[doc. web n. 3634705]

Ordinanza di ingiunzione nei confronti del Comune di Udine - 9 ottobre 2014

Registro dei provvedimenti
n. 453 del 9 ottobre 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano, componente e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Comune di Udine C.Fisc.: 00168650307, con sede in Udine, via Lionello n. 1, a fronte della richiesta di informazioni n. 7447/75255 del 21 marzo 2012 formulata dall´Ufficio del Garante ai sensi dell´art. 157 del d. lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice") e ritualmente notificata, non ha fornito alcun riscontro, così come accertato nella nota n. 15002/75255 del 7 giugno 2012;

RILEVATO, altresì, che nel prosieguo dell´attività istruttoria resosi necessario a causa del mancato riscontro del Comune di Udine, la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni n. 24924/75255 dell´8 ottobre 2012, formulata ai sensi dell´art. 157 del Codice, ha svolto accertamenti presso il Comune di Udine, come riportato nel verbale di operazioni compiute del 6 novembre 2012, da cui è risultato che il predetto Comune, in qualità di titolare del trattamento, non ha provveduto all´aggiornamento del Documento programmatico sulla sicurezza (D.P.S.) entro la data del 31 marzo degli anni dal 2005 al 2011, in violazione  degli artt. 33 e 34 del Codice;

VISTO il verbale n. 17863/75255 del 6 luglio 2012 con cui è stata contestata, al predetto ente locale quale titolare del trattamento la violazione amministrativa, prevista dall´art. 164 del Codice, in relazione all´art. 157, informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale risulta che non è stato effettuato il pagamento in misura ridotta; 

VISTO il verbale n. 109/2012 del 12 dicembre 2012 redatto dalla Guardia di finanza, Nucleo speciale privacy, con cui è stata contestata al Comune di Udine, in qualità di titolare del trattamento, la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, per la quale non è prevista la definizione in via breve ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

VISTO lo scritto difensivo datato 22 gennaio 2013 afferente la contestazione di cui all´art. 162, comma 2-bis del Codice e la nota n. 01004 del 9 agosto 2012 recante, tra l´altro, alcune osservazioni circa la contestazione di cui all´art. 164 del Codice, redatti ai sensi dell´art. 18 della legge n. 689/1981 nei quali il Comune, riguardo l´illecito di cui all´art. 162, comma 2-bis del Codice, ha sottolineato "(…) che la rilevazione dell´asserita violazione è avvenuta a seguito dell´espletamento dell´attività di controllo (…) in data 6 novembre 2012. A tale data era già in vigore il predetto art. 45 lettera c) del Decreto Legge 5/2012 che ha soppresso la lettera g) dell´art. 34 del D.Lgs 196/03, pertanto è pacifico che al momento della sua rilevazione il fatto contestato (…) non si configurava più un illecito amministrativo e pertanto non era più sanzionabile", in applicazione di quanto asserito dalla Corte di Cassazione Sezione Lavoro nella sentenza n. 7524 del 22 maggio 2002. Ha evidenziato, altresì, come "(…) l´omesso aggiornamento annuale del DPS, non ha comportato incrementi del livello di rischio e/o sicurezza nelle operazioni di trattamento dei dati da parte degli uffici comunali", atteso che "(…) il costante mantenimento nel tempo delle prassi operative descritte nel DPS e nei suoi allegati (…) ha consentito all´amministrazione di assicurare un livello di sicurezza nei trattamenti dei dati personali aderente ai livelli minimi prescritti dal D.Lgs. 196/03". Riguardo la richiesta di informazioni ai sensi dell´art. 157 del Codice, il trasgressore ha rilevato come "Il mancato riscontro alla note di Codesta Autorità di data (…) 21 marzo 2012 è stata determinata da un mero disguido di natura tecnico-burocratica (…)";

LETTO il verbale di audizione, svoltasi il 13 maggio 2013, ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha sostanzialmente ribadito quanto già dedotto nelle memorie difensive;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato. Relativamente alla contestazione di cui all´art. 162, comma 2-bis del Codice, nell´evidenziare come la natura permanente dell´illecito omissivo contestato determini l´individuazione del suo momento consumativo non nel momento in cui la condotta omissiva illecita è stata accertata (verbale di operazioni compiute del 6 novembre 2012), bensì all´atto della cessazione della medesima condotta illecita (31 marzo 2011), ovvero, in attuazione del principio di legalità di cui all´art. 1 della legge n. 689/1981, prima dell´entrata in vigore dell´art. 45 lettera c) del Decreto Legge 5/2012 che ha soppresso la lettera g) dell´art. 34 del D.Lgs 196/03, si evidenzia come il Comune equivochi sull´effettiva portata della sentenza citata. In effetti la S.C., nel definire lo specifico caso in trattazione, partendo dall´assunto che la norma in essa citata (art. 116, comma 12, della legge n. 388 del 2000) "(…) ha abolito tutte le sanzioni amministrative (…)", ha sancito il principio in base al quale "(…) poiché la norma fa riferimento non alle condotte ma alla manifestazione della potestas puniendi della pubblica autorità, risultano rimosse le sanzioni amministrative relative ad infrazioni contestate dopo l´entrata in vigore della nuova legge (…)". Appare evidente come il principio asserito dalla S.C. non sia applicabile al caso che ci occupa, atteso che, l´art. 45 lettera c) del Decreto Legge 5/2012 che ha soppresso la lettera g) dell´art. 34 del D.Lgs 196/03, non ha abrogato la sanzione amministrativa, bensì ha abrogato la previsione normativa che individuava la condotta illecita, ciò determinando l´applicabilità, in ossequio del citato principio di legalità di cui all´art. 1 della legge n. 689/1981, della norma sanzionatoria (mai abrogata) vigente nel momento della cessazione della condotta omissiva (31 marzo 2011). Si rileva, poi, come le argomentazioni relative al fatto che "(…) l´omesso aggiornamento annuale del DPS, non ha comportato incrementi del livello di rischio e/o sicurezza nelle operazioni di trattamento dei dati (…)", non sostanziano alcuna esimente agli obblighi a suo tempo previsti dalla norma violata, ove, parimenti, non è riscontrabile alcun elemento costitutivo della disciplina dell´errore scusabile di cui all´art. 3 della legge n. 689/1981. Relativamente a quanto osservato circa la richiesta di informazioni ai sensi dell´art. 157 del Codice, quanto rappresentato circa "(…) un mero disguido di natura tecnico-burocratica (…)", non sostanzia alcuno degli elementi costitutivi della disciplina inerente l´errore scusabile di cui all´art. 3 della legge n. 689/1981, ove, peraltro, si evidenzia, in ordine alle valutazioni sulla gravità dello specifico illecito contestato, che il Comune, oltre a non aver dato riscontro alla richiesta di informazioni ai sensi dell´art. 157 del Codice, non ha provveduto, a suo tempo, ha fornire le informazioni richieste per mezzo di apposita nota del Dipartimento giuridico competente dell´Ufficio;

RILEVATO, quindi, che il Comune di Udine, in qualità di titolare del trattamento non ha fornito al Garante le informazioni e i documenti richiesti ai sensi dell´art. 157 del Codice e non ha tenuto un aggiornato Documento programmatico sulla sicurezza (previsto all´epoca dei fatti dal disciplinare tecnico allegato B al Codice), omettendo, quindi, di adottare le misure minime di sicurezza di cui all´art. 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

VISTO l´art. 164 del Codice che punisce la violazione delle disposizioni di cui all´art. 157 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro fino a sessantamila euro;

RITENUTO che, nel caso di specie, con riferimento alla sola violazione di cui all´art. 162, comma 2-bis del Codice, ricorrano le condizioni per applicare l´art. 164-bis, comma 1, del Codice che prevede che se taluna delle violazioni di cui agli articoli 161, 162, 163 e 164 è di minore gravità, avuto altresì riguardo alla natura anche economica o sociale dell´attività svolta, i limiti minimi e massimi stabiliti dai medesimi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, pertanto, di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981, n. 689, l´ammontare della sanzione pecuniaria nella misura di 4.000,00 (quattromila) per la violazione di cui all´art. 162, comma 2-bis del Codice e l´ammontare della sanzione pecuniaria nella misura di 10.000,00 (diecimila) per la violazione di cui all´art. 164 del Codice, per un importo complessivo pari a euro 14.000,00 (quattordicimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

al Comune di Udine C.Fisc.: 00168650307, con sede in Udine, via Lionello n. 1, in persona del legale rappresentante pro-tempore di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione di cui all´art. 162, comma 2-bis, e la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione di cui all´art. 164, per un importo complessivo pari a euro 14.000,00 (quattordicimila) come indicato in motivazione;

INGIUNGE

al medesimo Comune di pagare la somma di euro 14.000,00 (quattordicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 9 ottobre 2014

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia