IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della dott.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di una segnalazione pervenuta in Autorità in data 29 luglio 2013 con cui veniva lamentato un illecito trattamento di dati personali posto in essere da Amiu s.p.a., con sede in Trani, Via Barletta n. 161, P.I. 04939590727, l’Ufficio delegava il Nucleo privacy della Guardia di finanza a svolgere accertamenti presso la sede della società al fine di verificare il rispetto della normativa di cui al Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice);

CONSIDERATO che il suddetto Nucleo, in attuazione della richiesta di informazioni n. 88922/90727 del 24 luglio 2014, formulata ai sensi dell’art. 157 del Codice, ha svolto gli accertamenti presso Amiu s.p.a. in data 19 e 20 febbraio 2014, rilevando che la stessa effettua un trattamento di dati personali per mezzo di due impianti di videosorveglianza (uno installato presso l’isola ecologica di via dei Finanzieri n. 24 e un altro presso l’area adibita a “Discarica e ricicleria” sita in Trani, alla SP 168), che al momento del controllo risultavano attivi e funzionanti. E’ risultato che le immagini riprese dai due impianti di videosorveglianza sono visionate in tempo reale da personale dipendente della società, mentre per la consultazione delle immagini registrate “viene interpellata la società installatrice (…) A.T.E. di Torchetti Pantaleone Daniele e c. sas”; le immagini riprese presso l’area adibita a “Discarica e ricicleria”, inoltre, sono visionate durante le ore notturne da personale di Sicurcenter s.p.a., società addetta alla vigilanza dell’area. A fronte della richiesta avanzata dalla Guardia di finanza di fornire copia delle designazioni a responsabili e a incaricati del trattamento, la società ha dichiarato di non sapere “se nel corso del tempo sono state effettuate o meno eventuali nomine a responsabile e incaricati del trattamento”, riservandosi di fornire maggiori informazioni in merito;

PRESO ATTO della nota inviata dalla società in data 6 marzo 2014 a scioglimento delle riserve formulate nel corso degli accertamenti ispettivi, con cui la stessa ha dichiarato che “non risultano formalizzate nomine e lettere di incarico” rispetto al trattamento effettuato con gli impianti di videosorveglianza;

RILEVATO che, sulla base di quanto emerso dall’attività di controllo e di quanto dichiarato dalla parte nel corso degli accertamenti e con la nota fatta pervenire successivamente, è stato accertato che la società, in qualità di titolare del trattamento, non ha provveduto alla designazione a incaricati del trattamento, secondo le modalità di cui all’art. 30 del Codice, delle persone fisiche che operano sui dati personali raccolti mediante gli impianti di videosorveglianza (sia dipendenti propri che delle società terze A.T.E. e Sicurcenter s.p.a.) e non ha fornito loro le relative istruzioni;

CONSIDERATO che la mancata designazione a incaricati del trattamento è idonea a configurare la violazione prevista dall’art. 162, comma 2-bis, del Codice per l’omessa adozione delle misure minime di sicurezza di cui agli articoli 33, 34 e 35 del medesimo Codice;

VISTO il verbale n. 14 del 24 marzo 2014 (che qui si intende integralmente richiamato), con cui è stata contestata a Amiu s.p.a., in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall’art. 162, comma 2-bis del Codice, in relazione all’art. 33, per la quale non è prevista la definizione in via breve ai sensi dell’art. 16 della legge n. 689/1981;

VISTI gli scritti difensivi, datati 13 maggio 2014, inviati ai sensi dell’art. 18 della legge n. 689/1981, con i quali Amiu s.p.a. ha rilevato l’illiceità del verbale di contestazione per la genericità del rilievo mosso. Sostiene la società che “la disciplina in tema di misure minime suole dividere la tutela dei dati a seconda che il trattamento avvenga con strumenti elettronici (art. 34 del Codice) o senza (art. 35). (…) Il verbale di contestazione è carente in tale distinzione e non specifica o distingue quali siano precisamente le inosservanze della società Amiu”, non consentendole “di comprendere le ragioni di contrasto con la normativa che si asserisce violata e di azionare i rimedi anche giurisdizionali intesi a una verifica della legittimità del provvedimento”. Inoltre, secondo la società, l’omessa designazione degli incaricati del trattamento non può comportare la mancata applicazione di tutte le misure di sicurezza, che invece sono state riconosciute come valide dagli stessi agenti accertatori;

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità della società in relazione alla contestazione in argomento. Si rileva, infatti, che la designazione degli incaricati del trattamento non costituisce un mero adempimento formale, ma costituisce la parte più significativa delle misure di sicurezza in quanto è effettuata nei confronti di chi ordinariamente opera sui dati personali ed è volta a fornire agli stessi le istruzioni da seguire per il corretto trattamento dei dati personali, rendendoli al contempo consapevoli delle connesse responsabilità. Pertanto, da tale omissione consegue la mancata applicazione di tutte le misure minime di sicurezza riconducibili all’attività degli incaricati. Nel caso di specie, il verbale di contestazione redatto dalla Guardia di finanza circoscrive, con precisione e chiarezza, la violazione delle misure di sicurezza nell’ambito della omessa designazione quali incaricati del trattamento di quanti accedono alle immagini registrate con gli impianti di videosorveglianza. Sul punto, si ricorda il provvedimento sulla videosorveglianza adottato dal Garante in data 8 aprile 2010 [doc. web n. 1712680], nella parte in cui chiarisce che il titolare del trattamento deve designare per iscritto a incaricati del trattamento, tutte le persone fisiche autorizzate sia ad accedere ai locali in cui sono posizionate le postazioni di controllo, sia ad utilizzare gli impianti e a visionare le immagini, anche quando si avvale di collaboratori esterni come nel caso in esame (punto 3.3.2). Infatti, è stato accertato che la visualizzazione delle immagini registrate con i suddetti impianti di videosorveglianza è consentita non soltanto ai dipendenti della società Amiu, ma anche a dipendenti di società terze (Securitalia e A.T.E.), rispetto ai quali la parte ha dichiarato di non aver reperito alcuna documentazione in ordine alle designazioni a incaricati del trattamento;

RILEVATO, pertanto, che Amiu s.p.a. ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di adottare le misure minime di sicurezza ai sensi dell’art. 33 del Codice;

VISTO l’art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell’art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l’ammontare della sanzione pecuniaria deve essere quantificato nella misura di euro 20.000,00 (ventimila);

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, la violazione in esame riguarda un aspetto essenziale delle misure di sicurezza, quale la designazione degli incaricati del trattamento;

b) ai fini della valutazione dell’opera svolta dall’agente, deve evidenziarsi che Amiu S.p.a. non ha fornito alcuna informazione in merito all’adempimento delle misre di sicurezza omesse;

c) circa la personalità dell’autore della violazione, deve essere considerata la circostanza che la società, pur nell’ambito del medesimo accertamento, è stata destinataria di un’altra sanzione amministrativa;

d) in merito alle condizioni economiche dell’agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all’anno d’imposta 2016;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a Amiu S.p.a., con sede in Trani, Via Barletta n. 161, P.I. 04939590727, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione di cui all’art. 162, comma 2-bis, come indicato in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.