[doc. web n. 9002991]

Ordinanza ingiunzione nei confronti di Carriere Italia s.r.l.

Registro dei provvedimenti
n. 146 dell'8 marzo 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell’art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) nr. 10024/102969 del 7 aprile 2016 formulata da questa Autorità, ha svolto presso Carriere Italia s.r.l. P.Iva: 02576590356, con sede in Reggio Emilia, via Nicomede Bianchi n. 19, in persona del legale rappresentante pro-tempore, gli accertamenti di cui al verbale di operazioni compiute datato 6 e 7 luglio 2016, dai quali è risultato che la società, in qualità di titolare del trattamento, ha effettuato un trattamento di dati personali idonei a rilevare lo stato di salute contenuti in sette curricula vitae di soggetti appartenenti a categorie protette (ex legge 68/1999) conservati in una cartella denominata “L68, al fine di selezione del personale per conto terzi, omettendo di effettuare la notificazione al Garante ai sensi dell’art. 37, comma 1 lett. e) e 38 del Codice. La medesima attività di controllo ha consentito di accertare che la società, per gli annunci di posizioni lavorative aperte sui siti “Subito” e “Senzafiltro” a fronte dei quali ha ricevuto curricula degli interessati, non ha fornito agli stessi una informativa ai sensi dell’art. 13 del Codice;

VISTI i verbali nn.rr. 79 e 78 entrambe datati 23 luglio 2016 (che qui si intendono integralmente richiamati) con cui sono state contestate a Carriere Italia s.r.l.  la violazione amministrativa prevista dall’art. 161, in relazione all’art. 13 del Codice e la violazione amministrativa prevista dall’art. 163 del Codice, in relazione all’art. 37,  informandola, per le due violazioni, della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

ESAMINATO il rapporto del Nucleo speciale privacy della Guardia di finanza predisposto, per entrambe le contestazioni, ai sensi dell’art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo datato 23 agosto 2016 ai sensi dell’art. 18 della legge n. 689/1981 nel quale, relativamente al verbale di contestazione n. 79, la società, evidenziando come “(…) la mancata notifica della cd. banca dati contenente informazioni sensibili registrate in banche di dati ai fini di selezione del personale per conto terzi, come prescritto dalla lett.e) del comma 1 dell’art. 37 del Decreto Legislativo n. 196 del 30 giugno 2013, è stata immediatamente sanata con notifica che alleghiamo”, ha rilevato come “(…) il numero di curriculum vitae (CV) contenente dati sensibili per i quali è obbligatoria la notifica è del tutto insignificante rispetto al numero complessivo di CV da noi gestiti”. Ha evidenziato, inoltre, come “La banca dati in nostro possesso, di cui al verbale in oggetto, è stata acquisita (…) in seguito alla nostra acquisizione del ramo d’azienda della società Ligabue Paola e C. s.a.s., che aveva già provveduto ad effettuare la notifica”. 

Riguardo al verbale di contestazione n. 78, la società, evidenziando come “(…) l’informativa ex art. 13 del D. Lgs. 196/2003 era presente nel sito Internet Biancolavoro, mentre era assente sui siti Subito (dove per espressa indicazione del sito stesso non è possibile inserire riferimenti alla privacy) e Senzafiltro”, ha attribuito la condotta oggetto di contestazione a “(…) un mancato coordinamento tra la società e i gestori dei due siti suddetti (“Subito” e “Senzafiltro”)”;

VISTO il verbale dell’audizione delle parti redatto in data 12 dicembre 2016 ai sensi dell’art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmente ribadito quanto argomentato nella memoria difensiva;

CONSIDERATO che le argomentazioni addotte non consentono di escludere la responsabilità della società in relazione alle due contestazioni in argomento. Posto che quanto argomentato dalla società relativamente al verbale di contestazione n. 79 circa la violazione di cui all’art. 37 del Codice sia in ordine al fatto che la condotta “(…) è stata immediatamente sanata con notifica che alleghiamo” sia che“(…) il numero di curriculum vitae (CV) contenente dati sensibili (…) è del tutto insignificante rispetto al numero complessivo di CV da noi gestiti”, pur non sostanziando alcuna esimente di cui agli artt. 3 e 4 della legge n. 689/1981, deve essere considerato in ordine alla quantificazione dell’importo della sanzione. Relativamente a quanto esposto circa il fatto che “La banca dati in nostro possesso, di cui al verbale in oggetto, è stata acquisita (…) in seguito alla nostra acquisizione del ramo d’azienda della società Ligabue Paola e C. s.a.s.(…)”, si rileva come, sotto il profilo della disciplina della protezione dei dati personali, l’art. 38, comma 4 del Codice, fornisce indicazioni certamente inequivoche circa gli obblighi in ordine alla responsabilità del trattamento dei dati personali, prevedendo la necessità di una nuova notificazione al mutamento di taluno degli elementi da indicare nella notificazione medesima, tra i quali, la nuova denominazione del titolare del trattamento. A nulla rileva, pertanto, l’asserita circostanza per la quale“(…) i curricula in questione siano stati inviati alla Ligabue Paola & C. s.a.s. in data antecedente alla acquisizione del ramo d’azienda da parte di Carriere Italia s.r.l. (…)”, sia in quanto tale affermazione non è sorretta da alcun elemento di prova, sia perché tale argomentazione non sostanzia alcuno degli elementi costitutivi della disciplina dell’errore scusabile di cui all’art. 3 della legge n. 689/1981. Ne consegue come quanto argomentato, non consente di qualificare gli elementi costitutivi della disciplina sull’errore scusabile di cui all’art. 3 della legge n. 689/1981, atteso che l'errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall'interessato con l’ordinaria diligenza, elemento che non è riscontrabile nel caso di specie (Cass. Civ. sez. I del 21 febbraio 1995 n. 1873; Cass. Civ. sez II del 13 marzo 2006, n. 5426). 

Riguardo al verbale di contestazione n. 78 circa la violazione dell’art. 13 del Codice, anche quanto asserito circa il fatto che “(…) l’informativa ex art. 13 del D. Lgs. 196/2003 era presente nel sito Internet Biancolavoro, mentre era assente sui siti Subito (…) e Senzafiltro”, pur non sostanziando alcuna esimente di cui agli artt. 3 e 4 della legge n. 689/1981, deve essere considerato in ordine alla quantificazione dell’importo della sanzione, ove, peraltro, sul punto, quanto riportato nella memoria circa “(dove per espressa indicazione del sito stesso non è possibile inserire riferimenti alla privacy)”, non risulta supportato da alcun elemento di valutazione capace di giustificare tale impossibilità;

RILEVATO che risultano essere avvenuti presso Carriere Italia s.r.l. sia un trattamento di dati personali idonei a rilevare lo stato di salute (art. 4 comma 1, lett. a) e d) del Codice) contenuti in sette curricula vitae di soggetti appartenenti a categorie protette (ex legge 68/1999) conservati in una cartella denominata “L68, al fine di selezione del personale per conto terzi, omettendo di effettuare la notificazione al Garante ai sensi dell’art. 37, comma 1 lett. e) e 38 del Codice, sia trattamenti di dati personali degli interessati (art. 4 comma 1, lett. a) e b) del Codice) tramite annunci di posizioni lavorative aperte sui siti “Subito” e “Senzafiltro” a fronte dei quali ha ricevuto curricula degli interessati, senza fornire agli stessi una informativa ai sensi dell’art. 13 del Codice;

VISTO l’art. 161 del Codice, che punisce la violazione delle disposizioni di cui all’art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l’art. 163 del Codice che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

RITENUTO che ricorrono, per entrambe le violazioni contestate, le condizioni per applicare l’art. 164-bis, comma 1, del Codice che prevede che, se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l’importo della sanzione pecuniaria per la violazione dell’art. 161 del Codice deve essere determinato nella misura di euro 2.400,00 (duemilaquattrocento) e l’importo della sanzione pecuniaria per la violazione dell’art. 163 del Codice deve essere determinato nella misura di euro 8.000,00 (ottomila), per un importo complessivo, per entrambe le violazioni, pari a euro 10.400,00 (diecimilaquattrocento); 

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Carriere Italia s.r.l. P.Iva: 02576590356, con sede in Reggio Emilia, via Nicomede Bianchi n. 19, in persona del titolare, di pagare la somma di euro 10.400,00 (diecimilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e163 del Codice, come indicato in;

INGIUNGE

alla medesima società di pagare la somma di euro 10.400,00 (diecimilaquattrocento), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 8 marzo 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL  SEGRETARIO GENERALE
Busia