IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. XX, presidente, della dott.ssa XX, vicepresidente, della dott.ssa XX e della prof.ssa XX, componenti e del dott. XX, segretario generale;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

RILEVATO che l’Ufficio del Garante ha avviato un’istruttoria nei confronti del Comune di Ferrara, volta a verificare la liceità del trattamento dei dati personali posto in essere dal Comune, con riferimento alle modalità di erogazione del servizio cd. Anagrafe on line, idoneo a consentire ai cittadini di ottenere i propri certificati di anagrafe e di stato civile anche presso le farmacie comunali;

PRESO ATTO della documentazione fornita dal Comune a fronte di specifiche richieste formulate dall’Ufficio del Garante, nonché degli atti dell’accertamento ispettivo, eseguito dal Nucleo privacy della Guardia di finanza in data 9 novembre 2016, in esecuzione della richiesta di informazioni prot. n. 29741/97751 del 6 ottobre 2016, formulata ai sensi dell’art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”), dai quali è risultato che:

- il Comune di Ferrara, in qualità di titolare del trattamento, ha affidato alla società A.F.M. s.r.l., gestore delle farmacie comunali, il servizio di Anagrafe on line, designandola, per tale finalità, responsabile del trattamento dei dati personali, ai sensi dell’art. 29 del Codice;

- l’operatore della farmacia, in qualità di incaricato del trattamento ai sensi dell’art. 30 del Codice, accede al sistema informativo dell’Anagrafe on line e rilascia all’utente i certificati richiesti, previa identificazione mediante esibizione del documento di identità e della tessera sanitaria;

- tale operazione configura un trattamento di dati personali, ai sensi dell’art. 4, comma 1, lett. a), del Codice, rispetto alla quale è stato accertato che l’incaricato del trattamento non fornisce l’informativa di cui all’art. 13 del medesimo Codice;

VISTO il verbale n. 125/2016 del 6 dicembre 2016 con cui è stata contestata al Comune di Ferrara, con sede in Ferrara, Piazza Municipio n. 2, C.F. 00297110389, in persona del legale rappresentante pro tempore, la violazione amministrativa prevista dall’art. 161 del Codice, in relazione all’art. 13 del medesimo Codice, informandola della facoltà effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

ESAMINATO il rapporto predisposto dal predetto Nucleo ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi datati 9 gennaio 2017, inviati ai sensi dell’art. 18 della legge 24 novembre 1981, n. 689, e con cui il Comune ha osservato come, nel predisporre il servizio di Anagrafe on line, avesse adempiuto correttamente all’obbligo di cui all’art. 13 del Codice, fornendo agli interessati che accedono al sito web istituzionale del Comune (e che effettuano la registrazione al servizio on line) una informativa idonea, accessibile sia mediante un link presente sul footer del sito web istituzionale sia in calce al form di registrazione. La parte ha, poi, osservato di aver dato adempimento a tale obbligo nonostante, nel caso di specie, dovesse trovare applicazione la disposizione dell’art. 13, comma 5, del Codice, in base alla quale l’informativa non va resa quando “i dati sono trattati in base a un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria”; nel caso in esame, la normativa anagrafica succedutasi nel tempo “impone al Comune il trattamento di dati anagrafici, e in virtù di tale obbligo, il Comune risulta esentato dall’obbligo di cui all’art. 13 del D.lgs. 196/2003”. Pertanto, il Comune pur non essendo obbligato a rendere l’informativa agli interessati, ha comunque adempiuto a tale obbligo “cercando di fornire un servizio aggiuntivo alla propria cittadinanza, avvalendosi di personale che già tratta dati supersensibili (…) individuando in altro soggetto istituzionale la responsabilità di tale trattamento (…)”;

PRESO ATTO della reiterazione delle memorie difensive effettuata in data 7 febbraio 2019, in conformità a quanto disposto dall’art. 18, comma 4, del d.lgs. 101/2018, con cui la parte, “con eventuale facoltà di chiedere la rateizzazione del pagamento della sanzione comminata”, ha evidenziato che il servizio Anagrafica on line, attivato presso le farmacie comunali, è cessato vista la scarsa partecipazione dell’utenza;

CONSIDERATO che le argomentazioni addotte non sono idonee ad escludere la responsabilità della parte in relazione a quanto contestato. Va precisato che l’inosservanza dell’obbligo di rendere l’informativa di cui all’art. 13 del Codice è stata accertata limitatamente all’erogazione del servizio, offerto in nome e per conto del Comune, da parte delle farmacie comunali; infatti, già durante la visita ispettiva eseguita il 6 novembre 2016, era stata verificata la pubblicazione sul sito web istituzionale del Comune dell’informativa sul trattamento dei dati personali, a fronte della registrazione on line effettuata dall’utente. Tale circostanza, contrariamente a quanto ritenuto dalla parte, non deve essere considerata ultronea, ma rappresenta il corretto adempimento all’obbligo di cui all’art. 13 del Codice, alla cui osservanza sono tenuti tutti i soggetti pubblici, in base a quanto disposto dall’art. 18 del Codice. Nel caso in esame, tra l’altro, la possibilità per il cittadino di ottenere il rilascio di certificazioni anagrafiche presso le farmacie comunali rappresenta un servizio aggiuntivo erogato dal Comune. Pertanto, con riferimento all’erogazione del servizio di Anagrafica on line effettuato dalle farmacie comunali, si osserva che il Comune di Ferrara, in qualità di titolare del trattamento, nel momento in cui ha affidato la gestione del servizio anche alla A.F.M. s.r.l., ha correttamente provveduto ad effettuare nei suoi confronti la designazione quale responsabile del trattamento, ai sensi dell’art. 29 del Codice. Tuttavia, nelle istruzioni fornite al responsabile del trattamento, non vi è alcun riferimento all’obbligo, ricadente sui soggetti preposti a fornire tale servizio ai cittadini, relativo all’informativa da fornire agli interessati. Tale adempimento è maggiormente necessario allorquando, come nel caso in esame, il trattamento non viene effettuato direttamente dal titolare del trattamento, bensì per mezzo di un responsabile che agisce per suo conto nell’offerta del servizio aggiuntivo in questione. Va, inoltre, precisato che la disposizione di cui all’art. 13, comma 5, del Codice non è assolutamente conferente al caso in esame in quanto essa si riferisce all’informativa di cui all’art. 13, comma 4, che disciplina le modalità con cui rendere l’informativa quando i dati personali non sono raccolti presso l’interessato, circostanza non ravvisabile nel caso in esame;

RILEVATO, pertanto, che il Comune di Ferrara ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) omettendo di rendere l’informativa di cui all’art. 13 del Codice;

VISTO l’art. 161 del Codice che punisce la violazione dell’art. 13 del Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

RITENUTO che ricorrono le condizioni per applicare l'art. 164-bis, comma 1, del Codice, secondo cui “se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti”, tenuto conto, in particolare, della natura sociale dell’attività svolta;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione e della personalità del contravventore;

RITENUTO di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria per la violazione dell’art. 161 del Codice nella misura di euro 2.400,00 (duemilaquattrocento), applicata in combinato disposto con l’art. 164-bis, comma 1, del Codice;

RITENUTO di accogliere la richiesta del Comune di rateizzazione dell’ammontare della sanzione sopra determinata in n. 10 (dieci) rate mensili corrispondenti all’importo di euro 2.400,00 (duecentoquaranta) ciascuna;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa XX;

ORDINA

al Comune di Ferrara, con sede in Ferrara, Piazza Municipio n. 2, C.F. 00297110389, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 2.400,00 (duemilaquattrocento) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall’art. 161 del Codice indicata in motivazione, applicata in combinato disposto con l’art. 164-bis, comma 1, frazionandola, in accoglimento della richiesta di rateizzazione, in n. 10 (dieci) rate mensili corrispondenti all’importo di euro 2.400,00 (duecentoquaranta) ciascuna;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 2.400,00 (duemilaquattrocento) secondo le modalità indicate in allegato, i cui versamenti frazionati avranno inizio entro l’ultimo giorno del mese successivo a quello in cui avverrà la notifica della presente ordinanza, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Fonte: Garante