IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. XXX, presidente, della dott.ssa XXX, vicepresidente, della dott.ssa XXXe della prof.ssa Licia Califano, componenti e del dott. XXX, segretario generale;

VISTI gli artt. 37, comma 1, lett.a) e 38 del d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito “Codice”);

VISTO l’art. 17 del Codice;

VISTE le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto in ambito pubblico” (Deliberazione n. 23 del 14 giugno 2007, in www.gpdp.it, doc. web. 1417809);

VISTO il “Provvedimento generale prescrittivo in tema di biometria” n. 513 del 12 novembre 2014 (doc. web n. 3556992), nonché le allegate “Linee guida in materia di riconoscimento biometrico e firma grafometrica” facenti parte integrante dello stesso;

VISTO il provvedimento n.129 del 17 marzo 2016 - trasmesso al titolare con nota prot. 9943/98345 del 7 aprile 2016 - con cui il Garante, in esito all’istruttoria avviata a seguito di segnalazione riguardante l’attivazione da parte del Comune di San Mango Piemonte con sede in San Mango Piemonte (SA), Via Roma n. 5. C.F. 80018830655 (di seguito “il Comune”), di un sistema biometrico basato sul trattamento delle impronte digitali per la rilevazione delle presenze dei propri dipendenti, accertata l’illiceità dell’utilizzo di tale sistema, ha vietato al Comune l’ulteriore trattamento degli stessi, ai sensi degli artt. 154, comma 1, lett. d), 144 e 143, comma 1, lett. c) del Codice. Ciò in quanto dagli accertamenti effettuati è emerso che:

- il Comune ha utilizzato il sistema biometrico di rilevamento delle impronte digitali a partire dal 2010, effettuando trattamenti di dati personali di natura biometrica dei propri dipendenti al fine di registrarne la presenza in servizio;

- il Comune, ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, in qualità di datore di lavoro, è titolare del trattamento dei dati personali dei propri dipendenti effettuato nell’esecuzione della attività di rilevamento suindicata;

- il Comune, con riferimento agli adempimenti cui è tenuto il titolare del trattamento sulla base di quanto disposto dagli artt. 37, comma 1, lett. a) e 38 del Codice per il trattamento di dati biometrici, non ha adempiuto all’obbligo di notificazione al Garante;

- il caso in esame, dall’analisi degli elementi istruttori, non rientra fra le ipotesi indicate dal “Provvedimento generale prescrittivo in tema di biometria” n. 513 del 2014 (doc. web n. 3556992) e allegate “Linee guida”, per cui il titolare del trattamento è esonerato dall’obbligo di presentare istanza di verifica preliminare ai sensi dell’art. 17 del Codice. Più specificamente, i trattamenti di dati biometrici che possono essere effettuati senza presentare istanza di verifica preliminare si riferiscono alle ipotesi di: 1) autenticazione informatica per accesso a banche dati e sistemi informatici; 2) controllo di accesso fisico ad aree sensibili dei soggetti addetti all’utilizzo di apparati e macchinari pericolosi; 3) sottoscrizione di documenti informatici; 4) uso delle impronte digitali e della topografia della mano a scopi facilitativi.

Il Garante, con il suddetto Provvedimento generale ha, altresì, prescritto ai titolari - per i casi di trattamento di dati biometrici in corso di svolgimento e nell’ipotesi in cui non avessero già presentato istanza di verifica preliminare - di adottare entro 180 giorni dalla pubblicazione del provvedimento le misure e gli accorgimenti ivi previsti qualora i trattamenti fossero compresi nei casi di esonero dall'obbligo di verifica preliminare ovvero, in caso contrario, di sospendere entro il medesimo termine i trattamenti e di sottoporre gli stessi a verifica preliminare con interpello al Garante ai sensi dell'articolo 17 del Codice (cfr. punto 4, lettera b), parte dispositiva del Provvedimento generale n. 513 del 2014);

- il Comune, non ha sospeso il trattamento dei dati di natura biometrica, né ha adempiuto all’obbligo di presentazione al Garante dell’istanza di “verifica preliminare” in violazione dell’art. 17 del Codice, non osservando le citate disposizioni del provvedimento del Garante n. 513 del 2014;

VISTA la nota prot. 10294/98345 del 11 aprile 2016 con cui il Dipartimento Lavoro Pubblico e Privato del Garante ha trasmesso gli atti al Dipartimento Attività ispettive, sanzioni e Registro dei trattamenti per il seguito di competenza in ordine all’avvio di un eventuale procedimento sanzionatorio in relazione alla sussistenza di violazioni amministrative per i trattamenti biometrici effettuati;

VISTA la nota prot. n.1288 del 18 aprile 2016 indirizzata dal Comune al Garante al fine di comunicare, in ottemperanza al provvedimento inibitorio del Garante del 17 marzo 2016, l’avvenuta disattivazione - in data 14 aprile 2016 - del sistema biometrico di rilevamento delle presenze;

VISTO il Verbale prot. n.17187/98345 del 10 giugno 2016 con cui il Garante per la protezione dei dati personali – Dipartimento Attività Ispettive, Sanzioni e Registro dei Trattamenti, sulla base di quanto accertato il Dipartimento Lavoro Pubblico e Privato, ha contestato al Comune di San Mango Piemonte con sede in San Mango Piemonte (SA), Via Roma, n. 5, - C.F. 80018830655 in persona del legale rappresentante pro-tempore, le seguenti violazioni amministrative;

- ai sensi dell’art. 162, comma 2-bis del Codice, la violazione delle disposizioni indicate nell’art.167 del medesimo Codice, specificamente, dell’art. 17 per mancato assolvimento dell’obbligo di presentazione di apposita istanza di verifica preliminare relativa al trattamento dei dati biometrici dei dipendenti – effettuato fino al 14 aprile 2016 - finalizzato al rilevamento della presenza degli stessi in servizio;

- ai sensi dell’art. 163 del Codice, la violazione delle disposizioni degli artt. 37, comma 1, lettera a) e 38 del medesimo Codice per il mancato assolvimento dell’obbligo di notificazione al Garante in relazione al suddetto trattamento dei dati biometrici;

RILEVATO che dal rapporto amministrativo prot. n. 14371/98345 del 14 aprile 2017 predisposto dall’Ufficio del Garante ai sensi dell’art. 17 della legge 24 novembre 1981 n.689 e riferito al Verbale di contestazione di violazione amministrativa del Garante n. 17187/98345 del 10 giugno 2016 non risulta essere stato effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/81;

VISTA la memoria difensiva prot. n. 2296 U del 11 luglio 2016, formulata ai sensi dell’art. 18 della legge n. 689/1981 con cui la parte, in riferimento alle contestazioni di cui al sopra citato Verbale n. 17187/98345 del 10 giugno 2016, per illustrare le motivazioni che hanno determinato il Comune a utilizzare il sistema biometrico basato sul rilevamento dell’impronta digitale per la registrazione delle presenze in servizio dei propri dipendenti, ha rappresentato il contesto esterno, nonché l’organizzazione interna, in cui il Comune si trova ad operare, soprattutto per evidenziare il livello di criminalità di cui è permeato il tessuto territoriale caratterizzato da matrici camorristiche di ampia capacità penetrativa nell’ambito socio-economico regionale, extraregionale e transnazionale e, di conseguenza “la volontà che ha sempre contraddistinto l’attività amministrativa locale ad operare per prevenire i fenomeni di contrarietà e di violazione a norme imperative”.

Quanto alla convinzione del Comune circa la liceità del trattamento posto in essere attraverso l’uso del sistema biometrico in questione e quindi alla propria buona fede, lo stesso ha evidenziato come “Il Responsabile del settore personale sin dall'acquisto di detto strumento, non è mai venuto a conoscenza della obbligatorietà di effettuare gli adempimenti contestati (…) (e) (…) che il sistema in uso nell’Ente per le sue modalità operative non fosse soggetto a tale verifica perché non conservava alcun dato biometrico (…); inoltre il Comune “(…) non ha mai avuto comunicazione da parte della società fornitrice di dover effettuare adempimenti in merito, anzi la stessa ha sempre assicurato il lecito utilizzo di detto sistema in uso in molti altri Enti, (né) (…) ha mai ricevuto obiezioni da parte dei dipendenti circa l'utilizzo (…) (del sistema);

“Per tutto quanto innanzi detto e considerando il contesto interno ed esterno dell'ente, l'accettazione dello strumento da parte dei dipendenti, l’assoluta buona fede dell'ente che, si ribadisce, ha agito nella consapevolezza della liceità dell'utilizzo del sistema, la circostanza che il sistema è cessato dal 14 aprile 2016, ovvero immediatamente dopo la prima contestazione da parte di Codesta Autorità (…)” la parte chiede di rivalutare il provvedimento sia per le esigue risorse in bilancio sia in quanto tale provvedimento è percepito come ingiusto e sproporzionato rispetto alla violazione contestata per aver utilizzato uno strumento ritenuto dal Comune in linea con la tutela dei propri dipendenti e volto a prevenire fenomeni di assenteismo nell'ambito della pubblica amministrazione;

RITENUTO che le argomentazioni addotte dal Comune nello scritto difensivo suddetto e rivolte a dimostrare l’infondatezza di quanto contestato con il Verbale n. prot. n.17187/98345 del 10 giugno 2016 in ordine, rispettivamente, sia al mancato assolvimento dell’obbligo di presentazione di apposita istanza di verifica preliminare relativa al trattamento dei dati biometrici dei dipendenti finalizzato al rilevamento della presenza in servizio degli stessi sia all’inosservanza dell’obbligo di notificazione al Garante in relazione al suddetto trattamento dei dati biometrici, non consentono di escludere la responsabilità del Comune.

Infatti, quanto alla finalità di utilizzo della biometria e, nello specifico, dell’impronta digitale dei dipendenti per arginare fenomeni criminosi, si rappresenta quanto segue.

In relazione alla circostanza che il trattamento delle impronte digitali dei dipendenti risulta essere stato utilizzato dal Comune sin dal 2010, deve rilevarsi che il Garante, con le citate Linee guida del 14 giugno 2007 ha stabilito che di norma, “anche nell'ambito del pubblico impiego (come nel rapporto di lavoro in ambito privato) non è consentito utilizzare in modo generalizzato sistemi di rilevazione automatica delle presenze dei dipendenti mediante la raccolta di dati biometrici, specie se ricavati dalle impronte digitali” ( “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” punto n. 7,doc. web n. 1417809), posto che in base al principio di necessità ciascun titolare del trattamento è tenuto ad accertare se la finalità in concreto perseguita possa essere realizzata senza utilizzare dati biometrici o comunque conformandosi al principio di proporzionalità del trattamento ai sensi degli artt. 3 e 11 del Codice (cfr., oltre alle suddette Linee guida del 14 giugno 2007, anche il documento del Gruppo dei Garanti europei previsto dall'art. 29 della direttiva 95/46/Ce WP193, Parere 3/2012, sugli sviluppi nelle tecnologie biometriche, adottato il 27 aprile 2012, pag. 12, secondo cui "il datore di lavoro è sempre tenuto a cercare i mezzi meno invasivi scegliendo, se possibile, un procedimento non biometrico"; inoltre, fra altri, provvedimento n. 38 del 31 gennaio 2013 [doc. web n. 2304669] nei confronti di un Comune e i provvedimenti n. 261 [doc. web n. 2502951] e n. 262 [doc. web n. 2503101] del 30 maggio 2013 e n. 384 del 1 agosto 2013 [doc. web n. 2578547] nei confronti di alcuni istituti scolastici).

In alcuni casi, tuttavia, il Garante, ha ammesso l’utilizzo di taluni sistemi biometrici per accertare la presenza in servizio dei dipendenti in ragione delle peculiarità del contesto lavorativo, connesso soprattutto a fenomeni di assenteismo e criminalità effettivamente verificatisi; ma ciò non esonera, tuttavia, il titolare del trattamento dal dover adempiere gli obblighi impartiti dalla legge e, in proposito a tale vicenda, gli obblighi richiamati nel Verbale di contestazione di violazione amministrativa n. 17187/98345 del 10 giugno 2016, quali l’obbligo di notificazione al Garante prima dell’inizio del trattamento sulla base degli artt. 37 e 38 del Codice e, ancor prima, l’obbligo di presentazione dell’istanza di verifica preliminare al Garante, ai sensi dell’art. 17 del Codice.

Quanto alle argomentazioni del Comune addotte a sostegno della erronea convinzione della liceità del trattamento dei dati biometrici dei dipendenti per rilevarne la presenza in servizio, anche sulla base delle assicurazioni ricevute in tal senso dalla Società che ha provveduto all’istallazione del sistema biometrico, si fa presente che secondo consolidata giurisprudenza formatasi in relazione all’art. 3 della legge 689/1981, l’errore può ritenersi scusabile, e quindi sussistere la buona fede, quando tale errore si fonda su un elemento positivo, estraneo all’agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento. Tale elemento positivo deve risultare non ovviabile dall’interessato con l’uso dell’ordinaria diligenza. Il Comune, rivestendo a tutti gli effetti la qualifica di titolare del trattamento, era tenuta, diligentemente, a conoscere e a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragione del fatto che, in relazione al ruolo istituzionale svolto, anche in qualità di datore di lavoro, era tenuto a informarsi sulle norme applicabili e sulla relativa interpretazione, tra cui l’obbligo di procedere alla notificazione al Garante ai sensi dell’art. 37, comma 1, lett. a), secondo le modalità indicate dall’art. 38 del Codice. Pertanto, non può essere accolta l’argomentazione relativa alla sussistenza della buona fede, a fronte dell’obbligo di osservanza della normativa in materia di protezione dei dati personali da parte del titolare del trattamento.

RILEVATO che, sulla base di tutto quanto sopra richiamato, il Comune di San Mango Piemonte con sede in San Mango Piemonte (SA), Via Roma n. 5. - C.F. 80018830655 risulta aver commesso due distinte violazioni:

- la prima, in relazione all’art.162, comma 2-bis del Codice, per violazione delle disposizioni indicate nell’art.167 del medesimo Codice e, specificamente, dell’art. 17 per mancato assolvimento dell’obbligo di presentazione di apposita istanza di verifica preliminare per il trattamento dei dati biometrici dei dipendenti al fine di registrarne la presenza in servizio;

- la seconda, relativa all’art. 163 del Codice per violazione delle disposizioni degli artt. 37, comma 1, lettera a) e 38 del medesimo Codice per mancato assolvimento dell’obbligo di notificazione al Garante in relazione al suddetto trattamento di dati biometrici;

VISTO l’art. 162, comma 2-bis, del Codice che punisce, fra altro, la violazione della disposizione di cui all’art. 17 con la sanzione amministrativa del pagamento di una somma da diecimila fino a centoventimila euro;

VISTO l’art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37, comma 1, lett. a), e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell’opera svolta dall’agente, il Comune, in ottemperanza al provvedimento inibitorio del Garante del 17 marzo 2016, in data 14 aprile 2016 ha disattivato il sistema biometrico di accertamento delle presenze dei dipendenti nel luogo di lavoro basato sul rilevamento dell’impronta digitale degli stessi;

c) circa la personalità dell’autore della violazione, deve essere considerata la circostanza che la parte non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell’agente, si rappresenta che trattasi di un’Amministrazione pubblica;

RITENUTO di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 10.000,00 (diecimila) in riferimento all’art.162, comma 2-bis del Codice per la violazione di una delle disposizioni indicate nell’art.167 del Codice medesimo e, specificamente, dell’art. 17 per mancato assolvimento dell’obbligo di presentazione di apposita istanza di verifica preliminare per il trattamento dei dati biometrici, nonché, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all’art. 163 in relazione agli artt. 37, comma 1, lettera a) e 38 per un ammontare complessivo pari a euro 30.000,00 (trentamila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott.XXX;

ORDINA

al Comune di San Mango Piemonte con sede in San Mango Piemonte (SA), Via Roma n. 5. C.F. 80018830655 di pagare la somma di euro 30.000,00 (trentamila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

al medesimo Comune di pagare la somma di euro 30.000,00 (trentamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Servizio con modalità ICT di consulenza e di assistenza Entionline