Diritti interna

Doveri interna

ricerca avanzata

Ordinanza ingiunzione nei confronti di Globo Vigilanza s.r.l. - 12 gennaio 2017 [6026657]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
6026657
Data:
12/01/17
Argomenti:
Lavoro , Informativa , Geolocalizzazione , Sanzioni diciplinari
Tipologia:
Ordinanza ingiunzione o revoca

[doc. web n. 6026657]

Ordinanza ingiunzione nei confronti di Globo Vigilanza s.r.l. - 12 gennaio 2017

Registro dei provvedimenti
n. 5 del 12 gennaio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 63/2013 del 15 ottobre 2013 (notificato il 14 novembre 2013), che qui deve intendersi integralmente riportato, ha contestato a il Globo Vigilanza s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Pistoia, corso Antonio Gramsci, n. 56, C.F. n. 01065300475, la violazione delle disposizioni di cui agli artt. 13, 37, 161 e 163 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO, più precisamente, che con il verbale di contestazione si rappresenta quanto segue:

- a seguito di accertamento ispettivo svolto dalla Guardia di finanza presso la sede della società nei giorni 1 e 2 ottobre 2013, è stato rilevato che, in data 23 gennaio 2013, il Globo Vigilanza ha attivato un sistema di localizzazione, denominato "Personal Tracker", che si avvale di un apparato GPS (global positioning system) e di schede telefoniche, affidato ai dipendenti impegnati nelle vigilanze notturne. Tale sistema consente di localizzare le vetture aziendali date in uso ai dipendenti, mediante l´utilizzo di un software installato nella centrale operativa della società;

- la società, per motivi di sicurezza, può associare i dati rilevati dall´apparato (posizione, ora, ecc.) con quelli dei turni di servizio e quindi stabilire la posizione geografica dei dipendenti impegnati nella vigilanza notturna. Con riferimento a tali trattamenti di dati personali, la società non ha rilasciato ai propri dipendenti l´informativa prevista dall´art. 13 del Codice;

- con riferimento ai medesimi trattamenti, non risulta che la società abbia presentato al Garante la notificazione prevista dagli artt. 37, comma 1, lett. a), e 38 del Codice;

RILEVATO che con il citato atto del 15 ottobre 2013 sono state contestate alla società il Globo Vigilanza s.r.l.:

a) ai sensi dell´art. 161 del Codice, la violazione delle disposizioni di cui all´art. 13 del medesimo Codice, per aver omesso di rendere ai dipendenti la necessaria informativa con riferimento ai trattamenti dei loro dati personali con finalità di localizzazione geografica;

b) ai sensi dell´art. 163 del Codice, per aver omesso di presentare la notificazione al Garante nelle forme previste dall´art. 38 del Codice, per i trattamenti di dati che indicano la posizione geografica di persone o cose, indicati nell´art. 37, comma 1, lett. a), del Codice;

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 6 e 9 dicembre 2013 e il verbale di audizione del 17 novembre 2014, che qui si intendono integralmente richiamati e che, in sintesi, rappresentano:

1) poiché l´attività espletata dalla società è stata equiparata con provvedimento del Ministero del Lavoro (nota ministeriale n. 1238/M 20 del 20 luglio 2001 della Direzione generale per l´impiego, divisione III, del Ministero del Lavoro) a quella svolta da forze di polizia anche ai fini dell´esenzione rispetto a taluni obblighi di legge in tema di assunzione dei disabili, deve ritenersi applicabile l´esonero dall´obbligo di informativa, previsto dall´art. 53 del Codice in relazione ai trattamenti effettuati da forze di polizia, organi di pubblica sicurezza o altri soggetti pubblici, aventi finalità di tutela dell´ordine e della sicurezza delle persone, prevenzione, accertamento e repressione dei reati, effettuati in base ad espressa disposizione di legge che preveda specificamente il trattamento. La difesa ha inoltre rappresentato che il decreto del Ministero dell´Interno n. 269/2010 ("Disciplina delle caratteristiche minime del progetto organizzativo e dei requisiti minimi di qualità degli istituti e dei servizi di cui agli articoli 256-bis e 257-bis del Regolamento di esecuzione del Testo unico delle leggi di pubblica sicurezza") ha imposto agli istituti di vigilanza di dotare i propri mezzi destinati al trasporto di valori di un apparato GPS che consenta la localizzazione in collegamento con la centrale operativa, oltre a linee telefoniche dedicate;

2) l´istituto ha comunque fornito oralmente a tutti gli assegnatari di auto di servizio dotate di segnalatore di posizione GPS l´informativa necessaria per comprendere il funzionamento del sistema ed il correlato trattamento dei dati personali. Tale informativa è stata integrata da una circolare del 23 gennaio 2013, nella quale "la Società ha rimarcato a chiare lettere quanto segue: "si raccomanda di … usare il cervello per avvalersi di questa apparecchiatura … Non fate che anche questa innovazione voluta dal Ministero divenga altra fonte di contestazioni". La società ha aggiunto che la predetta circolare conteneva tutti gli elementi previsti dall´art. 13 del Codice poiché "in sostanza è sufficiente che gli interessati siano resi edotti del trattamento dei dati che li vede coinvolti e delle finalità di tutela dell´ordine pubblico, della sicurezza e della repressione dei reati. Non vi è dunque alcuna necessità di fornire un´informativa formale e dettagliata allorquando siano coinvolti interessi di ordine pubblico e/o di sicurezza";

3) con riferimento alla notificazione prevista dagli artt. 37 e 38 del Codice, non è previsto alcun obbligo in tal senso nei confronti della società poiché nel caso in argomento si è in presenza di dati trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitarie; in ogni caso, "il trattamento in questione … [è] finalizzato esclusivamente alla sicurezza del trasporto" e come tale espressamente esentato sulla base del provvedimento del Garante n. 1 del 31 marzo 2004; 

4) deve pertanto procedersi all´archiviazione del verbale di contestazione redatto nei confronti della società, anche in ragione della "novità del caso di specie, la carenza di disposizioni e/o provvedimento del Garante sui soggetti equiparati agli organi di polizia, nonché il davvero esiguo spazio temporale di utilizzo del sistema GPS da parte della società sui veicoli di servizio";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione dell´intero procedimento sanzionatorio avviato con la contestazione di cui sopra, per le motivazioni di seguito riportate:

1) con riferimento alla invocata esenzione dall´obbligo di rendere l´informativa, deve evidenziarsi che l´art. 53 del Codice (nella formulazione antecedente alle modifiche apportate dall´art. 7, comma 1, del decreto legge 18 febbraio 2015, n. 7, convertito, con modificazioni, dalla Legge 17 aprile 2015, n. 43) riservava tale esenzione "al trattamento di dati personali effettuato dal Centro elaborazione dati del Dipartimento di pubblica sicurezza o da forze di polizia sui dati destinati a confluirvi in base alla legge, ovvero da organi di pubblica sicurezza o altri soggetti pubblici per finalità di tutela dell´ordine e della sicurezza pubblica, prevenzione, accertamento o repressione dei reati, effettuati in base ad espressa disposizione di legge che preveda specificamente il trattamento". Nel caso in argomento, in primo luogo la società non risulta essere ricompresa fra le categorie di soggetti espressamente indicati dall´art. 53 (i dati trattati dalla medesima mediante l´utilizzo dei sistemi GPS non sono destinati a confluire nel Centro elaborazione dati del Dipartimento di pubblica sicurezza; l´istituto di vigilanza, a prescindere dalla assimilabilità alle forze di polizia per taluni aspetti della propria attività, non può essere di certo annoverato fra gli organi di pubblica sicurezza o gli altri soggetti pubblici preposti alla tutela dell´ordine e della sicurezza pubblica nonché alla prevenzione e all´accertamento dei reati). In secondo luogo, deve rilevarsi che i dati raccolti mediante il sistema di geolocalizzazione sono stati utilizzati dalla società non solo per le finalità previste dal D.M. 269/2010 (scrive la parte nelle osservazioni difensive: "la finalità del sistema di georeferenziazione, cosi come si evince dall´intero D.M. 269/2010 che ne ha imposto l´adozione, è esclusivamente quella di garantire una maggiore sicurezza alla guardia giurata dislocata sul territorio, cosi che questa possa essere in grado in ogni momento di contattare la centrale, chiedere aiuto e trasmettere la propria posizione geografica per accelerare i soccorsi") ma anche per instaurare procedimenti disciplinari e adottare provvedimenti sanzionatori nei confronti di dipendenti così come segnalato al Garante da due esposti inviati dall´organizzazione sindacale UIL-Tucs il 9 e 28 maggio 2013 (nell´esposto del 28 maggio 2013, ad esempio, è allegata una nota della società indirizzata ad un dipendente che testualmente riporta "facciamo seguito alla nostra lettera del 3.5.13 per la sosta di almeno 28 minuti nel parcheggio della Fortezza da lei effettuata il 26.4.13 come abbiamo rilevato consultando lo storico del sistema gps alle ore 10,30 del giorno 26.4.13. Non avendo ricevuto le sue giustificazioni scritte le comunichiamo di aver deciso la sanzione disciplinare di un´ora di multa da detrarre dalla prossima busta paga"). Risulta pertanto non applicabile nel caso in argomento l´esenzione dall´obbligo di informativa previsto dall´art. 53 del Codice;

2) quanto all´informativa che la parte dichiara di aver reso ai dipendenti, se è vero che l´art. 13 del Codice consente al titolare di assolvere a tale adempimento fornendo un´informativa orale, deve rilevarsi che, affinché tale facoltà non si traduca in un espediente per eludere l´obbligo,  grava sul titolare medesimo l´onere di provare di aver fornito agli interessati tutti gli elementi individuati dal medesimo art. 13. Nel caso in argomento, dalle dichiarazioni rese dal titolare e dai documenti esibiti non risulta che i dipendenti della società siano stati compiutamente informati in ordine alle diverse finalità del trattamento effettuato con le rilevazioni mediante sistema GPS e sulle concrete modalità di effettuazione dei trattamenti. Deve pertanto confermarsi la responsabilità della società in ordine alla violazione contestata;

3) per quanto riguarda la contestazione relativa all´obbligo di presentare la notificazione al Garante, previsto, per i trattamenti che comportano la geolocalizzazione di persone o cose, dall´art. 37, comma 1, lett. a), del Codice, deve premettersi che l´Autorità, con provvedimento del 23 aprile 2004 (in www.gpdp.it, doc. web n. 993385) ha chiarito che "la norma si riferisce alla localizzazione di persone o oggetti, ed è quindi riferita alla rilevazione della loro presenza in determinati luoghi, mediante reti di comunicazione elettronica gestite o accessibili dal titolare del trattamento. La localizzazione va notificata quando permette di individuare in maniera continuativa ­anche con eventuali intervalli­ l´ubicazione sul territorio o in determinate aree geografiche, in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti. La localizzazione deve comunque permettere di risalire all´identità degli interessati, anche indirettamente attraverso appositi codici". Non può dubitarsi che i trattamenti svolti dalla società siano ricompresi nella definizione sopra richiamata; tuttavia, tenuto conto delle argomentazioni formulate dalla parte negli scritti difensivi e degli elementi da ultimo forniti in sede istruttoria, non può escludersi l´applicabilità al caso di specie dell´esenzione individuata dal provvedimento n. 1 del 31 marzo 2004 (doc. web n. 852561). Pertanto, il procedimento amministrativo sanzionatorio relativo alla specifico rilievo deve essere archiviato;

RILEVATO, quindi, che il Globo Vigilanza s.r.l., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice la violazione di cui all´ art. 13 del Codice, per aver effettuato trattamenti che comportano la geolocalizzazione di persone o cose senza aver reso agli interessati la necessaria informativa;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione risulta connotata da elementi specifici posto che la condotta sopra descritta ha permesso di realizzare un´attività di controllo dei dipendenti, destinatari di procedimenti e sanzioni disciplinari, senza che venisse resa loro l´informativa in ordine alle diverse finalità del trattamento effettuato con le rilevazioni mediante sistema GPS;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la società non ha documentato l´eventuale rilascio di una completa informativa agli interessati;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2015;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 12.000,00 (dodicimila) per la violazione di cui all´art. 161;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo di cui al rilievo relativo alla violazione degli artt. art. 37 e 38 del Codice, afferente l´omessa notificazione del trattamento al Garante;

ORDINA

a il Globo Vigilanza s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Pistoia, corso Antonio Gramsci, n. 56, C.F. n. 01065300475, di pagare la somma di euro 12.000,00 (dodicimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 12.000,00 (dodicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 12 gennaio 2017

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia