IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di alcune segnalazioni pervenute all´Autorità, con cui veniva lamentata l´installazione di sistemi di videosorveglianza e di geolocalizzazione da parte della società di trasporti urbani di Cosenza, A.M.A.CO. s.p.a., non conformi alla disciplina in materia di protezione dei dati personali, veniva delegato il Nucleo privacy della Guardia di finanza a svolgere accertamenti ispettivi presso la sede della società, sita in Cosenza, Località Torrevecchia, al fine di verificare la liceità dei trattamenti di dati personali effettuati per mezzo del sistema di videosorveglianza, installato presso il deposito della società, e del sistema di geolocalizzazione, posizionato sui veicoli in uso ai dipendenti;

VISTI gli atti dell´accertamento ispettivo, effettuato in data 24 e 25 settembre 2013 dal predetto Nucleo in esecuzione della richiesta di informazioni n. 15752/85409 del 20 giugno 2013, formulata ai sensi dell´art. 157 del Codice, dai quali è risultato che:

- "il sistema [di geolocalizzazione] pervenuto in dotazione agli autobus acquistati nel periodo 2005 e 2006, consta di apparecchiature contenenti rilevatori satellitari a tecnologia GPS/GPRS, in grado di rilevare le seguenti tipologie di informazioni: posizione geografica del veicolo, apertura porte, azionamento pedana per disabili, superamento della velocità massima consentita. (…)";

- "Il sistema associa le informazioni a ciascun veicolo rilevato, individuato con l´identificativo assegnato dal sistema stesso. Solo attraverso l´eventuale confronto con il foglio di servizio (…) e con la verifica dell´assegnazione giornaliera del veicolo, è possibile associare al singolo dipendente le informazioni riferite a una determinata vettura";

- per quanto riguarda le finalità perseguite mediante il sistema di geolocalizzazione, "posto che la finalità principale è quella di fornire adeguata risposta ai reclami dell´utenza", esse consistono altresì nella "definizione dei tempi di percorrenza dei veicoli al fine di realizzare il programma di esercizio; finalità tecnico statistiche volte al miglioramento della qualità del servizio; attraverso la telemetria, il sistema consente di comunicare in azienda lo stato di efficienza dei mezzi; verifiche relative ad eventuali denunce di sinistri occorsi ai veicoli (…)";

- a fronte del trattamento dei dati personali, effettuato per mezzo dell´impianto di geolocalizzazione, è stata rilevata l´assenza dell´informativa di cui all´art. 13 del Codice; la società ha giustificato tale carenza con la circostanza per la quale "tutti gli autisti dell´azienda sono stati compiutamente informati in occasione dei corsi di formazione tenutisi in occasione dell´arrivo dei veicoli a metano che sono quelli dotati di rilevatore per la geolocalizzazione (…)";

- quanto all´obbligo della notificazione di cui all´art. 37 del Codice, la società ha dichiarato di non aver proceduto ad effettuare la notificazione al Garante "in quanto non era al corrente dell´esistenza di tale obbligo";

RILEVATO che l´Autorità ha adottato nei confronti della Società il provvedimento n. 434 del 2 ottobre 2014 (in www.garanteprivacy.it, doc. web n. 3534543) che qui integralmente si richiama, con cui è stato dichiarato illecito il trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica e con cui sono state prescritte le misure idonee a rendere il suddetto trattamento conforme alla disciplina rilevante in materia di protezione dei dati personali;

VISTO il verbale n. 35155/85409 del 3 dicembre 2014 con cui sono state contestate ad A.M.A.CO. s.p.a., con sede in Cosenza, Loc. Torrevecchia, P.I. 00179160783, in persona del legale rappresentante pro-tempore, le violazioni amministrative previste dagli artt. 161 e 163 del Codice, per aver effettuato il trattamento di dati personali di cui all´art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), in assenza dell´informativa di cui all´art. 13 del Codice e omettendo di presentare la notificazione al Garante nelle modalità indicate dall´art. 38 del medesimo Codice;

RILEVATO che dal rapporto predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689, non risultano essere stati effettuati i pagamenti in misura ridotta;

VISTI gli scritti difensivi datati 5 gennaio 2015, inviati ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha, in primo luogo, illustrato le modalità con cui viene effettuato il trattamento dei dati personali per mezzo dei sistemi di geolocalizzazione installati sui veicoli aziendali, alla luce delle prescrizioni impartite dal Garante con il provvedimento del 2 ottobre 2014, precisando, altresì, che l´installazione degli strumenti di geolocalizzazione è stata decisa dalla Regione Calabria con legge regionale n. 69 del 27 dicembre 2012. Quanto, invece, alle violazioni contestate, la parte ha dichiarato di aver provveduto ad apporre, sia all´interno che all´esterno degli autobus, l´informativa semplificata, da cui emerge chiaramente che il veicolo è dotato di un impianto di geolocalizzazione; parimenti, per quanto riguarda l´obbligo della notificazione, la procedura di cui all´art. 38 del Codice è stata effettuata tempestivamente, in data 8 ottobre 2013. Pertanto, avendo adempiuto agli obblighi di legge, la parte ha chiesto l´archiviazione dei procedimenti sanzionatori o, in subordine, l´applicazione del minimo delle sanzioni edittali con eventuale applicazione dell´attenuante di cui all´art. 164-bis, comma 1, del Codice;

LETTO il verbale di audizione 4 maggio 2015, svoltasi ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato nelle memorie difensive, precisando che tramite il trattamento dei dati, oggetto della violazione, non è mai stato leso alcuno dei principi stabiliti dal Codice;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra. Infatti, al momento dell´accertamento ispettivo, condotto nelle date del 24 e 25 settembre 2013, è stato accertato che, a fronte del trattamento dei dati personali effettuato per mezzo degli impianti di geolocalizzazione, installati sui veicoli aziendali, nessuno degli adempimenti, richiesti dalla normativa in materia di protezione dei dati personali, era stato posto in essere dalla società, in qualità di titolare del trattamento. E´ la società stessa, nel corso degli accertamenti, a dichiarare di non aver apposto le informative sugli autobus, dotati degli impianti GPS, e di non aver provveduto ad effettuare la notificazione al Garante, non essendo a conoscenza dell´esistenza di tale obbligo. La circostanza, poi, che l´installazione di tali impianti fosse stata voluta e decisa dalla Regione Calabria, non incide sulla titolarità del trattamento, che ricade in capo alla società A.M.A.CO. s.p.a., e, dunque, sulla necessità di adottare le misure idonee e necessarie a garantire il rispetto dei diritti degli interessati. Infine, si osserva che l´applicazione dell´importo della sanzione e delle attenuanti (ed eventuali aggravanti) previste dal Codice, viene effettuata tenendo conto dei criteri di valutazione stabiliti dall´art. 11 della legge n. 689/1981;

RILEVATO, quindi, che A.M.A.CO. s.p.a., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 13, 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver reso l´informativa e aver presentato la notificazione al Garante;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

RITENUTO che ricorrono le condizioni per applicare, in relazione alla sola violazione di cui all´art. 13, l´art. 164-bis, comma 1, del Codice che prevede che, se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, avuto anche riguardo alla natura anche economica e sociale dell´attività svolta, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici, avuto anche riguardo alle concrete modalità di utilizzo da parte della società del sistema di geolocalizzazione;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la Società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato la notificazione al Garante in data 8 ottobre 2013;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori, oltre ad essersi attivata tempestivamente per ottemperare alle prescrizioni impartite dall´Autorità con il provvedimento del 2 ottobre 2014;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi del bilancio ordinario d´esercizio per l´anno 2016;
RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 2.400,00 (duemilaquattrocento) per la violazione di cui all´art. 161 del Codice, e nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 163 del Codice, per un ammontare complessivo pari a euro 22.400,00 (ventiduemilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

ORDINA

a A.M.A.CO. s.p.a., con sede in Cosenza, Loc. Torrevecchia, P.I. 00179160783, di pagare la somma di euro 22.400,00 (ventiduemilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 22.400,00 (ventiduemilaquattrocento), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.