[doc. web n. 7707076]

Ordinanza ingiunzione nei confronti di Start S.p.A. - 5 ottobre 2017

Registro dei provvedimenti
n. 399 del 5 ottobre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 34/15 dl 1° aprile 2015 (notificato il 21 aprile 2015), che qui deve intendersi integralmente riportato, ha contestato alla Start S.p.A. (di seguito Start), in persona del legale rappresentante pro-tempore, con sede legale in Ascoli Piceno, zona Marino del Tronto s.n.c., C.F. 01598350443, la violazione delle disposizioni di cui agli artt. 37 e ss. del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO che dall´esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

-  a seguito di un accertamento ispettivo svolto dalla Guardia di finanza presso la sede della società in data 18 e 19 marzo 2015, è stato rilevato che la stessa, che esercita un´attività di trasporto pubblico di persone mediante una flotta di autobus, utilizza un sistema di geolocalizzazione i cui terminali sono stati installati sui predetti autobus. Tale sistema, come dichiarato in sede di accertamento dalla Start, ha la finalità di "assicurare ai cittadini il regolare svolgimento del servizio pubblico di trasporto e fornire agli stessi le necessarie informazioni sugli orari degli autobus e sui percorsi, attraverso le paline elettroniche facenti parte del citato sistema di localizzazione. Inoltre tale sistema permette anche all´autista di seguire attraverso il monitor installato all´interno del mezzo, il percorso che sta effettuando l´autobus e quindi rendersi conto in tempo reale se l´autobus sta rispettando la tabella di marcia o se vi sono dei ritardi. Il sistema dà la possibilità di interrogare i dati archiviati nel predetto server per un periodo non superiore a tre mesi". Il sistema "dà la possibilità al conducente di inserire all´inizio del turno di servizio, digitando sulla tastiera dell´apparato posizionato sul mezzo, il codice autista, ma questa operazione non costituisce un obbligo per il conducente, in quanto il sistema di localizzazione va a monitorare continuativamente solo il percorso che effettua quell´autobus per quel determinato turno di servizio, con intervalli di circa tre secondi". Inoltre "la Start S.p.A. non possiede una centrale operativa con personale addetto al monitoraggio dei percorsi degli autobus e, pertanto nel caso si verifichi una problematica relativa al servizio possiamo conoscere il nominativo dell´autista attraverso l´incrocio dei dati in possesso dell´Ufficio Movimento della Start S.p.A., quindi attraverso la consultazione del foglio presenze riportante i turni di servizio del personale autiere ed i dati sulla posizione dell´autobus acquisiti dal sistema di localizzazione". "La Start S.p.A. ha affrontato, all´atto dell´installazione dei dispositivi AVM sugli autobus, questa problematica relativa alla notificazione del trattamento di dati relativi alla geolocalizzazione, ma non ritenendo di rientrare nella casistica di cui all´art. 37 del D. Lgs. 196/2003, in quanto il dispositivo AVM installato sugli autobus permette solo il monitoraggio del mezzo e soltanto indirettamente permette di risalire all´identità del conducente con le modalità di incrocio dei dati in nostro possesso […], non si è ritenuto di essere soggetti all´obbligo previsto dal citato art. 37";

RILEVATO che con il citato verbale del 1° aprile 2015 è stata contestata alla società, ai sensi dell´art. 163 del Codice, la violazione dell´art. 37, per aver omesso di presentare la notificazione al Garante nelle forme previste dall´art. 38 del Codice, per i trattamenti di dati che indicano la posizione geografica di persone o cose, indicati nell´art. 37, comma 1, lett. a), del Codice;

LETTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dalla Guardia di finanza ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 20 maggio 2015 e del 1° febbraio 2016, nonché il verbale di audizione ai sensi dell´art. 18 della legge n. 689/1981, redatto in data 11 gennaio 2016, che qui si intendono integralmente richiamati e che, in sintesi, rappresentano:

- "la società ha provveduto all´installazione dei dispositivi AVM attenendosi alle indicazioni contenute nel documento inviato alle parti sociali dalla Regione Marche, in cui non si fa menzione dell´obbligo di notificazione";

- "la società ha ritenuto di non dover procedere alla notificazione al Garante per la protezione dei dati personali poiché non vengono trattati i dati personali dei propri dipendenti, ma solamente dati sulla localizzazione dell´autoveicolo, che quindi devono ritenersi dati anonimi o comunque anonimizzati";

- "l´art. 3 della legge 689/1981 dispone che "nelle violazioni cui è applicabile una sanzione amministrativa ciascuno è responsabile della propria azione od omissione, cosciente e volontaria, sia essa dolosa o colposa. Nel caso in cui la violazione è commessa per errore sul fatto, l´agente non è responsabile quando l´errore non è determinato da sua colpa". Pertanto, la Start, preso atto del documento predisposto dalla Regione Marche […], ha inteso che la propria condotta fosse lecita, senza necessità di procedere alla notificazione al Garante per la protezione dei dati personali, poiché il sistema di AVM è finalizzato esclusivamente a garantire il miglioramento della qualità del servizio pubblico di trasporto, escludendo il trattamento di dati personali dei propri dipendenti";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra per le ragioni di seguito esposte:

a) con riferimento all´obbligo di presentare la notificazione al Garante, previsto, per i trattamenti che comportano la geolocalizzazione di persone o cose, dall´art. 37, comma 1, lett a), del Codice, deve premettersi che l´Autorità, con provvedimento del 23 aprile 2004 (in www.gpdp.it, doc. web n. 993385) ha chiarito che "la norma si riferisce alla localizzazione di persone o oggetti, ed è quindi riferita alla rilevazione della loro presenza in determinati luoghi, mediante reti di comunicazione elettronica gestite o accessibili dal titolare del trattamento. La localizzazione va notificata quando permette di individuare in maniera continuativa -anche con eventuali intervalli- l´ubicazione sul territorio o in determinate aree geografiche, in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti. La localizzazione deve comunque permettere di risalire all´identità degli interessati, anche indirettamente attraverso appositi codici". L´esclusione dall´obbligo di presentare la notificazione al Garante, stabilita dal provvedimento n. 1 del 2004 (in www.gpdp.it, doc. web n. 852561), riguarda i soli "trattamenti di dati che indicano la posizione geografica di mezzi di trasporta aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto";

b) in base a quanto dichiarato dalla Start, i trattamenti svolti dalla società mediante il sistema di geolocalizzazione, si configurano come trattamenti di dati personali, giacché, anche nel caso in cui l´autista non inserisca nel terminale installato sull´autobus il proprio codice, è sempre possibile risalire all´identità del dipendente, attraverso l´incrocio delle informazioni disponibili presso l´Ufficio movimento della società; l´attività di geolocalizzazione corrisponde a quella indicata nell´art. 37 del Codice e nel richiamato provvedimento del 23 aprile 2004, giacché il sistema è configurato per rilevare lo spostamento del mezzo di traporto ogni tre secondi; inoltre, nel caso in argomento non può invocarsi l´applicabilità del provvedimento n. 1/2004, poiché la principale finalità del sistema di geolocalizzazione, come dichiarato da Start in sede ispettiva, non è la sicurezza del trasporto ma la fornitura agli utenti di informazioni sugli orari e sul percorso dei mezzi, nonché l´indicazione ai conducenti degli autobus del rispetto delle tabelle di marcia;

c) nei trattamenti di cui sopra Start assume la veste giuridica di titolare ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice, giacché è emerso dagli accertamenti ispettivi che Start adotta le scelte di fondo sui trattamenti e ha la piena disponibilità dei dati personali raccolti. Appare pertanto inconferente il richiamo all´art. 3 della legge n. 689/1981, poiché in base a quanto stabilito dall´art. 37 del Codice, solo al titolare, e quindi nel caso di specie a Start, incombe l´obbligo di presentare la notificazione al Garante. Né può invocarsi, da parte della società, l´ipotesi dell´errore di diritto, giacché non risulta da alcun documento e, in particolare, da quelli richiamati dalla Start nelle memorie difensive (delibera della Regione Marche n. 1122 del 1° agosto 2011, documentazione afferente alla procedura di collaudo, nota della Regione Marche del 27 gennaio 2014), che la Regione Marche abbia espressamente suggerito alla società di non procedere alla notificazione dei trattamenti di dati personali raccolti mediante il sistema di geolocalizzazione;

d) deve pertanto confermarsi la responsabilità di Start in ordine alla violazione contestata;

RILEVATO, quindi, che Start, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica senza avere presentato preventivamente la notificazione al Garante;

VISTO l´art. 163 del Codice, che punisce la violazione delle disposizioni di cui agli artt. 37 e 38, con la sanzione del pagamento di una somma da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere considerato in termini sfavorevoli il fatto che la società, da un´interrogazione del registro generale dei trattamenti, non abbia ancora presentato la notificazione la Garante;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la Start non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, è stato preso in considerazione il bilancio ordinario d´esercizio per l´anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 40.000,00  (quarantamila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

alla Start S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Ascoli Pieceno, zona Marino del Tronto s.n.c., C.F. 01598350443, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 40.000,00 (quarantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 5 ottobre 2017

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia