IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice), n. 30130/74010 del 29 novembre 2012, formulata da questa Autorità a fronte di una segnalazione, ha svolto, presso la sede legale del Consorzio unico di bacino per le Province di Napoli e Caserta in liquidazione (d´ora in poi Consorzio), già sita in Caserta, corso Pietro Giannone, n. 50, P.I.: 03532640616, gli accertamenti di cui ai verbali delle operazioni compiute del 3 e 4 aprile 2013;

RILEVATO che all´esito di tale attività e a fronte della nota inoltrata dal Soggetto liquidatore del Consorzio datata 11 ottobre 2013, a scioglimento delle riserve formulate in sede di accertamenti ispettivi presso la sede del Consorzio, il competente Ufficio del Garante, con la nota di trasmissione n. 17284/74010 del 4 giugno 2014, ha accertato quanto segue:

- il Consorzio ha effettuato un trattamento di dati personali tramite un sistema di rilevazione dei dati biometrici [impronte digitali] dei dipendenti per finalità di rilevazione delle presenze;

- tale trattamento, iniziato nel mese di aprile del 2011, risulta cessato a partire dal mese di novembre 2012 e non vi sono evidenze di ulteriori trattamenti dei template a suo tempo raccolti;

- il Consorzio, tuttora in fase di liquidazione, non aveva provveduto ad effettuare la notificazione al Garante prescritta dall´art. 37, comma 1, lett. a) del Codice in quanto non riteneva che il sistema utilizzasse dati biometrici [il sistema memorizzava un codice alfanumerico associato al dipendente per ogni impronta rilevata];

RILEVATO che l´Ufficio del Garante, con verbale n. 17788/74010 del 6 giugno 2014 (notificato in pari data), che qui deve intendersi integralmente riportato, ha contestato al Consorzio, in qualità di titolare del trattamento, in relazione all´omessa notifica al Garante del trattamento di dati biometrici di cui all´art. 37, comma 1 lett. a) del Codice, la violazione amministrativa prevista dall´art. 163 del Codice, informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

CONSIDERATO che la parte non risulta essersi avvalsa delle facoltà previste dall´art. 18 della legge n. 689/1981 (non presentando all´Autorità scritti difensivi né chiedendo di essere ascoltata);

CONSIDERATO che il sistema utilizzato all´epoca dei fatti dal Consorzio, nel rilevare l´impronta digitale dell´interessato, trasformandola in un codice alfanumerico tramite il c.d. enrolment e convertendola in un template, effettuava un trattamento di dati personali di cui all´art. 4, comma 1, lett. a), del Codice. Sul punto il Garante si è espresso in numerosi provvedimenti (ex multis Ordinanza ingiunzione n. 554 del 22 ottobre 2015, doc. web. 4630919; Provvedimento generale prescrittivo in tema di biometria del 12 novembre 2014, doc. web. 3556992; Provvedimento dell´8 novembre 2007, doc. web n. 1461908; provvedimenti relativi ai casi da sottrarre all´obbligo di notificazione, in G. U. n. 81 del 6 aprile 2004, doc. web n. 852561, e del 23 aprile 2004, doc. web n. 993385);
Visto l´art. 37, comma 1, lett. a), del Codice che disciplina l´obbligo per i titolari del trattamento di effettuare una notifica preventiva al Garante qualora il trattamento riguardi dati biometrici;

RILEVATO, pertanto, che il Consorzio unico di bacino per le Province di Napoli e Caserta in liquidazione, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice, risulta aver commesso la violazione di cui all´art. 37, comma 1, lett. a) del Codice, per aver effettuato un trattamento di dati biometrici senza aver presentato preventivamente la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui all´art. 37 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della l. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

al Consorzio unico di bacino per le Province di Napoli e Caserta in liquidazione, in persona del legale rappresentante pro-tempore, con sede legale in Marcianese (CE), strada provinciale 335, km. 27,800, snc, P.I.: 03532640616, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.