[doc. web n. 6393165]

Ordinanza di ingiunzione nei confronti di Il Tarì - 14 luglio 2011

Registro dei provvedimenti
n. 296 del 14 luglio 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante per la protezione dei dati personali predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo a due verbali di contestazione per violazioni amministrative datati 20 luglio 2009 nei confronti di Il Tarì società consortile per azioni, con sede in Marcianise (Ce), località Pozzo Bianco, area A.S.I. sud, in persona del legale rappresentante pro-tempore, per violazione degli artt. 13, 37 e 38 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il Garante, con provvedimento datato 4 giugno 2009, ha accertato che la società consortile "(…) ha predisposto distinti sistemi di accesso, uno dei quali dotato di sistema biometrico riservato ai soci e agli operatori del settore accreditati presso il Centro (…) (e) che in ordine a tale trattamento i dati personali sono raccolti mediante una scheda denominata autorizzazione al trattamento dei dati personali (…)"senza rendere un´idonea informativa ai sensi dell´art. 13 del Codice e senza aver effettuano la notificazione al Garante di cui all´art. 37, comma 1 lett. a) del Codice;

VISTI i verbali nr.rr. 16247/60730 e 16248/60730 del 20 luglio 2009 (che qui si intendono integralmente richiamati) con cui sono state contestate alla predetta società consortile le violazioni amministrative previste dagli artt. 161 e 163 del Codice, in relazione agli artt. 13 e 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi, datati entrambi 30 settembre 2009, inviati ai sensi dell´art. 18 della legge n. 689/1981 nei quali la società consortile, relativamente alla contestazione n. 16247/60730 del 20 luglio 2009 afferente l´inidoneità dell´informativa resa agli interessati, ha sostenuto che la Guardia di finanza, con verbale datato 25 settembre 2008, aveva già accertato la medesima violazione che si era provveduto ad estinguere pagando il doppio del minimo edittale così come previsto dall´art. 16 della legge n. 689/1981. "Sicché, di fatto, per lo stesso illecito amministrativo, (…), sono stati avviati (…) due procedimenti diversi nonostante fossero state riscontrate le medesime irregolarità ed è stata comminata due volte la stessa sanzione".  Inoltre, ha  rilevato come, nel caso di specie, sia stata erroneamente applicata la norma sanzionatoria di cui all´art. 161 del Codice nella formulazione introdotta con il decreto legge n. 30 dicembre 2008 n. 207, convertito dalla legge 27 febbraio 2009 n. 166 che quantifica l´importo della sanzione pecuniaria da un minimo di euro 6.000,00 a un massimo di euro 36.000,00. In effetti "Nella precedente formulazione, vigente in data 25 settembre 2008, ossia al momento dell´ispezione effettuata dalla Guardia di finanza, l´importo della sanzione era determinato nel minimo in una somma di euro tremila e nel massimo in una somma di euro diciottomila" e pertanto si doveva applicare la sanzione prevista dall´art. 161 nella formulazione antecedente l´entrata in vigore del decreto legge. Anche in questo caso "(…) la erronea indicazione della normativa applicabile si è tradotta in una palese illegittimità del provvedimento di contestazione, non avendo avuto IL TARI´ conoscenza della sanzione effettivamente comminatagli" che, a sua volta, "(…) ha determinato la impossibilità per IL TARI´ di avvantaggiarsi del regime di cui all´art. 16 della legge n. 689/1981 (…)". Nel merito la società ha osservato come, in relazione alla mancanza nell´informativa agli interessati delle indicazioni di cui all´art. 13, comma 1, lett. c), del Codice, "L´indicazione che viene data sull´informativa circa l´obbligatorietà del conferimento dei dati non biometrici, contiene implicitamente anche la risposta al divieto di conferimento dei medesimi, vale a dire la mancata autorizzazione ad accedere al Centro"; mentre relativamente alla mancanza degli elementi di cui all´art. 13, comma 1, lett. d), viene precisato che "Il TARI´ è una struttura giuridicamente complessa che si avvale di società controllate e collegate (…). Nella sostanza i dati vengono, quindi, trattati solo dal TARI´ e non sono mai trasmessi all´esterno(…). In ogni caso, l´indicazione che i dati siano trattati da società controllate e/o collegate al TARI´ non sembra integrare una ipotesi di mancata indicazione dei terzi a cui i dati possono essere trasmessi". Peraltro, relativamente a entrambe le violazioni contestate, viene sottolineato che la condotta del TARI´ è sempre stata ispirata "(…) alla più assoluta buona fede e alla migliore collaborazione". Riguardo alla contestazione n. 16248/60730 del 20 luglio 2009 concernente l´omessa notificazione,  la società ha osservato come, nel caso di specie, sia stata erroneamente applicata la norma sanzionatoria di cui all´art. 163 del Codice nella formulazione introdotta con il decreto legge n. 30 dicembre 2008 n. 207, convertito dalla legge 27 febbraio 2009 n. 166 che quantifica l´importo della sanzione pecuniaria da un minimo di euro 20.000,00 a un massimo di euro 120.000,00. In effetti "(…) per i trattamenti di dati, già in essere prima del 30 dicembre 2008, la condotta oggetto di contestazione, ossia la commissione dell´illecito, determina l´applicazione delle sanzioni nella misura determinata prima dell´entrata in vigore del summenzionato decreto legge" e pertanto si doveva applicare la sanzione prevista dall´art. 163 nella formulazione antecedente l´entrata il vigore del decreto legge che quantificava l´importo da un minimo di euro 10.000,00 a un massimo di 60.000,00. Tale erronea individuazione della norma sanzionatoria, peraltro, "(…) si è tradotta anche nell´impossibilità per il Tarì di individuare correttamente la somma con il pagamento della quale la società avrebbe potuto estinguere il procedimento amministrativo sanzionatorio", impedendo di conseguenza l´esercizio "(…) del diritto soggettivo al pagamento in misura ridotta (…)" ai sensi dell´art. 16 della legge n. 689/1981. Sotto il profilo del merito, poi, la società consortile, avendo già notificato il trattamento dei dati in questione in data 6 aprile 1998, "(…) ha di fatto già raggiunto lo scopo fissato dalla norma vale a dire consentire al Garante di conoscere della esistenza di un trattamento di dati posto in essere (…)". La società ha sottolineato, altresì, che "(…) nel corso della prima ispezione effettuata dalla Guardia di finanza (la stessa) non aveva riscontrato alcuna irregolarità rispetto alla eventuale omissione o inidoneità della notificazione del trattamento dei dati biometrici";

VISTO il verbale dell´audizione delle parti redatto ai sensi dell´art. 18 della legge n. 689/1981 in data 28 gennaio 2010 con cui la società consortile ha ribadito quanto esposto negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato per le motivazioni di seguito riportate distintamente per ciascun rilievo. Preliminarmente si rileva che il provvedimento dell´Autorità datato 4 giugno 2009, con il quale sono state accertate entrambe le violazioni, non risulta essere stato impugnato ai sensi dell´art. 152 del Codice, rendendo quindi definitivo quanto in esso statuito. Con riferimento all´obbligo di rendere un´idonea informativa agli interessati ai sensi dell´art. 13 del Codice, si evidenzia che, diversamente da quanto ritenuto, la contestazione accertata dalla Guardia di finanza in data 25 settembre 2009 ed estinta  dalla società consortile con il pagamento in via breve ai sensi dell´art. 16 della legge n. 689/1981, afferisce il trattamento di dati personali effettuato mediante un sistema di videosorveglianza, mentre la contestazione n. 16247/60730 del 20 luglio 2009 si riferisce all´inidoneità dell´informativa resa agli interessati a fronte di un distinto trattamento di dati, anche biometrici, per il quale deve essere assolto un distinto obbligo ai sensi dell´art. 13 del Codice. Si osserva, altresì, come la condotta omissiva sanzionata risulta accertata in relazione al modulo di raccolta denominato "autorizzazione al trattamento dei dati personali" recante la data del 27 febbraio 2009 compilato con riferimento ad uno specifico interessato e prodotto in atti dalla medesima società consortile, ed è in quella data che l´illecito risulta essere stato consumato in base a quanto disposto dall´art. 13, comma 1 del Codice. Ne consegue che, nel caso di specie, si deve applicare la norma sanzionatoria vigente nel momento in cui la condotta omissiva è stata consumata (27 febbraio 2009) ovvero quella formulata dal decreto legge n. 30 dicembre 2008 n. 207, convertito dalla legge 27 febbraio 2009 n. 166 che quantifica l´importo della sanzione pecuniaria da un minimo di euro 6.000,00 a un massimo di euro 36.000,00. Tali argomentazioni risultano assorbenti  in ordine alla definizione in via breve della contestazione che ci occupa ove, peraltro, la ritenuta erronea indicazione dell´importo della sanzione edittale contestata, non determina la lesione del diritto dell´interessato di definire immediatamente, ai sensi dell´art. 16 della legge n. 689/1981, il procedimento sanzionatorio, atteso che l´annullabilità dell´atto amministrativo si configura solo "ove il privato abbia manifestato all´Amministrazione irrogante l´intenzione di provvedere al pagamento in misura ridotta della sanzione, e questa abbia, con comportamento positivo, erroneamente escluso tale possibilità" (Cass. Sez. I 11 maggio 2001 n. 6555). Relativamente all´accertata mancanza, nell´informativa agli interessati resa con il modulo denominato "autorizzazione al trattamento dei dati personali" recante la data del 27 febbraio 2009, degli elementi di cui alle lettere c) e d) dell´art. 13 comma 1 del Codice, si osserva che: relativamente al primo aspetto, l´asserita obbligatorietà "(…) del conferimento dei dati di cui al punto 1) (…)" soddisfa solo il requisito previsto dalla lett. b) dell´art. 13 e non, come erroneamente sostenuto, quello della lett. c) "conseguenze di un eventuale rifiuto"; con riferimento alla lettera d) del citato art. 13, si evidenzia invece che l´indicazione che "i dati raccolti ed elaborati (…) potranno essere comunicati a terzi in Italia" non soddisfa in alcun modo, per la sua estrema genericità, il contenuto informativo richiesto dalla normativa. Per quanto sopra esposto, anche alla luce di quanto esplicitato dalla società consortile circa la propria buona fede, non ricorrono gli elementi applicativi della disciplina prevista dall´art. 3 della legge n. 689/1981. Relativamente all´obbligo di notificazione al Garante di cui all´art. 37, comma 1, lett. a), del Codice, si evidenzia che l´omessa notificazione del trattamento sostanzia un illecito omissivo di natura permanente, per il quale il momento della consumazione coincide con la cessazione della condotta (effettuazione della notificazione) ovvero con il momento in cui la violazione viene accertata. Ne consegue che, diversamente da quanto ritenuto, posto che la condotta omissiva non risulta essere cessata poiché ad oggi non risulta nessuna notificazione del trattamento in argomento effettuata secondo le modalità previste dall´art. 38 del Codice, nel caso di specie si deve applicare la norma sanzionatoria vigente nel momento in cui la condotta omissiva è stata accertata (provvedimento del Garante datato 4 giugno 2009) cioè quella formulata dal decreto legge n. 30 dicembre 2008 n. 207, convertito dalla legge 27 febbraio 2009 n. 166 che quantifica l´importo della sanzione pecuniaria da un minimo di euro 20.000,00 a un massimo di euro 120.000,00. Anche in questo caso tali argomentazioni risultano assorbenti anche in ordine alla definizione in via breve della contestazione, motivo per il quale si ribadisce quanto già esposto relativamente al diritto dell´interessato (trasgressore) di estinguere, ai sensi dell´art. 16 della legge n. 689/1981, il procedimento sanzionatorio. Inoltre, si rileva che l´istituto della notificazione dei trattamenti previsto dal Codice configura un diverso e distinto adempimento rispetto a quello già previsto dall´art. 7 della legge n. 675/1996. Sono tenuti a notificare al Garante, infatti, solo i titolari che effettuino una o più attività di trattamento tra quelle specificamente indicate dal Codice all´art. 37, comma 1 (la precedente normativa, invece, prevedeva per tutti i titolari l´obbligo di effettuare la notificazione, a meno che potessero avvalersi dei casi di esonero o di possibile utilizzazione di una notificazione semplificata). Il comma 2 di tale articolo demanda al Garante il compito di individuare, nell´ambito dei trattamenti di cui al predetto comma 1, quelli non suscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato e pertanto sottratti all´obbligo di notificazione (si vedano il provvedimento del 31 marzo 2004 e le precisazioni sulla notificazione in ambito sanitario del 26 aprile 2004, pubblicati sul sito web www.garanteprivacy.it doc. web n. 852561 e n. 996680). Dalla nuova disciplina del Codice deriva, quindi, un nuovo e distinto obbligo di notificazione al Garante, con la conseguenza che le notificazioni inviate ai sensi la legge n. 675/1996 non producono effetto rispetto alla notificazione ai sensi dell´art. 37, secondo le modalità di cui all´art. 38 del Codice. Nessuna disposizione derogatoria è stata introdotta per i trattamenti di dati personali iniziati prima del 1° gennaio 2004 e comunicati con le procedure previste dalla precedente normativa, per cui è stata chiara la volontà del legislatore di escludere qualsiasi eccezione al riguardo (Trib. Ord. Roma - II Sez. civile, sent. n. 10093 dell´8 maggio 2009). Il titolare che aveva già iniziato un trattamento anteriormente al 1° gennaio 2004, indipendentemente dalla circostanza che lo avesse notificato in passato, doveva, pertanto, procedere, se tenuto in base alla norma introdotta dal Codice (art. 37), ad una nuova notificazione da effettuarsi entro il termine transitorio del 30 aprile 2004 (art. 181, comma 1, lett. c)). Pertanto, le argomentazioni addotte dalla società consortile non risultano idonee per escludere la responsabilità in relazione alla contestazione della violazione amministrativa per omessa notificazione al Garante (art. 3 l. n. 689/1981). Si osserva poi, che gli elementi costitutivi dell´illecito amministrativo contestato risultano accertati secondo quanto previsto dall´art. 13 della legge n. 689/1981, atteso che l´attività di controllo formalizzata dalla Guardia di finanza nel verbale di operazioni compiute del 25 settembre 2009, non ineriva gli adempimenti di cui all´art. 37 del Codice, la violazione dei quali era già stata accertata con il citato provvedimento del Garante del 4 giugno 2009;

RILEVATO, quindi, che la società consortile ha effettuato un trattamento di dati biometrici per controllare l´accesso dei soci e degli operatori accreditati, senza rendere un´idonea informativa ai sensi dell´art. 13 del Codice e senza effettuare la notificazione di cui all´art. 37 comma 1, lett. a);

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

RITENUTO, comunque, di dover determinare l´ammontare della sanzione pecuniaria contestata ai sensi dell´art. 161, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689 e considerando che la gravità della violazione pur non avendo caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore inerisce dati particolarmente delicati (biometrici) , nella misura pari a euro 10.000,00 (diecimila);

RITENUTO, altresì, di dover determinare l´ammontare della sanzione pecuniaria contestata ai sensi dell´art. 163, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, nella misura del minimo pari a euro 20.000,00 (ventimila);

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il prof. Francesco Pizzetti;

ORDINA

a Il Tarì società consortile per azioni, con sede in Marcianise (Ce), località Pozzo Bianco, area A.S.I. sud, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 30.000,00 (trentamila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e  163 del Codice;

INGIUNGE

alla medesima azienda di pagare la somma di euro 30.000,00 (trentamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del provvedimento stesso.

Roma, 14 luglio 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Pizzetti

IL SEGRETARIO GENERALE
De Paoli