[doc. web n. 1878592]

Ordinanza di ingiunzione nei confronti di Endemol Italia s.p.a. - 15 settembre 2011

Registro dei provvedimenti
n. 331 del 15 settembre 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATI il verbale di operazioni compiute del 18 marzo 2009 e il verbale di contestazione per violazione amministrativa redatto in data 15 maggio 2009 nei confronti di Endemol Italia s.p.a., con sede in Roma, via Monte Zebio n. 32, in persona del legale rappresentante pro tempore, per la violazione degli articoli 30 e 33 del d. lgs. 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito denominato "Codice"), che qui si intendono integralmente richiamati;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981 nel quale la società ha rappresentato:

a) circa la designazione per iscritto degli incaricati del trattamento, che:

- "nel marzo del 2005 Endemol aveva regolarmente provveduto alla nomina per iscritto degli incaricati del trattamento";

- all´atto dell´intervento ispettivo, "Endemol stava da qualche mese valutando l´implicazione dei provvedimenti emanati dal Garante in materia di semplificazione […] In particolare, a seguito di alcuni cambiamenti nella struttura della società e del personale […], Endemol aveva deciso di procedere con una nomina degli incaricati per classi omogenee". Per tale motivo "il direttore generale ha richiamato la decisione di Endemol di procedere con una nomina per classi omogenee, nomina che – anche a seguito delle suddette norme di semplificazione – Endemol aveva pensato di poter fare solo oralmente, per poi decidere […] di farlo invece per iscritto, in uno con l´aggiornamento del DPS";

b) con riferimento all´applicabilità della sanzione di cui all´art. 162, comma 2-bis, del Codice alla fattispecie in esame, che "la nomina per iscritto dell´incaricato del trattamento non è una misura minima di sicurezza individuata nel […] Capo II del Titolo V del Codice, né è menzionata nel relativo Allegato B) del Codice […] L´art. 162, comma 2-bis, del Codice non si applica, dunque, alla violazione dell´art. 30 del Codice (che, peraltro, appare priva di specifica sanzione)";

c) in merito al comportamento complessivo dalla società, che "Endemol è da anni puntuale nell´applicazione delle norme in materia di privacy, […] ha sempre effettuato attività di formazione in materia di privacy […], ha pubblicato policy e procedure per l´uso di Internet e delle email in azienda, ha nominato i responsabili esterni quando necessario, ha provveduto alla nomina dell´amministratore di sistema, ha implementato e aggiornato tempestivamente il DPS e le misure minime di sicurezza"; la società, inoltre, ha comunicato di aver tempestivamente provveduto, successivamente all´attività ispettiva svolta dalla Guardia di finanza, alla designazione per iscritto di responsabili ed incaricati del trattamento dei dati;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità amministrativa in ordine a quanto contestato in quanto:

a) con riferimento alla violazione dell´art. 33 del Codice, risulta accertato in atti che la società non ha provveduto alla designazione per iscritto di una parte degli incaricati del trattamento ai sensi dell´art. 30 del Codice, con ciò determinando la mancata applicazione di quella parte di misure minime di sicurezza che il Codice riconduce all´attività degli incaricati del trattamento medesimo. Al riguardo è opportuno sottolineare che la mancata designazione degli incaricati del trattamento non costituisce un mero inadempimento formale, ma si configura come atto presupposto indispensabile per l´applicazione della parte più significativa delle misure di sicurezza da adottarsi per il trattamento dei dati personali ed è strettamente correlata all´attività degli incaricati del trattamento (ovvero di coloro che ordinariamente operano sui dati personali), mirando a fornire agli stessi le istruzioni da seguire per il corretto trattamento dei dati; per tali ragioni, la mancata designazione per iscritto degli incaricati, ai sensi dell´art. 30, determina la mancata applicazione di tutte quelle misure minime di sicurezza, di cui all´art. 33 e seguenti, che il disciplinare tecnico (allegato B al Codice) riconduce all´attività degli incaricati del trattamento medesimo (regole nr. 1-10; 12-14; 15 e 17 dell´allegato B) e comporta, quindi, l´applicazione della sanzione di cui all´art. 162, comma 2- bis, del Codice;

b) circa il provvedimento del Garante di semplificazione delle misure minime di sicurezza datato 27 novembre 2008 [doc. web n. 1571218], Endemol Italia s.p.a. non rientra nell´ambito soggettivo di applicazione della predetta semplificazione poiché la società, in ragione del proprio volume d´affari, supera i parametri previsti dal d.m. 18 aprile 2005, recante adeguamento alla disciplina comunitaria dei criteri di individuazione di piccole e medie imprese, per la classificazione all´interno di tale categoria di soggetti;

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale dovevano essere assolti gli obblighi di cui agli artt. 30 e 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica apportata con la legge 20 novembre 2009, n. 166, che punisce la violazione delle misure indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

PRESO ATTO di quanto dichiarato da Endemol Italia s.p.a. in ordine al comportamento complessivo tenuto dalla società con riferimento ai restanti adempimenti in tema di protezione dei dati personali nonché della condotta tenuta successivamente alla rilevazione della violazione in questione, consistita nella tempestiva designazione per iscritto di responsabili ed incaricati del trattamento dei dati;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, la violazione non risulta connotata da elementi specifici se valutata in relazione all´entità del danno o del pericolo, alle modalità concrete della condotta e all´intensità dell´elemento psicologico;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere favorevolmente apprezzato il comportamento della società che ha proceduto prontamente all´effettuazione degli adempimenti in precedenza omessi, rimuovendo le cause della violazione contestata;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, invece, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, devono essere apprezzati in termini di aumento della sanzione gli elementi desumibili dal bilancio d´esercizio della società per l´anno 2009, individuati nel volume d´affari realizzato dalla società;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura pari a euro 30.000,00 (trentamila);

VISTO l´art. 164-bis, comma 4, del Codice che prevede che le sanzioni amministrative di cui al Titolo III, Capo I, del Codice possono essere aumentate fino al quadruplo quando possono risultare inefficaci in ragione delle condizioni economiche del contravventore;

RILEVATO che l´applicazione della predetta sanzione nei confronti di Endemol Italia s.p.a. risulterebbe inefficace, in ragione del volume d´affari rilevabile dal bilancio dell´anno 2009;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l´aumento previsto dall´art. 164-bis, comma 4, del Codice nella misura, ritenuta congrua, pari ad euro 90.000,00 (novantamila);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il prof. Francesco Pizzetti;

ORDINA

a Endemol Italia s.p.a., con sede in Roma, via Monte Zebio n. 32, in persona del legale rappresentante pro tempore, di pagare la somma di euro 90.000,00 (novantamila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 162, comma 2-bis del Codice, come determinata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 90.000,00 (novantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 15 settembre 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Pizzetti

IL SEGRETARIO GENERALE
De Paoli