g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Cubo società consulenza aziendale s.r.l. - 23 gennaio 2008 [1503600]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1503600]

Ordinanza ingiunzione nei confronti di Cubo società consulenza aziendale s.r.l. - 23 gennaio 2008

Registro delle deliberazioni
Del. n. 6 del 23 gennaio 2008

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 5 maggio 2005 nei confronti di Cubo società di consulenza aziendale s.r.l., con sede in Bologna, via Mazzini n. 51/3, in persona del legale rappresentante pro-tempore, per violazione dell´articolo 37 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 24029 datata 16 giugno 2004) e su specifica delega di questa Autorità (n. 26333 del 15 luglio 2004), ha svolto gli accertamenti di cui al verbale di operazioni del 21 ottobre 2004 circa il trattamento di dati personali, con particolare riferimento all´attività di ricerca e selezione del personale per conto terzi;

RILEVATO che la società, a fronte di un´ulteriore richiesta di informazioni formulata dall´Ufficio del Garante con nota n. 34707 del 18 novembre 2004, ha inviato altra documentazione inerente alle modalità di trattamento dei dati personali relativi ai curricula e alle domande di lavoro, nonché alla procedura operativa utilizzata per la ricerca dei candidati considerati idonei; da ciò è risultato che la società ha effettuato, in qualità di titolare, trattamenti di dati personali previsti dall´art. 37, comma 1, lett. d) del Codice, da epoca anteriore al 1° gennaio 2004; considerato, altresì, che la società, pur avendo provveduto alla notificazione ex art. 7 della legge n. 675/1996, non ha effettuato la notificazione al Garante nelle forme previste dagli artt. 37 e 38 del Codice;

VISTA la contestazione di violazione amministrativa n. 8815/39056/30 del 5 maggio 2005 con cui si è contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo del 30 maggio 2005 inviato ai sensi dell´art. 18 della legge n. 689/1981 con il quale la società ha ribadito di non aver provveduto alla notificazione al Garante ai sensi dell´art. 37 del Codice, sviluppando le seguenti deduzioni:

a) la società aveva in precedenza ottemperato all´obbligo di notificazione in data 31 marzo 1998 ai sensi dell´art. 7 della legge n. 675/1996 e dal combinato disposto degli artt. 37, comma 1, 38 e 181, comma 1, lett. c) del Codice non risulterebbe a suo avviso un ulteriore obbligo nei riguardi del titolare del trattamento che abbia già eseguito la notificazione in tempi anteriori all´entrata in vigore del Codice. Dal combinato disposto dei predetti articoli discenderebbe, sempre a suo avviso, un distinto obbligo di notificazione del titolare del trattamento solo per i trattamenti i cui procedimenti di notificazione al Garante si trovino in itinere nel periodo compreso fra la data di pubblicazione del Codice (G.U. n. 174 del 29 luglio 2003) e la sua entrata in vigore (1 gennaio 2004), nonché per i trattamenti per i quali muta "taluno degli elementi da indicare" nella notificazione medesima;

b) l´attività di trattamento dei dati personali contenuti nei curricula avverrebbe mediante un´organizzazione degli archivi in forma solo prevalentemente, ma non unicamente automatizzata. In tal senso, l´attività di consulenza esercitata dalla società per conto terzi sarebbe a suo avviso rivolta a fornire informazioni prive di elementi valutativi e meritori. Pertanto, il trattamento di dati personali oggetto di contestazione sarebbe, per essa, riconducibile alla "scriminante" prevista dalla lett. a), punto 4, della deliberazione del Garante n. 1 del 31 marzo 2004 (G.U. n. 81 del 6 aprile 2004);

RITENUTO che le argomentazioni addotte dalla società non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione nei termini, con cui si è dato avvio al procedimento, in quanto:

a) in base al nuovo istituto della notificazione dei trattamenti previsto dal Codice, e contrariamente alla precedente normativa che prevedeva per tutti i titolari l´obbligo di effettuare la notificazione salve limitate eccezioni, sono tenuti a notificare al Garante solo i titolari che effettuino una o più attività di trattamento tra quelle specificamente indicate all´art. 37, comma 1, del Codice. L´art. 37, comma 2, demanda al Garante il compito di individuare, nell´ambito dei trattamenti di cui al comma 1, eventuali trattamenti insuscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato e pertanto sottratti all´obbligo di notificazione. Il Garante, con deliberazione n. 1 del 31 marzo 2004 (in G.U. 6 aprile 2004, n. 81), pur avendo previsto alcuni esoneri, non ha sottratto all´obbligo della notificazione i trattamenti effettuati con l´ausilio di strumenti elettronici volti a definire i profili professionali degli interessati per esclusive finalità di occupazione (punto 4), lett. a)), come altresì specificato nei chiarimenti sui trattamenti da notificare al Garante del 23 aprile 2004 pubblicati sul sito web dell´Autorità (in www.garanteprivacy.it doc. web n. 993385). Dalla nuova disciplina normativa del Codice è derivato, quindi, un nuovo e distinto obbligo di notificazione al Garante. Il titolare che aveva iniziato un trattamento anteriormente al 1° gennaio 2004, indipendentemente dalla circostanza che lo avesse notificato in passato, doveva comunque procedere, se tenuto in base al tipo di trattamento effettuato, a una nuova notificazione entro il 30 aprile 2004 (art. 181, comma 1, lett. c)), che nella specie non è stata effettuata. Riguardo alle circostanze di fatto residuali che genererebbero l´obbligo di notificazione secondo l´interpretazione degli artt. 37 e 181 del Codice fornita dalla società, risulta poi evidente che la ratio dell´istituto non si sostanzia solo nel garantire la verifica e il controllo del trattamento dei dati per il tramite della notificazione al Garante, essendo volta anche, come previsto dal considerando n. 48 della direttiva 95/46/Ce, a "dare pubblicità alle finalità del trattamento ed alle sue principali caratteristiche". Per assolvere a tale scopo, il Garante inserisce le notificazioni ricevute in un registro dei trattamenti accessibile a chiunque e consultabile gratuitamente sul sito web dell´Autorità (art. 37, comma 4, del Codice);

b)  l´art 37, comma 1, lett. d) del Codice prevede che debbano essere notificati i "dati trattati con l´ausilio di strumenti elettronici volti a definire il profilo o la personalità dell´interessato (...)". I casi di esclusione della notificazione di cui al citato provvedimento del Garante n. 1/2004 relativi alla lett. d) del comma 1 dell´art. 37 del Codice non operano quando il trattamento dei dati personali volto a profilare l´interessato è effettuato esclusivamente con strumenti elettronici. Nei chiarimenti forniti con la menzionata nota del 23 aprile 2004 il Garante ha ribadito, tra l´altro, che "ai fini dell´obbligo di notificazione, gli strumenti elettronici utilizzati devono essere configurati e impiegati per definire o valutare il profilo o la personalità dell´interessato". Nel caso di specie, la documentazione prodotta da Cubo s.r.l. evidenzia che la società ha operato una selezione di curricula dei candidati attraverso specifiche procedure informatizzate appositamente configurate e impiegate al fine di generare elenchi di curricula che rispondono a un profilo predefinito;

RILEVATO, quindi, che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. d) e 38 del Codice;

VISTO l´art. 163 del Codice che punisce la violazione di cui all´art. 37 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del minimo pari alla somma di diecimila euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su due testate giornalistiche di cui una a maggiore tiratura a livello nazionale, identificata ne "La Repubblica", e una  a rilievo locale, identificata nella pagina di Bologna de "Il Resto del Carlino";

VISTA la documentazione in atti curata dal Dipartimento attività ispettive e sanzioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Francesco Pizzetti;

ORDINA

a Cubo società di consulenza aziendale s.r.l. con sede in Bologna, via Mazzini n. 51/3, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulle testate giornalistiche "La Repubblica" e "Il Resto del Carlino" - pagina di Bologna;

INGIUNGE

alla medesima società di pagare, fermo restando quanto dovuto per la sanzione accessoria, la somma di euro 10.000,00 (diecimila) tramite il bollettino postale che verrà fornito in allegato, intestato a "Tesoreria provinciale dello Stato di Bologna" entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DA´ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 23 gennaio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Pizzetti

IL SEGRETARIO GENERALE
Buttarelli