[doc. web n. 8146890]

Ordinanza ingiunzione nei confronti di M.E.C. SPA - 11 gennaio 2018

Registro dei provvedimenti
n. 7 dell´11 gennaio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo Speciale Privacy della Guardia di Finanza, in esecuzione della richiesta di informazioni n. 45/97157 del 2 gennaio 2015, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto accertamenti presso M.E.C. SPA (di seguito la "Società"), con sede legale a Montanera (CN), Via Circonvallazione n.26, esercente l´attività economica di "Produzione di carni non volatili" P.I. 02119590046, formalizzati nel verbale di operazioni compiute del 12  febbraio 2015, al fine di verificare la liceità del trattamento di dati personali effettuato dalla Società per mezzo di un sistema di geolocalizzazione volto a rilevare la posizione geografica dei propri veicoli mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è adempiuto l´obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi e della documentazione inviata dalla società, a scioglimento delle riserve formulate nel corso dell´accertamento ispettivo, è risultato che:

- la Società M.E.C. S.p.a., costituita nel 1989 come S.n.c., dal 1 gennaio 2006 è stata trasformata in S.p.a. e svolge attività di macellazione, lavorazione e commercio di carni con servizio rivolto principalmente alla grande distribuzione;

- la Società, nell´aprile 2011, ha stipulato un contratto con la ditta TRACKYSAT S.r.l. di Cuneo per la fornitura del servizio di geolocalizzazione relativamente a tre autovetture aziendali su un parco auto di complessivi 10 veicoli utilizzati dai dipendenti; "successivamente, nel 2013, (…) (solamente) su due autovetture, per esigenze organizzative. Su due auto, affidate come benefit a due (…) collaboratori addetti alla vendita, era istallato un sistema di geolocalizzazione per finalità di sicurezza, in caso di eventuali incidenti stradali e antifurto, in quanto, per motivi di lavoro, le auto rimanevano incustodite, anche per lunghi periodi in parcheggi pubblici tipo aeroporti"; (cfr. Verbale di operazioni compiute del Nucleo Speciale della Guardia di Finanza del 12 febbraio 2015 – punto 2, pag. 3)

- l´oggetto del servizio reso dalla società TRACKYSAT S.r.l., ha riguardato la fornitura e la installazione di rilevatori GPS, la manutenzione e l´assistenza degli stessi, il rilevamento della posizione dei mezzi dotati di GPS, nonché la dotazione di credenziali per l´accesso all´area riservata del sito web www.trackysat.com da parte del dipendente della Società M.E.C. S.p.a. a ciò incaricato, al fine di visualizzare, all´occorrenza, la posizione delle due auto geolocalizzabili;

- " (…) l´accesso al sito permetteva la visualizzazione e il posizionamento del veicolo (…)" (cfr. Verbale di operazioni compiute del Nucleo Speciale della Guardia di Finanza del 12 febbraio 2015 – punto 2, pag. 3)

- la Società, a mezzo di raccomandata, datata 19 settembre 2014, ha formalmente richiesto alla società TRACKYSAT S.r.l. la disdetta del contratto in essere riguardante tale servizio, che, pertanto, ha avuto esecuzione dal 8 aprile 2011 al 18 settembre 2014;

- la Società è titolare del trattamento dei dati personali, ai sensi degli artt. 4, comma 1, lett. f) e 28 del D.lgs. 196/2003 (di seguito "Codice"), con riferimento ai dati personali trattati nello svolgimento della propria attività e, con riferimento a tale circostanza, nell´esecuzione del contratto di servizio reso dalla società TRACKYSAT S.r.l. dal 8 aprile 2011 al 18 settembre 2014;

- "la Società non ha effettuato la notificazione del trattamento in questione presumendo di non rientrare nella casistica prevista dall´art. 37 in quanto (…) effettuava esclusivamente la rilevazione degli automezzi in caso di eventuali furti o incidenti" (cfr. Verbale di operazioni compiute del Nucleo Speciale della Guardia di Finanza del 12 febbraio 2015 – punto 4, pag. 3);

- VISTO il verbale n. 30 del 16 marzo 2015 con cui è stata contestata alla Società, in persona del legale rappresentante pro-tempore, la violazione amministrativa di cui all´art. 163 del Codice ("Omessa o incompleta notificazione"), per aver effettuato il trattamento di dati personali di cui all´art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica) nel periodo compreso tra l´aprile 2011 e il 18 settembre 2014,  omettendo di effettuare la notificazione al Garante, prima dell´inizio del trattamento, secondo le modalità indicate dall´art. 38 del Codice;

RILEVATO che dal rapporto predisposto dal predetto Nucleo - ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 - non risulta essere stato effettuato il pagamento in misura ridotta;

VISTA la memoria difensiva inviata - ai sensi dell´art. 18 della legge n. 689/1981 - a mezzo PEC in data 23 aprile 2015, con cui la Società, ha ribadito quanto già evidenziato nel corso delle operazioni di accertamento da parte della Guardia di Finanza in ordine all´utilizzo del sistema di geolocalizzazione su due delle autovetture del proprio parco auto per "finalità di localizzare il mezzo in ipotesi di furto e/o incidente"(cfr. Verbale di operazioni compiute del Nucleo Speciale della Guardia di Finanza del 12 febbraio 2015 – punto 4, pag. 3). Inoltre, ha fatto presente che quanto prescritto dagli artt. 37, comma 1, lett. a) e 38 del Codice circa l´obbligo di notificazione al Garante "non è stato rispettato nella, seppur erronea, convinzione che la fattispecie non fosse oggetto della citata norma atteso che (…) il dipendente utilizzatore del mezzo era informato della presenza del citato dispositivo così come della circostanza che la localizzazione del medesimo avveniva solo in ipotesi di segnalazione di allarme, né la società concedente aveva interesse a monitorare gli spostamenti del veicolo al cui uso lo stesso dipendente era autorizzato anche per esigenze personali (…);

TENUTO CONTO che la Società, per i motivi sopra esposti, ha richiesto, in via principale, "la non irrogazione della sanzione" e, in via subordinata, l´applicazione della sanzione nella misura minima in considerazione del fatto "che ogni altro adempimento della normativa è stato posto correttamente in essere";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare  l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra. Anzitutto, preme evidenziare che la finalità di sicurezza, antifurto e allarme crash, per cui era stato attivato il sistema di geolocalizzazione in questione attraverso la stipula del contratto con la società TRACKYSAT S.r.l., non esclude l´applicabilità della disciplina in materia tra cui l´osservanza dell´obbligo di notificazione al Garante prima dell´inizio del trattamento ai sensi degli artt. 37 e 38 del Codice. Infatti, il provvedimento prescrittivo del Garante n. 370 del 4 ottobre 2011 (doc. web n. 1850581) contempla, fra le ipotesi di geolocalizzazione oggetto della relativa disciplina, proprio la localizzazione dei veicoli nell´ambito del rapporto di lavoro per soddisfare esigenze organizzative, produttive ovvero per la sicurezza sul lavoro.

In secondo luogo, non rileva il fatto che la Società avesse informato i dipendenti della presenza del dispositivo satellitare o che la localizzazione del medesimo avvenisse solo in ipotesi di segnalazione di allarme o, ancora, che la Società non avesse alcun interesse a monitorare gli spostamenti dei veicoli che i dipendenti autorizzati potevano utilizzare anche per esigenze personali: l´avvenuta istallazione, su auto aziendali, di dispositivi volti a rilevare la posizione geografica di persone od oggetti e la conseguente possibilità per il datore di lavoro di risalire in ogni momento all´identità del lavoratore assegnatario di ciascun veicolo, rintracciandone la posizione geografica e gli spostamenti, è sufficiente a determinare l´obbligo di notificazione al Garante previsto dagli artt. 37, comma 1, lett. a) e 38 del Codice. La Società stessa del resto, ha riconosciuto che tale obbligo "non è stato rispettato nella, seppur erronea, convinzione che la fattispecie non fosse oggetto della citata norma (…)";

RILEVATO, quindi, che M.E.C. SPA sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica dal 8 aprile 2011 al 19 settembre 2014 senza aver preventivamente presentato la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

Ritenuto che, nel caso in argomento, può trovare applicazione la diminuente di cui all´art. 164-bis, comma 1, del Codice, che prevede l´applicazione dei limiti minimo e massimo edittali della sanzione nella misura pari a due quinti, nei casi di minore gravità;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura minima di euro 8.000,00 (ottomila) per la violazione di cui all´art. 163 del Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a M.E.C. SPA con sede legale a Montanera (CN), Via Circonvallazione n. 26, P.I. 02119590046, di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 8.000,00 (ottomila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 gennaio 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia