Ordinanza ingiunzione o revoca n. 264 del 22/06/2023

Autostrade per l’Italia S.p.A. – Cashback tramite app Free To X: illiceità del trattamento e sanzione

Il provvedimento riguarda il servizio di rimborso autostradale denominato "Cashback", offerto tramite l’applicazione "Free To X" nell’ambito delle misure compensative previste dall’Accordo tra ASPI e il MIMS. Il Garante ha ritenuto che, per questo trattamento, Autostrade per l’Italia S.p.A. fosse il titolare del trattamento e Free to X S.r.l. il responsabile, con conseguente illiceità dell’originaria configurazione dei ruoli e dell’informativa resa agli utenti.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato a seguito della segnalazione di Assoutenti dell’8 settembre 2021, che contestava profili di criticità nel trattamento dei dati degli utenti tramite l’app Free To X per la gestione dei rimborsi legati ai ritardi dovuti a cantieri. Nel corso dell’istruttoria il Garante ha acquisito riscontri da ASPI e da Free to X S.r.l. sulle modalità di funzionamento del servizio, sulla fase sperimentale dell’app e sui ruoli privacy attribuiti dalle società.

ASPI ha rappresentato di aver ideato il meccanismo Cashback per dare attuazione alle misure compensative previste dall’Accordo con il MIMS del 14 ottobre 2021, ottenendo il nulla osta ministeriale il 21 luglio 2021 e affidando a Free to X la gestione operativa del servizio tramite app. Free to X ha invece sostenuto di essere titolare del trattamento per il Cashback, valorizzando l’autonomia nella progettazione e gestione dell’app.

Termini procedurali e questioni preliminari

Nel corso delle difese, ASPI ha contestato la tempestività della contestazione, richiamando il termine di 90 giorni previsto dalla legge n. 689/1981. Il Garante ha però precisato che si applica il termine speciale di 120 giorni previsto dal Regolamento n. 2/2019, ai sensi dell’art. 154, comma 3 e dell’art. 166, comma 9 del Codice privacy, con sospensione nel periodo 1-31 agosto. L’Autorità ha quindi ritenuto rispettati i termini procedurali.

Inquadramento dei ruoli: titolare e responsabile

Il Garante ha richiamato la nozione di titolare del trattamento, soggetto che determina finalità e mezzi del trattamento, e quella di responsabile, soggetto che agisce per conto del titolare seguendone le istruzioni, secondo gli artt. 4 e 28 GDPR e le linee guida EDPB n. 07/2020.

Applicando tali criteri al caso concreto, l’Autorità ha concluso che:

• ASPI aveva autonomamente ideato il Cashback come modalità di attuazione delle misure compensative;
• ASPI aveva definito le condizioni di accesso al rimborso, i requisiti dell’istanza e gli elementi essenziali del trattamento;
• Free to X svolgeva attività esecutive e operative per conto di ASPI, anche nella gestione tecnica dell’app.

Ne consegue che Free to X non poteva essere considerata titolare del trattamento relativo al Cashback, ma responsabile del trattamento. Il Garante ha altresì osservato che, in contesti come le app mobili, uno stesso soggetto può essere titolare per alcuni trattamenti e responsabile per altri: ciò valeva per Free to X rispetto ai trattamenti di registrazione e gestione dell’account, ma non per il Cashback.

Violazioni accertate

Sulla base di tali accertamenti, il Garante ha ritenuto che ASPI avesse violato:

• l’art. 5, par. 1, lett. a) GDPR, per carenza dei principi di correttezza e trasparenza;
• l’art. 13 GDPR, per informativa incompleta e non correttamente formulata;
• l’art. 28 GDPR, per mancata corretta designazione di Free to X quale responsabile del trattamento per il servizio Cashback.

L’informativa inizialmente resa agli utenti indicava infatti Free to X come titolare di tutti i trattamenti, includendo impropriamente anche il Cashback. Secondo il Garante, avrebbe dovuto invece indicare ASPI come titolare per tale trattamento e fornire agli interessati informazioni corrette e complete sulla titolarità e sulle finalità del servizio.

Durata della violazione e numero di interessati

Il provvedimento quantifica la durata della condotta illecita in circa un anno. In particolare:

• per il profilo informativo, dal 15 settembre 2021 al 15 dicembre 2022;
• per la designazione ex art. 28 GDPR, dal 15 settembre 2021 al 21 novembre 2022.

Le violazioni hanno riguardato circa 100.000 utenti del servizio Cashback.

Misure correttive adottate nel corso del procedimento

Il Garante ha preso atto che ASPI, nel corso del procedimento, ha adottato misure di adeguamento, tra cui:

• la modifica dell’informativa privacy dell’app e del sito;
• l’invio agli utenti di una comunicazione sulle modifiche intervenute;
• la nomina di Free to X S.r.l. quale responsabile del trattamento per il servizio Cashback.

Alla luce di tali interventi, l’Autorità ha ritenuto che non vi fossero i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR, ma ha comunque confermato l’illiceità del trattamento già posto in essere.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83 GDPR, ritenendo che le violazioni integrassero i presupposti sanzionatori di cui ai parr. 4 e 5. Ai fini della quantificazione ha considerato, tra gli elementi aggravanti e attenuanti:

• la gravità delle violazioni, perché incidenti su correttezza e trasparenza;
• la durata approssimativa di un anno;
• l’elevato numero di interessati coinvolti;
• la condotta colposa della società;
• l’adozione di misure per attenuare gli effetti della violazione;
• la cooperazione con l’Autorità;
• l’assenza di precedenti violazioni;
• la gratuità del servizio e la mancanza di un beneficio economico diretto;
• le condizioni economiche del contravventore.

Sulla base di tali elementi, è stata irrogata ad ASPI una sanzione amministrativa pecuniaria di euro 1.000.000.

Ulteriori disposizioni

Il provvedimento dispone inoltre la pubblicazione sul sito web del Garante, ai sensi dell’art. 166, comma 7 del Codice e dell’art. 16, comma 1, del Regolamento n. 1/2019, in ragione della tipologia delle violazioni e della loro incidenza sui principi generali del trattamento. È stata altresì richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge.