[doc. web n. 9049924]

Ordinanza ingiunzione nei confronti di SECCHI Elettroservice S.r.l. - 6 giugno 2018

Registro dei provvedimenti
n. 380 del 6 giugno 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che il Nucleo privacy della Guardia di Finanza, in esecuzione della richiesta di informazioni n. 31540/114083 del 3 ottobre 2017, formulata ai sensi dell’art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”), ha svolto accertamenti presso SECCHI Elettroservice S.r.l. (d’ora in avanti la “Società”) C.F. e Partita I.V.A. 00657210142 con sede legale e operativa in Valdisotto (SO) in Via al Forte n. 4, esercente l'attività economica di commercio al dettaglio di elettrodomestici, formalizzati nel verbale di operazioni compiute nelle giornate del 7 e dell’8 novembre 2017, al fine di verificare la liceità del trattamento di dati personali effettuato dalla società per mezzo di un sistema di geolocalizzazione volto a rilevare la posizione geografica dei propri veicoli mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è adempiuto l’obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi e della documentazione inviata dalla società a scioglimento delle riserve formulate nel corso dell’accertamento ispettivo, è risultato che:

- la Società è operativa dal gennaio 1972 e si occupa di vendita ed assistenza di elettrodomestici nei comuni dell'alta Valtellina; 

- la Società risulta proprietaria di quattro furgoni utilizzati dai dipendenti per lo svolgimento del servizio di assistenza e/o riparazione di elettrodomestici presso i clienti; 

- su uno di tali mezzi, targato DM 035 AM, la Società ha installato, nell’ottobre dell’anno 2013, un sistema di "geolocalizzazione" denominato "REMOTE ANGEL", fornito dalla società "MAC&NIL S.r.l." con sede in Gravina di Puglia (BA), per cui, a seguito della autorizzazione prot. n. 12113 del 18 dicembre 2013 rilasciata, ai sensi dell’art. 4 della legge n. 300 del 1970, dalla Direzione Territoriale del lavoro di Sondrio, ha effettuato un trattamento di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica in quanto, attraverso il servizio fornito da "Telecom Italia SpA", per il tramite del sito internet www.localizzaweb.com, ha potuto, in qualsiasi momento, procedere alla "geolocalizzazione" del sopra indicato automezzo aziendale;

- il sistema consente la visualizzazione del veicolo geolocalizzato su mappa, indicando i dati di latitudine e longitudine al momento dell'interrogazione e, come sostenuto dalla Società, di “conoscere la posizione esatta del veicolo, verificare i chilometri percorsi,  verificare il consumo di carburante” (cfr. verbale di operazioni compiute del 7 novembre 2017, punto n. 2, pag. 3); 

- come sostenuto dalla parte, “la finalità del trattamento di geolocalizzazione effettuato è quello di meglio gestire gli appuntamenti in occasione di interventi presso le abitazioni dei (…) clienti. In particolare, a seguito di richieste telefoniche da parte di quest'ultimi, la Società è in grado di verificare la posizione del veicolo in quel momento e, tramite telefonata al tecnico che nell'occasione è a bordo del furgone in questione, gestire in maniera più rapida e funzionale gli interventi da eseguire” (cfr. verbale di operazioni compiute del 7 novembre 2017, punto n. 2, pag. 4);

- la Società, ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, è titolare del trattamento dei dati personali effettuato nell’esecuzione della sopra citata attività;

- la Società, a fronte del trattamento di dati personali posto in essere mediante il sistema di geolocalizzazione, ha omesso, in qualità di titolare del trattamento, di effettuare la notificazione al Garante, ai sensi degli artt. 37, comma 1, lett. a) e 38, commi 1 e 2, del Codice, prima dell’inizio del trattamento;

VISTO il verbale n. 91 dell’8 novembre 2017 con cui il Nucleo Speciale Privacy della Guardia di Finanza ha contestato alla Società, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall’art. 163 del Codice, per aver effettuato il trattamento di dati personali di cui all’art. 37, comma 1, lett. a), del Codice (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di effettuare la notificazione al Garante secondo le modalità indicate dall’art. 38, comma 1 e 2, del medesimo Codice;

RILEVATO che dal Rapporto amministrativo predisposto dal predetto Nucleo ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689 non risulta essere stato effettuato il pagamento in misura ridotta; 

VISTA la memoria difensiva datata 6 dicembre 2017 in cui il legale di parte, dopo aver descritto il funzionamento del Sistema "Remote Angel", ha inteso dimostrare l’insussistenza della violazione contestata ritenendo che “(…) attraverso il sistema non viene effettuato alcun trattamento di dati personali e quindi non sussiste alcun obbligo di notifica”. Secondo il legale di parte, infatti, “il sistema (…) non effettua alcun trattamento di dati personali, né presso la Secchi Elettroservice è presente alcun archivio (cartaceo o informatico) con i riferimenti alle persone che, giornalmente, hanno utilizzato il veicolo in questione. Infatti, il mezzo era utilizzato da tutti i dipendenti e l'assegnazione giornaliera dello stesso avveniva su indicazioni verbali della titolare, senza che fosse registrato su alcun tipo di supporto il nominativo del dipendente che lo aveva in dotazione. Le informazioni raccolte attraverso il sopracitato sistema, pertanto, si riferiscono unicamente all'automezzo targato DM 035 AM e non è possibile, in alcun caso, identificare il dipendente che lo aveva in dotazione in uno specifico momento”.

La Società, a sostegno di quanto sopra, ha sostenuto che ciò è “espressamente riportato anche dai funzionari verbalizzanti a pagina 5 del verbale del 7.11.2017 (…) (per cui) “nel sistema non sono invece presenti informazioni riguardanti dati personali dei dipendenti della Secchi Elettroservice S.r.l.. In particolare il campo "Utilizzatore", a seguito delle varie simulazioni effettuate, è rimasto sempre vuoto”. 
Inoltre, la Società, al fine di evidenziare le proprie diligenza e buona fede, ha fatto presente che prima dell’istallazione del sistema di geolocalizzazione,  ha  puntualmente adempiuto tutti gli adempimenti di legge previsti e, in particolare, ha richiesto l’autorizzazione all’uso dell’apparecchio “Remote Angel”, ai sensi dell’art. 4 della legge n. 300 del 1970, alla DTL di Sondrio, attenendosi, altresì, a tutte le prescrizioni da questa impartite. In proposito, ha anche rappresentato che “ (…) in nessuna delle prescrizioni della Direzione Territoriale del Lavoro è indicato l'obbligo di effettuare la notificazione al Garante.

Tale obbligo, peraltro, non poteva essere sussistente nel caso di specie in quanto, come detto sopra, non viene effettuato alcun trattamento di dati personali”.

Il legale della Società ha, in ultimo, richiesto, per l’ipotesi in cui non abbiano accoglimento le ragioni sostenute, l’applicazione, in subordine, “ (…) della previsione di cui all’art. 164 bis D.Lgs. 196/03 (riduzione della sanzione per i casi di minore gravità) (…) tenuto conto che la (…) (Società) ha comunque effettuato la comunicazione alla Direzione Territoriale del Lavoro, ha dato l'informativa ai dipendenti ed ha applicato sul mezzo le indicazioni prescritte”. Inoltre “(...) la Secchi Elettroservice S.r.l., pur essendo una società a responsabilità limitata, è un'azienda familiare di modeste dimensioni (…)” tenuto conto del fatturato e dell’esiguo numero di dipendenti. 

LETTO il verbale di audizione del 20 marzo 2018, svoltasi ai sensi dell’art. 18 della legge n. 689/1981, con cui la parte, ribadendo quanto già dichiarato e richiesto nella memoria difensiva, ha comunicato, come fatto nuovo, che la Società “(…) si è prontamente attivata per la disinstallazione del sistema di geolocalizzazione, ad ulteriore riprova dell’assoluta buona fede nella propria condotta (…)” producendo, altresì, documentazione a sostegno di tale affermazione; 

RITENUTO che le argomentazioni addotte non risultano idonee a determinare  l’annullamento del verbale di contestazione e l’archiviazione del procedimento sanzionatorio. 

Infatti, quanto all’argomento per cui “il sistema (…) non effettua alcun trattamento di dati personali, né presso la Secchi Elettroservice è presente alcun archivio (cartaceo o informatico) con i riferimenti alle persone che, giornalmente, hanno utilizzato il veicolo in questione” come anche “espressamente riportato anche dai funzionari verbalizzanti a pagina 5 del verbale del 7.11.2017 (…)” si fa presente che è irrilevante l’assenza, nel sistema, dei nominativi dei dipendenti di volta in volta alla guida del veicolo geolocalizzabile, in quanto ciò che rileva è la possibilità di risalire comunque a tali nominativi, in considerazione di quanto dispone l’art. 4, comma 1, lett. b), del Codice per cui per dato personale deve intendersi “ (…) qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione (…)”. Nel corso degli accertamenti, la Società stessa, a mezzo di una socia intervenuta per rispondere alle richieste di informazioni avanzate dai militari della Guardia di Finanza, ha dichiarato che “ (…) quotidianamente, gestisco l'assegnazione dei veicoli in base agli interventi da effettuare, quindi sono sempre al corrente chi è il dipendente/tecnico di riferimento che in quel determinato giorno si trova alla guida del veicolo geolocalizzato (…)”. 

Peraltro, sebbene la Società non utilizzi il sistema di geolocalizzazione per il controllo dei dipendenti, tuttavia, potendo risalire, in tal modo, all’identità del conducente, potrebbe conoscere in un qualsiasi momento l’ubicazione dello stesso. Per tali motivi, non a caso, la Società ha provveduto agli adempimenti richiesti dall’art. 4 della legge n. 300 del 1970, trattandosi di strumenti dai quali, anche indirettamente, deriva la possibilità di controllo a distanza dei lavoratori.

Quanto alla prospettata buona fede, si rappresenta che, tenuto conto che l’art. 3, comma 2, della legge n. 689/1981, nel sancire che “nel caso in cui la violazione è commessa per errore sul fatto, l’agente non è responsabile quando l’errore non è determinato da sua colpa”, pone una presunzione di colpa in ordine al fatto vietato a carico di colui che lo abbia commesso, riservando poi a quest’ultimo l’onere di provare di aver agito incolpevolmente. L'errore incolpevole sul fatto che verta sui presupposti della violazione può rilevare soltanto in presenza di un elemento positivo, estraneo all'autore dell'infrazione, idoneo ad ingenerare nello stesso “inesperto autore” l’incolpevole opinione di liceità del proprio agire e soltanto se lo stesso agente abbia fatto tutto il possibile per osservare la legge e nessun rimprovero possa essergli mosso, così che l'errore sia incolpevole, non suscettibile cioè di essere impedito dall'interessato con l'ordinaria diligenza (ex multis, Cass. civ. 11 maggio 2017, n. 11584, Cass. civ. 18 ottobre 2016, n. 21052, Cass. civ. 2 ottobre 2015, n. 19759).  Tale elemento positivo non si rintraccia nella mancata indicazione della sussistenza dell’obbligo di notificazione da parte della Direzione Territoriale del Lavoro di Sondrio, in quanto la Società, in considerazione dell’attività professionale svolta, era tenuta a conoscere le disposizioni normative in materia. 

RILEVATO, quindi, che la Società sulla base delle considerazioni sopra esposte, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38, commi 1 e 2,  del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver presentato la notificazione al Garante;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTO l’art. 163 del Codice che punisce la violazione degli artt.  37, comma 1, lettera a) e 38 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro; 

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, la violazione non risulta connotata da elementi specifici, avuto anche riguardo alle concrete modalità di utilizzo da parte della società del sistema di geolocalizzazione; 

b) con riferimento all’opera svolta dall’agente per la eliminazione o attenuazione delle conseguenze della violazione, il contravventore ha successivamente rimosso il sistema di geolocalizzazione;

c) circa la personalità dell’autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell’agente, sono stati presi in considerazione gli elementi del bilancio ordinario d’esercizio per l’anno 2016;

RITENUTO che ricorrono le condizioni per applicare l'art. 164-bis, comma 1, del Codice secondo cui “se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti”;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all’art. 163 in relazione agli artt.   37, comma 1, lettera d) e 38, commi 1 e 2, del Codice ridotta dei due quinti, secondo quanto previsto dall’art. 164-bis, comma 1, del medesimo Codice per la ricorrenza del requisito della minore gravità, per un importo pari a euro 8.000,00 (ottomila); 

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a SECCHI Elettroservice S.r.l. (d’ora in avanti la “Società”) C.F. e Partita I.V.A. 00657210142 con sede legale e operativa in Valdisotto (SO) in Via al Forte n. 4 di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 8.000,00 (ottomila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689. 

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 6 giugno 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia