[doc. web n. 8990783]

Ordinanza ingiunzione nei confronti di AUTONOLEGGI 24 S.a.s. - 15 febbraio 2018

Registro dei provvedimenti
n. 88 del 15 febbraio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che il Nucleo Speciale Privacy della Guardia di Finanza, in esecuzione della richiesta di informazioni n. 125/102969 del 7 gennaio 2016, formulata ai sensi dell’art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”), ha svolto accertamenti presso “AUTONOLEGGI 24 S.a.s. DI GIAQUINTO GIOVANNI” (di seguito la “Società”), società esercente l’attività di noleggio autovetture ed autoveicoli leggeri – con sede legale in Civita Castellana (VT) Via Torquato Tasso n.6/B - P.IVA 02126720560, formalizzati nei verbali di operazioni compiute del 21 e del 27 gennaio 2016, al fine di verificare la liceità dei trattamenti di dati personali effettuati dalla società per mezzo di un sistema di geolocalizzazione volto a rilevare la posizione geografica dei propri veicoli mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è adempiuto l’obbligo della notificazione di cui agli artt. 37, comma 1. lett. a) e 38 del Codice;

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi e della documentazione acquisita è risultato che:

- la Società, creata nell’ottobre del 2013, svolge, dal 3 dicembre dello stesso anno, attività di autonoleggio di auto, di furgoni e di minibus a 9 posti per periodi brevi di massimo due o tre settimane; non ha sedi secondarie e non si avvale di dipendenti, in quanto l'attività viene svolta interamente dal titolare della stessa; 

- al fine di fornire il servizio di noleggio delle auto ai clienti, la Società si avvale dei siti di proprietà www.autonoleggi24.it e www.romarentalcash24.com; per contatti, per preventivi, per la prenotazione di veicoli e per la stipula del contratto vengono conferiti e trattati i dati personali della clientela a mezzo di tali siti e attraverso supporti cartacei;

- la Società, ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, è titolare del trattamento dei dati personali effettuato per l’esecuzione della citata attività;

- la Società “può rilevare la posizione dei veicoli in dotazione avendo installato a bordo di tutti i veicoli un dispositivo di geolocalizzazione statica" (cfr. punto numero 3, pag. 2 del verbale di operazioni compiute del 21 gennaio 2016); infatti, a partire dal 2013  e progressivamente, la Società "su ognuno dei mezzi costituenti il parco auto (auto, furgoni e minibus) che varia da un minimo di quindici a un massimo di venticinque unità, a seconda della stagionalità, ha installato un localizzatore veicolare. I geolocalizzatori sono di proprietà della Società (…) (che) per il servizio non si avvale di alcun soggetto esterno. Il sistema di geolocalizzazione utilizza la rete GSM/GPS  e funziona a mezzo di una scheda SIM inserita nel suo interno. Il sistema non visualizza in modo continuativo il veicolo ma ne indica quella posizione solo al momento della chiamata (espressa in latitudine e longitudine) allorché, attraverso il telefonino, si compone numero della SIM inserita nel localizzatore installato nel veicolo che si intende localizzare. Il sistema, ricevuta la chiamata, risponde con un messaggio riportante le coordinate geografiche al momento della chiamata permettendo di visualizzare su google maps l'esatta posizione del veicolo". La Società ha, altresì, dichiarato che “(…)il sistema non è dinamico e non registra alcun tracciato, pertanto non si può ricostruire il percorso effettuato dal veicolo. La finalità dell'installazione del geolocalizzatore è quella di localizzare il veicolo in caso di necessità di furto o mancata restituzione del veicolo (…)” (cfr. punto 4, pag. 5 del verbale di operazioni compiute  del 21 febbraio gennaio 2016); 

- la Società informa l'utente che noleggia un veicolo "della presenza a bordo del geolocalizzatore e delle relative modalità di funzionamento" (cfr. punto 6, pag. 6 del verbale di operazioni compiute del 21 gennaio 2016);

- la Società, a fronte del trattamento di dati personali posto in essere mediante il sistema di geolocalizzazione, ha omesso di effettuare la notificazione al Garante, ai sensi degli artt. 37, comma 1, lett.a) e 38 del Codice, prima dell’inizio del trattamento;

VISTO il verbale n. 11 del 22 febbraio 2016 con cui è stata contestata alla Società, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall’art. 163 del Codice, per aver effettuato il trattamento di dati personali di cui all’art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di effettuare la notificazione al Garante secondo le modalità indicate dall’art. 38 del Codice;

RILEVATO che dal Rapporto predisposto dal predetto Nucleo ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689 non risulta essere stato effettuato il pagamento in misura ridotta; 

VISTA la memoria difensiva datata 30 marzo 2016, inviata ai sensi dell’art. 18 della legge n. 689/1981, con cui il legale di parte ha asserito che la società “non ha effettuato la notificazione ritenendo che la stessa non fosse dovuta in ragione delle caratteristiche tecniche del sistema di geolocalizzazione utilizzato”. In ordine a quest’ultimo, infatti, la parte ha rappresentato che “ (…) il sistema (…) consente di individuare la posizione statica dei veicoli attraverso una chiamata e una scheda SIM inserita all'interno del geolocalizzatore presente sul relativo veicolo, configurandosi pertanto come un sistema che utilizza le reti telefoniche e non quelle elettroniche espressamente previste dall'articolo 37, lett.a), del codice privacy”; inoltre “ (…) non consente la rilevazione continuativa delle coordinate geografiche del mezzo, ma permette solamente di visualizzare la sua posizione al momento della chiamata, con ciò dovendosi applicare l'ipotesi di esonero dalla notifica espressamente previsto dal provvedimento del Garante Privacy del 23 aprile 2004 (…)” e, che “(…) non è possibile risalire all'identità del conducente che potrebbe essere persona diversa da colui che ha sottoscritto il contratto di noleggio (…); 

quanto alle finalità, tale sistema è “ (…) adottato per (…) (la)  sicurezza sia dei veicoli – atteso che AUTONOLEGGI non richiede a garanzia i dati relativi alla carta di credito del cliente che sottoscrive il contratto di noleggio - sia delle persone cui gli stessi vengono noleggiati (…) con ciò dovendosi applicare l'ulteriore ipotesi di esonero dalla notifica espressamente prevista dal provvedimento del Garante Privacy del 31 marzo 2004”. E ancora, in considerazione del fatto che il titolare non si avvale di alcun collaboratore per lo svolgimento dell'attività, la parte evidenzia  che “ (…) neppure potenzialmente potrebbe essere in grado di effettuare rilevazioni frequenti tramite il sistema in uso sull'intero parco auto (…)”. 

Il legale di parte ha addotto, altresì, la sussistenza dell’errore sul fatto, incolpevole, che escluderebbe la responsabilità dell’agente e, pertanto, della buona fede della Società; la stessa “ (…) in via cautelativa, al fine di arginare le conseguenze pregiudizievoli derivanti dal comportamento che l'Autorità eventualmente qualificasse come illecito, ha deciso di ottemperare all'obbligo di notifica indicato dall'Autorità quale adempimento necessario”. 

Per l’ipotesi di mancato accoglimento delle richieste formulate in via principale – aventi ad oggetto l’annullamento del verbale di contestazione n. 11/2016 - il legale di parte ha, poi, avuto cura di evidenziare, in relazione alla richiesta avanzata in via subordinata di applicazione della sanzione in misura ridotta e, quindi, al fine della determinazione del quantum della stessa, la situazione economica in cui versa la Società, necessaria e sufficiente al sostentamento del  titolare della stessa e della sua famiglia; 

LETTO il verbale di audizione del 5 dicembre 2016, svoltasi ai sensi dell’art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato nella memoria difensiva, nonché rappresentato il fatto che la Società è stata sempre osservante delle disposizione in materia di privacy “ (…) atteso che i verbalizzanti non hanno rilevato alcuna violazione di altro tipo in materia di protezione dei dati personali”; 

TENUTO CONTO che la Società, per i motivi sopra esposti, ha richiesto, “in considerazione della assoluta buona fede dimostrata e delle dimensioni molto contenute della società costituita unicamente da due soci senza alcun dipendente”, di essere ammessa al pagamento rateale nell’ipotesi in cui sia comminata la sanzione pecuniaria;

RITENUTO che le argomentazioni addotte dalla Società non risultano idonee a determinare  l’annullamento del verbale di contestazione e l’archiviazione del procedimento sanzionatorio. 
Anzitutto, in riferimento alle osservazioni della memoria difensiva riguardanti le caratteristiche tecniche del sistema di geolocalizzazione utilizzato dalla Società e prospettate tali da far escludere il caso in questione dall’ambito applicativo degli artt. 37 e 38 del Codice, si rappresenta quanto segue.

In primo luogo, quanto evidenziato dalla Società come elemento rilevante per cui il “sistema utilizza le reti telefoniche e non quelle elettroniche espressamente previste dall'articolo 37, lett. a), del codice privacy” è smentito dal disposto dell'articolo 4, comma 2, lettera c), del Codice per cui per “reti di comunicazione elettronica” devono intendersi “i sistemi di trasmissione e, se del caso, le apparecchiature di comunicazione e di instradamento e altre risorse, inclusi gli elementi di rete non attivi, che consentono di trasmettere segnali via cavo, via radio, a mezzo di fibre ottiche o con altri mezzi elettromagnetici, comprese le reti satellitari, le reti terrestri mobili e fisse a commutazione di circuito e a commutazione di pacchetto, compresa Internet, le reti utilizzate per la diffusione circolari dei programmi sonori e televisivi, i sistemi per il trasporto della corrente elettrica, nella misura in cui sono utilizzati per trasmettere i segnali, le reti televisive via cavo, indipendentemente dal tipo di informazioni trasportato”.

In relazione, poi, all’argomentazione concernente il fatto che il sistema utilizzato non consente la rilevazione “continuativa” delle coordinate geografiche, ma solo la posizione del veicolo al momento della chiamata - con la conseguente invocazione dell’inapplicabilità dell’obbligo di notificazione al Garante secondo il disposto dal provvedimento “Chiarimenti sui trattamenti da notificare al Garante” del 23 aprile 2004 [doc. web n. 993385] - si evidenzia che sulla base della prescrizione per cui la “localizzazione va notificata quando permette di individuare in maniera continuativa - anche con eventuali intervalli - l'ubicazione sul territorio o in determinate aree geografiche (…)” si ritiene sussistente il requisito della “continuità” ogniqualvolta il  titolare del trattamento sia in grado di conoscere, in qualsiasi momento, automaticamente o meno (anche attraverso un meccanismo conoscitivo come una telefonata o l'invio di un sms) la posizione del conducente il veicolo geolocalizzato, prescindendo, quindi, dalla staticità o dinamicità del sistema di localizzazione e/o dalla possibilità o meno di una tracciatura costante in via automatica di tutto il percorso effettuato dal veicolo geolocalizzato.  In altri termini per “continuità”, rilevante in tali circostanze, deve intendersi la rilevabilità, a discrezione del titolare del trattamento, della posizione del mezzo - risalendo, anche indirettamente, alla identità del conducente - in qualsiasi momento, anche qualora la eventuale ricostruzione del “tracciato” del percorso effettuato sia particolarmente laboriosa. 

Inoltre, in ordine all’argomentazione che fa leva sulla carenza, in tale fattispecie, del requisito della identificabilità del conducente per cui “(…) non è possibile risalire all'identità del conducente che potrebbe essere persona diversa da colui che ha sottoscritto il contratto di noleggio (…)” si fa presente che in tale circostanza, ciò che rileva ai fini della sussistenza dell’obbligo di notificazione al Garante - unitamente al requisito della “continuità” - è la possibilità di risalire, in relazione alla geolocalizzabilità del veicolo noleggiato, alla identità del soggetto che ha sottoscritto il relativo contratto di noleggio: e ciò, in tale ipotesi, è possibile in quanto “ (…) per la stipula del contratto di noleggio, viene compilato un apposito prestampato denominato “Lettera di noleggio veicolo” (all.2). Per la compilazione del contratto vengono trattati i dati riferiti al locatario/conducente, (nome, cognome, luogo di nascita e di residenza, n. patente di guida, utenze telefoniche, indirizzo email (….)) e acquisizione della fotocopia della patente di guida solo per l’eventuale rinotifica dei verbali di trasgressione al codice della strada. In caso di secondo conducente, vengono acquisiti gli stessi dati personali a lui riferiti (…)” (cfr. Verbale di operazioni compiute del 21 gennaio 2016, punto n. 3, pag. 3). La indicazione dei dati di un secondo conducente è eventuale e anche nell’ipotesi in cui siano forniti i dati di una seconda persona, oltre al sottoscrittore del contratto, non esclude l’applicazione della normativa in materia di protezione dei dati personali posta a salvaguardia della sfera di riservatezza di tali soggetti identificabili.

Con riguardo, invece, al richiamo fatto alle prescrizioni del Garante del 31 marzo 2004 “Provvedimento relativo ai casi da sottrarre all'obbligo di notificazione” [doc. web n. 852561], si fa presente che il caso in questione non può ritenersi rientrante tra le ipotesi esonerate. Infatti, secondo tale provvedimento non devono essere notificati i trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre effettuati esclusivamente ai fini di sicurezza del trasporto, mentre nella ipotesi in questione l’utilizzo del sistema di geolocalizzazione avviene per la “sicurezza sia dei veicoli (…) sia delle persone cui gli stessi vengono noleggiati” (cfr. memoria difensiva), quindi anche per scongiurare eventuali furti. Infatti, come dichiarato dalla Società “la finalità dell'installazione del geolocalizzatore è quella di localizzare il veicolo in caso di necessità di furto o mancata restituzione del veicolo (…)” (cfr. punto 4, pag. 5 del verbale di operazioni compiute  del 21 febbraio gennaio 2016). 

In merito, infine, alla prospettata difficoltà, da parte della Società, di ricostruire il tracciato del percorso effettuato dagli autoveicoli noleggiati a motivo del fatto che il titolare esercita l’attività di autonoleggio senza l’ausilio di alcun collaboratore, è ovvio che tale circostanza rende più gravosa, ma non esclude la possibilità di risalire all'ubicazione del veicolo in un determinato momento da parte del titolare del trattamento, nonché alla identità della persona alla quale tale veicolo è stato noleggiato. 

Per quanto attiene, in chiusura, all’invocato errore incolpevole sul fatto e alla buona fede della parte circa l’obbligo di notificazione al Garante, la Società, rivestendo a tutti gli effetti la qualifica di titolare del trattamento, era tenuta a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragion del fatto che, in relazione alla sue qualità professionali era tenuta informarsi sulle norme applicabili e sulla relativa interpretazione, tra cui l’obbligo di procedere alla notificazione al Garante ai sensi dell’art. 37, comma 1, lett. a), secondo le modalità indicate dall’art. 38 del Codice. Pertanto, non può essere accolta l’argomentazione relativa alla sussistenza della buona fede, a fronte dell’obbligo di osservanza della normativa in materia di protezione dei dati personali da parte del titolare del trattamento.

RILEVATO, quindi, che la Società sulla base delle considerazioni sopra esposte, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver preventivamente presentato la notificazione al Garante;

VERIFICATO che la Società ha presentato la notificazione al Garante in data 28 marzo 2016, successivamente all’accertamento ispettivo e alla contestazione effettuati dal Nucleo Speciale Privacy della Guardia di Finanza, come risulta dall’interrogazione del Registro generale dei trattamenti;

VISTO l’art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37, comma 1, lett. a), e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, la violazione non risulta connotata da elementi specifici, avuto anche riguardo alle concrete modalità di utilizzo da parte della società del sistema di geolocalizzazione;

b) ai fini della valutazione dell’opera svolta dall’agente, deve evidenziarsi che la Società, dall’interrogazione del registro generale dei trattamenti, risulta aver presentato la notificazione al Garante in data 28 marzo 2016, successivamente all’inizio del trattamento;

c) circa la personalità dell’autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell’agente, sono stati presi in considerazione gli elementi reddituali per l’anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all’art. 163 del Codice;

RITENUTO, altresì, di accogliere la richiesta di rateizzazione in 25 (venticinque) rate mensili dell'importo di euro 800,00 (ottocento) ciascuna, per un importo complessivo pari a euro 20.000,00 (ventimila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a “AUTONOLEGGI 24 S.a.s. DI GIAQUINTO GIOVANNI” con sede legale in Civita Castellana, Viterbo, Via Torquato Tasso n.6/B - P.IVA 02126720560, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione, di cui all’art. 163 del Codice, indicata in motivazione, frazionandola, in accoglimento della richiesta di rateizzazione, in 25 (venticinque) rate mensili dell’importo di 800,00 (ottocento) euro ciascuna;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, i cui versamenti frazionati saranno effettuati a partire dal giorno 15 del mese successivo a quello in cui avverrà la notifica della presente ordinanza, pena l'adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge 24 novembre 1981, n. 689. 

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 15 febbraio 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia