Diritti interna

Doveri interna

ricerca avanzata

Ordinanza ingiunzione nei confronti di SEMS – Servizi per la mobilità sostenibile S.r.l. - 14 dicembre 2017 [8187393]

[doc. web n. 8187393]

Ordinanza ingiunzione nei confronti di SEMS – Servizi per la mobilità sostenibile S.r.l. - 14 dicembre 2017

Registro dei provvedimenti
n. 533 del 14 dicembre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 125/102969 del 7 gennaio 2016, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto accertamenti presso SEMS – Servizi per la mobilità sostenibile S.r.l. (di seguito "la Società"), con sede in Milano, Piazzale Cadorna n. 14, C.F. e PI. 04615550961, attualmente in fase di liquidazione volontaria dal 1 ottobre 2016, formalizzati nel verbale di operazioni compiute del 10 e 11 febbraio 2016, diretti a verificare la liceità del trattamento di dati personali effettuato dalla Società mediante l´istallazione di rilevatori satellitari nella propria flotta auto e volto a rilevare la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è dato adempimento all´obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

VISTI gli atti dell´accertamento ispettivo;

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi, nonché della nota della Società del 24 febbraio 2016, protocollo in entrata della Guardia di Finanza n. 025496/2016 del 24 febbraio 2016, e della documentazione inviata dalla società a scioglimento delle riserve formulate nel corso dell´accertamento ispettivo, è risultato che:

- la Società, nata nel 2004, opera nel settore dei servizi per mobilità; in particolare, ha intrapreso l´attività di car sharing dal 13 dicembre 2010 svolgendola, prevalentemente, attraverso un parco di autovetture elettriche;

- la Società ha dotato la propria flotta auto di rilevatori satellitari GTSAT, forniti dalla "GETRONIC S.r.l." attraverso i quali è sempre in grado di rilevare la posizione di ciascun veicolo e associarlo all´utilizzatore attuale (pag. 3 del verbale di operazioni compiute del 10 febbraio 2016 e da pag.245 a pag.254 dell´allegato libro operativo "e.vai");

- la Società, ai sensi del combinato disposto degli artt. 4, primo comma, lett. f) e 28 del Codice, è titolare del trattamento in relazione ai dati personali dei clienti trattati nello svolgimento della citata attività;

- a fronte di tale trattamento di dati personali, posto in essere mediante il sistema di geolocalizzazione, la Società, come evidenziato nella nota a firma del Presidente della stessa, datata 24 febbraio 2016, ha omesso di effettuare la notificazione al Garante, ai sensi degli artt. 37 e 38 del Codice, prima dell´inizio del trattamento;

VISTO il verbale n. 21 del 3 marzo 2016 con cui è stata contestata alla Società, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, per aver effettuato il trattamento di dati personali di cui all´art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di presentare la notificazione al Garante nelle modalità indicate dall´art. 38 del Codice;

VERIFICATO che la Società ha provveduto, come risultante dal registro delle notificazioni, a effettuare la notificazione al Garante in data 19 aprile 2016;

RILEVATO che dal rapporto predisposto dal predetto Nucleo ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta;

VISTA la memoria difensiva presentata in data 21 aprile 2016, inviata ai sensi dell´art. 18 della legge n. 689/1981, con cui la Parte, ha evidenziato come la Società, con l´eccezione della mancata notificazione al Garante, oggetto di contestazione, abbia sempre operato nell´osservanza della normativa in materia dei protezione dei dati personali e non sia stata destinataria di segnalazioni, reclami o ricorsi in materia da parte della clientela. Inoltre, la Parte ha rappresentato che "a seguito dell´accertamento conclusosi con la notificazione del Verbale in oggetto, la Società ha (…) provveduto, spontaneamente, ad effettuare in data 19 aprile 2016, con le modalità prescritte da Codesta Autorità, la notificazione del trattamento dei dati che indicano la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica", nonché richiesto l´audizione ai sensi dell´art. 18 della legge 689/81;

LETTO il verbale di audizione del 9 maggio 2016, svoltasi ai sensi dell´art. 18 della legge n. 689/1981, in cui la Società ha confermato quanto già in precedenza rappresentato e richiesto con la memoria difensiva: in particolare, l´applicazione dell´art. 164-bis, comma 1, "in ragione del fatto che quello offerto è un servizio di rilevanza pubblica (…)" e che la Società ha "tempestivamente provveduto alla notificazione all´Autorità". In tale sede, la Parte si è, altresì,  riservata di produrre un ulteriore scritto difensivo;

LETTO l´ulteriore scritto difensivo datato 27 maggio 2016, nonché la documentazione a corredo, con cui la Società:

- ritiene integrati i presupposti della "minore gravità" della violazione contestata, in considerazione della finalità sociale e pubblica della propria attività, del considerevole basso impatto ambientale di quest´ultima per l´utilizzo di veicoli elettrici, nonché del corretto svolgimento di essa in ossequio alla normativa in materia di protezione dei dati personali anche per quanto attiene all´adozione delle misure di sicurezza (con l´eccezione della omessa notificazione al Garante prima del trattamento);

- evidenzia l´opera svolta al fine di eliminare o attenuare le conseguenze della violazione, provvedendo alla notificazione al Garante in data 19 aprile 2016;

TENUTO CONTO della richiesta formulata dalla Parte per i motivi sopra esposti, consistente nell´applicazione della sanzione "nella misura pari ai due quinti dei limiti minimi e massimi  o, in via subordinata, ridurre la medesima al minimo edittale";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare quanto richiesto dalla Società relativamente all´applicazione della sanzione nella misura dei due quinti dei limiti minimi e massimi previsti dall´art. 164-bis, comma 1, del Codice. Infatti, premesso che la Parte ha riconosciuto la propria responsabilità in ordine alla mancata notificazione al Garante ai sensi degli artt. 37 e 38 del Codice, da un lato, l´osservanza della normativa in materia di protezione dei dati personali per quanto attiene agli altri aspetti dell´attività svolta dalla Società, la rilevanza pubblica e a basso impatto ambientale di tale attività, nonché l´attenuazione delle conseguenze della violazione – attraverso la notificazione al Garante in data 19 aprile 2016 - non costituiscono elementi idonei ad applicare la diminuente invocata dalla parte; dall´altro, la circostanza che la Società abbia iniziato l´attività di car sharing fin dal 2010, ed ha installato sulla propria flotta auto rilevatori satellitari volti a rilevare la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica, costituisce un elemento aggravante che porta parimenti ad escludere l´applicabilità della diminuente di cui al citato art. 164-bis, comma 1, del Codice;

RILEVATO, quindi, che la Società, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato un trattamento di dati che indica la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver preventivamente effettuato la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, quindi, di dover determinare, ai sensi del sopra citato art.11, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 163 del Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a SEMS – Servizi per la mobilità sostenibile S.r.l. con sede in Milano, Piazzale Cadorna n. 14, C.F. e PI. 04615550961, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima Società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 14 dicembre 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia