[doc. web n. 9038679]

Ordinanza ingiunzione nei confronti di EMMECI LOGISTICA S.r.l. - 14 giugno 2018

Registro dei provvedimenti
n. 386 del 14 giugno 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che il Nucleo Speciale Privacy della Guardia di Finanza, in esecuzione della richiesta di informazioni del Garante  n. 31540/114083 del 3 ottobre 2017, formulata ai sensi dell’art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”), ha svolto gli accertamenti, ai sensi dell’art. 13 della legge 689/1981, presso “EMMECI LOGISTICA S.r.l." (d’ora innanzi la “Società), con sede legale in Tirano (SO), via del Progresso n. 2, P.I. 00809410145, esercente l'attività di "trasporto di merci su strada, formalizzati nel verbale di operazioni compiute il giorno 25 ottobre 2017 e diretti a verificare la liceità dei trattamenti di dati personali effettuati dalla Società;

VISTI gli atti dell’accertamento ispettivo; 

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti e della documentazione inviata dalla Società al Nucleo speciale Privacy della Guardia di Finanza  a scioglimento delle riserve formulate nel corso dell’ispezione, è risultato che:

- la Società effettua trasporti su strada esclusivamente per conto della “Maganetti Spedizioni S.p.A.” sulla base di un contratto di sub trasporto in essere con quest’ultima;

- per tale attività, la Società utilizza n. 4 automezzi di proprietà sui quali sono stati installati e attivati, dall’anno 2016,  dispositivi di geolocalizzazione  (GPS Tracker mod. 103 della società Coban) (cfr. verbale di operazioni compiute, punto n. 2, pag. 3); 

- “ (…) Detti dispositivi sono di proprietà della Maganetti Spedizioni S.p.A. e la scheda sim al loro interno è intestata alla predetta società”; 

-  “ (…) Il servizio di geolocalizzazione è gestito direttamente dalla Maganetti  Spedizioni  S.p.A (…)” Le funzionalità tecniche del sistema e i dati relativi alla geolocalizzazione sono inseriti in un database di proprietà della Maganetti che decide in merito al funzionamento dei dispositivi (il dispositivo GPS permette la rilevazione della posizione dei veicoli su una mappa con un intervallo temporale di 3 minuti e il sistema conserva in memoria le ultime 7 posizioni per un arco temporale di 21 minuti), nonché in ordine alla registrazione e alla conservazione dei dati (cfr. verbale di operazioni compiute del 25 ottobre 2017, punto n. 1, pagg. 2 e 3); 

- il personale addetto alla guida di tali automezzi (n. 4 autisti) è costituito da dipendenti della Società; 

- come dichiarato “(…) La Società può comunque accedere al servizio di geolocalizzazione, esclusivamente dei propri automezzi, mediante l'inserimento di credenziali su apposita area riservata  del sito  web  www.maganetti.com (…)” (cfr. verbale di operazioni compiute del 25 ottobre 2017, punto n. 1, pag. e 3); 

- come dichiarato “ (…) La Società (…) può risalire al conducente dell'automezzo oltre che con il numero di  cellulare  anche per il fatto che ogni automezzo è assegnato ad un determinato autista oppure consultando il cronotachigrafo che per legge deve contenere anche i  dati  identificativi  dell'autista (…)” (cfr. ibidem, come sopra);

- come evidenziato nella informativa rilasciata ai propri dipendenti “potenzialmente soggetti al controllo automatico della posizione geografica (…)”, la Società ha “ (…) installato il sistema satellitare con il fine di aumentare la sicurezza del patrimonio aziendale rispetto a furti, ottimizzare  i costi aziendali riducendo i chilometri a vuoto e permettere la geolocalizzazione della merce trasportata (…);

- la Società, con nota prot. n. 4555 del 27 aprile 2012, ha richiesto alla Direzione Territoriale del Lavoro di Sondrio e, da quest’ultima, ottenuto, l’autorizzazione ad utilizzare il sistema di geolocalizzazione sopra indicato; 

- la Società, ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, è titolare del trattamento dei dati personali effettuato nell’esecuzione della sopra citata attività di geolocalizzazione; 

- la Società, a fronte del trattamento di dati personali posto in essere mediante il sistema di geolocalizzazione installato a bordo dei n. 4 veicoli aziendali guidati da propri dipendenti ha omesso, in qualità di titolare del trattamento, di effettuare la notificazione al Garante, ai sensi degli artt. 37, comma 1, lett. a) e 38, commi 1 e 2, del Codice;

VISTO  il Verbale del Nucleo Speciale Privacy della Guardia di Finanza n. 100 del 19 dicembre 2017 con cui è stata contestata a “EMMECI LOGISTICA S.r.l." con sede legale in Tirano (SO), via del Progresso n. 2, P.I. 00809410145 la violazione amministrativa prevista dall’art. art.163 del Codice (“Omessa o incompleta notificazione” ) per il mancato assolvimento dell’obbligo di notificazione al Garante di cui al combinato disposto degli articoli 37, comma 1, lettera a) e 38 del Codice in relazione al trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; 

RILEVATO che dal rapporto predisposto dalla I Sezione del Nucleo Speciale Privacy della Guardia di Finanza ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI  gli scritti difensivi e i relativi allegati, datati 18 gennaio 2018, formulati ai sensi dell’art. 18 della legge n. 689/1981 con riferimento alle contestazioni di cui al sopra citato verbale n. 100 del 19 dicembre 2017, con cui la Società  ha inteso rappresentare la propria  posizione ritenendo: 

a) “(…) non corretta (la) ricostruzione dei presupposti di fatto e di diritto(…)” riferita agli addebiti mossi. 
In ordine a ciò, anzitutto, la parte ha ricondotto la titolarità del trattamento dei dati raccolti e gestiti a mezzo del sistema di geolocalizzazione esclusivamente alla Maganetti per il fatto che “ (…) Solo ed esclusivamente alla prima spettano infatti "le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza (cfr. art. 4, comma 1, lettera f) del Codice)". Il legale di parte ha, poi, sostenuto che “ (…) La Società non ha mai utilizzato il sistema di geolocalizzazione semplicemente perché non ne ha necessità ed esigenza, e non ha nemmeno le risorse per poterlo fare (…)”e “ (…) non ha mai avviato alcun trattamento di dati di geolocalizzazione in relazione ai propri veicoli (…)". Inoltre il sistema di geolocalizzazione è impostato dalla Maganetti per soddisfare “(….) unicamente una sua esigenza di organizzazione logistica dei trasporti (finalità) (…)”, ove la Società “ (…) non  svolge attività di organizzazione della logistica (…)”:

b) L’inapplicabilità  dell'art. 37 del Codice. 

Sotto tale profilo, il legale di parte ha fatto presente di ritenere che “ (…) mancano i requisiti della continuità della localizzazione e della idoneità a identificare l'interessato (…)”. Infatti, in riferimento al primo aspetto, ha sostenuto che“ (…) la rilevazione avviene ogni 3 minuti, in un dato istante, dopodiché si interrompe  per i successivi 2 minuti e 59 secondi. Sui server di Maganetti vengono conservati i dati delle ultime 7 rilevazioni, con uno "storico" di soli 21 minuti (…)” e, con riferimento al secondo aspetto, che “ (…)  il sistema di geolocalizzazione in discorso non è in grado di identificare "chi" è in un dato luogo, ma solo "dove" si trova un veicolo. L'eventuale e successiva verifica di chi è alla guida del veicolo geolocalizzato necessità di  una  ulteriore  attività deduttiva,  non  automatica,  non  immediata”.

c) l’applicabilità al caso in questione, “ (…) in via strettamente subordinata” - nella ipotesi in cui la Società fosse ritenuta titolare del trattamento - di quanto disposto dal Garante nella lett. A), punto c), del “Provvedimento relativo ai casi da sottrarre all'obbligo di notificazione” del 31 marzo 2004 (doc. web n. 85256 rintracciabile sul sito www.gpdp.it), per cui sono sottratti all’obbligo di notificazione al Garante i trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di “sicurezza" del trasporto. 

Il legale ha, infatti, precisato che la parte, qualora fosse ritenuta titolare del trattamento dei dati relativi alla funzione di geolocalizzazione, utilizzerebbe tale funzione per la sola finalità della sicurezza del trasporto.  

In ultimo, il legale ha rappresentato “ (…) la minor gravità della fattispecie, anche in considerazione della condotta tenuta dalla Società, di assoluta buona fede e correttezza nei confronti dei propri dipendenti, informati della presenza del sistema di geolocalizzazione (…)” ed inoltre che “(…) La buona fede e/o l'errore scusabile della Società sono stati determinati anche dalla descrizione del sistema di geolocalizzazione  fornita  da  Maganetti (…)”  

Alla luce di quanto sopra, la Società ha richiesto, in via principale, di archiviare il procedimento sanzionatorio, annullando e/o revocando il verbale di contestazione di violazione amministrativa  n. 100 del 19.12.2017; in via subordinata,  “(…) nella denegata e non creduta ipotesi in cui la Società si ritenesse soggetta all'obbligo di notifica del trattamento ex art. 37 del Codice, alla luce della buona fede e/o dell'errore scusabile della Società, annullare e/o revocare il  verbale di contestazione (…)” sopra citato; “ (…) in via ulteriormente subordinata (…) (sempre) nella denegata e non creduta ipotesi in cui la Società si ritenesse soggetta all'obbligo di notifica del trattamento ex art. 37 del Codice, considerata la minor gravità della fattispecie e della condotta della Società, determinare e contenere la sanzione amministrativa al minimo edittale ridotto in misura pari a due quinti, ai sensi dell'art. 164 bis comma 1 del Codice (…)”, nonché la rateizzazione dell’importo in n. 30 rate mensili.

LETTO il verbale di audizione del 2 maggio 2018, svoltasi ai sensi dell’art. 18 della legge n. 689/1981, con cui la parte, ribadendo quanto già dichiarato e richiesto nella memoria difensiva, ha inteso evidenziare che “ (..) non è proprietaria, né gestisce il sistema di geolocalizzazione e non spetta ad essa alcuna decisione in ordine a finalità e modalità del trattamento dati effettuato attraverso il sistema stesso. La società, inoltre, non ha mai avuto accesso al sistema in quanto non gestisce la logistica, ma si limita a fornire il servizio di trasporto alla Maganetti Spedizioni S.p.a.”;

RITENUTO che le argomentazioni addotte dalla Società negli scritti difensivi sopra citati e rivolte a dimostrare l’infondatezza dei rilievi mossi con il verbale n. 100  del 19 dicembre 2017 non sono idonee a determinare l’archiviazione del procedimento sanzionatorio.  

Anzitutto, in ordine alla prospettata titolarità del trattamento, in capo alla Maganetti S.p.a., dei dati relativi a veicoli geolocalizzati di proprietà della Società, si evidenzia quanto segue. 

Sulla base del contratto di sub-trasposto stipulato tra la Maganetti S.p.a.. e la Società, quest’ultima si è impegnata a svolgere i servizi di trasporto su strada per conto della Maganetti  con propri “ (…) capitali, macchine, personale ed attrezzature necessarie e sufficienti a garantire l’esecuzione dei servizi (..)” (cfr. Allegato n. 1 al verbale di operazioni compiute del 25 ottobre 2017). Nello svolgimento di tale attività la Società, per le finalità di “ (…) aumentare la sicurezza del patrimonio aziendale rispetto a furti, ottimizzare i costi aziendali riducendo i chilometri a vuoto e permettere la geolocalizzazione della merce trasportata (…)” (cfr. testo dell’informativa rilasciata ai dipendenti), dalla stessa determinate, si è avvalsa della infrastruttura tecnologica per la geolocalizzazione dei mezzi aziendali configurata e fornita dalla Maganetti S.p.a.; a tal fine, ha correttamente informato i propri dipendenti circa la presenza di rilevatori automatici di posizione sugli autoveicoli aziendali, nonché richiesto l’autorizzazione all’utilizzo del sistema di geolocalizzazione alla DTL di Sondrio in data 27 aprile 2012.  La Società, abilitata ad accedere ai dati di geolocalizzazione relativi ai propri automezzi sul sito www.maganetti.com di proprietà della Maganetti S.p.a., possiede username e password riservate; pertanto "(…) le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza (cfr. art. 4, comma 1, lettera f) del Codice)" sono, in tal caso, riconducibili in capo ad ambedue le società. 

Quanto al dichiarato mancato utilizzo della funzionalità di geolocalizzazione da parte della Società a dimostrazione della insussistenza di responsabilità di quest’ultima, si fa presente l’irrilevanza di tale circostanza, essendo la Società in possesso delle credenziali per accedere, in  veste di contitolare del trattamento come poc’anzi evidenziato, al sistema. Nella informativa correttamente rilasciata ai dipendenti, autisti degli autoveicoli aziendali dotati di dispositivo di geolocalizzazione, la Società ha, infatti, scritto che tali dipendenti sono “potenzialmente soggetti al controllo automatico della posizione geografica”, nel senso che, in qualsivoglia momento, la Società ha facoltà di accedere al sistema per verificare la posizione degli stessi. 

Con riferimento, poi,  alla inapplicabilità degli artt. 37 e 38 del Codice prospettata dal legale di parte in relazione a quanto chiarito dal Garante nel Provvedimento del 23 aprile 2004 sopra citato, per l’insussistenza, nel sistema di geolocalizzazione utilizzato, dei requisiti della continuità della localizzazione e della idoneità a identificare l'interessato, si fa presente quanto segue. 
In merito al requisito della continuità, si specifica, come già in altre occasioni evidenziato dal Garante, che, sulla base della provvedimento poc’anzi citato per cui la “localizzazione va notificata quando permette di individuare in maniera continuativa - anche con eventuali intervalli - l'ubicazione sul territorio o in determinate aree geografiche (…)” si ritiene sussistente il requisito della “continuità” qualora il titolare del trattamento sia in grado di individuare, automaticamente o meno (anche, ad esempio, attraverso un meccanismo conoscitivo come una telefonata o l'invio di un sms) la posizione del veicolo geolocalizzato, prescindendo, dalla possibilità o meno di una tracciatura costante in via automatica di tutto il percorso effettuato dal veicolo geolocalizzato. In altri termini per “continuità”, deve intendersi la rilevabilità della posizione del mezzo ogni qualvolta il titolare del trattamento abbia quest’esigenza conoscitiva e anche laddove la eventuale ricostruzione del “tracciato” del percorso effettuato risulti particolarmente laboriosa, considerati anche eventuali “intervalli”; ciò, potendo, al contempo, risalire alla identità del conducente, anche indirettamente – sulla base di quanto dispone l’art. 4, comma 1, lett. b), del Codice per cui per dato personale deve intendersi “ (…) qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione (…)”. Alla luce di quanto sopra, in tale circostanza, poiché il sistema utilizzato dalla Società permette, anche se ad intervalli di tempo, la ricostruzione del percorso effettuato dagli automezzi e potendo la Società identificare, anche se indirettamente - ovvero aliunde e non dal sistema - il personale dipendente alla guida di tali automezzi – come dichiarato dalla Società, infatti, “(…) La Società (…) può risalire al conducente dell'automezzo oltre che con il numero di  cellulare  anche per il fatto che ogni automezzo è assegnato ad un determinato autista oppure consultando il cronotachigrafo che per legge deve contenere anche i  dati  identificativi  dell'autista (…)” (cfr. verbale di operazioni compiute, punto n. 1, pag. 3) - si ritiene ricorrano i presupposti per applicare gli articoli 37, comma 1, lettera a) e 38 del Codice.

Né può ritenersi che ricorra l’esimente prevista dal richiamato “Provvedimento relativo ai casi da sottrarre all'obbligo di notificazione” n. 1 del 31 marzo 2004 del Garante, in quanto, in tal caso, la finalità per cui la Società utilizza il sistema di geolocalizzazione non risulta essere “esclusivamente” quella di sicurezza, come richiede tale provvedimento al punto A), n. 1, lett. c) per cui sono esonerati dall’obbligo di notificazione “(…) i trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto”. A tale proposito, infatti, si evidenzia che nella informativa rilasciata ai propri dipendenti “potenzialmente soggetti al controllo automatico della posizione geografica (…)”, la Società ha informato di aver “ (…) installato il sistema satellitare con il fine di aumentare la sicurezza del patrimonio aziendale rispetto a furti, ottimizzare i costi aziendali riducendo i chilometri a vuoto e permettere la geolocalizzazione della merce trasportata (…);

Infine, con riferimento all’invocata buona fede,  si fa presente che, in relazione all’art. 3 della legge n. 689/1981, è necessario che l’errore - secondo consolidata giurisprudenza - affinché sia scusabile, si fondi su un elemento positivo, estraneo all’agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento. Tale elemento positivo deve risultare non ovviabile dall’interessato con l’uso dell’ordinaria diligenza. La Società, rivestendo a tutti gli effetti la qualifica di contitolare del trattamento, era tenuta, diligentemente, a conoscere e a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragione del fatto che, in relazione alla sue qualità professionali era tenuta a informarsi sulle norme applicabili e sulla relativa interpretazione, tra cui l’obbligo di procedere alla notificazione al Garante ai sensi dell’art. 37, comma 1, lett. a), secondo le modalità indicate dall’art. 38 del Codice. Pertanto, non può essere accolta l’argomentazione relativa alla sussistenza della buona fede, a fronte dell’obbligo di osservanza della normativa in materia di protezione dei dati personali da parte del titolare del trattamento.

RILEVATO che la Società in qualità di titolare del trattamento ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, sulla base delle considerazioni sopra richiamate, risulta aver commesso la violazione di cui all’art. 163 del Codice per il mancato assolvimento dell’obbligo di notificazione di cui al combinato disposto degli artt. 37, comma 1, lettera a) e 38 del Codice in relazione al trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; 

VISTO l’art. 163 del Codice che punisce la violazione degli artt.  37, comma 1, lettera a) e 38, commi 1 e 2, del medesimo Codice con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

RITENUTO che ricorrono le condizioni per applicare l'art. 164-bis, comma 1, del Codice secondo cui “se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti”;  

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico la violazioni contestata, di cui all’art. 163 del Codice, si ritiene presentare i caratteri della minore gravità;

b) circa la personalità dell’autore della violazione, deve essere considerata la circostanza che la Società non risulta gravata da precedenti procedimenti sanzionatori;

c) in merito alle condizioni economiche dell’agente, sono stati presi in considerazione gli elementi del bilancio ordinario d’esercizio per l’anno  2016;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria in relazione all’art. 163, per la violazione degli artt. 37, comma 1, lettera a) e 38, commi 1 e 2, in ragione dei suddetti elementi valutati nel loro complesso,  nella misura di euro 20.000,00 (ventimila) ridotta dei due quinti, secondo quanto previsto dall’art. 164-bis, comma 1, del Codice per la ricorrenza del requisito della minore gravità, per un importo pari a euro 8.000,00 (ottomila); 

RITENUTO di accogliere la richiesta della Società di rateizzazione dell’ammontare della sanzione sopra determinata in n. 25 (venticinque) rate mensili corrispondenti all’importo di euro 320 (trecentoventi) ciascuna;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981, n. 689 e successive modificazioni e integrazioni;

VISTO l’art. 1, comma 2, della legge sopra citata, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a “EMMECI LOGISTICA S.r.l." con sede legale in Tirano (SO), via del Progresso n. 2, P.I. 00809410145, di pagare la somma di euro 8.000,00 (ottomila), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, frazionandola, in accoglimento della richiesta di rateizzazione, in 25 (venticinque) rate mensili dell’importo di euro 320,00 (trecentoventi) ciascuna;

INGIUNGE

alla medesima società di pagare la somma di euro 8.000,00 (ottomila) secondo le modalità indicate in allegato, i cui versamenti frazionati avranno inizio entro l’ultimo giorno del mese successivo a quello in cui avverrà la notifica della presente ordinanza, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell’avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 14 giugno 2018

IL PRESIDENTE
Soro

IL RELATORE 
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia