[doc. web n. 9001935]

Ordinanza ingiunzione nei confronti di INFOMOBILITY S.P.A. - 8 marzo 2018

Registro dei provvedimenti
n. 145 dell'8 marzo 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che il Nucleo Speciale Privacy della Guardia di Finanza, in esecuzione della richiesta di informazioni del Garante  n. 125/102969 del 7 gennaio 2016, formulata ai sensi dell’art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”), ha svolto gli accertamenti, ai sensi dell’art. 13 della legge 689/1981, presso “INFOMOBILITY S.P.A.” (di seguito “la Società”) - società nata nel dicembre 2001 con la finalità di svolgere servizi e consulenze per la pubblica amministrazione e, in particolare, attività legate al  settore della mobilità urbana e alla gestione di impianti relativi al traffico per il Comune di Parma, dal quale è, finanziariamente, interamente partecipata -  con sede legale in Parma, Viale Mentana n. 27, P.I. 02199590346, formalizzati nel verbale di operazioni compiute dei giorni 20 e 21 gennaio 2016 e diretti a verificare la liceità dei trattamenti di dati personali effettuati dalla Società;

VISTI gli atti dell’accertamento ispettivo; 

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi, è risultato che: 

- la Società offre il servizio di Car Sharing “Io guido” per il Comune di Parma; ciò nell’ambito dell’Iniziativa Car Sharing (I.C.S) di cui alla convenzione di Comuni in accordo di programma sottoscritto con il Ministero dell’Ambiente; 

- il cittadino può fruire di tale servizio di car sharing sottoscrivendo un abbonamento; ciò mediante iscrizione, effettuabile anche on line nella pagina web, a ciò dedicata, del sito www.infomobility.pr.it, attraverso la compilazione di un apposito modello “Scheda di iscrizione al servizio di Car Sharing di Parma”;

- per l’espletamento del servizio di car sharing la Società si avvale del partner tecnologico TRS – Tecnologie nelle Reti e nei Sistemi S.p.a. che, a tutto il circuito I.C.S., fornisce licenze software, hardware di centro e di bordo e relativi servizi;

- la Società, a differenza di quanto dichiarato nei punti 1 e 4 del Verbale di Operazioni compiute del 20 gennaio 2016 per cui “La Infomobility  non effettua trattamenti di dati per la rilevazione di posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica (…)” e, ancora, “La Società non effettua il servizio di geolocalizzazione (…)”, in chiusura della dichiarazione di cui allo stesso punto 4, ha anche rappresentato che “Il software fornito dalla TRS S.p.a. per la gestione delle flotte, denominato “Car Sharing Supervisory” permette di verificare, tramite la selezione del numero di serie dei localizzatori, se l’auto in determinati momenti è in uso o libera e l’effettiva posizione statica”. La parte, fornendo ai verbalizzanti del Nucleo Speciale Privacy della Guardia di Finanza “(…) una stampa relativa alla maschera di accesso al predetto gestionale e un report per una ricerca effettuata (…)” (in relazione ad un veicolo), ha, inoltre, precisato che “vengono fornite latitudine e longitudine (e) poi tramite il link in calce “localizza su mappa” viene visualizzata la posizione del veicolo tramite Google Map”;

- in ordine a tale funzione di localizzazione del veicolo “(…) su mappa (…)”, l’informativa rilasciata ai clienti, ai sensi dell’art. 13 del Codice, posta in calce al sopra citato modello di iscrizione per la fruizione del servizio di car sharing, non contiene riferimenti riguardanti la finalità e le modalità del trattamento dei dati per la rilevazione della posizione geografica di persone o oggetti mediante rete di comunicazione elettronica;

- la Società, ai sensi del combinato disposto degli artt. 4, primo comma, lett. f) e 28 del codice in materia di protezione dei dati personali, è titolare del trattamento in relazione ai dati personali dei clienti trattati nello svolgimento della citata attività;

- la Società, con riferimento al trattamento di dati personali che rilevano la posizione geografica di persone od oggetti mediante rete di comunicazione elettronica (geolocalizzazione), non risulta  aver adempiuto all’obbligo di cui al combinato disposto degli artt. 37, comma 1, lettera a) e 38 del Codice, avendo omesso di effettuare la prevista notificazione al Garante prima dell’inizio del trattamento;

- la Società, con riferimento ai trattamenti di dati personali raccolti tramite il modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma” non ha rilasciato idonea informativa relativa al sistema di geolocalizzazione, ai sensi di quanto disposto dall’art. 13 del Codice;

VISTO  il Verbale del Nucleo Speciale Privacy della Guardia di Finanza n. 5 del 10 febbraio 2016 con cui sono state contestate a “INFOMOBILITY S.P.A.” con sede legale in Parma, Viale Mentana n. 27, P.I. 02199590346, le seguenti violazioni amministrative:

omessa notificazione al Garante (art. 163 del Codice) per il mancato assolvimento dell’obbligo di cui al combinato disposto degli artt. 37, comma 1, lettera a) e 38 del Codice in relazione al trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; 

omessa o inidonea informativa di cui all’art. (art. 161 del Codice) per la mancata indicazione, nel testo dell’informativa da rilasciare ai clienti ai sensi dell’art. 13 del Codice posta in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma”, di riferimenti alla finalità e alle modalità riguardanti la funzionalità di geolocalizzazione dei veicoli da noleggiare;

RILEVATO che dal rapporto predisposto dalla I Sezione del Nucleo Speciale Privacy della Guardia di Finanza ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, non risultano essere stati effettuati i pagamenti in misura ridotta;

VISTO lo scritto difensivo datato 31 febbraio 2016, inviato ai sensi dell’art. 18 della legge n. 689/1981, con cui il legale di parte ha inteso evidenziare, in riferimento alla contestazione del mancato adempimento dell’obbligo di notificazione ai sensi degli artt. 37 e 38 del Codice per il trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica, la “mancata conoscenza e fruizione della funzionalità di tracciamento del veicolo” da parte della Società, nonché, in relazione alla contestazione attinente alla inidoneità dell’informativa rilasciata ai clienti in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma”, la conseguente conformità della stessa al dettato dell’art. 13 del Codice. 

Quanto alla prima contestazione, secondo il legale di parte deve essere “ (…) operata una necessaria distinzione tra attività di geolocalizzazione del veicolo disponibile per il noleggio (e quindi non in uso dall’utente) e attività di tracciamento del veicolo in uso dall’utente. Nello svolgimento dell’attività di car sharing, Infomobility non ha mai posto in essere un’attività di tracciamento dell’utente, non essendo neppure a conoscenza delle modalità tecniche e informatiche mediante le quali detta attività sarebbe stata astrattamente realizzabile con il programma in uso. Ciò risulta confermato sia dalle dichiarazioni rilasciate a verbale dalla Guardia di Finanza nel verbale del 21 gennaio 2016 sia dalla dichiarazione della responsabile della divisione di Infomobility deputata al servizio e allegata (..) ai presenti scritti”. E ancora “(…) la (…) funzionalità di geolocalizzazione non è mai stata sfruttata per finalità di tracciamento del veicolo (e a maggior ragione dell’utente) bensì unicamente al fine di verificare il corretto rilascio del mezzo stesso (…)”. Inoltre “ (…) la possibilità di realizzare un tracciamento costituiva una funzionalità soltanto indiretta, potenziale e di complessa ricostruzione” e “(…) lo stesso personale di Infomobility preposto all’utilizzo del sistema si è dichiarato inconsapevole delle possibilità di impiegare il software con finalità di tracciamento degli autoveicoli” tanto che “per tali motivi  (…) non ha ai effettuato attività di monitoraggio, tracciamento o geolocalizzazione degli utenti (…)”.

In ordine, poi, alla contestata inidoneità dell’informativa rilasciata ai clienti in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma”, il legale della Società ha asserito che “In realtà Infomobility non ometteva alcuna informativa ai propri utenti in quanto (…) nessuna attività di monitoraggio o di geolocalizzazione degli utenti veniva effettuata”. 

In ultimo, il legale di parte ha avuto premura di rappresentare sia la funzione sociale dell’attività svolta dalla Società per il Comune di Parma sia la criticità della situazione economica in cui versa quest’ultimo con conseguenti riflessi sulla  Società da esso interamente partecipata;

VISTO l’ulteriore scritto difensivo del 3 maggio 2016, presentato a integrazione del precedente, con cui la parte ha prodotto le risultanze della verifica effettuata dalla società TRS S.p.a. - fornitore del gestionale informatico del car sharing per tutti gli aderenti a ICS - volta ad accertare il numero degli accessi effettuati dai dipendenti della Società a tale piattaforma informatica per geolocalizzare i veicoli concessi a noleggio. Con tale accertamento, che ha riguardato l’arco temporale dei 365 giorni precedenti la richiesta di verifica alla ditta TRS S.p.a. e che ha evidenziato come gli accessi da parte dei dipendenti della Società, in quel periodo, hanno avuto riguardo alle vetture in sosta e libere da conducenti, la Società ha inteso rafforzare quanto dichiarato in ordine al non aver “ mai sfruttato funzionalità di geolocalizzazione per realizzare finalità di tracciamento del veicolo (e a maggior ragione dell’utente), bensì unicamente al fine di verificare il corretto rilascio del mezzo stesso ovvero il posizionamento del medesimo negli orari fuori noleggio”;

LETTO il verbale di audizione del 5 settembre 2016, svoltasi ai sensi dell’art. 18 della legge n. 689/1981, con cui la parte, ribadendo quanto già rappresentato e richiesto nelle memorie difensive, ha comunicato i fatti nuovi di aver provveduto, a seguito della ispezione, a:

- effettuare la notificazione al Garante ai sensi degli artt. 37, comma 1, lettera a) e 38 del Codice, in relazione alla prima contestazione di cui al Verbale del Nucleo Speciale Privacy della Guardia di Finanza n. 5 del 10 febbraio 2016;

- modificare il testo dell’informativa posta in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma”  oggetto della seconda contestazione di cui al citato Verbale n. 5/2016, integrandolo con riferimenti alla funzionalità di geolocalizzazione dei veicoli da noleggiare. 

La parte, nel corso dell’Audizione ha, altresì, prodotto il citato nuovo testo dell’informativa;

VERIFICATO, presso il Registro delle notificazioni, che la parte, in data 7 luglio 2016, ha effettuato la notificazione al Garante ai sensi degli artt. 37, comma 1, lettera a) del Codice in relazione al trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica (geolocalizzazione); 

VERIFICATO dal sito web www.infomobility.pr.it che la Società ha provveduto a modificare il testo dell’informativa - da rilasciare ai clienti ai sensi dell’art. 13 del Codice - posta in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma” con riferimenti alla funzionalità di geolocalizzazione dei veicoli da noleggiare;

TENUTO CONTO delle richieste della parte, in ordine ai due rilievi contestati, di archiviazione del procedimento sanzionatorio e delle due contestazioni elevate nel verbale n. 5/2016, nonché, in subordine, della comminazione della sanzione in misura pari ai due quinti ai sensi dell’art. 164-bis, comma 1, del Codice, o comunque nel minimo importo irrogabile avuto riguardo alla natura sociale dell’attività svolta e allo stato patrimoniale del Comune di Parma quale unico socio di INFOMOBILITY S.p.a.;

RITENUTO che le argomentazioni addotte dalla Società, rivolte a dimostrare l’infondatezza di quanto contestato sia in ordine alla ricorrenza di un’attività di geolocalizzazione degli utenti da parte della Società sia in ordine alla inidoneità della Informativa rilasciata ai clienti in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma” proprio con riguardo agli elementi informativi riguardanti tale attività, non risultano idonee a determinare l’archiviazione del procedimento sanzionatorio.

Infatti, relativamente alla prima contestazione, l’argomentazione fondata sulla “distinzione tra attività di geolocalizzazione del veicolo (…) non in uso dall’utente (...) e attività di tracciamento del veicolo in uso dall’utente” in considerazione del fatto - avvalorato dagli esiti della suddetta verifica effettuata dalla TRS - che la Società ha sempre sostenuto di aver posto in essere solamente la prima non esclude l’applicabilità degli artt. 37, comma 1, lett. a)  e 38 del Codice,  laddove la piattaforma informatica a disposizione della Società permette la visualizzazione del passeggero in qualsiasi momento (“vengono fornite latitudine e longitudine (e) poi tramite il link in calce “localizza su mappa” viene visualizzata la posizione del veicolo tramite Google Map” - punto 4 del Verbale di Operazioni compiute del 20 gennaio 2016). 

Come precisato, infatti, dal Garante nel provvedimento “Chiarimenti sui trattamenti da notificare al Garante” del 23 aprile 2004, in particolare nel punto 2, in www.gpdp.it [doc. web n. 993385] “La localizzazione va notificata quando permette di individuare in maniera continuativa - anche con eventuali intervalli - l'ubicazione sul territorio o in determinate aree geografiche, in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti”. 

Il fatto poi che “(…) la possibilità di realizzare un tracciamento costituiva una funzionalità soltanto indiretta, potenziale e di complessa ricostruzione”, parimenti non rileva sia in ragione di quanto poc’anzi sostenuto circa la sufficienza, per l’applicabilità degli artt. 37 e 38 del Codice sopra richiamati, della possibilità di localizzare il passeggero fruitore del mezzo anche solamente ad intervalli sia perché il tracciamento, benché  particolarmente macchinoso, è risultato comunque possibile.

In riferimento a quanto sopra, si ritiene sussistente il requisito della “continuità” ogniqualvolta il  titolare del trattamento sia in grado di conoscere, in qualsiasi momento, automaticamente o meno (anche, ad esempio, attraverso un meccanismo conoscitivo come una telefonata o l'invio di un sms) la posizione del conducente il veicolo geolocalizzato, prescindendo, quindi, dalla staticità o dinamicità del sistema di localizzazione e/o dalla possibilità o meno di una tracciatura costante in via automatica di tutto il percorso effettuato dal veicolo geolocalizzato.  In altri termini per “continuità”, rilevante in tali circostanze, deve intendersi la rilevabilità, a discrezione del titolare del trattamento, della posizione del mezzo - risalendo, anche indirettamente, alla identità del conducente - in qualsiasi momento, anche qualora la eventuale ricostruzione del “tracciato” del percorso effettuato risulti laboriosa.

Con riguardo, inoltre,  alla più volte dichiarata inconsapevolezza (cfr. anche la dichiarazione della responsabile della divisione della Società allegata allo scritto difensivo del 31gennaio 2016) del personale della Società - incaricato di accedere al sistema gestionale fornito dalla ditta TRS – Tecnologie nelle Reti e nei Sistemi S.p.a. - circa la “ (…) possibilità di impiegare il software con finalità di tracciamento degli autoveicoli” (cfr. scritto difensivo del 31 gennaio 2016), la Società, rivestendo la qualifica di titolare del trattamento, era tenuta a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragion del fatto che, in relazione alla sue qualità professionali, era tenuta a informarsi sulle norme applicabili e sulla relativa interpretazione, tra cui l’obbligo di procedere alla notificazione al Garante, ai sensi dell’art. 37, comma 1, lett. a), secondo le modalità indicate dall’art. 38 del Codice. 

Verificata la sussistenza degli elementi volti a configurare la ricorrenza di un’attività di geolocalizzazione sottoposta all’obbligo di notificazione al Garante, anche i fatti addotti con le argomentazioni difensive relative alla seconda contestazione di cui al Verbale n.5/2016, riguardante l’inidoneità della Informativa rilasciata ai clienti in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma” proprio con riguardo agli elementi informativi riguardanti tale attività, si configurano come irrilevanti;

RILEVATO, quindi, che “INFOMOBILITY S.P.A.” in qualità di titolare del trattamento ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, sulla base delle considerazioni sopra richiamate, risulta aver commesso:

- la violazione di cui all’art. 163 del Codice per il mancato assolvimento dell’obbligo di cui al combinato disposto degli artt. 37, comma 1, lettera a) e 38 del Codice in relazione al trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica;

- la violazione di cui all’art. 161 del Codice per la mancata indicazione, nel testo dell’Informativa rilasciata ai clienti, ai sensi dell’art. 13 del Codice stesso, in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma”, di riferimenti alla finalità e alle modalità riguardanti la funzionalità di geolocalizzazione dei veicoli da noleggiare;

VISTO l’art. 163 del Codice che punisce la violazione degli artt.  37, comma 1, lettera a) e 38, commi 1 e 2, del medesimo Codice con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

VISTO l’art. 161 del Codice che punisce la violazione della disposizione di cui all’art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila a trentaseimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, la violazione non risulta connotata da elementi specifici, avuto anche riguardo alle concrete modalità sia di utilizzo da parte della società del sistema di geolocalizzazione sia di fornitura dell’informativa;

b) ai fini della valutazione dell’opera svolta dall’agente, deve evidenziarsi che la Società:

- con riferimento alla violazione degli artt.  37, comma 1, lettera a) e 38, commi 1 e 2  del Codice, risulta aver presentato la notificazione al Garante in data 7 luglio 2016;

- con riferimento alla violazione dell’art. 13 del Codice,  la Società ha provveduto a modificare il testo dell’Informativa posta in calce al modello di iscrizione “Scheda di iscrizione al servizio di Car Sharing di Parma” con riferimenti alla funzionalità di geolocalizzazione dei veicoli da noleggiare;

c) circa la personalità dell’autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell’agente, sono stati presi in considerazione gli elementi del bilancio ordinario d’esercizio per l’anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all’art. 163 in relazione agli artt.   37, comma 1, lettera a) e 38, commi 1 e 2 e nella misura di euro 6.000,00 (seimila) per la violazione di cui all’art. 161 per un ammontare complessivo pari a euro 26.00,00 (ventiseimila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a “INFOMOBILITY S.P.A.” con sede legale in Parma, Viale Mentana n. 27, P.I. 02199590346, di pagare la somma di euro 26.000,00 (ventiseimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 26.000,00 (ventiseimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689. 

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 8 marzo 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia