g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Pittaluga servizio containers S.p.A. - 19 ottobre 2017 [7717049]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 7717049]

Ordinanza ingiunzione nei confronti di Pittaluga servizio containers S.p.A. - 19 ottobre 2017

Registro dei provvedimenti
n. 424 del 19 ottobre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 36/15 del 1° aprile 2015 (notificato il 24 aprile 2015), che qui deve intendersi integralmente riportato, ha contestato a Pittaluga servizio containers S.p.A. (di seguito Pittaluga containers), in persona del legale rappresentante pro-tempore, con sede legale in Genova, via Milano, n. 71, C.F. n. 01029590104, la violazione delle disposizioni di cui agli artt. 37 e ss. del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO che dall´esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

- a seguito di accertamento ispettivo svolto dalla Guardia di finanza presso la sede della società in data 18 marzo 2015, è stato rilevato che Pittaluga containers, che svolge attività di trasporto merci su strada, utilizza un sistema di geolocalizzazione di 46 dei propri automezzi, sui quali sono stati installati dei rilevatori GPS. In base a quanto dichiarato dalla società, "le finalità di utilizzo del sistema di geolocalizzazione sono quelle di tutela del patrimonio aziendale (furti dei mezzi), motivi organizzativi aziendali, nonché per usufruire di sconti sui premi assicurativi". Il servizio di geolocalizzazione è curato dalla Trackysat s.r.l. che "ha fornito alla nostra società apposite credenziali, composte da username e  password, per l´accesso all´area riservata ai clienti del sito web www.trackysat.com. Normalmente l´accesso viene effettuato in caso di un eventuale furto, o per fornire un orario di consegna della merce al cliente, qualora il conducente non risulti raggiungibile telefonicamente. […] L´operatore ha la possibilità di vedere la posizione momentanea di tutti veicoli, la velocità del mezzo, la distanza percorsa dalla partenza e se il mezzo è con motore acceso ovvero spento. […]. Come si può rilevare dal modulo di abbonamento ai servizi TRACKYSAT SRL […] è la stessa fornitrice del servizio che può visualizzare il tracciato del veicolo, bloccare l´avviamento del motore e avvisare le forze dell´ordine solo su specifica nostra segnalazione di furto";

- "In generale la Titolarità del trattamento dati è attribuita alla società nel suo complesso e le decisioni sono in capo a PITTALUGA Fabio, Amministratore Delegato della società PITTALUGA SPA";

- la società, con riferimento al sistema di geolocalizzazione installato sui propri automezzi, ha presentato la notificazione al Garante solo in data 18 marzo 2015;

RILEVATO che con il citato atto del 1° aprile 2015 è stata contestata a Pittaluga containers, ai sensi dell´art. 163 del Codice, la violazione dell´art. 37, per aver omesso di presentare la notificazione al Garante nelle forme previste dall´art. 38 del Codice, per i trattamenti di dati che indicano la posizione geografica di persone o cose, indicati nell´art. 37, comma 1, lett. a), del Codice;

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 22 maggio e 15 novembre 2015, nonché il verbale di audizione, ai sensi dell´art. 18 della legge n. 689/1981, redatto il 16 novembre 2015, che qui si intendono integralmente richiamati e che, in sintesi, rappresentano:

- "a tutela della sicurezza dei propri autisti dipendenti nonché del patrimonio aziendale rappresentato dai propri automezzi, Pittaluga decideva di dotare il proprio parco trattori stradali di impianti di geolocalizzazione. Tale decisione veniva preceduta, nell´anno 2012, da un accordo aziendale per l´utilizzo di impianti di localizzazione GPS. Questo perché alla scrivente era chiaro che l´individuazione con sistemi satellitari dei propri automezzi se incrociato con i dati relativi ai conducenti di ciascun veicolo avrebbe permesso alla stessa - per quanto indirettamente - di conoscere la posizione geografica dei propri autisti dipendenti. Nello stesso anno 2012 sottoscriveva contratto con la società TrackySat S.r.l. che dotava 10 trattori stradali dell´esponente dei relativi apparati satellitari atti ad individuare, da parte del software gestito da tale società, la posizione geografica dei mezzi dell´esponente (ciascuno individuato a sistema con il numero di targa del mezzo). I mezzi oggi dotati dell´apparato di localizzazione sempre della TrackySat S.r.l. sono 46".

- "Pittaluga, che fino a quel momento non aveva mai trattato dati per i quali fosse necessaria previa notificazione ai sensi degli artt. 37 e 38 del D.Lgs. 196/2003, non veniva minimamente informata dal proprio fornitore TrackySat S.r.l. che la sottoscrizione del contratto con quest´ultima comportava automaticamente e per ciò stesso per Pittaluga l´assunzione della qualifica di titolare del trattamento ai sensi degli artt. 4 e 28 del decreto legislativo citato né dell´obbligo di notifica la cui omissione le viene oggi contestata. L´omessa informazione da parte del proprio fornitore circa la qualifica di titolare del trattamento in capo all´esponente e/o dell´obbligo di previa notifica gravante sui soggetti tali qualificati ai sensi dell´art 37 del D.lgs. 196/2003 avveniva nonostante questo si preoccupasse di fornire a Pittaluga la modulistica necessaria per individuare nella stessa TrackySat S.r.l. il soggetto responsabile del trattamento ed in alcuni propri dipendenti gli incaricati dei trattamento.";

- "dato che era ed è TrackySat S.r.l. proprietaria dell´hardware (fornito sui mezzi in comodato all´esponente) e del software (dalla stessa direttamente gestito) necessari per la geolocalizzazione e che a Pittaluga era ed è riconosciuto contrattualmente il solo diritto di accesso in remoto ai dati registrati dai server di TrackySat S.r.l., all´esponente non risultava neppure così evidente la possibilità di essere qualificabile quale titolare del trattamento, qualifica che le è stata oggi attribuita con il verbale in riferimento.";

- "il momento iniziale del trattamento dei dati che  indicano la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica - per cui la Guardia di Finanza ha contestato l´omessa previa notificazione prevista dall´art. 37 del D.Lgs 196/2003 - si colloca […] nell´anno 2009. Tale circostanza è documentata dal contratto con la società TrackySat S.r.l. datato 30.6.2009 […].  La circostanza non veniva precedentemente evidenziata perché, da un lato, chi rispondeva nel corso dell´ispezione effettuata dalla Guardia di Finanza non era a conoscenza del fatto che il rapporto con il medesimo gestore degli impianti satellitari (TrackySat periodicamente rinnovato, non iniziava nell´anno 2012 ma ben prima e, dall´altro, la società Cliente, allorquando inviava gli scritti difensivi […], non era a conoscenza della rilevanza del momento iniziale del trattamento dei dati per cui non riteneva significativo specificare che in realtà l´installazione e l´utilizzo degli impianti di geolocalizzazione iniziava nell´anno 2009.";

- ritenendo pertanto che la titolarità dei trattamenti non sia ascrivibile alla Pittaluga containers e che, comunque, l´omessa notificazione al Garante dovesse essere contestata entro il termine di prescrizione quinquennale previsto dall´art. 28 della legge n. 689/1981, la società ha chiesto l´archiviazione del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra, per le motivazioni di seguito riportate:

a) deve in primo luogo ritenersi che, nei trattamenti mediante sistemi di geolocalizzazione, Pittaluga containers abbia agito in qualità di titolare, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice. È emerso, infatti, dagli atti dell´istruttoria, che a Pittaluga containers competono le scelte di fondo e le decisioni in ordine al complessivo trattamento, giacché la società ha deciso di dotarsi di un sistema di geolocalizzazione in base ad una autonoma scelta aziendale. Tale scelta era finalizzata al perseguimento di alcuni obiettivi ("tutela del patrimonio aziendale (furti dei mezzi), motivi organizzativi aziendali, nonché per usufruire di sconti sui premi assicurativi") ed è stata perseguita acquisendo in comodato gratuito il sistema fornito dalla TrackySat s.r.l. I dipendenti della Pittaluga containers sono stati resi edotti delle funzionalità del sistema di geolocalizzazione attraverso un´informativa, resa dalla società in qualità di titolare del trattamento, nella quale si legge che i dati "sono automaticamente registrati sui server del fornitore del servizio e conservati per il tempo necessario al trattamento (4 mesi). Pittaluga Servizio Container S.P.A. ha la facoltà di consultare in tempo reale le suddette informazioni tramite una interfaccia web ad accesso riservato e può anche estrapolarle e salvarle sui propri server aziendali allo scopo di razionalizzare i percorsi stradali e migliorare l´efficienza- dell´organizzazione e gestione del parco veicoli e conservarle comunque nel rispetto di quanto previsto nell´apposito accordo sindacale del 01.07.2014". Deve inoltre evidenziarsi che la Pittaluga containers ha designato la TrackySat s.r.l. quale responsabile dei trattamenti connessi al servizio di geolocalizzazione, con atto del 25 giugno 2013;

b) quanto alle osservazioni difensive relative alla estinzione del procedimento sanzionatorio per intervenuta prescrizione, ai sensi dell´art. 28 della legge n. 689/1981, le stesse non hanno pregio per un duplice ordine di considerazioni. In primo luogo, appare di tutta evidenza che l´inizio dei trattamenti correlati al servizio di geolocalizzazione non può risalire alla data di sottoscrizione del contratto di fornitura del medesimo servizio, che sarebbe stato stipulato nell´anno 2009. La sottoscrizione del contratto avente ad oggetto la fornitura del servizio di geolocalizzazione, non può essere annoverata fra le operazioni di trattamento così come indicate nell´art. 4, comma 1, lett. a), del Codice (raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, diffusione, cancellazione e distruzione di dati) e pertanto non si può da tale evento far discendere l´inizio della geolocalizzazione di persone o oggetti mediante una rete di comunicazione elettronica. Tale attività, in base a quanto dichiarato dalla società in sede di accertamento della Guardia di finanza, è iniziata nell´anno 2012 ("Nel 2012 abbiamo affidato il servizio di localizzazione di dieci nostri automezzi alla società TrackySat di Cuneo"). In secondo luogo, deve osservarsi che lo svolgimento di attività di geolocalizzazione in carenza della notificazione al Garante assume i connotati di violazione a carattere permanente. Soltanto dal momento in cui, a seguito della presentazione della notificazione al Garante, ha termine la condotta illecita, decorre il termine di prescrizione quinquennale di cui all´art. 28 della legge n. 689/1981. Nel caso in argomento, avendo Pittaluga containers presentato la notificazione al Garante in data 18 marzo 2015, solo da quella data può decorrere il termine di prescrizione quinquennale della pretesa sanzionatoria dell´Autorità. Tale termine risulta peraltro interrotto per effetto di atti tipici del procedimento sanzionatorio quali la notifica del verbale di contestazione, la convocazione del contravventore e lo svolgimento dell´audizione del medesimo;

c) essendo stata correttamente configurata la titolarità del trattamento e la natura della violazione, ed essendo stato notificato nei termini il relativo atto di contestazione, deve ritenersi confermata la responsabilità di Pittaluga containers in relazione a quanto contestato;

RILEVATO, quindi, che il Pittaluga containers, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver presentato preventivamente la notificazione al Garante;

RITENUTO che, nel caso in argomento, può essere applicata la diminuente prevista dall´art.164-bis, comma 1, del Codice, avuto riguardo alla natura dei trattamenti e alla complessiva attenzione della società agli adempimenti in materia di privacy, da cui deriva la valutazione di lieve entità della violazione contestata;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro; visto, altresì, l´art. 164-bis, comma 1, del Codice, che prevede la riduzione ai due quinti del minimo e del massimo e edittale di una sanzione, nei casi di minore gravità;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, le violazioni non risultano connotate da elementi specifici, avuto anche riguardo, come già sopra evidenziato, alla complessiva osservanza dei restanti adempimenti in materia di protezione dei dati personali da parte della società;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato la notificazione al Garante, per i trattamenti in argomento, in data 18 marzo 2015;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi del bilancio ordinario d´esercizio per l´anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 8.000,00 (ottomila) per la violazione di cui all´art. 163, ritenuta la diminuente di cui all´art. 164-bis, comma 1, del Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Pittaluga servizio containers S.p.A., in persona del legale rappresentante pro-tempore, con sede legale in Genova, via Milano, n. 71, C.F. n. 01029590104, di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione, ritenuta la diminuente di cui all´art. 164-bis, comma 1, del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 8.000,00 (ottomila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 19 ottobre 2017

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia

Scheda

Doc-Web
7717049
Data
19/10/17

Argomenti


Tipologie

Ordinanza ingiunzione o revoca