[doc. web n. 1859107]

Ordinanza di ingiunzione nei confronti dell´Azienda mobilità trasporti di Bari s.p.a. - 10 giugno 2011

Registro deli provvedimenti
n. 225 del 10 giugno 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante per la protezione dei dati personali predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo a due verbali di contestazione per violazioni amministrative redatti, rispettivamente, in data 10 aprile 2009 e 31 agosto 2009 nei confronti dell´Azienda mobilità trasporti di Bari s.p.a., con sede in Bari, viale Jacobini s.n.c., in persona del legale rappresentante pro-tempore, per violazione degli artt. 13, 17, 23 e 154, comma 1 lett. c)  del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione di due distinte richieste di informazioni ai sensi dell´art. 157 del Codice nn. rr. 1073/53969 del 20 gennaio 2009 e 8093/62899 del 10 aprile 2009 formulate  da questa Autorità, ha svolto gli accertamenti di cui ai verbali di operazioni compiute datati 12 marzo 2009 e 27 maggio 2009, dai quali è risultato che l´azienda effettua un trattamento di dati biometrici per la rilevazione delle presenze dei propri dipendenti senza aver effettuato la notificazione al Garante di cui all´art. 37, comma 1, lett. a), del Codice nonché senza rendere un´idonea informativa ai sensi dell´art. 13 del Codice, senza acquisire il preventivo consenso di cui all´art. 23 del Codice e senza avere richiesto (essendovi tenuta sulla base di quanto previsto nelle "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati") una verifica preliminare al Garante ai sensi dell´art. 17 del Codice e omettendo di adottare, in violazione dell´art. 154, comma 1, lett. c), del Codice, le prescrizioni di cui al provvedimento generale del Garante datato 13 novembre 2006;

VISTI i verbali nr.rr. 8092/62899 del 10 aprile 2009 e 18800/62899 del 31 agosto 2009 (che qui si intendono integralmente richiamati) con cui sono state contestate alla predetta società le violazioni amministrative previste dagli artt. 161, 162, comma 2-bis e ter nonché dall´art. 163 del Codice, in relazione agli artt. 13, 17, 23, 37 e 154, comma 1, lett. c), informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi, datati 22 giugno 2009 e 15 ottobre 2009, inviati ai sensi dell´art. 18 della legge n. 689/1981 nei quali la società, relativamente alla contestazione n. 8092/62899 del 10 aprile 2009 concernente l´omessa notificazione, evidenzia di avere menzionato il trattamento di dati biometrici in argomento nel documento programmatico sulla sicurezza relativo agli anni 2008 e 2009, e "(…) solo per mero errore materiale non veniva barrata la tabella n. 2 relativa al trattamento dei dati biometrici (…)" nella notificazione al Garante effettuata il 30 aprile 2004 e aggiornata il 15 maggio 2004. Riguardo alla contestazione n. 18800/62899 del 31 agosto 2009, afferente le ulteriori violazioni, la società, nel rilevare che la precedente contestazione del 10 aprile 2009 preclude al Garante la possibilità di "(…) rilevare ulteriori violazioni di norme del codice della privacy dipendenti dallo stesso fatto (…)", sostiene che il provvedimento sanzionatorio del 31 agosto 2009 è tardivo "(…) in quanto notificato oltre il termine di sei mesi come previsto dall´art. 11 del regolamento n. 1/2007-adottato dal Garante della Privacy" e che non sono state applicate "(…) le sanzioni in vigore alla data di utilizzo dei dati biometrici"; evidenzia, inoltre, che, considerate le specifiche di funzionamento del dispositivo di rilevazione dei dati biometrici, "(…) la convinzione di agire per la salvaguardia di interessi deputati alla tutela dei cittadini e di essere comunque stata garantita dalla Eta Sistemi CKB s.r.l. [la sicurezza] di utilizzare un sistema di rilevazione conforme alle disposizioni legislative del Garante ha fatto ritenere superfluo il ricorso all´interpello, ai sensi dell´art. 17 del codice della privacy"; ciò tenendo conto che, peraltro, l´utilizzo di tale dispositivo di rilevazione "(…) è avvenuto con la consapevolezza di agire in conformità ai principi stabiliti dalle "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati"  (…) in ragione dei motivi di sicurezza connessi proprio con lo svolgimento di un delicato servizio pubblico, quale è il trasporto urbano di persone". Inoltre, relativamente alla violazione di cui all´art. 13 del Codice, la società osserva come il fatto che un´informativa sia stata resa agli interessati secondo le modalità accertate in atti, "(…) ove anche dovesse ritenersi insufficiente a soddisfare il precetto normativo, va quantomeno valutato ai fini della determinazione di una sanzione di lieve entità". Osserva, infine, che "(…) non va poi trascurato che coloro che si sottoponevano alla rilevazione dei dati personali (biometrici) prestavano, sia pur verbalmente, il proprio consenso";

VISTO il verbale dell´audizione delle parti redatto ai sensi dell´art. 18 della legge n. 689/1981 in data 16 novembre 2009 con cui l´Azienda, nel ribadire quanto esposto negli scritti difensivi, ha rappresentato che soltanto 40 dipendenti circa, in ragione della "(…) particolare sensibilità (…)" degli uffici e dell´officina dove lavorano, utilizzavano il sistema di rilevazione biometrico;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato per le motivazioni di seguito riportate distintamente per ciascun rilievo. Relativamente all´obbligo di notificazione al Garante di cui all´art. 37, comma 1, lett. a), del Codice, si evidenzia come la disciplina dell´errore scusabile di cui all´art. 3 della legge n. 689/1981, non sia applicabile al caso di specie, atteso che non è stato fornito alcun elemento positivo, estraneo all´autore della violazione, idoneo a ingenerare nell´agente l´incolpevole opinione di liceità del suo agire (Cass. Civ., Sez. I 11 febbraio 1999 n. 1151). Viene inoltre evidenziato che l´omessa notificazione del trattamento di cui al citato art. 37 del Codice sostanzia un illecito omissivo di natura permanente, per il quale il momento della consumazione coincide con la cessazione della condotta ovvero con il momento in cui la violazione viene accertata. Con riguardo al merito delle restanti contestazioni, si evidenzia come l´informativa agli interessati di cui all´art. 13 del Codice, asseritamente resa per mezzo dell´ordine di servizio n. 25/2008 del 12 febbraio 2008, risulta inidonea poiché priva, come dettagliatamente riportato nella contestazione, degli elementi previsti dalle lettere b), c) ed e) del comma 1 del citato articolo del Codice. Relativamente al consenso si evidenzia come l´art. 23, comma 3, del Codice preveda che il consenso sia validamente prestato solo se documentato per iscritto e raccolto sulla base di un´idonea informativa. Nel caso di specie  la società, avendo omesso di fornire un´idonea informativa agli interessati, non ha raccolto un consenso valido. Di tale consenso, peraltro, non è stata fornita prova. Con riferimento all´inosservanza dell´art. 17 del Codice si rileva che, sulla base degli atti, risulta che l´Azienda, diversamente da quanto previsto al punto 4 della "linee guida" di cui al provvedimento datato 23 novembre 2006, ha proceduto ad un trattamento di dati biometrici dei dipendenti che prestano attività presso gli impianti fissi del complesso aziendale (amministrativi, officina, centro operativo servizi complementari) senza fornire evidenza di elementi che possano far ritenere tali luoghi di lavoro tra quelli considerati al punto 4.1 delle "linee-guida". Ciò, anche tenuto conto di quanto rappresentato, a specifica richiesta del Dipartimento realtà economiche e produttive del Garante, con la nota del 29 aprile 2010 circa i ripetuti eventi criminosi denunciati, nessuno dei quali, in astratto, riferibile a comportamenti illeciti commessi da lavoratori durante l´orario di servizio. Inoltre, le argomentazioni difensive si sono sostanzialmente basate sulla garanzia di conformità alle disposizioni in materia di protezione dei dati personali resa dal fornitore del sistema di rilevazione Eta sistemi CKB s.r.l.. Al riguardo occorre evidenziare come le indicazioni riportate nella documentazione del fornitore  concernono aspetti esclusivamente tecnici circa la compatibilità del sistema ad essere utilizzato in conformità a quanto prescritto dal Garante nelle linee-guida, ma non attengono, né avrebbero potuto, alla correttezza degli adempimenti da porre in essere per rendere conforme il trattamento dei dati alla legge (e al provvedimento) che ricadono nella esclusiva competenza (e responsabilità) del titolare del trattamento, ovvero, nel caso di specie, della Amtab s.p.a.. La disciplina di cui all´art. 3 della legge n. 689/81 risulta, quindi, inapplicabile anche a fronte delle asserite garanzie fornite dalla Eta Sistemi CKB s.r.l., atteso che l´errore incolpevole sul fatto, rileva solo in presenza di un elemento positivo, estraneo all´autore, idoneo ad ingenerare nell´agente l´incolpevole opinione di liceità del suo agire (Cass. Sez. I n. 1151/1999 e Cass. Sez. II n. 542/2006).  Sempre riguardo le restanti violazioni accertate, sotto il distinto profilo della legittimità, si evidenzia che la contestazione datata 31 agosto 2009, diversamente da quanto ritenuto, inerisce condotte diverse da quella sanzionate con il verbale datato 10 aprile 2009 senza che, di conseguenza,  alcuna preclusione possa essere ravvisata rispetto alle fattispecie accertate e sanzionate. Le valutazioni relative a tali violazioni, infatti, sono state effettuate dal Dipartimento attività ispettive e sanzioni nel pieno rispetto dei principi di tempestività di cui all´art. 14 della legge n. 689/1981 (Cass. Civ., Sez. lav. n. 5467/2008), solo dopo aver proceduto, tramite il Nucleo speciale privacy, ad acquisire ulteriori informazioni circa il trattamento dei dati  biometrici effettuato dall´azienda. Tali informazioni sono state infatti richieste con la nota n. 8093/62899 del 10 aprile 2009, acquisite dal Nucleo mediante verbale redatto in data 27 maggio 2009 e valutate dal Dipartimento attività ispettive e sanzioni in data 3 agosto 2009. E´ a quella data (riportata nel verbale di contestazione) che deve farsi riferimento per valutare il rispetto dei termini previsti dall´art. 14 della legge 689/1981, in quanto solo a quella data, dall´esame del complesso dei documenti e delle dichiarazioni acquisite nelle due ispezioni, è stato possibile qualificare oggettivamente e soggettivamente le violazioni. Al riguardo si evidenzia che la contestazione risulta notificata il 17 settembre 2009, ovvero entro il termine di 90 giorni dalla data dell´accertamento. Si osserva poi che, contrariamente a quanto dichiarato dall´Azienda, le distinte condotte  oggetto della contestazione n. 1880/62899 del 31 agosto 2009 sono state poste in essere prima dell´entrata in vigore della legge n. 166 del 20 novembre 2009 di conversione del decreto legge n. 135 del 25 settembre 2009 che ha modificato l´importo del minimo della sanzione di cui all´art. 162, comma 2-bis da euro 20.000,00 a euro 10.000,00. Quanto detto, produce i suoi effetti in ordine alla norma sanzionatoria da applicare che, in virtù di quanto previsto dall´art. 1 della legge n. 689/1981, viene individuata in quella vigente alla data della commessa violazione che, nel caso di specie, è antecedente all´entrata in vigore della citata legge n. 166/2009 con la conseguenza che il minimo edittale previsto dall´art. 162 comma 2-bis all´epoca vigente è pari a euro 20.000,00;

RILEVATO, quindi, che l´azienda ha effettuato un trattamento di dati biometrici per la rilevazione delle presenze di alcuni dipendenti, senza rendere un´idonea informativa ai sensi dell´art. 13 del Codice, omettendo di presentare una verifica preliminare per effetto dell´art. 17 del Codice, come previsto dalle "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati", senza acquisire il preventivo consenso di cui all´art. 23 del Codice e senza effettuare la notificazione di cui all´art. 37, comma 1, lett. a);

RILEVATO, invece, che sulla base degli atti e di quanto rappresentato nel corso del procedimento non sussistono elementi per applicare la sanzione prevista dall´art. 162 comma 2-ter in quanto, la medesima condotta, afferente l´utilizzo di un sistema di rilevazione delle presenze funzionante mediante il trattamento di dati biometrici dei dipendenti per accedere ad  aree non qualificabili tra quelle definite al punto 4.1 del provvedimento, determina la necessità di richiedere una verifica preliminare ex art. 17 del Codice per la cui omissione è stata applicata la sanzione prevista dall´art. 162, comma 2-bis;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica apportata con la legge 20 novembre 2009 n. 166, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui agli artt. 17 e 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

VISTO l´art. 163 del Codice, nella formulazione successiva alla modifica apportata con d.l. n. 207 del 30 dicembre 2008, convertito con legge n. 14 del 27 febbraio 2009, che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

RITENUTO, comunque, di dover determinare l´ammontare della sanzione pecuniaria contestata ai sensi dell´art. 163, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, nella misura del minimo pari a euro 20.000,00 (ventimila);

RILEVATO, altresì, che la circostanza che la società aveva comunque effettuato una notificazione al Garante, se pur non afferente il trattamento di dati biometrici, è idonea a configurare uno dei casi di minore gravità previsto dall´art. 164-bis, comma 1, del Codice, ragione per la quale l´importo della sanzione di cui al punto precedente può essere ridotto in misura pari a due quinti, per una somma di euro 8.000,00 (ottomila);

RITENUTO, altresì, di dover determinare l´ammontare delle sanzioni pecuniarie contestate ai sensi degli artt. 161 e 162, comma 2 bis, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, nella misura del minimo pari, rispettivamente a euro 6.000,00 (seimila) ed euro 20.000,00 (ventimila);

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Fortunato;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo con riferimento alla contestazione relativa alla violazione di cui all´art. 154, comma 1, lett. c), del Codice;

ORDINA

all´Azienda mobilità trasporti di Bari s.p.a., con sede in Bari, viale Jacobini s.n.c., in persona del legale rappresentante pro-tempore, di pagare la somma di euro 34.000,00 (trentaquattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis e per la violazione prevista dall´art. 163 del Codice ridotta in misura pari a due quinti, ai sensi dell´art. 164-bis, comma 1 del Codice;

INGIUNGE

alla medesima azienda di pagare la somma di euro 34.000,00 (trentaquattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del provvedimento stesso.

Roma, 10 giugno 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
De Paoli