IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo privacy della Guardia di Finanza, in esecuzione della richiesta di informazioni n. 6303/102969 del 3 marzo 2016, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto accertamenti presso ATAM S.p.A. – Azienda territoriale Arezzo Mobilità S.p.A. (di seguito la "Società"), società a partecipazione pubblica che gestisce servizi per la mobilità per il Comune di Arezzo, con sede in Arezzo, Località case nuove di Ceciliano n. 49/5 – P.IVA 00368260519, formalizzati nei verbali di operazioni compiute del 8 e 9 marzo 2016, al fine di verificare la liceità dei trattamenti di dati personali effettuati dalla società per mezzo di un sistema di geolocalizzazione volto a rilevare la posizione geografica dei propri veicoli mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è adempiuto l´obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi e della documentazione acquisita è risultato che:

- la Società, fra altri servizi per la mobilità del Comune di Arezzo (sosta tariffata, bike sharing), gestisce quello di car sharing, inserito nel circuito "Consorzio Gestori Circuito Nazionale Car Sharing;

- in riferimento a tale servizio, iniziato nel luglio 2015, la Società si avvale del supporto tecnologico fornito dalla società TRS Tecnologie nelle reti e nei sistemi S.p.A., utilizzando "(…) il gestionale www.icsprenoto.it – TRS dal quale è possibile rilevare la posizione delle singole autovetture ed eventualmente associarla al numero della prenotazione del cliente che ha prelevato l´autovettura" (pag. 2 del verbale di contestazione);

- gli iscritti al servizio "(…) sono solo sedici e tutti dipendenti e/o collaboratori tecnici della Società, iscritti al solo fine della verifica della funzionalità del sistema di prenotazione e di fatturazione, in quanto (…) ad oggi non risulta iscritto alcun utente" come sostenuto dalla parte nel corso degli accertamenti (pag. 2 del verbale di operazioni compiute del 9 marzo 2016);

- la Società, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, è titolare del trattamento dei dati personali effettuato per l´esecuzione dell´attività relativa al citato servizio;

- la Società, a fronte del trattamento di dati personali posto in essere mediante il sistema di geolocalizzazione, ha omesso di effettuare la notificazione al Garante, ai sensi degli artt. 37 e 38 del Codice, prima dell´inizio del trattamento avviato nel luglio 2015;

VISTO il verbale n. 30 del 16 marzo 2016 con cui è stata contestata alla Società, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, per aver effettuato il trattamento di dati personali di cui all´art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di effettuare la notificazione al Garante secondo le modalità indicate dall´art. 38 del Codice;

RILEVATO che dal Rapporto predisposto dal predetto Nucleo ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 non risulta essere stato effettuato il pagamento in misura ridotta;

VISTA la memoria difensiva datata 26 aprile 2016, inviata ai sensi dell´art. 18 della legge n. 689/1981, con cui la Società ha asserito che per il servizio di car sharing offerto al pubblico, dal 1 luglio 2015, "(…) ATAM utilizza un sistema gestionale TRS che permette la rilevazione della posizione di singole autovetture e, quindi, anche dei relativi abbonati. (…) Di conseguenza, nel caso di specie è indiscutibile l´operatività del dettato delle due norme appena sopra richiamate (artt. 37 e 38 D.Lgs. 196/2003). E´ altrettanto indubbio che ATAM non ha effettuato la notifica di cui agli artt. 37 e 38 D.Lgs. 196/2003(…)" ma che, tuttavia, non sussiste l´obbligo di notificazione al Garante in considerazione del fatto che "al momento degli accessi effettuati dalla Guardia di Finanza in data 8 e 9 marzo 2016 alcuna persona fisica era iscritta al servizio di car sharing. Per effetto, alcun dato personale era stato trattato dal sistema gestionale TRS". La parte, come già affermato nel corso dell´ispezione, ribadisce, infatti, che le iscrizioni risultanti dal sistema si riferivano a "(…) soggetti dipendenti e/o collaboratori di ATAM che questa ha utilizzato a meri fini di "prova" al solo scopo di testare la funzionalità del servizio (…) Tutto quanto sopra (…) determina che, al momento del primo accesso eseguito dalla Guardia di Finanza in data 8 marzo 2016, in capo ad ATAM non era sorto alcun obbligo di effettuare la notifica preliminare di cui al combinato disposto degli artt. 37 e 38 D.lgs. n. 196/2003". Inoltre, per i motivi di cui sopra, la parte ha addotto la propria buona fede, da tenere in considerazione, ai fini dell´applicazione dell´art. 164-bis, comma 1, del Codice (minore gravità della violazione di cui all´art.163) nell´ipotesi in cui si ravvisi, in capo alla Società, il mancato adempimento dell´obbligo di notificazione ex artt. 37 e 38 del citato Codice;

LETTO il verbale di audizione del 10 ottobre 2016, svoltasi ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato nella memoria difensiva, nonché rappresentato il fatto nuovo di aver provveduto, a seguito dell´ispezione, ad effettuare la notificazione al Garante in data 22 marzo 2016. La Società ha, inoltre, prodotto deduzioni integrative nelle quali, oltre a ribadire che "al momento della contestazione (…) non era stata effettuata nessuna operazione di trattamento (…)" ha evidenziato che "ATAM S.p.A. non è in grado di esercitare un potere decisionale del tutto autonomo rispetto al complesso delle attività effettuate in materia di protezione dei dati raccolti tramite il sistema di car sharing: le modalità relative ai trattamenti effettuati con strumenti elettronici coinvolgono in modo rilevante la TRS (…) In questo caso la titolarità del trattamento assume le caratteristiche della contitolarità e pertanto anche la notificazione dovrebbe avere contenuti diversi";

TENUTO CONTO che la Società, per i motivi sopra esposti, ha richiesto, in via principale, l´annullamento del verbale di contestazione di violazione amministrativa n. 30/2016 e, per effetto, ordinanza di archiviazione degli atti; in via subordinata, l´applicazione dell´art. 164-bis, comma primo, e, quindi, della sanzione nella misura ridotta dei due quinti del minimo edittale;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´annullamento del verbale di contestazione e l´archiviazione del procedimento sanzionatorio.

Anzitutto, il fatto che attraverso il "(…) gestionale www.icsprenoto.it – TRS (…) è possibile rilevare la posizione delle singole autovetture ed eventualmente associarla al numero della prenotazione del cliente che ha prelevato l´autovettura" (pag. 2 del verbale di contestazione), costituisce una ipotesi che rientra nell´ambito applicativo degli artt. 37, comma 1, lett. a), e 38 del Codice. Infatti, come precisato dal Garante nel provvedimento "Chiarimenti sui trattamenti da notificare al Garante" del 23 aprile 2004 [doc. web n. 993385] "La localizzazione va notificata quando permette di individuare in maniera continuativa - anche con eventuali intervalli - l´ubicazione sul territorio o in determinate aree geografiche, in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti".

In relazione, poi, a quanto evidenziato nella memoria difensiva al fine di dimostrare l´insussistenza dell´obbligo di notificazione in capo alla Società, è irrilevante che l´iscrizione al sistema da parte di dipendenti e collaboratori sia avvenuta a meri fini di "prova" per testare la funzionalità del servizio: non è, infatti, esclusa la responsabilità della Società in relazione alla violazione amministrativa per omessa notificazione in quanto, contrariamente a quanto asserito, anche la sperimentazione sostanzia, ai sensi dell´art. 4, comma 1, lett. a) del Codice, un trattamento di dati personali.

Per quanto attiene, poi, alla sopra esposta argomentazione relativa al fatto che la Società "non è in grado di esercitare un potere decisionale del tutto autonomo rispetto al complesso delle attività effettuate in materia di protezione dei dati raccolti tramite il sistema di car sharing (…)" e che, in tal caso "(…) la titolarità del trattamento assume le caratteristiche della contitolarità (…)" è, parimenti, irrilevante dal momento che - ammesso che si tratti di contitolarità - in tal caso, ciascun contitolare è tenuto a effettuare un´autonoma notificazione nella quale devono essere indicati, senza specificazione dei relativi trattamenti, gli altri contitolari. Quanto alla invocata buona fede, la Società, rivestendo a tutti gli effetti la qualifica di titolare del trattamento, era tenuta a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragion del fatto che, in relazione alla sue qualità professionali quale agente, era tenuto a informarsi sulle norme applicabili e sulla relativa interpretazione, tra cui l´obbligo di procedere alla notificazione al Garante secondo le modalità indicate dall´art. 38 del Codice. Pertanto, non può essere accolta l´argomentazione relativa alla sussistenza della buona fede, a fronte dell´obbligo di osservanza della normativa in materia di protezione dei dati personali da parte del titolare del trattamento;

RILEVATO, quindi, che la Società sulla base delle considerazioni sopra esposte, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver preventivamente presentato la notificazione al Garante;

VERIFICATO che la Società ha presentato la notificazione al Garante in data 22 marzo 2016, successivamente all´accertamento ispettivo e alla contestazione effettuati dal Nucleo Speciale Privacy della Guardia di Finanza, come risulta dall´interrogazione del Registro generale dei trattamenti;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici, avuto anche riguardo alle concrete modalità di utilizzo da parte della società del sistema di geolocalizzazione;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la Società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato la notificazione al Garante in data 22 marzo 2016, successivamente all´inizio del trattamento;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi del bilancio ordinario d´esercizio per l´anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 163 del Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a ATAM S.p.A. – Azienda territoriale Arezzo Mobilità S.p.A. con sede in Arezzo, Località case nuove di Ceciliano n. 49/5 – P.IVA 00368260519, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.