[doc. web n. 4630919]

Ordinanza di ingiunzione nei confronti Liceo scientifico statale Plinio Seniore - 22 ottobre 2015

Registro dei provvedimenti
n. 554 del 22 ottobre 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante, con provvedimento n. 261 del 30 maggio 2013, ha definito il procedimento amministrativo relativo, tra l´altro, a una segnalazione circa i trattamenti posti in essere dal Liceo scientifico statale Plinio Seniore Cod. Fis.: 80217310582, con sede in Roma, via Montebello n. 122, in persona del legale rappresentante pro-tempore, accertando che il trattamento di dati biometrici del personale posto in essere dal Liceo "Plinio Seniore" al fine della rilevazione delle presenze, è stato effettuato senza aver reso agli interessati un´idonea informativa ai sensi dell´art. 13 del d.lg. 30 giugno 2003, n. 196 recante Codice in materia di protezione dei dati personali (di seguito denominato Codice) e senza aver provveduto all´effettuazione della notificazione di cui all´art. 37, comma 1, lett. a) del medesimo Codice, nelle forme e nelle modalità stabilite dall´art. 38. Con il medesimo provvedimento è stato parimenti accertato come presso il medesimo istituto è stato effettuato un trattamento di dati personali per mezzo di un sistema di videosorveglianza, omettendo di rendere l´informativa di cui all´art. 13 del Codice, come prescritto, altresì, dal provvedimento generale sulla videosorveglianza, adottato dal Garante l´8 aprile 2010;

VISTO il verbale nr. 18705/82859 del 19 luglio 2013 (che qui si intende integralmente richiamato) con cui sono state contestate al predetto Liceo le due violazioni amministrative previste dall´art. 161, nonché dall´art. 163 del Codice, in relazione, rispettivamente, agli artt. 13 e 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta per i tre rilievi contestati;

VISTO lo scritto difensivo, datato 7 agosto 2013, inviato ai sensi dell´art. 18 della legge n. 689/1981 nel quale il Liceo, contestando quanto statuito dall´Autorità nel provvedimento n. 261 del 30 maggio 2013 circa il mancato rispetto dei principi di necessità, pertinenza e non eccedenza di cui all´art. 11 del Codice, ha rilevato come "(…) l´apparecchiatura per la rilevazione delle presenze non era stata (…) ancora attivata (…)", così come dimostrato "(…) dai verbali di ispezione/sopralluogo n. 3/54/371 del 11/10/2012 e n. 3/371-54 del 18/10/2012 della Direzione Territoriale del Lavoro di Roma (…)". Inoltre, ha osservato come "(…) la rilevazione delle presenze attraverso una delle suddette modalità (badge o password o algoritmo matematico non riproducibile del profilo dell´impronta del dito) sarebbe avvenuta in forza della opzione, su base volontaria, effettuata dal personale". Riguardo il rilievo concernente l´obbligo di rendere un´idonea informativa ai sensi dell´art. 13 del Codice in relazione al trattamento di dati biometrici, osserva come "(…) l´informativa era stata fornita secondo quanto prescritto dall´art. 13 citato al personale (…) che aveva optato per il deposito del profilo del dito, previo consenso", ove, sul punto, evidenzia come  "(…) la rilevazione del profilo del dito, (…) non equivarrebbe al deposito di dati biometrici (impronta digitale), pertanto il LICEO provvedeva ad acquisire il consenso dal personale per eccesso di zelo". Relativamente al rilievo sull´omessa notificazione al Garante di cui all´art. 37 del Codice, ha evidenziato come "(…) era nelle intenzioni del LICEO notificare il trattamento (…) non prima tuttavia di aver completato l´iter volto ad acquisire (…) il consenso degli interessati. Alla data del primo sopralluogo (11 ottobre 2012) da parte degli ispettori l´acquisizione del consenso da parte del personale era ancora in corso (…)". Circa quanto contestato relativamente all´omessa informativa semplificata a fronte del trattamento di dati mediante l´impianto di videosorveglianza, nel richiamare il combinato disposto degli artt. 114 del Codice e 4, comma 2, della legge n. 300/1970, ha rimarcato come in data 11 gennaio 2013 fosse stato siglato l´accordo con le RSU d´Istituto per la installazione dell´impianto in argomento;

VISTO il verbale dell´audizione delle parti redatto in data 9 dicembre 2013, ai sensi dell´art. 18 della legge n. 689/1981, nel quale il Liceo, nel ribadire quanto argomentato nella memoria difensiva, ha evidenziato come "(…) per quanto riguarda l´impianto di videosorveglianza, l´ispettorato del Lavoro, con l´accertamento del 12 ottobre 2012 ha rilevato che le telecamere all´interno della scuola non erano funzionanti (…)", mentre "(…) la notificazione al Garante non era ancora stata effettuata in quanto era in fase di definizione la procedura di autorizzazione da parte della Direzione Provinciale del Lavoro";

RITENUTO che le argomentazioni addotte risultano solo parzialmente idonee ad escludere la responsabilità del Liceo in relazione a quanto contestato. Relativamente all´obbligo di notificazione al Garante di cui all´art. 37, comma 1, lett. a), del Codice, si evidenzia come, diversamente da quanto ritenuto, il sistema utilizzato dal Liceo, che rileva parte dell´impronta digitale dell´interessato e la trasforma in un codice alfanumerico tramite il c.d. enrollment, convertendola in un template, effettua un trattamento di dati personali di cui all´art. 4, comma 1 lett.b) del Codice. Sul punto il Garante si è espresso in numerosi provvedimenti (ex multis Ordinanza ingiunzione n. 381 del 25 giugno 2015, doc. web. n. 4261166 e anche Provvedimento generale prescrittivo in tema di biometria del 12 novembre 2014, doc. web n. 3556992). A prescindere dalla messa in esercizio vera e propria del sistema per la rilevazione delle presenze, il trattamento risulta comunque iniziato, per le ragioni in precedenza evidenziate, con la fase di acquisizione dei dati biometrici da parte del personale (enrollment), determinandosi così il momento consumativo dell´omissione della notificazione secondo quanto previsto dall´art. 38, comma 1 del Codice. Sussisteva di conseguenza, ai sensi dell´art. 37, comma 1 lett. a) del Codice, l´obbligo di notificazione al Garante. In ogni caso, il fatto che l´impianto di rilevazione delle presenze fosse funzionante, risulta accertato, ai sensi dell´art. 13 della legge n. 689/1981, dal provvedimento dell´Autorità n. 261 del 30 maggio 2013, nel quale sono state considerate le comunicazioni e gli atti della Direzione territoriale del lavoro di Roma inerenti gli esiti delle attività ispettive effettuate. Il citato provvedimento non è stato impugnato dall´Istituto in sede giurisdizionale. Relativamente alle ulteriori argomentazioni riferibili allo specifico rilievo, se ne rileva l´inconferenza, atteso che, sia il completamento dell´iter volto ad acquisire il consenso degli interessati sia il fatto che era in fase di definizione la procedura di autorizzazione da parte della Direzione provinciale del lavoro, non sostanziano alcuna esimente. Risulta parimenti inconferente, con riferimento alla videosorveglianza, il richiamo al combinato disposto degli artt. 114 del Codice e 4, comma 2, della legge n. 300/1970;

RITENUTO, invece, che i moduli di acquisizione del consenso al trattamento dei dati biometrici, prodotti con la memoria difensiva, recano un´informativa ai sensi dell´art. 13 del Codice che, sostanzialmente, indica tutti gli elementi richiesti dalla citata norma in riferimento al trattamento di dati in argomento, il rilievo di cui all´art. 161, afferente l´omessa informativa agli interessati circa il trattamento dei dati biometrici, deve essere archiviato;

RILEVATO, quindi, che il Liceo "Plinio Seniore" ha effettuato un trattamento di dati biometrici per la rilevazione delle presenze dei dipendenti omettendo di presentare la notificazione di cui all´art. 37, comma 1, lett. a) del Codice e ha omesso altresì di rendere l´informativa semplificata di cui al provvedimento generale sulla videosorveglianza, adottato dal Garante l´8 aprile 2010 (doc. web n. 1712680);

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

RITENUTO, in ogni caso, che sussistono gli elementi che consentono di applicare la previsione di cui all´art. 164-bis, comma 1, del Codice per l´illecito contestato;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria di cui all´art. 161 del Codice, in combinato disposto con l´art. 164-bis, comma 1 del Codice, deve essere quantificata nella misura di euro 2.400,00 (duemilaquattrocento), mentre l´ammontare della sanzione pecuniaria di cui all´art. 163, in combinato disposto con l´art. 164-bis, comma 1 del Codice, del Codice deve essere quantificata nella misura di euro 8.000,00 (ottomila), per un importo complessivo pari a euro 10.400,00 (diecimilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo con riferimento al rilievo relativo alla violazione di cui all´art. 161 del Codice, con particolare riferimento alla violazione afferente l´omessa informativa agli interessati circa il trattamento dei dati biometrici;

ORDINA

al Liceo scientifico statale Plinio Seniore Cod. Fis.: 80217310582, con sede in Roma, via Montebello n. 122, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.400,00 (diecimilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 163 del Codice;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.400,00 (diecimilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 22 ottobre 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia