g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di Compagnia Trasporti Irpini - ATI Spa - 7 luglio 2011 [1873037]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1873037]

Ordinanza di ingiunzione nei confronti di Compagnia Trasporti Irpini – ATI Spa - 7 luglio 2011

Registro dei provvedimenti
n. 281 del 7 luglio 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 31 luglio 2009 nei confronti di Compagnia Trasporti Irpini – ATI Spa (di seguito denominata CTI-ATI), con sede in Avellino, Via Carlo del Balzo n. 109, in persona del legale rappresentante pro tempore, per la violazione degli articoli 17, 23, 37 e 154, comma 1, lett. c) del Codice in materia di protezione dei dati personali (di seguito denominato "Codice");

RILEVATO che il Comando Nucleo Privacy della Guardia di finanza, in attuazione della richiesta di informazioni ex art. 157 del Codice n. 1073/53969 del 20 gennaio 2009 e su specifica delega di questa Autorità (n. 1083/53969 del 20 gennaio 2009), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 25 febbraio 2009 dai quali è risultato che presso la sede della società viene effettuato un trattamento di dati biometrici previsti dall´art. 37, comma 1, lett. a), del Codice, in assenza del consenso espresso degli interessati, come previsto dall´art. 23 del Codice, e omettendo di effettuare la notificazione al Garante ai sensi degli artt. 37 e 38 del Codice;

VISTA la nota inviata dalla CTI-ATI il 10 marzo 2009, con cui la società ha fornito ulteriori elementi rispetto alla richiesta di informazioni formulata dal Nucleo privacy, precisando che il sistema utilizzato per la rilevazione delle presenze "non contiene la digitalizzazione dell´impronta ma la rappresentazione matematica (in pratica un numero) dalla quale, trattandosi del risultato di un algoritmo di cifratura, è di fatto impossibile risalire all´impronta digitale";

VISTO il provvedimento adottato dal Garante il 29 ottobre 2009, che qui deve intendersi integralmente richiamato, con il quale è stato disposto il blocco del trattamento dei dati biometrici dei dipendenti di CTI- ATI;

VISTO il verbale n. 16989/62625 del 31 luglio 2009 con cui sono state contestate alla predetta società le violazioni amministrative previste dagli artt. 162, comma 2-bis e comma 2-ter, e 163 del Codice, in relazione agli artt. 17, 23, 37 e 154, comma 1, lett. c),  informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981 nel quale la società ha dichiarato di non aver proceduto alla notificazione al Garante del trattamento dei dati biometrici e di non aver raccolto il necessario consenso degli interessati, perché indotta in errore dall´azienda installatrice del sistema di rilevazione biometrica che, con un proprio parere, allegato agli scritti difensivi, aveva dichiarato non applicabile la normativa in materia di protezione dei dati personali in considerazione delle caratteristiche tecniche del sistema installato;

LETTO il verbale di audizione delle parti, redatto in data 28 giugno 2010 ai sensi dell´art. 18 della legge n. 689/1981, con cui la società, oltre a ribadire quanto affermato negli scritti difensivi, ha chiesto che non venisse applicata la sanzione per la violazione amministrativa relativa all´inosservanza del Provvedimento del 23 novembre 2006, contenente le Linee guida per il trattamento di dati dei dipendenti privati, perché si sovrapporrebbe alle due sanzioni precedenti;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità della società in ordine a quanto contestato. Posto che il trattamento di dati biometrici posto in essere dalla CTI-ATI configura un trattamento per il quale è necessario procedere alla notificazione al Garante ai sensi dell´art. 37 del Codice e alla raccolta del consenso degli interessati di cui all´art. 23 dello stesso Codice, si osserva che la responsabilità per le suddette omissioni è comunque imputabile alla CTI-ATI. Infatti, ai fini dell´esclusione della responsabilità della società, l´esimente della buona fede, intesa come errore sulla liceità del fatto, assume rilievo solo in presenza di elementi positivi idonei ad ingenerare nell´autore della violazione il convincimento della liceità del suo agire, purché tale errore sia incolpevole e inevitabile (Cass. Civ. Sez. I n. 1151/1999). Nel caso di specie, non si ravvisano i presupposti per l´applicabilità della disciplina sulla buona fede, posto che la società CTI-ATI ha dimostrato, con la documentazione prodotta, di avere piena conoscenza non solo del sistema installato ma anche della normativa applicabile in materia. Oltretutto, la dichiarazione presentata dall´azienda installatrice del sistema è datata 26 maggio 2009, mentre il trattamento dei dati biometrici è iniziato il 3 marzo 2008, come dichiarato dalla stessa società;

RILEVATO, quindi, che l´azienda ha effettuato un trattamento di dati biometrici, omettendo di presentare una richiesta di verifica preliminare ai sensi dell´art. 17 del Codice, come previsto dalle "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati", senza acquisire il preventivo consenso di cui all´art. 23 del Codice e senza effettuare la notificazione di cui all´art. 37, comma 1, lett. a);

RILEVATO che, essendosi accertata nel caso di specie la necessità di una verifica preliminare ex art. 17 del Codice, in quanto le modalità del trattamento non rientrano tra quelle disciplinate in linea generale dal Provvedimento del 23 novembre 2006, ne consegue che l´inosservanza delle prescrizioni contenute nel suddetto Provvedimento non rileva sul piano sanzionatorio e, pertanto, non si procede all´applicazione della violazione di cui all´art. 162, comma 2-ter, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica apportata con la legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 23 del Codice, con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´opera svolta dall´agente, alla gravità della violazione e alle condizioni economiche del contravventore, nella misura di ventimila euro, con riferimento alla violazione di cui all´art. 162, comma 2-bis, del Codice, e nella misura di ventimila euro con riferimento alla violazione di cui all´art. 163 del medesimo Codice;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo con riferimento alla contestazione relativa alla violazione di cui all´art. 154, comma 1, lett. c), del Codice;

ORDINA

a Compagnia Trasporti Irpini-ATI S.p.a., con sede Avellino, Via Carlo del Balzo n. 109, in persona del legale rappresentante pro tempore, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 162, comma 2-bis e 163 del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 40.000,00 (quarantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del provvedimento stesso.

Roma, 7 luglio 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
De Paoli

Scheda

Doc-Web
1873037
Data
07/09/11

Tipologie

Ordinanza ingiunzione o revoca