Diritti interna

Doveri interna

ricerca avanzata

Ordinanza di ingiunzione nei confront di Comune di Montefranco - 2 aprile 2015 [4000627]

[doc. web n. 4000627]

Ordinanza di ingiunzione nei confront di Comune di Montefranco - 2 aprile 2015

Registro dei provvedimenti
n. 201 del 2 aprile 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di un ricorso con cui veniva lamentata la presunta violazione della disciplina in materia di protezione dei dati personali da parte della Euten s.r.l., è stata svolta una complessa istruttoria da parte dell´Ufficio nei confronti del Comune di Montefranco, all´esito della quale è emerso che il suddetto Comune ha affidato alla Euten s.r.l. il servizio di elaborazione dei dati personali rilevati dagli strumenti Autovelox a seguito di violazioni del Codice della strada, designandola responsabile del trattamento dei dati, e che quest´ultima si è, a sua volta, avvalsa della Mercurio service s.r.l. per lo svolgimento di una parte della predetta attività, in particolare di quella relativa alla stampa, imbustamento e postalizzazione dei verbali di violazione al Codice della strada, provvedendo essa stessa alla designazione quale responsabile del trattamento;

CONSIDERATO che, dalla documentazione acquisita, è risultato che il Comune di Montefranco era a conoscenza dell´attività svolta dalla Mercurio service s.r.l. e che non ha provveduto a regolare, sotto il profilo della protezione dei dati personali, il ruolo assunto da questa;  

VISTO il verbale prot. n. 26502/72908 del 24 ottobre 2012 con cui è stata contestata al Comune di Montefranco, con sede in Montefranco (TR), via di Mezzo n. 1, la violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice, per aver effettuato una comunicazione di dati personali in assenza di idonei presupposti normativi, in violazione dell´art. 19 del medesimo Codice, informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dal rapporto relativo all´atto di contestazione di cui sopra, predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi, inviati ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui il Comune ha dichiarato che la procedura relativa alla gestione dei procedimenti sanzionatori per violazione al Codice della strada prevede che vi siano due categorie di dati trattati, ovvero i numeri di targa, raccolti dal personale del Corpo di polizia municipale, e i nominativi dei proprietari delle autovetture, associati dalla Euten s.r.l. ai numeri di targa mediante consultazione dei pubblici registri. Pertanto, secondo la parte, la titolarità del trattamento è in capo al Comune e alla Euten s.r.l., in considerazione della diversità dei dati trattati da ciascuno e delle autonome decisioni assunte in ordine alla finalità, alle modalità del trattamento e agli strumenti utilizzati. Di conseguenza, "il Comune di Montefranco ha nominato la Euten s.r.l. responsabile esterno del trattamento, mentre la Euten s.r.l., in qualità di autonomo titolare del trattamento dei dati estratti presso i pubblici registri (e non comunicati dal Comune di Montefranco), ha nominato quale proprio responsabile esterno la società Mercurio s.r.l." per l´attività di stampa, imbustamento e spedizione degli atti. La parte ha, tra l´altro, precisato di non aver mai comunicato i dati personali alla Mercurio service s.r.l., ma di aver sempre interagito con la Euten s.r.l. E´ stata, poi, eccepita l´applicabilità al caso di specie dell´art. 167 del Codice, per la mancanza dell´elemento psicologico e l´intenzione di trarre per sé o per altri profitto o di recare ad altri un danno. Piuttosto, la parte sostiene di aver agito in buona fede, certa che il trattamento dei dati effettuato dalla Mercurio service s.r.l. avvenisse nel rispetto delle norme, in virtù della designazione a responsabile del trattamento, effettuata dalla Euten s.r.l.;

LETTO il verbale di audizione del 21 gennaio 2013, svoltosi ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, in cui la parte ha ribadito quanto già dichiarato nelle memorie difensive, precisando che il servizio di esternalizzazione affidato alla Euten s.r.l., alla scadenza del contratto, non è stato rinnovato;

RITENUTO che le argomentazioni addotte non consentono di escludere la responsabilità della parte in relazione a quanto contestato. In particolare, non può essere condivisa la tesi della parte secondo cui anche la Euten s.r.l. debba considerarsi titolare del trattamento dei dati personali, di cui direttamente si occupa. Infatti, la circostanza che i dati siano raccolti, elaborati e utilizzati da un soggetto non è di per sé sufficiente a qualificarlo titolare del trattamento che, invece, in base all´art. 4, comma 1, lett. f) del Codice, è "la pubblica amministrazione (…) cui competono (…) le decisioni in ordine alle finalità, alle modalità del trattamento dei dati personali e agli strumenti utilizzati". Pertanto, nel caso di specie, non vi è dubbio che titolare del trattamento sia esclusivamente il Comune, che ha assunto tutte le decisioni in merito alla finalità del trattamento (quale l´accertamento e le sanzioni delle violazioni al Codice della strada) e alle modalità dello stesso, desumibili dal contratto di appalto stipulato con la Euten s.r.l. e acquisito agli atti del fascicolo. Posto ciò, le attività poste in essere dalla Mercurio service s.r.l. hanno determinato un ulteriore trattamento di dati personali dei soggetti destinatari della sanzioni amministrative da parte di un soggetto non legittimato, posto che il titolare non è intervenuto a disciplinarne il rapporto sotto il profilo privacy. Sarebbe stato corretto, invece, che il Comune, in qualità di unico titolare del trattamento, procedesse, anche nei riguardi della Mercurio service s.r.l., alla designazione di responsabile del trattamento. Invece, in assenza di tale designazione, le comunicazioni di dati personali tra i due soggetti sono stati correttamente inquadrati alla luce dell´art. 19, comma 3, del Codice, ovvero quale comunicazione di dati da un soggetto pubblico a uno privato, ammissibile, tuttavia, unicamente quanto è prevista da una norma di legge o di regolamento, che, nel caso in esame, manca. Tra l´altro, la circostanza che la comunicazione dei dati idonei a identificare indirettamente l´interessato, quali i numeri di targa degli autoveicoli (art. 4, comma 1, lett. b, del Codice), non sia stata fatta direttamente dal titolare nei confronti della Mercurio service s.r.l., non vale ad escluderne la responsabilità. In primo luogo perché ciò è avvenuto tramite il proprio responsabile del trattamento e, circostanza ancora più rilevante, perché il Comune ne era a conoscenza. Emerge, infatti, dalla documentazione prodotta, che il Comune stesso abbia informato Poste Italiane S.p.a. che la stampa dei bollettini di conto corrente, precompilati, veniva affidata alla Mercurio service s.r.l. Tale circostanza fa venir meno anche l´esimente della buona fede che, ai sensi dell´art. 3 della legge n. 689/1981, esclude la responsabilità quando sussistono elementi positivi, estranei all´autore della violazione, idonei a ingenerare in lui il convincimento della liceità del suo agire;

RILEVATO, pertanto, che il Comune di Montefranco ha effettuato un trattamento di dati personali ai sensi dell´art. 4, comma 1, lett. a) e b) del Codice, effettuando una comunicazione di dati personali in assenza di idonei presupposti normativi, in violazione di quanto disposto dall´art. 19, comma 3, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 167 del medesimo Codice (tra cui l´art. 19) con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che, pertanto, l´ammontare della sanzione pecuniaria deve essere quantificato in euro 4.000,00 (quattromila);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

al Comune di Montefranco, con sede in Montefranco (TR), via di Mezzo n. 1, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis, in combinato disposto con l´art. 164-bis, comma 1, del Codice, come indicato in motivazione;

INGIUNGE

al medesimo di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 2 aprile 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia