IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 45/97157 del 2 gennaio 2015, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto gli accertamenti presso Transpe S.p.A. (di seguito "la società"), facente parte del Gruppo Gavio S.p.A. ed esercente l´attività di autotrasporto di carburanti, olii e combustibili, nonché merci e container per conto terzi, con sede in Tortona (AL), via Cavalieri di Vittorio Veneto n. 8, P.I. 01410840068, formalizzati nei verbali di operazioni compiute del 31 marzo e 1° aprile 2015, diretti a verificare la liceità dei trattamenti di dati personali effettuati dalla società e volti a rilevare la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è dato adempimento all´obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi e della nota inviata in data 14 aprile 2015, a scioglimento delle riserve formulate nel corso della visita ispettiva, è risultato che la società, sin dall´anno 2010, ha installato sui propri veicoli un sistema di geolocalizzazione, finalizzato al "soddisfacimento di esigenze logistiche, per assicurare una più efficiente gestione e manutenzione del parco veicoli, per garantire la sicurezza e l´incolumità dei lavoratori e per prevenire e contrastare eventi criminosi a danno dei beni aziendali" (verbale di operazioni compiute del 31 marzo 2015). Rispetto al trattamento di dati personali effettuato mediante il suddetto impianto di geolocalizzazione, la società ha comunicato di aver effettuato la notificazione al Garante, ai sensi degli artt. 37 e 38 del Codice, in data 26 marzo 2015;

VISTO il verbale n. 37/2015 del 20 aprile 2015 (che qui integralmente si richiama) con cui è stata contestata alla società, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, per aver effettuato il trattamento di dati personali di cui all´art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di presentare la notificazione al Garante prima dell´inizio del trattamento, come previsto dall´art. 38 del Codice;

RILEVATO che dal rapporto predisposto dal predetto Nucleo ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi datati 5 giugno 2015, inviati ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha precisato di aver sottoscritto, nel luglio del 2009, un contratto con la società TrackySat s.r.l., la quale "dotava nel corso del tempo 44 trattori stradali dell´esponente dei relativi apparati satellitari, atti ad individuare, da parte del software gestito da tale società, la posizione geografica dei mezzi dell´esponente"; prima ancora, nel 2008, "9 autobotti dell´esponente venivano dotate di analoghi impianti di geolocalizzazione su richiesta della cliente ENI Spa". Ciò posto, la società ha osservato di non avere contezza circa la propria qualifica di titolare del trattamento, ai sensi degli artt. 4 e 28 del Codice, e, conseguentemente, dell´obbligo relativo alla notificazione del trattamento al Garante, ai sensi degli artt. 37 e 38 del medesimo Codice, in quanto "era ed è TrackySat s.r.l. proprietaria dell´hardware (fornito sui mezzi in comodato all´esponente) e del software (dalla stessa direttamente gestito), necessari per la geolocalizzazione (…), [mentre] a Transpe era ed è riconosciuto, contrattualmente, il solo diritto di accesso in remoto ai dati registrati dai server di TrackySat s.r.l. (…)". In ogni caso, dopo aver proceduto alla sottoscrizione di un accordo sindacale per l´utilizzo degli impianti di localizzazione GPS, "essendo sorto il dubbio di rivestire in proprio la qualifica di titolare del trattamento", ha provveduto ad effettuare la notifica al Garante di cui all´art. 37 del Codice in data 26 marzo 2015. La parte ha, poi, lamentato che la sanzione amministrativa non sia stata applicata nella misura del minimo edittale, in considerazione della tenuità della violazione rilevata, che, a suo avviso, non riveste particolare rilievo se rapportata alle altre tipologie di trattamento per le quali è previsto l´obbligo di notificazione. Infine, la parte ha rilevato che "anche nell´ipotesi in cui fosse corretta la contestazione sollevata con il verbale in commento, la stessa non sarebbe comunque tenuta al pagamento della sanzione amministrativa, quale che fosse, che dovesse esserle effettivamente contestata con l´ordinanza ingiunzione", per la intervenuta prescrizione del diritto a riscuotere le somme dovute per la relativa violazione, ai sensi dell´art. 28 della legge n. 689/1981. Infatti, "è pacifico che la violazione si consumava nell´anno 2008 quanto alle autobotti e nell´anno 2009 quanto alle motrici e che il primo atto di interruzione della prescrizione può essere ravvisato solo nel verbale di contestazione in commento, dell´anno 2015, ne consegue che in ogni caso si è già da tempo prescritto il diritto di codesta Amministrazione a riscuotere le somme che dovesse ingiungere";

LETTO il verbale di audizione del 16 novembre 2015, svoltasi ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato nelle memorie difensive, chiedendo l´annullamento della contestazione o, in subordine, l´applicazione del minimo edittale con l´applicazione della diminuente di cui all´art. 164-bis, comma 1, in considerazione del fatto che non vi sono precedenti procedimenti sanzionatori a suo carico e che la condotta può essere considerata di lieve entità;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra. Deve, infatti, rigettarsi l´argomentazione che la parte ha formulato con riferimento all´attribuzione della titolarità del trattamento in capo alla società TrackySat, sul presupposto che questa è proprietaria dei dispositivi elettronici, necessari per l´erogazione del servizio di geolocalizzazione, e che abbia provveduto essa stessa ad installarli sui veicoli di Transpe e a cederli in comodato d´uso gratuito. Ai sensi dell´art. 4, comma 1, lett. f), del Codice, infatti, è titolare del trattamento "la persona fisica, la persona giuridica (…), cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento dei dati personali e agli strumenti utilizzati (…)". Nel caso di specie, se sotto il profilo contrattuale Transpe figura come cliente di TrackySat e utilizza il sistema satellitare di quest´ultima per monitorare gli spostamenti dei propri veicoli al fine di una migliore gestione dell´attività lavorativa, si osserva che, sotto il profilo della protezione dei dati personali, Transpe riveste senza dubbio la qualifica di titolare del trattamento, avendo assunto le decisioni in ordine alle finalità e alle modalità del trattamento di dati di geolocalizzazione, realizzato per mezzo di un sistema satellitare fornitole da TrackySat. Pertanto, la contestazione di violazione amministrativa è stata correttamente imputata a Transpe, in qualità di titolare del trattamento. Per quanto riguarda, invece, l´asserita prescrizione del diritto del Garante a riscuotere le somme dovute per la violazione dell´art. 37 del Codice (sulla base dell´art. 28 della legge n. 689/1981), si osserva che la violazione contestata (relativa all´omessa notificazione) costituisce un illecito di natura permanente. Pertanto, il momento della commissione dell´illecito coincide con quello della cessazione della condotta stessa, che va individuato nella data del 26 marzo 2015, quando, cioè, la società ha provveduto ad effettuare la notificazione all´Autorità. Fino a quel momento, l´attività di geolocalizzazione è stata realizzata in modo illecito, come è stato puntualmente verificato durante gli accertamenti ispettivi e correttamente contestato con il verbale del 20 aprile 2015, notificato nel rispetto dei termini di cui all´art. 14 della legge n. 689/1981. Infine, quanto alla richiesta di applicare la sanzione amministrativa prevista per la violazione dell´art. 37 con la diminuente di cui all´art. 164-bis, comma 1, del Codice, si rileva l´inapplicabilità della stessa per le caratteristiche della violazione accertata, che non può essere considerata di minore gravità. Le valutazioni in ordine alla mancanza di precedenti procedimenti sanzionatori a carico della società e in ordine alla lievità della condotta posta in essere vengono effettuate in vista dell´applicazione dei criteri di cui all´art. 11 della legge n. 689/1981 nella determinazione dell´importo della sanzione da comminare, che viene quantificata, nel caso di specie, nella misura del minimo edittale;

RILEVATO, quindi, che Transpe S.p.A., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver presentato preventivamente la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 163;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Transpe S.p.A., con sede in Tortona (AL), via Cavalieri di Vittorio Veneto n. 8, P.I. 01410840068, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.