alcuni reclamanti e di alcuni iscritti a Fedepiloti tramite invii massivi con recapiti visibili in chiaro agli altri destinatari. Il procedimento trae origine da un reclamo e da una segnalazione presentati nel giugno 2021.

Fatto e origine del procedimento

Con atto del 2 giugno 2021 alcuni soggetti, in proprio e per i rispettivi ruoli associativi, hanno lamentato che Unione Piloti avesse trasmesso ripetutamente comunicazioni e-mail agli indirizzi personali dei reclamanti e di aderenti a Fedepiloti, rendendo visibili in chiaro gli indirizzi di tutti i destinatari. Nel medesimo atto Fedepiloti ha segnalato analoghe condotte in relazione ai propri iscritti.

L’istruttoria è stata avviata con nota del 16 agosto 2021. Il Garante ha chiesto chiarimenti su:

• finalità del trattamento;
• base giuridica;
• origine dei dati di contatto;
• ulteriori adempimenti posti in essere dall’associazione.

Riscontri forniti da Unione Piloti

L’associazione ha sostenuto che le comunicazioni riguardavano indirizzi e-mail di piloti che svolgono attività di pilotaggio nei porti e che non avevano mai chiesto la cancellazione dei dati. Ha inoltre affermato di avere necessità istituzionale di contattare i piloti dei porti italiani, anche in relazione alla partecipazione all’istruttoria ministeriale sui meccanismi di formazione delle tariffe dei servizi di pilotaggio, richiamando l’art. 14, comma 1-bis, della legge n. 84/1994.

Tuttavia, a fronte delle richieste istruttorie successive del 31 gennaio 2022 e del 14 ottobre 2022, l’associazione ha sostanzialmente ribadito le medesime affermazioni, senza fornire elementi documentali o fattuali idonei a chiarire:

• come fossero stati raccolti i recapiti;
• quale fosse la specifica base giuridica del trattamento;
• quali misure fossero state adottate per evitare la visibilità reciproca degli indirizzi.

Valutazioni del Garante sulla qualificazione dell’atto e sui poteri esercitabili

L’Autorità ha preliminarmente chiarito la natura dell’atto originario, trattandolo come:

• reclamo ai sensi dell’art. 77 GDPR e degli artt. 140-bis e seguenti del Codice, per la parte riferita ai reclamanti;
• segnalazione ai sensi dell’art. 144 del Codice, per la parte riferita ai soggetti indicati da Fedepiloti.

Il Garante ha ricordato che i provvedimenti di cui all’art. 58 GDPR possono essere adottati anche d’ufficio e che, ai fini dell’esercizio dei poteri dell’Autorità, non è necessario che il procedimento derivi esclusivamente da un reclamo dell’interessato.

Violazioni accertate

Il Garante ha ritenuto che gli indirizzi e-mail costituiscano dati personali ai sensi dell’art. 4, n. 1 GDPR. Ha quindi rilevato che il trattamento effettuato da Unione Piloti era illecito perché privo di un valido presupposto di liceità e perché svolto in violazione dei principi generali del GDPR.

In particolare, sono state accertate le violazioni di:

• art. 5, par. 1, lett. a) GDPR: mancanza di liceità, correttezza e trasparenza;
• art. 5, par. 1, lett. f) GDPR: mancata garanzia di integrità e riservatezza;
• art. 6, par. 1, lett. a) GDPR: assenza di consenso o di altra base giuridica idonea.

L’Autorità ha evidenziato che:

• l’invio non è avvenuto in forma individualizzata;
• i messaggi sono stati recapitati a più destinatari con indirizzi visibili in chiaro;
• ciò ha determinato una comunicazione reciproca dei dati personali tra i destinatari;
• non risultavano adottati accorgimenti tecnici, come l’uso della copia conoscenza nascosta (CCN/BCC), idonei a evitare la divulgazione dei recapiti.

Irrilevanza della pregressa adesione associativa

Unione Piloti aveva sostenuto che alcuni soggetti erano stati in passato associati e non avevano chiesto la cancellazione dei dati. Il Garante ha osservato che, anche a voler ipotizzare un interesse legittimo dell’associazione a conservare e trattare dati di ex membri nell’ambito delle proprie attività, ciò non giustifica la comunicazione esterna dei dati a terzi in assenza di consenso o altra base giuridica.

Pertanto, la pregressa adesione non è stata ritenuta sufficiente a sanare l’illiceità della modalità di trattamento concretamente adottata.

Sanzione, criteri di quantificazione e pubblicazione

Il Garante ha concluso che non vi erano elementi per archiviare il procedimento e ha applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5 GDPR e dall’art. 166, comma 2, del Codice.

Nella quantificazione della sanzione, pari a 4.000 euro, sono stati considerati i criteri dell’art. 83, par. 2 GDPR, in particolare:

• natura, gravità e durata della violazione, anche per il numero dei soggetti coinvolti e la reiterazione delle comunicazioni;
• carattere colposo della condotta;
• assenza di precedenti violazioni o di precedenti provvedimenti ex art. 58 GDPR;
• circostanza che i dati non rientrano tra le categorie particolari di cui all’art. 9 GDPR;
• natura non lucrativa dell’ente.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante, in ragione della tipologia delle violazioni accertate, concernenti principi generali e presupposti di liceità del trattamento.

Dispositivo e rimedi

L’Autorità ha:

• rilevato l’illiceità del trattamento effettuato da Unione Piloti;
• ordinato il pagamento della sanzione di 4.000 euro;
• ingiunto il pagamento entro 30 giorni dalla notifica, con avvertenza sugli atti esecutivi in caso di inadempimento;
• richiamato la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione del provvedimento.

Avverso il provvedimento è stata indicata l’opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.