IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 37 del 4 giugno 2014 (notificato il 13 giugno 2014), che qui deve intendersi integralmente riportato, ha contestato a Sisal S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Milano, via A. di Tocqueville, n. 13, C.F. n. 04900570963, la violazione delle disposizioni di cui agli artt. 37, 38 e 163 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO, più precisamente, che con il verbale di contestazione si rappresenta quanto segue:

- a seguito di accertamento ispettivo svolto dalla Guardia di finanza presso la sede della società il 20 maggio 2014, è stato rilevato che la Sisal S.p.A., "dal 24 luglio 2013 ha installato un sistema di geolocalizzazione su alcuni smartphone concessi in dotazione, inizialmente, a 6 dipendenti operanti nell´area tecnica e vendita. Attualmente il sistema di geolocalizzazione interessa 10 dipendenti operanti sempre nell´area tecnica e vendita";

- "Il sistema di geolocalizzazione è gestito in proprio dalla Società senza intervento di operatori esterni. L´installazione è stata curata dai dipendenti stessi mediante apposite istruzioni impartite a mezzo e-mail. […] L´applicazione sullo smart phone è sotto il controllo del dipendenti assegnataRi, nel senso che è lo stesso dipendente che può attivare o disattivare la geolocalizzazione in relazione alle istruzioni impartite e riportate tra l´altro nell´accordo sindacale stipulato in data 19 luglio 2013. L´applicazione, una volta attivata, invia la posizione al sistema centrale ogni 5 minuti. La posizione del dipendente geolocalizzato viene registrata in un apposito data base. La posizione dei dipendenti geolocalizzati può essere visualizzata dal soli incaricati (team leader) mediante l´accesso in una specifica ama riservata. L´incaricato visualizza la posizione registrata negli ultimi 5 minuti di tutti i dipendenti che hanno attivato il sistema. Nella schermata si vede la posizione dei dipendenti indicati con un numero a cui corrisponde il cognome dello stesso. Il sistema permette di effettuare il tracciato del percorso in modo approssimativo proprio per l´intervallo dei 5 minuti in cui non viene inviato alcun segnale dal sistema di geolocalizzazione. […]. Attualmente, essendo ancora il sistema in fase sperimentale, sono interessate dieci persone dell´area tecnica vendita";

- "il presupposto e la finalità del trattamento dei dati personali sono quelli dell´offrire alla forza vendita e ai dipendenti dell´area assistenza tecnica uno strumento di efficientamento aziendale che consenta di minimizzare gli spostamenti ed il tempo di percorrenza da un punto vendita all´altro per i dipendenti";

- "Il titolare del trattamento per la geolocalizzazione in argomento, non ha effettuato la notificazione ex ad. 37 del D.Lgs. 196/2003. La notificazione non è stata effettuata trattandosi ancora di una fase sperimentale volta a verificare le effettive modalità tecniche del servizio in cui il trattamento dei dati personali era e riguarda tutt´ora un esiguo numero di dipendenti al solo fine di ottenere dati numerici e informatici sulla continuità e la funzionalità dell´applicazione realizzata dalla Società in vista di una definitiva implementazione. Nel momento in cui la Società avesse raccolto ed esaminati tali dati e avesse deciso di dare attuazione pratica al progetto di geolocalizzazione, avrebbe notificato il trattamento come previsto dall´art. 37 del Codice con le modalità di cui al successivo art. 38";

RILEVATO che con il citato atto del 4 giugno 2014 è stata contestata alla società Sisal S.p.A. la violazione di cui all´art. 163 del Codice, per aver omesso di presentare la notificazione al Garante nelle forme previste dall´art. 38 del Codice, per i trattamenti di dati che indicano la posizione geografica di persone o cose, indicati nell´art. 37, comma 1, lett. a), del Codice;

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dalla Guardia di finanza ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 14 luglio 2014 e il verbale di audizione del 13 ottobre 2015, che qui si intendono integralmente richiamati e che, in sintesi, rappresentano:

1) "l´utilizzo del sistema di geolocalizzazione […], avviato nel mese di luglio dello scorso anno, previo accordo con le associazioni sindacali di rappresentanza dei lavoratori, allo stato, avviene in via sperimentale e coinvolge, su base volontaria, un numero ristretto di dipendenti, esattamente 10, che, come emerge dal verbale di ispezione del 20 maggio 2014 […], hanno provveduto personalmente alla installazione dello stesso sui propri dispositivi telefonici mobili. I dipendenti coinvolti, peraltro, come stabilito nell´accordo sottoscritto dalla esponente con i sindacati del 19 luglio 2013 […], possono disattivare il sistema in qualsiasi momento, distaccandolo così dal server centrale al di fuori dell´orario lavorativo";

2) "Il sistema […] non viene utilizzato al fine di monitorare costantemente e con continuità i dipendenti che partecipano al programma di sperimentazione, ma al solo fine di individuare la loro ultima posizione registrata dal sistema che, ogni cinque minuti, riceve un segnale dal dispositivo telefonico degli interessati. Il sistema, quindi, non è un sistema di rilevamento della posizione continuo ed automatico in quanto utilizzato solo al fine di verificare l´ultimo posizionamento rilevato del/dei dipendenti, solo e soltanto in caso di necessità, da parte di operatori (attualmente dieci) specificamente autorizzati a tale utilizzo che accedono al sistema attraverso un´area a loro riservata e tramite digitazione di password personali, come rilevato dai militari operanti nel verbale di ispezione del 20 maggio 2014. Il trattamento dei dati, pertanto, in questa fase sperimentale, proprio per la natura della stessa, non avviene in modo sistematico ed organizzato, ma al solo fine di rilevare dati e statistiche necessari per verificare il buon funzionamento del sistema e la sua capacità di soddisfare le esigenze logistiche ed organizzative della Sisal S.p.A. consentendole di ottimizzare i tempi di intervento presso i punti di vendita della propria rete commerciale anche in conformità con gli obblighi concessori sulla stessa gravanti in forza delle concessioni di cui è titolare per la raccolta del gioco.";

3) "Visto il carattere sperimentale, temporaneo, non sistematico, dell´utilizzo del sistema di geolocalizzazione, considerato l´accordo sottoscritto con le associazioni di categoria al fine di informarle circa l´avvio dell´utilizzo del sistema e di individuarne comunemente e concordemente i limiti di utilizzo, tenuto conto della esiguità dei dipendenti coinvolti, su base volontaria nel progetto di sperimentazione e della possibilità per gli stessi di disattivare il sistema di geolocalizzazione direttamente dal loro dispositivo, considerando il trattamento dei dati proporzionato rispetto alle esigenze temporanee e provvisorie di sperimentazione, la Sisal S.p.A. ha ritenuto di non dover procedere alla notifica del trattamento";

4) "ad oggi (13 ottobre 2015, data della audizione della parte] il sistema è utilizzato ancora in fase sperimentale, pur avendo la società provveduto a notificare il trattamento al Garante immediatamente dopo la contestazione della violazione".

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra, per le motivazioni di seguito riportate:

1) con riferimento all´obbligo di presentare la notificazione al Garante, previsto, per i trattamenti che comportano la geolocalizzazione di persone o cose, dall´art. 37, comma 1, lett. a), del Codice, deve premettersi che l´Autorità, con provvedimento del 23 aprile 2004 (in www.gpdp.it, doc. web n. 993385) ha chiarito che "la norma si riferisce alla localizzazione di persone o oggetti, ed è quindi riferita alla rilevazione della loro presenza in determinati luoghi, mediante reti di comunicazione elettronica gestite o accessibili dal titolare del trattamento. La localizzazione va notificata quando permette di individuare in maniera continuativa ­anche con eventuali intervalli­ l´ubicazione sul territorio o in determinate aree geografiche, in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti. La localizzazione deve comunque permettere di risalire all´identità degli interessati, anche indirettamente attraverso appositi codici". Non può dubitarsi che i trattamenti svolti dalla società siano ricompresi nella definizione sopra richiamata e deve osservarsi che, nel caso in argomento, non opera l´esclusione individuata dal provvedimento n. 1 del 31 marzo 2004 (in www.gpdp.it, doc. web n. 852561) che riguarda i soli "trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto";

2) premesso pertanto che, per la tipologia dei trattamenti svolti, risultava necessario presentare la notificazione al Garante, deve rilevarsi che a nulla rilevano le osservazioni in ordine al carattere sperimentale e non sistematico delle rilevazioni svolte: i trattamenti, infatti, hanno comportato una acquisizione di dati personali per un lungo periodo (considerando che alla data del 13 ottobre 2015 Sisal S.p.A. ha dichiarato in sede di audizione che gli stessi erano ancora in corso e sempre in modalità sperimentale) e per un numero di dieci dipendenti;

3) in base a quanto previsto dall´art. 163 del Codice, Sisal S.p.A. avrebbe quindi dovuto procedere "tempestivamente" alla notificazione del trattamento, e cioè, come indicato nell´art. 38, "prima dell´inizio del trattamento ed una sola volta, a prescindere dal numero delle operazioni e della durata del trattamento da effettuare";

RILEVATO, quindi, che Sisal S.p.A., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver presentato preventivamente la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, le violazioni non risultano connotate da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve valutarsi positivamente la circostanza che la società, una volta ricevuto il verbale di contestazione di violazione amministrativa, ha proceduto a presentare al Garante la notificazione dei trattamenti in argomento;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi indicati nel bilancio d´esercizio per l´anno 2015;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di: euro 20.000,00 (ventimila) per la violazione di cui all´art. 163;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

ORDINA

a Sisal S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Milano, via A. di Tocqueville, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.