Sentenza

Tim Spa nega a un cliente l'accesso ai propri tabulati telefonici: il Garante Privacy la sanziona con il pgamento di 150.000 euro. La società aveva 30 giorni per rispondere.

Garante Privacy, provvedimento 11 ottobre 2021, n. 401 
Il Regolamento UE n. 679/2016 prevede, in favore dei soggetti interessati, che  il titolare del trattamento agevoli l'esercizio dei diritti dell'interessato fornendo riscontro "senza ingiustificato ritardo" e, comunque, non oltre un mese dal ricevimento della richiesta. 
Ordinanza ingiunzione nei confronti di Tim S.p.A. - 11
novembre 2021 [9722894]
VEDI ANCHE NEWSLETTER DEL 3 DICEMBRE 2021
[doc. web n. 9722894]
Ordinanza ingiunzione nei confronti di Tim S.p.A. - 11 novembre 2021
Registro dei provvedimenti
n. 401 dell'11 novembre 2021
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presiden-te, la
prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza,
componenti e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016,
relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati perso-nali,
nonché alla libera circolazione di tali dati e che ha abrogato la direttiva 95/46/CE (di se-guito
"Regolamento" o "GDPR");
VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come
modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento
dell'ordinamento nazionale al citato Regolamento (di seguito "Codice");
VISTI il provvedimento dichiarativo e correttivo adottato nei confronti di Tim S.p.a. il 27 maggio
2021 n. 216, doc. web n. 9689324, per fornire, in via d'urgenza, una tutela tempestiva al
segnalante nell'ambito del procedimento penale in corso, nonché i relativi atti, ai quali sin d'ora si
fa integrale rinvio;
VISTA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del
Garante n. 1/2000;
RELATORE l'avv. Guido Scorza;
PREMESSO
VISTA la riserva dell'applicazione di un'eventuale sanzione pecuniaria manifestata nel citato
provvedimento del 27 maggio 2021;
VISTA la memoria inviata nell'interesse di Tim il 7 giugno 2021 nell'ambito del procedimento
avviato il 7 maggio 2021, ai sensi dell'art. 166, comma, 5 del Codice, per l'esercizio dei poteri
correttivi e sanzionatori del Garante, nella quale sono state richiamate dalla Società "tutte le
argomentazioni già addotte nel riscontro 31.03.21 alla richiesta di informazioni" dell'Ufficio unita-
mente ad alcune precisazioni;
RILEVATO in particolare che, secondo la Società: "In relazione a quanto previsto dal citato art. 83,
par. 2, lettere a) e b), [...] il mancato riscontro alla prima richiesta dell'interessato era dovuto alle
carenze formali evidenziate (documento di identità illeggibile). Con riguardo a questo, ed agli altri
pro-fili, non sembra sia configurabile alcun dolo o colpa, essendo la posizione di TIM frutto di una
interpre-tazione del delicato e complesso quadro delle norme in tema di data retention, peraltro sin
qui ritenuta coerente con i precedenti orientamenti del Garante, e non avendo TIM, come più volte
ribadito alcun interesse a limitare i diritti degli interessati che chiedano accesso ai dati di traffico
conservati per finali-tà penali di cui all'art. 132 del Codice privacy, come recentemente modificato
dal d.lgs. 101/2018. La violazione, anche ove ritenuta sussistente, riguarda comunque un solo
interessato, e non vi sono le condizioni per considerare alcuna recidiva, attesa la assenza,
all'epoca, di precedenti interpretativi univoci (rispetto anche a quanto emerso successivamente);
RILEVATO inoltre che nella memoria del 7 giugno Tim "Riguardo a quanto previsto dall'art. 83,
par. 2, lettere c), [...] ribadisce la propria disponibilità a fornire i dati al segnalante, nei limiti in cui il
Garante abiliti l'azienda ad estrarre i dati dal SAG";
RILEVATO altresì che la Società, con riguardo all'art. 83, par. 2, ha richiamato "le iniziative e
misure organizzative e tecniche complessivamente assunte da TIM e quelle ulteriori in corso di
imple-mentazione sulla specifica tematica in esame (di cui è stato già dato atto anche in recenti
procedimenti), con particolare riguardo alla gestione delle richieste di esercizio dei diritti degli
interessati di accesso ai dati di traffico telefonico, fermo nel caso di specie il pieno rispetto dei
tempi di riscontro alle richieste presentate dall'interessato e dal relativo legale, e considerata la
circostanza che la mancata ostensione dei dati di traffico è stata comunque frutto di una
ponderata valutazione della Società nei termini sopra esposti e non di una ritardata o mancata
risposta al segnalante";
VISTO il verbale di audizione di Tim del 21 luglio 2021;
VISTE le note inviate il 23 aprile 2021 e il 15 giugno 2021, su richieste dell'Ufficio del 22 apri-le e
del 10 giugno 2021, dal difensore del segnalante e contenenti l'inoltro integrale dell'originaria
istanza d'accesso inviata dal segnalante il 26 ottobre 2020 (rectius: 27 ottobre 2020, v. relativi
atti), unitamente al documento d'identità (come allegato alla detta istanza);
VISTA la nota di Tim del 28 luglio 2021, secondo la quale – in parte contraddicendo quanto
rappresentato nel riscontro del 31 marzo 2021 e nella memoria del 7 giugno 2021 – : "solo dopo
l'esame dei riscontri forniti dall'avvocato (del segnalante) alle richieste di informazioni avanzate
da(ll'Ufficio) in data 22.04.2021 ed in data 10.06.2021, e dopo aver sottoposto agli uffici
competenti di TIM gli stessi, è stato possibile acclarare che: 1. il modulo 26.10.20 firmato dal sig.
XX, non ri-sulta mai pervenuto sull'account e-mail XX; 2. lo stesso non è mai pervenuto via fax:
contrariamente a quanto inizialmente riferito dalle strutture che avevano istruito il caso, e
nonostante il fatto che il modulo sia concepito per esser inoltrato via fax (come emerge dalla
relativa intestazione), il sig. XX non risulta aver mai utilizzato detto mezzo di trasmissione; 3. il
modulo è pervenuto esclusivamente in data 29.10.20 via PEC, trasmesso (con messaggio
indirizzato a XX) dall'account" di soggetto diverso dal segnalante "senza che fosse in alcun modo
indicata una delega o incarico a tale soggetto per l'invio del modulo medesimo";
RILEVATO che nella medesima nota Tim ammette che: "Come è stato possibile accertare solo
sul-la base delle ultime verifiche, il documento di identità accluso al modulo ed inserito all'interno
del file pdf allegato alla suddetta PEC risultava effettivamente leggibile", aggiungendo però che "il
proble-ma della illeggibilità del documento di identità è sorto in ragione di una anomalia nella
procedura in-terna di smistamento della PEC agli uffici competenti a lavorare la richiesta: [...]
come è possibile rile-vare dall'allegato C agli scritti difensivi del 7.06.21 [...]. Sulla base di tale
anomalia, gli operatori TIM, rilevato che il documento non era leggibile, ebbero a contattare senza
successo il sig. XX in-viando poi allo stesso in data 19.11.2020 una e-mail all'indirizzo XX (v. all.
2); invio accompagnato anche da alcuni tentativi di contatto telefonico non andati a buon fine (che,
secon-do quanto indicato dai competenti uffici TIM, risultano essere stati effettuati il 17.11.2020 e
il 7.12.2020);
RITENUTO che, alla luce della interlocuzione con le parti e della documentazione complessi-
vamente acquisita anche ai sensi dell'art. 168 del Codice, non può affermarsi con certezza la data
della prima istanza né la leggibilità del documento allegato dal segnalante all'originaria istanza
rivolta alla Società; che, tuttavia, il solo elemento legato alla asserita inidoneità formale della
richiesta (facilmente sanabile attraverso un nuovo invio del documento) avrebbe dovuto indurre la
Società a porre in essere azioni idonee (anche di natura conservativa) a non pregiu-dicare il diritto
dell'interessato avuto riguardo alla data di presentazione di tale originaria istanza, in attesa del
perfezionamento della medesima (v. in tal senso provv. 8 luglio 2021, n. 272, doc. web n. 9693464
);
RITENUTO che la problematica tecnica lamentata dal titolare del trattamento nella propria
procedura di gestione di siffatte istanze non possa riflettersi negativamente sul diritto di accesso ai
tabulati del segnalante ed altresì che gli asseriti tentativi di contatto telefonico e l'invio di una
comunicazione a mezzo posta elettronica ordinaria ai fini dell'integrazione dell'istanza (peraltro a
distanza di quasi 20 giorni dal ricevimento della medesima) non possano integrare, pur considerati
congiuntamente, una condotta idonea ai sensi dell'art. 12, parr. 2 e 3, del Rego-lamento, in base
al quale "Il titolare del trattamento agevola l'esercizio dei diritti dell'interessato ai sensi degli articoli
da 15 a 22" e deve fornire "riscontro all'istanza di esercizio dei diritti di cui agli artt. 15-22 senza
ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta
stessa";
RILEVATO che tale prima istanza, databile al più tardi al 29 ottobre 2020, riguardante in par-
ticolare le chiamate (in entrata e uscita) relative alle due utenze del segnalante nel periodo ri-
compreso tra il 1° gennaio 2018 e il 31 dicembre 2018, avrebbe potuto e dovuto essere evasa in
modo effettivo e non meramente burocratico, anche se per il limitato periodo compreso fra il 29
ottobre e il 31 dicembre 2018 (considerando i 24 mesi precedenti al 29 ottobre 2020);
RILEVATO che con pec del 22 dicembre 2020, la richiesta veniva rinnovata dal difensore del
segnalante ai sensi dell'art. 391-quater c.p.p. (indagini difensive) e che l'istanza veniva rigettata da
TIM, mediante pec inviata l'8 gennaio 2021, con la quale, secondo il legale del segnalante, "si
assumeva, in maniera peraltro neppure chiarissima, che non potevano essere rilasciati i dati
relativi ad un periodo superiore al biennio dalla data della richiesta";
RILEVATO che con pec in pari data il suddetto difensore pertanto rinnovava la richiesta con
riferimento al diverso periodo dei 24 mesi precedenti, a decorrere dalla data d'inoltro della stessa,
vale a dire per il periodo 8-01-2019/8-01-2021; persistendo il silenzio di Tim, egli solleci-tava il
riscontro con nuova pec il 2 marzo 2021; riscontro che perveniva soltanto il 10 marzo (ovvero a
distanza di più di 2 mesi dalla detta istanza dell'8 gennaio), ribadendo, tuttavia, il diniego già
opposto;
RITENUTO che tale diversa reiterata richiesta del difensore del segnalante, illegittimamente e
tardivamente rigettata da Tim (considerato anche in tal caso quanto disposto dall'art. 12, par. 3,
del Regolamento riguardo al riscontro da fornirsi "senza ingiustificato ritardo" e comunque, salvo
eccezioni, entro il termine di 30 giorni), avrebbe potuto e dovuto essere evasa integralmente,
consegnando i tabulati compresi fra l'8-01-2019 e l'8-01-2021;
RITENUTO dunque che Tim non abbia gestito correttamente neanche le istanze presentate dal
difensore del segnalante, in quanto ha omesso di consegnare i tabulati ostensibili, fornendo un
riscontro supportato da una motivazione meramente temporale, essendo stato risposto da Tim
–con apparente riferimento all'originaria richiesta del segnalante- che "la richiesta non (poteva)
essere accolta in quanto .... i dati di traffico richiesti .... riguardano periodi di tempo eccedenti i 24
mesi dalla data di richiesta ..., tempo massimo previsto dall'art. 132, comma 1, del Codice, come
mo-dificato dal d.lgs. n.109/08 e succ. mod." (v. nota Tim 8 gennaio, cit.) e, poi riportandosi a tale
primo riscontro, ribadendo semplicemente che "non si è potuto darvi seguito, perché i termini di
conservazione, che decorrono sempre dalla data della generazione dei dati di traffico, erano stati
già superati"(v. nota Tim 10 marzo cit.);
Ritenuto peraltro che siffatto riscontro del 10 marzo sia da qualificarsi come incongruente, nonché
gravemente negligente, rispetto all'oggetto della menzionata istanza dell'8 gennaio (reiterata il 2
marzo), riguardando quest'ultima il diverso periodo compreso fra 8-01-2019 e l'8-01-2021, che,
alla data (08-01-2021) dell'istanza del difensore, risultava evidentemente ben ostensibile;
RILEVATO peraltro che ulteriori elementi argomentativi (di seguito ripresi nel presente prov-
vedimento) sono stati rappresentati dalla Società solo in sede d'istruttoria della segnalazione e
che comunque, come si dirà di seguito, non risultano condivisibili e dunque non sarebbero stati
legittimi motivi di diniego alle istanze del segnalante e del suo difensore;
RITENUTO, con particolare riferimento all'argomento, opposto dalla Società, che i tabulati ri-
chiesti sarebbero stati diversi da quelli oggetto di contestazione in sede penale al segnalante
(ossia quelli relativi al periodo dal 21.08.18 al 26.09.18), di condividere quanto indicato dal di-
fensore del segnalante ("l'interesse a conoscere i dati di traffico anche nel periodo diverso da
quello per cui è processo penale è evidente, solo che si consideri che si vuole provare l'utilizzo
indebito da parte di terzi di un telefono facente capo al sig. XX, XX. Ed a tal fine è necessario
incrociare i dati (eventualmente anche solo in uscita) dei due numeri telefonici");
RILEVATO che Tim stessa nel riscontro del 31 marzo 2021 riconosceva chiaramente che «il di-
fensore del sig. XX, [...] nel dichiarato esercizio delle facoltà di cui all'art. 391-quater, specificava
quanto segue: a) il Suo assistito era stato condannato con decreto penale [...] per il reato di cui
all'art. XX". Il decreto veniva allegato alla richiesta; b) ritenendosi estraneo al reato contestato
(XX), il sig. XX aveva interposto opposizione avverso il decreto penale predetto. In particolare,
qualificando ancor più chiaramente l'esigenza difensiva, il legale chiariva come 'le chiamate' (id
est: le chiamate di cui al decreto penale di condanna) provenivano dalla utenza telefo-nica mobile
riconducibile a TIM [...] intestata al sig. XX ma in dotazione all'epoca ad altra persona»;
RITENUTO dunque che, a fronte delle richieste di tabulati – esplicite, congruenti con il titolo di
reato contestato (XX) e peraltro documentate – presentate dal difensore del se-gnalante, al pari di
quella originariamente presentata da quest'ultimo, Tim – pur nei limiti temporali sopra indicati –
avrebbe dovuto garantire l'accesso "senza ingiustificato ritardo" con riguardo ai tabulati in uscita e,
solo con riguardo alle chiamate in entrata (v. provv. gen. 3 novembre 2005, "Accesso ai dati
telefonici: garanzie per le chiamate in entrata", doc. web n. 1189488), limitarsi a verificare il
collegamento con un procedimento penale a carico dell'istante, senza alcun pregiudizio per
l'interessato nelle more di tale verifica, non potendo sindacare la strategia del difensore ("In tale
ottica, considerato che le indagini possono ragionevol-mente riguardare anche condotte ed
interazioni connesse a quelle oggetto del procedimento penale pen-dente, può ben ritenersi che le
istanze di accesso possano riguardare anche tabulati diversi da quelli in-dividuati dall'autorità
giudiziaria nella contestazione formulata. Non a caso, lo stesso modulo predi-sposto da Tim per
siffatte richieste – come ha osservato il legale del segnalante – invitava l'istante a crociare una
delle finalità ivi previste (fra cui quella di accesso ai sensi dell'art. 132) e, correttamente, non
richiedeva invece di inserire una motivazione specifica a supporto della richiesta di determinati ta-
bulati": v. provv. 27 maggio 2021, cit.);
RAVVISATA dunque la violazione del fondamentale diritto d'accesso di cui agli artt. 15 del
Regolamento e 132 del Codice, come valorizzato dalla normativa euro-unitaria, al fine dell'effettivo
controllo e disponibilità dell'interessato sui propri dati tanto più nella delicatissi-ma sede
processual-penalistica;
RITENUTO pertanto, alla luce di tutto quanto sopra, di dover confermare la valutazione di il-liceità
già espressa nel citato provvedimento adottato in via d'urgenza il 27 maggio u.s. e, per l'effetto, le
misure correttive ivi stabilite;
RITENUTO altresì che la violazione delle norme sopra indicate imponga l'adozione di
un'ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n.
689/1981, per l'applicazione nei confronti di TIM delle sanzioni amministrative pecuniarie previste,
si adotta la seguente
Ordinanza-ingiunzione per l'applicazione della sanzione amministrativa pecuniaria
RILEVATO, in particolare, che, al caso di specie, risulta applicabile la sanzione amministrativa
dall'art. 83, par. 5, del Regolamento (pagamento di una somma fino a € 20.000.000 ovvero, per le
imprese, fino al 4% del fatturato mondiale annuo dell'esercizio precedente, se superiore);
CONSIDERATO che, per la determinazione dell'ammontare della sanzione, occorre tenere con-to
degli elementi indicati nell'art. 83, par. 2, del Regolamento, che, nella presente fattispecie,
possono considerarsi nei termini seguenti;
RILEVATI, in particolare, in funzione aggravante:
1. la gravità della violazione (art. 83, par. 2, lett. a), con riferimento alla particolare natura dei
trattamenti connessi all'esercizio dei diritti in sede giudiziaria e alla circostanza che le con-
dotte della Società hanno ostacolato l'agevole esercizio del proprio diritto di difesa nei ter-
mini accordati dalla legge, in quanto -pur ove assicurato poi dall'intervento del giudice- può
rilevarsi un aggravio delle procedure processuali, anch'esso elemento idoneo ad incidere
sulla sfera soggettiva dell'interessato medesimo;
2. la dimensione soggettiva della condotta, che deve ritenersi gravemente colposa, avendo
tra-scurato il riscontro a istanze chiare e motivate, in fatto e in diritto, nonché reiterate, con
particolare riguardo a quelle presentate dal difensore (art. 83, par. 2, lett. b);
3. i provvedimenti inibitori, correttivi e sanzionatori, adottati dell'Autorità a carico della Socie-
tà, con riguardo anche alla non corretta gestione dei diritti degli interessati, fra cui il provv. 15
gennaio 2020, n. 7, doc. web n. 9256486; l'ord. ingiunz. 18 gennaio 2018, n. 16, doc web n.
7665804, collegata al provv. 22 giugno 2016 n. 275 (doc. web n.5255159); l'ord. ingiunz. n.
433 del 3 ottobre 2013, doc. web n. 2726332(art. 83, par. 2, lett. e);
4. un precedente specifico provvedimento correttivo (provv. 14 maggio 2020, n. 85, doc. web
n. 9442587), con cui era stata accertata la non corretta gestione delle istanze relative ai ta-
bulati nell'ambito delle investigazioni difensive, pur senza comminare sanzioni, avendo ri-
tenuta collocabile la violazione riscontrata nel contesto dei trattamenti oggetto del citato
provv. 15 gennaio 2020, nonché un precedente sanzionatorio specifico: il provv. 8 luglio
2021, n. 272, doc. web n. 9693464) (art. 83, par. 2, lett. k);
5. la particolare rilevanza economica della Società (art. 83, par. 2, lett. k), tenuto conto dei
dati di bilancio 2020, con specifico riferimento ai ricavi complessivi e all'utile netto;
RILEVATE come circostanze attenuanti:
1. la comunicata adozione di misure, con specifico riguardo alle istanze aventi ad oggetto i
ta-bulati telefonici per indagini difensive, che ragionevolmente dovrebbero impedire o
comunque limitare analoghe problematiche (art. 83, par. 2, lett. c);
2. la cooperazione con l'Autorità nel corso della complessiva istruttoria e nell'esecuzione del
citato provvedimento correttivo (art. 83, par. 2, lett. f).
RITENUTO – in base al complesso degli elementi sopra indicati, in applicazione dei principi di
effettività, proporzionalità e dissuasività indicati nell'art. 83, par. 1, del Regolamento, tenuto conto
del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare
l'impatto economico della sanzione sulle esigenze organizzative, funzionali ed oc-cupazionali della
Società – di dover applicare a Tim spa la sanzione amministrativa del paga-mento di una somma
di euro 150.000 (centocinquantamila/00);
RITENUTO che debba applicarsi anche la sanzione accessoria della pubblicazione sul sito del
Garante del presente provvedimento, prevista dall'art. 166, comma 7 del Codice e art. 16 del
Regolamento del Garante n. 1/2019, tenuto conto del carattere macroscopico delle violazioni
rilevate con riguardo a principi giuridici ormai consolidati nell'attività provvedimentale del Garante
e nella giurisprudenza;
RILEVATI i presupposti di cui all'art. 17 del Regolamento n. 1/2019 concernente le procedure
interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all'esercizio dei po-teri
demandati al Garante;
TUTTO CIÒ PREMESSO IL GARANTE CONFERMA
la valutazione di illiceità già espressa ai sensi dell'art. 57 par. 1, lett. f) e dell'art. 58, par. 2,
lett. c), del Regolamento, nel citato provvedimento adottato in via d'urgenza il 27 maggio u.s.
e, per l'effetto, le misure correttive ivi stabilite nei confronti di Tim S.p.A., con sede legale in
Via Gaetano Negri n.1, Milano, C.F. 00488410010, in persona del legale rappresentante pro-
tempore;
ORDINA
a Tim S.p.A. di pagare la somma di euro 150.000 (centocinquantamila/00), a titolo di
sanzione amministrativa pecuniaria per la violazione indicata in motivazione, rappresentando
che il contravventore, ai sensi dell'art. 166, comma 8, del Codice, ha facoltà di definire la
controver-sia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla
metà della sanzione irrogata;
INGIUNGE
alla predetta Società, in caso di mancata definizione della controversia ai sensi dell'art. 166,
comma 8, del Codice, di pagare la somma di euro 150.000 (centocinquantamila/00),
secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente
provvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art. 27 della
legge n. 689/1981;
DISPONE
quale sanzione accessoria, ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16 del
Regolamento del Garante n. 1/2019, la pubblicazione sul sito del Garante del presente
provvedimento, e, ai sensi dell'art. 17 del Regolamento del Garante n. 1/2019, l'annotazione
nel registro interno dell'Autorità, previsto dall'art. 57, par. 1, lett. u) del Regolamento, delle
violazioni e delle misure adottate.
Ai sensi dell'art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° set-
tembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione
all'autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale
del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di
resi-denza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del
provve-dimento stesso ovvero di sessanta giorni se il ricorrente risiede all'estero.
Roma, 11 novembre 2021
IL PRESIDENTE
Stanzione
IL RELATORE
Scorza
IL SEGRETARIO GENERALE
Mattei