g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di Umbra Acque S.p.a. - 18 ottobre 2012 [2272322]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 2272322]

Ordinanza di ingiunzione nei confronti di Umbra Acque S.p.a. - 18 ottobre 2012

Registro dei provvedimenti
n. 301 del 18 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Comando della Guardia di finanza, Compagnia Perugia, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 19996/53969 datata 16 settembre 2009) e su specifica delega di questa Autorità, ha svolto, nei confronti della Umbra Acque S.p.a. (di seguito "società"), con sede in Perugia, Via G. Benucci n. 162, gli accertamenti di cui ai verbali di operazioni compiute datati 24 febbraio, 3 marzo, 9 aprile e 12 aprile 2010, dai quali è risultato che la società ha effettuato un trattamento di dati personali mediante un sistema di videosorveglianza, situato presso la sede amministrativa della società, e che le immagini rilevate sono state visionate da personale dipendente della Gran Sasso Sicurezza s.r.l., società a cui era stato affidato il servizio di vigilanza, in assenza della designazione di incaricati del trattamento, omettendo così di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice privacy;

VISTO il verbale datato 14 maggio 2010 con cui è stata contestata alla predetta società la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, per la quale non è prevista la definizione in via breve ai sensi dell´art. 16 della legge n. 689/1981;

VISTI gli scritti difensivi pervenuti in data 17 giugno 2010 con i quali la società, oltre a chiedere di essere sentita dall´Autorità, ha rilevato che il sistema di videosorveglianza "non permette la possibilità di individuare e riconoscere i tratti somatici di un soggetto, né tanto meno il volto dello stesso, inoltre non ha neppure una risoluzione e/o una qualità ottica tale da poter individuare e riconoscere il numero di targa di un eventuale veicolo dalla stessa inquadrato" e che "attraverso tale apparecchiatura di videosorveglianza non veniva effettuato alcun trattamento di dati". In ragione di tali assunti, la società ha evidenziato che "nessun ulteriore incarico doveva essere conferito, in tal senso, alla società Responsabile in outsourcing Gran Sasso s.r.l., attesa la sostanziale insussistenza di alcun ulteriore e/o differente trattamento posto in essere a mezzo del sistema di videosorveglianza" eccependo di aver ottemperato a tutti gli adempimenti previsti dalla vigente normativa in materia di privacy, assicurando il livello di protezione minima. Inoltre, la parte, affermando che nel caso di specie "gli accertatori hanno unicamente rilevato un (presunto e dubbio) vizio di forma", ha rappresentato di aver provveduto alla nomina di Gran Sasso s.r.l. quale responsabile in outsourcing posto che "risulta manifestamente errata la qualificazione in diritto operata dagli accertatori in quanto la società Gran Sasso s.r.l., in quanto tale, non risulta essere legittimamente qualificabile come incaricato del trattamento ai sensi dell´art. 4 del D. Lgs. 196/2003 in quanto è una persona giuridica". Quindi, la società ha chiesto che venga emessa un´ordinanza di archiviazione e, in via subordinata, che la sanzione venga applicata nella misura del minimo previsto e con l´applicazione della riduzione prevista per i casi di minore gravità;

VISTO il verbale dell´audizione delle parti del 14 luglio 2011, effettuata ai sensi dell´art. 18, legge n. 689/1981, nella quale la società ha ribadito quanto già dedotto negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità della società in relazione agli illeciti contestati. Per quanto riguarda i trattamenti di dati personali effettuati dal personale di sorveglianza si rileva che, con riferimento al sistema di videosorveglianza, diversamente da quanto sostenuto negli scritti difensivi, risulta, ai sensi dell´art. 13 della legge n. 689/1981, adeguatamente accertato in atti dai pubblici ufficiali che hanno proceduto al controllo che il sistema consentiva l´identificazione degli interessati (vedi questionario allegato al verbale di operazioni compiute del 24 febbraio 2010). In ogni caso, il personale preposto alla vigilanza ha effettuato anche ulteriori trattamenti di dati personali mediante l´annotazione delle targhe dei veicoli in entrata e del nome del conducente; tali dati venivano comunicati a Umbra Acque s.p.a. (verbale di operazioni compiute del 9 aprile 2010). Per quanto, invece, attiene alla titolarità, si rileva che il personale addetto al controllo, seppur dipendente di altra società, risulta svolgere la propria attività sotto la diretta autorità di Umbra Acque s.p.a., presso la sede operativa della società e attenendosi alle istruzioni da questa impartite, come risulta da diverse specifiche disposizioni del disciplinare tecnico operativo allegato al contratto (in particolare artt. 7, 8 e 9). Per quanto sopra, in considerazione del fatto che la società non si era avvalsa, antecedentemente all´accertamento, della facoltà di designare la Gran Sasso s.r.l. quale responsabile del trattamento, l´omissione della designazione del personale addetto alla vigilanza a incaricato del trattamento (e la conseguente omissione delle misure minime di sicurezza previste dall´art. 33 e dall´allegato B del Codice) è imputabile alla Umbra Acque s.p.a. in qualità di titolare del trattamento;

CONSIDERATO che le prescrizioni impartite dall´Ufficio con il provvedimento datato 24 novembre 2010 al legale rappresentante della Umbra Acque S.p.a. sono state adempiute designando la società Servizi Italiani S.r.l. (già Gran Sasso S.r.l.) responsabile del trattamento e che si è altresì provveduto, nei termini previsti, al pagamento del quarto del massimo della sanzione prevista per la violazione amministrativa, in applicazione di quanto disciplinato dall´art. 169, comma 2, del Codice;

RILEVATO che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) la gravità della violazione, gli elementi dell´entità del pregiudizio e del pericolo, delle modalità concrete della condotta e dell´intensità dell´elemento psicologico devono essere considerati in ragione del fatto che il trattamento in relazione al quale la violazione è stata commessa ha natura accessoria rispetto all´attività della società e incide in misura molto limitata sui diritti degli interessati;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere valutata positivamente la tempestività della società nell´adempiere alle prescrizioni impartite dal Garante in ordine all´adozione delle misure minime di sicurezza;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazioni delle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, la società ha conseguito un utile di esercizio nell´anno 2010 pari a € 2.335.070;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

alla Umbra Acque S.p.a., con sede in Perugia, via G. Benucci n. 162, in persona del legale rappresentante, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria;

INGIUNGE

alla medesima società di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 18 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia