[doc. web n. 7840807]

Ordinanza ingiunzione nei confronti di Società Alberghi Circeo s.r.l. S.A.C. - 9 novembre 2017

Registro dei provvedimenti
n. 467 del 9 novembre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni n. 15855/97157 del 28 maggio 2015 formulata ai sensi dell´art. 157 del d. lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice") ha svolto un´attività di controllo formalizzata con il verbale di operazioni compiute datato 24 giugno 2015 nei confronti di Società Alberghi Circeo s.r.l. S.A.C. P.Iva: 01068320595, con sede in San Felice Circeo (Lt), via Lungomare Circeo n. 49, in persona del legale rappresentante pro-tempore. Successivamente, a scioglimento delle riserve formulate nel citato verbale di operazioni compiute, il predetto Nucleo speciale riceveva in data 10, 13 e 15 luglio 2015 apposite comunicazioni a mezzo fax della società a fronte delle quali è stato accertato che Società Alberghi Circeo s.r.l. non ha provveduto, ai sensi dell´art. 30 del Codice, "(…) alla nomina degli incaricati del trattamento dei dati personali nei confronti dei propri dipendenti che trattano dati personali all´atto della loro effettiva operatività, in quanto non è stata in grado di fornire la prova dell´avvenuta nomina per iscritto degli incaricati in data antecedente all´attività ispettiva eseguita (…)", in violazione dell´art. 33 del Codice;

VISTO il verbale n. 66 del 17 luglio 2015 redatto dal Nucleo speciale privacy della Guardia di finanza, con cui è stata contestata a Società Alberghi Circeo s.r.l., in qualità di titolare del trattamento, la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, per la quale non è prevista la definizione in via breve ai sensi dell´art. 16 della legge n. 689/1981;

VISTI gli scritti difensivi datati 29 agosto 2015 inviati ai sensi dell´art. 18 della legge n. 689/1981, con i quali la società ha rilevato come "(…) a differenza di quanto dichiarato dagli agenti (militari incaricati dell´attività di controllo in argomento) (…) vi erano n.6 dipendenti espressamente designati per iscritto come incaricati del trattamento dei dati personali. Infatti, per ciascuno dei sei dipendenti incaricati (…) al momento dell´ispezione vi erano degli specifici atti singoli di designazione per iscritto (…). Gli atti singoli di designazione degli incaricati (…) vengono ad essere prodotti solamente con i presenti scritti difensivi , in quanto al momento della ispezione e nei quindici giorni successivi (…) la responsabile della tenuta di tali documenti non era in sede (..), con la conseguenza che tali atti singoli di designazione sono stati reperiti dal legale rappresentante della società (…) solamente in seguito al ritorno al lavoro della stessa responsabile". In ogni caso, con riferimento alle comunicazioni inviate via fax dalla società a scioglimento delle riserve formulate nel verbale di operazioni compiute redatto all´esito dell´attività di controllo effettuata dalla Guardia di finanza e ricevute dall´organo di controllo in data 10, 13 e 15 luglio 2015, Società Alberghi Circeo s.r.l. ha precisato come "(…) non si può ignorare che con fax del 15.07.2015 il legale rappresentante della società (…) ha trasmesso agli agenti verbalizzanti un ulteriore atto di designazione collettiva degli stessi n. 6 dipendenti che era stato predisposto separatamente dai precedenti atti in data 01.06.2015, proprio per rimanere nella diretta disponibilità dello stesso legale rappresentante a differenza degli atti singoli destinati a essere conservati da altra dipendente della società. Sul punto si deve rilevare come la data di formazione di tale atto risale al 01.06.2015, e non al 09.07.2015 come sostenuto dagli agenti verbalizzanti, visto che l´atto portante la data del 09.07.2015 trasmesso dalla società (…) a questi ultimi a mezzo fax in data 13.07.2015 è frutto unicamente di un mero errore di stampa, laddove la data effettiva e corretta dell´atto di nomina è solamente quella del 01.06.2015 antecedente all´ispezione". Inoltre, ha evidenziato come "(…) nel caso di specie i n. 6 dipendenti addetti alla reception indicati dalla società come incaricati del trattamento dei dati personali  possano essere considerati come designati formalmente a tal fine ai sensi del citato art. 30, comma 2, D.Lvo 196/2003, in quanto documentalmente preposti ad una unità per la quale è individuato, per iscritto, l´ambito del trattamento consentito agli addetti all´unità medesima";

VISTO il verbale dell´audizione delle parti redatto in data 10 ottobre 2017 ai sensi dell´art. 18 della legge n. 689/1981, nel quale la società ha sostanzialmente ribadito quanto argomentato nella memoria difensiva;

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità di Società Alberghi Circeo s.r.l. in relazione alla contestazione in argomento.

Quanto dedotto in relazione alle comunicazioni inviate via fax alla Guardia di finanza a scioglimento delle riserve formulate nel verbale di operazioni compiute del 24 giugno 2015 oltre a non fornire alcun elemento ulteriore rispetto a quelli presi in considerazione all´atto dell´accertamento della violazione contestata, non sostanziano alcuno degli elementi costitutivi della disciplina dell´errore scusabile di cui all´art. 3 della legge n. 689/1981.

Alla medesima conclusione si deve pervenire anche in relazione alla produzione, solamente con le memorie difensive, degli atti singoli di designazione degli incaricati del trattamento relativi a sei dipendenti, atteso che la società, tenendo conto di quanto dichiarato in atti nel citato verbale di operazioni compiute e successivamente, sempre nell´ambito della previsione di cui all´art. 157 del Codice, prodotto con le comunicazioni via fax del 10, 13 e 15 luglio 2015 ha fornito, a scioglimento delle riserve formulate in sede di controllo, elementi palesemente contraddittori e tali da non poter dimostrare l´effettivo puntuale assolvimento agli obblighi previsti dall´art. 33 del Codice oggetto della contestazione in trattazione.

Si deve considerare che con comunicazione del 10 luglio 2015 la società, inviava l´atto cumulativo di designazione datato 3 luglio 2015 di nove dipendenti quali incaricati del trattamento; con comunicazione del 13 luglio 2015 la società, inviava l´atto cumulativo di designazione datato 9 luglio 2015 di sei dei nove dipendenti quali incaricati del trattamento; con comunicazione del 15 luglio 2015 la società, inviava l´atto cumulativo di designazione datato 1° giugno 2015 dei medesimi sei dipendenti quali incaricati del trattamento; con la memoria difensiva del 29 agosto 2015 la società produceva singoli atti di designazione ad personam sempre dei medesimi sei dipendenti recanti diverse date.

Gli atti di designazione collettiva degli incaricati del trattamento, prodotti in data 10, 13 e 15 luglio 2015, oltre a essere datati diversamente tra loro, recano date diverse  rispetto agli atti di designazione ai sensi dell´art. 30 del Codice prodotti con le memorie difensive e ineriscono un numero diverso di dipendenti che, nella citata comunicazione del 10 luglio 2015 a scioglimento delle riserve formulate nel verbale di operazioni compiute, sono nove, mentre nelle successive comunicazioni del 13 e 15 luglio 2015 nonché negli atti di designazione prodotti con le memorie difensive, sono sei.

Da tali evidenze non risulta chiara e univocamente individuabile la data certa di effettiva designazione degli incaricati del trattamento ai sensi dell´art. 30 del Codice rispetto alla data del 24 giugno 2015 in cui è stato effettuato l´accertamento ispettivo;

RILEVATO, quindi, che Società Alberghi Circeo s.r.l., in qualità di titolare del trattamento, non ha tempestivamente provveduto, ai sensi dell´art. 30 del Codice, alla formale designazione di dipendenti e collaboratori quali incaricati del trattamento dei dati, omettendo, quindi, di adottare le misure minime di sicurezza di cui all´art. 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, pertanto, di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981, n. 689, l´ammontare della sanzione pecuniaria per la violazione di cui all´art. 162, comma 2-bis, del Codice, nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Società Alberghi Circeo s.r.l. S.A.C. P.Iva: 01068320595, con sede in San Felice Circeo (Lt), via Lungomare Circeo n. 49, in persona del legale rappresentante pro-tempore di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione di cui all´art. 162, comma 2-bis, come indicato in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 9 novembre 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia