[doc. web n. 1742177]

Ordinanza di ingiunzione nei confronti di Lenzi automobili s.p.a. - 26 marzo 2010

Registro delle deliberazioni
Del. n. 20 del 26 marzo 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale reggente;

ESAMINATO il rapporto del Comando Nucleo speciale funzione pubblica e privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 26 novembre 2008 nei confronti di Lenzi automobili s.p.a., con sede in Prato, Viale G. Marconi n. 62-64-68, per la violazione degli articoli 37 e 38 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2006, n. 196, di seguito denominato "Codice");

RILEVATO che in ordine all´utilizzo di un sistema di rilevazione dei dati biometrici dei lavoratori per finalità di verifica delle presenze sul posto di lavoro, il predetto Comando, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 24166/47255 datata 3 novembre 2008) e su specifica delega di questa Autorità (n. 24167/47255 del 3 novembre 2008), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 26 novembre 2008 dai quali è risultato che la predetta società effettua, in qualità di titolare, trattamenti di dati personali biometrici previsti dall´art. 37, comma 1 lett. a) del Codice;

VISTO il verbale n. 286 del 26 novembre 2008 con cui è stata contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi datati 12 e 26 dicembre 2008 inviati ai sensi dell´art. 18 della legge n. 689/1981, con i quali la società, descrivendo il funzionamento e le peculiarità tecniche del predetto sistema di rilevazione dei dati biometrici denominato MIFARE ha rappresentato che "La Lenzi Automobili spa non aveva effettuato o posto in essere alcun trattamento di dati personali sensibili (dati biometrici registrati in banche di dati, archivi indicati dalla legge e dal Garante)(…) tale da meritare l´obbligo di notifica ex artt. 37 e 38 del Codice". Ciò, anche in considerazione del fatto che l´apparecchiatura in argomento, al momento dell´accertamento, nonostante risultasse installata e accesa, era inutilizzata. La società ha evidenziato poi che, anche alla luce degli "(…) studi e provvedimenti del Garante (24 luglio 2007 Guida pratica  e misure di semplificazione per le piccole e medie imprese) (…)", di quanto asserito dal "(…) Gruppo per la tutela delle persone con riguardo al trattamento dei dati personali del 13 giugno 2003 (…)" e delle "(…) Linee guida per il trattamento dei dati dei dipendenti privati del 23 novembre 2006 (…)", risulta incerta "(…) l´applicabilità della disposizione ex art. 37 sull´obbligo di notifica (…)". Inoltre l´entità della sanzione comminata sarebbe "sproporzionata rispetto alla presunta trasgressione accertata e alla evidente buona fede della Lenzi Automobili spa";

VISTO il verbale di audizione delle parti redatto ai sensi dell´art. 18 della legge n. 689/1981 e datato 23 febbraio 2010 con cui la società, confermando quanto dedotto nello scritto difensivo, ha ribadito di aver "provveduto ad effettuare (a riprova di tutta la sua buona fede) una forma di notificazione tramite raccomandata A/R datata 30 settembre 2008 con cui aveva comunicato alla stessa (Autorità) il prossimo utilizzo del macchinario biometrico";

PRESO ATTO del provvedimento di divieto del Garante datato 15 ottobre 2009;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità della società in relazione alla violazione amministrativa per omessa notificazione in quanto l´Autorità, nell´ambito di diversi procedimenti di verifica preliminare di cui all´art. 17 del Codice (ex multis provvedimento datato 8 aprile 2009), ha asserito che, come nel caso di specie, un sistema di verifica delle presenze sul luogo di lavoro basato sul confronto tra le impronte digitali rilevate ad ogni accesso in particolari aree aziendali e il template, memorizzato su supporto che resti nell´esclusiva disponibilità dei lavoratori interessati e che quindi non consenta alcuna registrazione o conservazione, comporta un trattamento di dati biometrici che, ai sensi dell´art. 37, comma 1 lett. a) del Codice, impone l´obbligo di notificazione al Garante. Tra l´altro, tale particolare tipologia di trattamento di dati biometrici, contrariamente a quanto osservato, viene esplicitamente qualificata nelle citate Linee-guida al punto 4.2 (secondo capoverso), ciò determinando l´inapplicabilità, al caso di specie, della disciplina dell´errore sul fatto prevista dall´art. 3 della legge n. 689/1981. Peraltro, diversamente da quanto asserito dalla società, nel verbale di operazioni compiute risulta accertato che il sistema MIFARE era funzionante, così come dimostrato dagli allegati 3 (cartellino delle presenze) e 4 (timbrature) al verbale medesimo. Risulta poi inconferente sia quanto asserito dalla società in ordine alla inadeguatezza e sproporzione della sanzione, atteso che la pena pecuniaria non è applicata discrezionalmente dagli accertatori in sede di contestazione, ma è quantificata dalla legge (art. 16 della legge n. 689/1981), sia quanto evidenziato circa "(…) una forma di notificazione tramite raccomandata A/R datata 30 settembre 2008 (…)",  considerato che l´art. 38, comma 2, del Codice prevede che "la notificazione è validamente effettuata solo se è trasmessa per via telematica utilizzando il modello predisposto dal Garante e osservando le prescrizioni da questi impartite (…)";

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

VISTO l´art. 163 del Codice che, nella formulazione antecedente alla modifica apportata con d.l. n. 207 del 30 dicembre 2008, convertito con modificazioni nella legge n. 14/2009, punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´opera svolta dall´agente, alla gravità della violazione e alle condizioni economiche del contravventore, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta, su una testata giornalistica a livello locale, identificata nel quotidiano "La Nazione";

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

ORDINA

a Lenzi automobili s.p.a., con sede in Prato, Viale G. Marconi n. 62-64-68, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulla testata giornalistica  "La Nazione";

INGIUNGE

alla medesima società di pagare, fermo restando quanto dovuto per la sanzione accessoria, la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DA´ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 26 marzo 2010

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE REGGENTE
De Paoli