IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) nr. 14898/97157 del 21 maggio 2015 formulata da questa Autorità, ha svolto presso Shell Italia Holding s.p.a. gli accertamenti di cui al verbale di operazioni compiute datato 16 settembre 2015 dai quali, a fronte dello scioglimento, con nota datata 30 settembre 2015, delle riserve formulate in tale sede, è stato accertato che Shell Italia S.p.A. ora KRI S.p.A. P.Iva: 01841620154, con sede legale in Roma, Viale dell´Oceano Indiano n. 13, in persona del legale rappresentante pro-tempore, in qualità di incorporante di Shell Gas Italia S.p.A. e Shell Services Italia S.r.l., era tenuta a notificare la cessazione dei trattamenti di dati personali di cui alle tabelle 3 (Trattamento di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica), 6 (Trattamento effettuato con l´ausilio di strumenti elettronici volti a definire il profilo o la personalità dell´interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l´utilizzo di servizi di comunicazione elettronica con l´esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi) e 8 (Trattamento di dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti) per entrambe le società, come previsto dai citati artt. 37 e 38, comma 4, del Codice, nonché prescritto dal Garante con provvedimento dell´8 aprile 2009, pubb. G.U. n. 106 del 9 maggio 2009 ("Prescrizioni in materia di operazioni di fusione e scissione fra società" – su www.garanteprivacy.it, doc. web n. 1609999). La medesima attività di controllo ha parimenti consentito di accertare che KRI S.p.A. non ha provveduto, ai sensi dei citati artt. 37 e 38, comma 4, a notificare al registro dei trattamenti la variazione del titolare del trattamento a seguito della modifica societaria intervenuta (rispetto alla precedente denominazione, Shell Italia S.p.A.) o, in alternativa, l´eventuale cessazione del trattamento, qualora lo stesso fosse cessato a seguito della predetta trasformazione societaria. Quindi, in sintesi, KRI S.p.A.:

a) in proprio (quale società subentrata a Shell Italia S.p.A. in data 30 giugno 2014), ha omesso di effettuare la notificazione della variazione del titolare del trattamento a seguito della modifica societaria intervenuta, ai sensi degli artt. 37 e 38, comma 4, del Codice;

b) in qualità di incorporante di Shell Gas Italia S.p.A., ha omesso di effettuare la notificazione della cessazione del trattamento da parte di tale società (la quale aveva effettuato la prima notificazione del 12 maggio 2004), come previsto dagli artt. 37 e 38, comma 4, del Codice, nonché dal sopracitato provvedimento del Garante;

c) in qualità di incorporante di Shell Services Italia S.r.l., ha omesso di effettuare la notificazione della cessazione del trattamento da parte di tale società (la quale aveva effettuato la prima notificazione del 11 maggio 2004), come previsto dagli artt. 37 e 38, comma 4, del Codice, nonché dal sopracitato provvedimento del Garante;

VISTO il verbale nr. 1896/102021 del 26 gennaio 2016 (che qui si intende integralmente richiamato) con cui sono state contestate a KRI S.p.A. tre distinte violazioni amministrative previste dall´art. 163 del Codice, in relazione alle accertate omissioni in ordine agli obblighi di notificazione al Garante ai sensi dell´art. 37 del Codice , informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta per alcuna delle tre violazioni contestate;

VISTO lo scritto difensivo datato 15 marzo 2016 ai sensi dell´art. 18 della legge n. 689/1981 nel quale la società ha evidenziato come "Nessun rapporto di natura societaria è mai intercorso tra la scrivente società (KRI S.p.A.) e la Shell Gas Italia S.p.A. e la Shell Service Italia S.p.A., entrambe incorporate nella Shell Italia S.p.A. in epoca anteriore, rispettivamente, di oltre 10 e 5 anni rispetto alla data nella quale Kuwait Petroleum Italia S.p.A. e Kuwait Petroleum Europe B.V. hanno acquistato l´intero capitale sociale della Shell Italia medesima (30 giugno 2014)". A fronte di ciò ha osservato come "I trattamenti oggetto delle contestazioni indirizzate alla KRI S.p.A. da Codesta Eccellentissima Autorità (…) sono (…) tutti cessati in epoca antecedente al perfezionamento della citata operazione (Kuwait Petroleum Italia S.p.A. e Kuwait Petroleum Europe B.V. hanno acquistato in data 30 giugno 2014 l´intero capitale sociale della Shell Italia S.p.A), con la conseguenza che la scrivente società (KRI S.p.A.) non ne ha mai avuto notizia, né è mai stata informata dalla Shall Holding Italia S.p.A. di tali trattamenti".

Nel merito, poi, riportandosi alle vicende societarie descritte nella memoria difensiva, ne ha fatto discendere, con riferimento alle violazioni di cui ai sopra specificati punti b) e c), come "(…) le contestate violazioni (…) avrebbero dovuto essere effettuate in epoca anteriore alla cessazione dei due trattamenti e, dunque, prima del 29 dicembre 2005 (data in cui Shell Gas Italia S.r.l. ha cessato la propria attività a seguito di fusione per incorporazione in Shell Services Italia S.p.A. -ora KRI S.p.A.) e prima del 1° agosto 2010 (data in cui Shell Services Italia S.r.l. ha cessato la propria attività a seguito di fusione per incorporazione in Shell Italia S.p.A. -ora KRI S.p.A.)", ragione per la quale, sulla scorta del disposto di cui all´art. 38, comma 4 del Codice, "(…) è evidente che l´illecito oggetto di contestazione – rectius l´obbligazione di pagamento relativa all´eventuale sanzione – deve considerarsi ormai da tempo prescritto".

Inoltre, relativamente alla violazione di cui al sopra citato punto a), ha rilevato come "Non corrisponde (…) al vero che i trattamenti di dati personali oggetto della notificazione cui la Shell Italia S.p.A. ha proceduto in data 11 maggio 2004 (poi modificata in data 9 maggio 2007) siano tutt´ora in corso. Tali trattamenti, al contrario, sono cessati in epoca antecedente all´acquisto, da parte di Kuwait Petroleum Italia S.p.A. e Kuwait Petroleum Europe B.V. delle azioni della Shell Italia S.p.A. e del conseguente mutamento della denominazione sociale di quest´ultima in KRI S.p.A". Sul punto ha tenuto a precisare come "la scrivente società (KRI S.p.A.) (…) non è sfortunatamente in grado di fornire alcun elemento che consenta di identificare la data di intervenuta cessazione dei trattamenti in questione e ciò in ragione della già segnalata propria estraneità rispetto a detti trattamenti e della mancata comunicazione da parte di Shell Holding Italia S.p.A. di qualsivoglia informazione utile a tal fine. Tenuto tuttavia conto che la notificazione che avrebbe dovuto formare oggetto di modifica è stata perfezionata dalla Shell Italia S.p.A. nel 2004 e poi modificata il 9 maggio 2007, è possibile che i relativi trattamenti siano cessati sin da epoca risalente. In questa prospettiva è, anche ipotizzabile che la cessazione dei relativi trattamenti sia avvenuta da oltre cinque anni e che (…) l´eventuale violazione debba considerarsi prescritta (…)";

VISTO il verbale dell´audizione delle parti redatto in data 12 settembre 2016 ai sensi dell´art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmente ribadito quanto argomentato nella memoria difensiva;

CONSIDERATO che le argomentazioni addotte non consentono di escludere la responsabilità della società in relazione alla contestazione in argomento. Le vicende societarie a più riprese descritte nella memoria difensiva, a fronte delle quali "I trattamenti oggetto delle contestazioni indirizzate alla KRI S.p.A. (…) sono (…) tutti cessati in epoca antecedente al perfezionamento della citata operazione (Kuwait Petroleum Italia S.p.A. e Kuwait Petroleum Europe B.V. hanno acquistato in data 30 giugno 2014 l´intero capitale sociale della Shell Italia S.p.A), con la conseguenza che la scrivente società (KRI S.p.A.) non ne ha mai avuto notizia, né è mai stata informata dalla Shell Holding Italia S.p.A. di tali trattamenti", non sostanziano alcuna esimente rispetto alle violazioni contestate. Sotto il profilo della disciplina della protezione dei dati personali, l´art. 38, comma 4 del Codice, fornisce indicazioni certamente inequivoche circa gli obblighi in ordine alla responsabilità del trattamento dei dati personali, prevedendo la necessità di una nuova notificazione al mutamento di taluno degli elementi da indicare nella notificazione medesima, tra i quali, la nuova denominazione del titolare del trattamento. A nulla rileva, pertanto, l´asserita circostanza per la quale "(…) la scrivente società (KRI S.p.A.) non ne ha mai avuto notizia, né è mai stata informata dalla Shell Holding Italia S.p.A. di tali trattamenti", sia in quanto tale affermazione, per stessa ammissione di KRI S.p.A., non è sorretta da alcun elemento di prova, sia perché tale argomentazione non sostanzia alcuno degli elementi costitutivi della disciplina dell´errore scusabile di cui all´art. 3 della legge n. 689/1981 anche alla luce della giurisprudenza di riferimento (Cass. Civ. sez. I del 21 febbraio 1995 n. 1873; Cass. Civ. sez II del 13 marzo 2006, n. 5426).

Inoltre, con riferimento a quanto prospettato circa il fatto che "Tali trattamenti, al contrario, sono cessati in epoca antecedente all´acquisto, da parte di Kuwait Petroleum Italia S.p.A. e Kuwait Petroleum Europe B.V. delle azioni della Shell Italia S.p.A. e del conseguente mutamento della denominazione sociale di quest´ultima in KRI S.p.A" si evidenzia come, oltre a doversi tener conto di quanto sopra argomentato, si deve considerare che tutte le tre violazioni attengono all´omessa notificazione al Garante che sostanzia un illecito di natura permanente. Tale tipologia di illecito determina l´individuazione del suo momento consumativo all´atto dell´accertamento della violazione avvenuto in data 26 gennaio 2016 con la redazione del verbale di contestazione, ovvero all´atto della cessazione della condotta. Riguardo tale ultima eventualità, si osserva come la società ritenga erroneamente che l´ipotetica e non dimostrata cessazione dei trattamenti sottoposti all´obbligo di notificazione, possa sostanziare la cessazione della condotta oggetto di contestazione. Quelle oggetto di contestazione, in verità, sono le condotte omissive afferenti gli obblighi di notificazione della cessazione dei trattamenti (rilievi di cui ai punti b) e c)) nonché l´obbligo di notificazione in ordine alla variazione della denominazione del titolare del trattamento (rilievo di cui al punto a)). Tali condotte, nel caso dei rilievi di cui ai punti b) e c), sono cessate solamente in data 13 aprile 2016 con la notificazione della cessazione dei trattamenti effettuata da Shell Italia S.p.A., nonostante tale società, così come risulta in atti, abbia cambiato denominazione in KRI S.p.A. in data 30 giugno 2014. Invece, nel caso del rilievo di cui alla lettera a), si rileva come KRI S.p.A., ad oggi, non abbia ancora provveduto ad effettuare alcuna notificazione al Garante per il mutamento della ragione sociale del titolare dei trattamenti (da Shell Italia S.p.A. a KRI S.p.A.) ai sensi degli artt. 37 e 38 del Codice, così determinando il perdurare della condotta oggetto di contestazione;
RILEVATO che KRI S.p.A.:

a) in proprio (quale società subentrata a Shell S.p.A.), ha omesso di effettuare la notificazione della variazione del titolare del trattamento a seguito della modifica societaria intervenuta, ai sensi degli artt. 37 e 38, comma 4, del Codice;

b) in qualità di incorporante di Shell Gas Italia S.p.A., ha omesso di effettuare la notificazione della cessazione del trattamento da parte di tale società, come previsto dagli artt. 37 e 38, comma 4, del Codice, nonché dal sopracitato provvedimento del Garante;

c) in qualità di incorporante di Shell Services Italia S.r.l., ha omesso di effettuare la notificazione della cessazione del trattamento da parte di tale società, come previsto dagli artt. 37 e 38, comma 4, del Codice, nonché dal sopracitato provvedimento del Garante;

VISTO l´art. 163 del Codice che, per ciascuna delle tre violazioni contestate, punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´importo della sanzione pecuniaria per la violazione dell´art. 163 del Codice deve essere determinato nella misura di euro 20.000,00 (ventimila) per ciascuna delle tre violazioni contestate, per un importo complessivo pari a euro 60.000,00 (sessantamila);

RITENUTO che, in relazione alle condizioni economiche del contravventore, avuto riguardo in particolare ai dati relativi al patrimonio finanziario fisso attivo, al patrimonio funzionale attivo investito e al valore della produzione, nonché alla circostanza che KRI S.p.A. (già Shell Italia S.p.A.) risulta, a tutt´oggi, società leader nella commercializzazione di prodotti chimici e petroliferi, le sopraindicate sanzioni pecuniarie risultano inefficaci e devono pertanto essere aumentate del triplo, come previsto dall´art. 164-bis, comma 4 del Codice (tre sanzioni di cui all´art. 163, da euro 60.000,00 a euro 180.000,00)

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a KRI S.p.A. (già Shell Italia S.p.A.) P.Iva: 01841620154, con sede legale in Roma, Viale dell´Oceano Indiano n. 13, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 180.000,00 (centottantamila) a titolo di sanzione amministrativa pecuniaria per le tre violazioni previste dall´art. 163 del Codice, per l´omissione della notificazione al Garante prevista dagli artt. 37 e 38 del Codice medesimo;

INGIUNGE

alla medesima società di pagare la somma di euro 180.000,00 (centottantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.