IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 35/15 del 1° aprile 2015 (notificato il 17 aprile 2015), che qui deve intendersi integralmente riportato, ha contestato a Compagnia Generale Trattori S.p.A. (di seguito società), in persona del legale rappresentante pro-tempore, con sede legale in Vercelli, corso Torino, n. 45, C.F. n. 01674190028, la violazione delle disposizioni di cui agli artt. 37 e 163 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO, più precisamente, che con il verbale di contestazione si rappresenta quanto segue:

- a seguito di accertamento ispettivo svolto dalla Guardia di finanza presso la sede della società in data 4 marzo 2015, è stato rilevato che la società, che svolge attività di commercio all´ingrosso di macchine per movimento terra, utilizza un sistema informatico denominato "sistema del trasfertista". Tale sistema, attraverso un software appositamente realizzato e l´impiego di telefoni cellulari con tecnologia GPS/GPRS, consente l´inserimento, da parte dei dipendenti della società che lavorano fuori sede, di informazioni relative all´attività lavorativa svolta (inizio e fine viaggio, interventi tecnici effettuati, pezzi di ricambio utilizzati, ecc.), la rilevazione automatica dei chilometri percorsi dai mezzi aziendali in relazione a ciascuna chiamata, nonché la posizione degli stessi in caso di interventi urgenti o emergenza;

- con riferimento alla rilevazione della posizione dei mezzi e ai chilometri percorsi, qualificata tale attività come geolocalizzazione, non risulta che la società abbia presentato al Garante la notificazione prevista dagli artt. 37, comma 1, lett. a), e 38 del Codice;

RILEVATO che con il citato atto del 1° aprile 2015 è stata contestata alla società, ai sensi dell´art. 163 del Codice, la violazione dell´art. 37, per aver omesso di presentare la notificazione al Garante nelle forme previste dall´art. 38 del Codice, per i trattamenti di dati che indicano la posizione geografica di persone o cose, indicati nell´art. 37, comma 1, lett. a), del Codice;

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 15 maggio 2015, che qui si intendono integralmente richiamati e che, in sintesi, rappresentano:

1) "l´applicazione c.d. "Trasfertista" è entrata in funzione nel 2009. La Compagnia Generale Trattori era ben consapevole delle sue potenziali implicazioni giuridiche ed ha da subito convocato le rappresentanze sindacali aziendali per chiarirne finalità e modalità di funzionamento, raggiungendo il preventivo accordo sindacale previsto dall´articolo 4 dello Statuto dei Lavoratori";

2) "tra i dati che il trasfertista deve compilare vi è il "raggio chilometrico": in base agli accordi contrattuali, la CGT addebita al cliente una spesa di viaggio che è fissata a "scalini" (ad esempio tutti i clienti tra i 35 e i 50 km si vedranno addebitare un importo equivalente a tale "raggio di uscita"). Si è ritenuto di determinare questo dato, ove possibile, in modalità automatizzata. La funzione di calcolo chilometrico per questioni tecniche è comunque approssimato rispetto al dato effettivo del contachilometri del furgone in quanto non vi è una localizzazione continua. La funzione di geo-localizzazione è automatizzata ma non è automatica, in quanto diviene operativa solo a fronte di attivazione manuale (e quindi volontaria) da parte del dipendente […]";

3) "il fatto che l´applicazione non fosse intesa come una applicazione di geolocalizzazione e che tale funzione fosse stata concepita esclusivamente per la sicurezza del trasporto è dimostrato anche dalla seguente circostanza: dal 2009 ad oggi la possibilità di localizzare la posizione del veicolo di un dipendente è stata utilizzata una sola volta nel corso di tutti questi anni, e precisamente verso la fine del mese di ottobre del 2014. In quell´occasione è avvenuto quanto segue: la Filiale non riusciva a comunicare con un dipendente che, secondo quanto pianificato, avrebbe dovuto recarsi presso un cliente per un intervento di manutenzione; il dipendente, però, non si era presentato dal cliente (circostanza segnalata alla CGT dal cliente stesso) ed il suo superiore, preoccupato per la sua incolumità, aveva provveduto ad attivare a funzione di localizzazione del cellulare per cercare di capire se il dipendente fosse stato coinvolto in un incidente. E´ stata questa la sola circostanza in cui tale funzione è stata usata come detto sopra, al solo scopo di verificare l´incolumità dei dipendente, il che è assolutamente coerente con la finalità esclusiva di garantire la sicurezza delle persone";

4) ritenendo pertanto che i trattamenti di dati personali svolti dalla società mediante il sistema di geolocalizzazione debbano essere ricompresi fra quelli che, con il provvedimento n. 1 del 31 marzo 2004 (in www.gpdp.it, doc. web n. 852561), sono stati sottratti all´obbligo di presentare la notificazione al Garante in quanto finalizzati esclusivamente alla sicurezza del trasporto, la parte ha fatto richiesta di annullamento della sanzione e conseguente archiviazione del procedimento sanzionatorio;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra, per le motivazioni di seguito riportate:

a) con riferimento all´obbligo di presentare la notificazione al Garante, previsto, per i trattamenti che comportano la geolocalizzazione di persone o cose, dall´art. 37, comma 1, lett. a), del Codice, deve premettersi che l´Autorità, con provvedimento del 23 aprile 2004 (in www.gpdp.it, doc. web n. 993385) ha chiarito che "la norma si riferisce alla localizzazione di persone o oggetti, ed è quindi riferita alla rilevazione della loro presenza in determinati luoghi, mediante reti di comunicazione elettronica gestite o accessibili dal titolare del trattamento. La localizzazione va notificata quando permette di individuare in maniera continuativa ­anche con eventuali intervalli­ l´ubicazione sul territorio o in determinate aree geografiche, in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti. La localizzazione deve comunque permettere di risalire all´identità degli interessati, anche indirettamente attraverso appositi codici". L´esclusione dall´obbligo di presentare la notificazione al Garante, stabilita dal provvedimento n. 1 del 2004 richiamato nelle memorie difensive della società, riguarda i soli "trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto";

b) delimitato come sopra il perimetro di operatività della norma, deve evidenziarsi che l´attività di geolocalizzazione svolta dalla società è stata così descritta dalla società medesima in occasione dell´accertamento ispettivo della Guardia di finanza: "la CGT SPA, per semplificare il processo di raccolta e contabilizzazione delle ore lavorate in trasferta dei propri dipendenti, ha sviluppato un sistema per la gestione dei tecnici trasferisti che tra le tante informazioni tecniche sull´intervento, raccoglie anche la localizzazione del palmare del tecnico, sfruttando unicamente il GPS presente sul palmare. Tutti i dati raccolti vengono conservati nei server aziendali siti in Vimodrone, nonché stampati in duplice copia a termine del lavoro effettuato e controfirmati dal cliente. […] I dati riguardanti le ore lavorate e ore di viaggio, alimentano in modo immediato il sistema delle risorse umane per le paghe dei dipendenti. I dati relativi alle ore di lavoro e i KM percorsi, alimentano il sistema del servizio per la fatturazione ai clienti. Ogni dipendente viene dotato di un palmare, univocamente associato allo stesso, che effettua il servizio di geolocalizzazione solo se al momento della trasferta viene attivata la "modalità viaggio", inserito il numero di targa dell´automezzo e allacciato all´alimentazione dell´automezzo stesso. Il sistema rileva la posizione ogni 5 secondi e pertanto effettua il calcolo dei KM effettuati. […];

c) nel corso dell´attività ispettiva la Guardia di finanza ha anche acquisito l´accordo stipulato, ai sensi dell´art. 4 della legge n. 300/1970, dalla società e dalle organizzazioni sindacali aziendali il 2 marzo 2009. In tale accordo - a ulteriore riprova che il sistema non era preordinato esclusivamente al perseguimento delle finalità di sicurezza del trasporto in modo da poter rientrare nei casi sottratti all´obbligo di presentazione della notificazione al Garante di cui al provvedimento n. 1/2004 - è stato specificato che l´applicativo denominato "sistema del trasfertista" consente l´inserimento da parte del tecnico di una serie di informazioni attinenti all´espletamento della prestazione lavorativa in aggiunta alla rilevazione della posizione del furgone in tempo reale attraverso un collegamento via web in caso di necessità o emergenza;

d) in sede di notifica del verbale di contestazione di violazione amministrativa, avvenuta il 17 aprile 2015 presso la compagnia di Vercelli della Guardia di finanza, il rappresentante legale della società ha rilasciato le seguenti dichiarazioni: "Prendo atto della notifica del Verbale, mi riservo di produrre ricorso, presentando tutta la documentazione necessaria a dimostrare la buona fede, e l´uso per esclusivi obiettivi di efficienza operativa verso la clientela";

e) dagli atti sopra richiamati risulta che l´attività di rilevamento della posizione dei furgoni e dei dipendenti della società inviati in trasferta, effettuata mediante il cd. "sistema del trasfertista", si configuri come geolocalizzazione poiché idonea a individuare in maniera continuativa ­anche con eventuali intervalli­ l´ubicazione sul territorio, in base ad apparecchiature o dispositivi elettronici, dei dipendenti medesimi. Tale geolocalizzazione, come emerge dagli atti dell´accertamento ispettivo, è stata fin dall´origine finalizzata alla rilevazione dei chilometri percorsi per la fatturazione ai clienti, all´individuazione del tecnico più vicino al cliente in caso di necessità di intervento non pianificato e, più in generale, all´accrescimento dell´efficienza operativa verso la clientela. Solo in sede di memoria difensiva è stato fatto rilevare che la geolocalizzazione aveva finalità di sicurezza del trasporto, finalità comunque non esclusiva e, in base a quanto rappresentato proprio nelle memorie difensive, in concreto perseguita in una sola circostanza. Tale attività non può pertanto rientrare nei casi sottratti all´obbligo di presentazione della notificazione al Garante, individuati con il provvedimento n. 1/2004;

f) deve pertanto ritenersi confermata la responsabilità della società in relazione alla contestata violazione;

RILEVATO, quindi, che la società, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver presentato preventivamente la notificazione al Garante.

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, le violazioni non risultano connotate da elementi specifici, avuto anche riguardo alle concrete modalità di utilizzo da parte della società del sistema di geolocalizzazione, così come desunte dagli atti dell´attività ispettiva;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato la notificazione al Garante, per i trattamenti in argomento, in data 14 maggio 2015;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi del bilancio ordinario d´esercizio per l´anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 163;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Compagnia Generale Trattori S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Vercelli, corso Torino, n. 45, C.F. n. 01674190028, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.