IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. XXX presidente, del dott. XXX vicepresidente, del dott. XXX e del dott. XXX, componenti e del dott. XXX segretario generale;

RILEVATO che il Comando Nucleo speciale privacy della Guardia di finanza, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 23496/52894 datata 28 ottobre 2009) e su specifica delega di questa Autorità (n. 23497/U del 28 ottobre 2009), ha svolto, nei confronti del Comune di Marano Principato, con sede in Marano Principato, via Annunziata n. 137, gli accertamenti di cui al verbale di operazioni compiute datato 13 gennaio 2010, dai quali è risultato che l´ente locale effettua, tra l´altro, trattamenti di dati personali inerenti i servizi "anagrafico/demografico", "raccolta dei rifiuti urbani" e "fornitura dei servizi idrici" con l´ausilio di strumenti elettronici, senza avere designato gli incaricati dei trattamenti in questione ai sensi dell´art. 30 del Codice e, quindi, senza impartire loro le specifiche istruzioni, omettendo, di conseguenza, di adottare le misure minime di sicurezza di cui all´art. 33 del Codice;

VISTO il verbale datato 22 gennaio 2010 con cui è stata contestata al predetto ente la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice che non è definibile in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

VISTO lo scritto difensivo, datato 3 marzo 2010, inviato ai sensi dell´art. 18 della legge n. 689/1981 nel quale l´ente locale, rappresentato e difeso dall´avv. Giovanni Spataro, ha evidenziato come "(…) sotto la dicitura Rilevazioni (e) sotto la dicitura Rilievo unico anno 2010 (…)" del verbale di contestazione in argomento, siano contenute indicazioni afferenti l´illecito contestato la cui "(…) genericità ed omnicomprensività (…) rende pressoché impossibile (…) dispiegare una adeguata difesa avverso il verbale in questione (da) ritenersi viziato da illegittimità". L´ente, rileva, altresì, come la norma che disciplina la designazione degli incaricati non è prevista dall´art. 33, bensì dall´art. 30 del Codice, "(…) la cui inosservanza non risulta punita da norme sanzionatorie, né tantomeno dall´art. 162, comma 2-bis del Codice". Inoltre, considerato che "(…) le operazioni in conseguenza delle quali vi è stata contestazione, risultano effettuate in data 13.01.2010, mentre il verbale de quo (contestazione) è datato 22.01.2010 (…), il verbale suddetto è illegittimo per omessa contestazione immediata ai sensi dell´art. 14 della Legge n. 24.11.1989 n. 689 (…)", ove, peraltro, nella contestazione in argomento non risultano specificate le motivazioni dell´omessa contestazione immediata. Riguardo a tale ultimo profilo, si osserva che, se la violazione fosse stata contestata immediatamente, "(…) il Sindaco avrebbe potuto contraddire, facendo valere (…) elementi di fatto e di diritto (quali) (…) quanto disposto dall´art. 30, comma 2 del Codice (…) in base al quale (…) la designazione ad incaricato del trattamento si desume anche dalla preposizione della persona fisica alla unità organizzativa". In tal senso "(…) non mancano, nel caso de quo dicitur, gli elementi dai quali è desumibile l´atto amministrativo (implicito) di nomina ad incaricato del trattamento. Il Comune (…), ha anche emanato (il) regolamento – approvato con deliberazione del Commissario straordinario n. 6 del 16.12.2005 – con il quale (…) sono state individuate analiticamente, per ogni unità organizzativa, le tipologie di trattamento dei dati personali che possono essere effettuate". Riguardo, poi, alle istruzioni ai dipendenti incaricati del trattamento, "(…) nel verbale di operazioni compiute del 13.01.2010, non risulta né che l´Autorità procedente abbia chiesto alla parte interessata se fossero state impartite istruzioni ai dipendenti per il trattamento dei dati, né che il Sindaco o chiunque altro abbia dichiarato l´omissione di siffatta attribuzione", tenuto conto che "(…) se è vero (…) che tali procedure di sicurezza vengono concretamente e scrupolosamente osservate presso la suddetta Amministrazione (Comune di Marano Principato), ciò si deve evidentemente anche al fatto che tutti i dipendenti incaricati del trattamento sono stati edotti della necessità di adottare le citate misure minime di sicurezza";

RITENUTO che le argomentazioni addotte non risultano idonee per escludere la responsabilità in relazione a quanto contestato. La Guardia di finanza, indicando gli specifici trattamenti di dati personali inerenti i servizi "anagrafico/demografico", "raccolta dei rifiuti urbani" e "fornitura dei servizi idrici" effettuati con l´ausilio di strumenti elettronici, così come si rileva dalla "premessa" del verbale di contestazione del 22 gennaio 2010 (che peraltro fa espresso riferimento al verbale di operazioni compiute del 13 gennaio 2010) ha puntualmente accertato, ai sensi dell´art. 13 della legge n. 689/1981, l´illecito contestato senza in alcun modo ledere il diritto alla difesa del trasgressore. Si evidenzia, poi, che la mancata designazione degli incaricati ai sensi dell´art. 30, determina la disapplicazione di tutte le misure minime di sicurezza previste dal "Disciplinare tecnico in materia di misure minime di sicurezza" allegato B al Codice (richiamato espressamente dagli artt. 34 e 35 del Codice) e facente parte integrante quindi delle misure minime di cui all´art. 33, che hanno, come presupposto necessario, la predetta designazione. Tali misure sono quelle analiticamente indicate dal Garante nel provvedimento del 12 marzo 2010 nell´ambito del procedimento prescrizionale avviato in relazione alla violazione dell´art. 169 del Codice che risultano essere state adottate dall´ente solo nel mese di maggio 2010, così come si evince dalla nota n. 2534 dell´ 8 giugno 2010. Quanto detto, rileva anche con riferimento alle istruzioni ai dipendenti incaricati del trattamento, atteso che le istruzioni in parola (di cui all´art. 30, comma 1 del Codice), sono previste tra le misure minime di sicurezza. Ne discende che le citate "procedure di sicurezza" menzionate dall´ente negli scritti difensivi, oltre a non soddisfare i requisiti di legge, sono risultate di fatto inefficaci. Ciò determina, diversamente da quanto ritenuto, una corretta individuazione dell´art. 33 del Codice quale norma violata e una altrettanto puntuale individuazione della norma sanzionatoria nell´art. 162, comma 2-bis del Codice. Si rileva, altresì, che la violazione in argomento è stata accertata alla data di redazione del verbale di contestazione (22 gennaio 2010), atteso che è a quella data che deve farsi riferimento per valutare il rispetto dei principi di tempestività di cui all´art. 14 della legge n. 689/1981 (Cass. Civ., Sez. lav. n. 5467/2008), in quanto solo a quella data, dall´esame del complesso dei documenti e delle dichiarazioni acquisite in sede ispettiva, è stato possibile qualificare oggettivamente e soggettivamente, da parte della Guardia di finanza, la violazione in argomento. Al riguardo si evidenzia che la contestazione risulta notificata il 5 febbraio 2010, ovvero entro il termine di 90 giorni dalla data dell´accertamento. Peraltro, sempre in riferimento alla tempestività della contestazione, si osserva come la Guardia di finanza, nel verbale di operazioni compiute del 13 gennaio 2010, abbia richiesto esplicitamente e in maniera inequivoca al legale rappresentante dell´ente (il Sindaco) le misure di sicurezza predisposte, anche con specifico riferimento all´allegato B del Codice, tenuto anche conto che il regolamento adottato con la delibera n. 6 del 16 dicembre 2005, recante in oggetto "Approvazione regolamento per il trattamento dei dati sensibili D. Lgs 30/6/2003 n. 196", annovera, tra le tipologie dei trattamenti, solo quelle relative al servizio anagrafico/demografico e non anche gli altri trattamenti dei dati che hanno generato la contestazione in argomento;

CONSIDERATO che, nonostante il procedimento di cui all´art. 169, comma 2 del Codice non si sia perfezionato, le prescrizioni impartite con il provvedimento datato 12 marzo 2010 al legale rappresentante pro tempore del Comune di Marano Principato dall´Ufficio del Garante sono state adempiute;

RILEVATO che l´ente ha effettuato un trattamento di dati (art. 4 comma 1, lett. a) e b) del Codice) omettendo di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, gli elementi dell´entità del pregiudizio o del pericolo, dell´intensità dell´elemento psicologico e della modalità concreta della condotta non sono connotati da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere valutato l´adempimento dell´ente alle prescrizioni impartite dal Garante in ordine all´adozione delle misure minime di sicurezza;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazioni delle disposizioni del Codice;

d) trattandosi di ente pubblico, le condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, non sostanziano elementi specifici idonei ad incidere sulla quantificazione della sanzione;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. XXX

ORDINA

al Comune di Marano Principato, con sede in Marano Principato, via Annunziata n. 137, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria;

INGIUNGE

al medesimo ente di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.