g-docweb-display Portlet

Ordinanza ingiunzione - 24 novembre 2022 [9842715]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9842715]

Ordinanza ingiunzione - 24 novembre 2022

Registro dei provvedimenti
n. 392 del 24 novembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTA la segnalazione presentata in data 1° luglio 2020 dall’Ispettorato territoriale del lavoro di Torino nei confronti di Dello Russo Giulio ditta individuale;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. La segnalazione nei confronti della Ditta e l’esito degli accertamenti ispettivi.

Con segnalazione del 1° luglio 2020 l’Ispettorato territoriale del lavoro di Torino ha rappresentato all’Autorità che, nel corso di una verifica ispettiva effettuata in data 22 gennaio 2020 presso i locali ove si svolge l’attività della impresa individuale Dello Russo Giulio (di seguito, la Impresa), è stato rinvenuto un “impianto-bollatrice con rilevazione biometrica delle impronte digitali […] utilizzato per registrare le presenze del personale”.

L’Autorità, con nota del 10 agosto 2020, inviata tramite Pec, ha invitato il titolare del trattamento a fornire riscontro in ordine ai fatti oggetto di segnalazione e, in data 5 gennaio 2021 ha inviato nuovamente la nota, ai sensi dell’art. 157 del Codice, stante l’assenza di riscontro da parte dell’Impresa.

Il 29 aprile 2021, non essendo pervenuta alcuna riposta, l’Autorità ha nuovamente invitato il titolare del trattamento a fornire riscontro entro 30 giorni successivi al ricevimento della stessa.

Poiché anche in questo caso non è pervenuto alcun riscontro, l’Autorità ha delegato il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza ad effettuare la notifica dell’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice, in relazione alla prospettata violazione del medesimo art. 166, comma 2 (laddove stabilisce che la violazione dell’art. 157 del Codice è soggetta all’applicazione della sanzione amministrativa di cui all’art. 83, par. 5, del Regolamento). Il Nucleo è stato altresì delegato ad acquisire le informazioni già richieste in relazione ai fatti oggetto di segnalazione.

In data 23 e 24 novembre 2021 sono stati effettuati gli accertamenti ispettivi presso la sede legale ed operativa dell’Impresa, nel corso dei quali, oltre alla notifica dell’atto di avvio del procedimento sanzionatorio per la violazione dell’art. 166, comma 2 del Codice, sono state acquisite a verbale le seguenti dichiarazioni:

a. la Pec riferita alla impresa individuale viene gestita dal titolare e da suo figlio; “in relazione alle comunicazioni inviate dal Garante [si precisa che] quella del 10.08.2020 non è stata aperta e quindi non letta, mentre le altre due del 5.01.2021 e 29.4.2021 sono probabilmente state lette da mio figlio che mi ha riferito […] poi non ho dato esito per dimenticanza e per problemi di salute che mi hanno allontanato dal luogo di lavoro” (v. verbale 23/11/2021, p. 3);

b.    tramite accesso alla Pec è stata fornita copia degli “screen shot dove si evincono le tre Pec inviate […] dal Garante per la protezione dei dati personali e […] ad oggi non sono presenti altre comunicazioni inviate […] dalla predetta Autorità” (v. verbale cit., p. 3).

Con nota inviata il 24 dicembre 2021, contenente la memoria difensiva, l’Impresa ha altresì dichiarato che l’omesso riscontro alle richieste di informazioni dell’Autorità “non è stat[o] dettat[o] dalla mancata volontà di cooperare con l’Autorità stessa (come attestano i processi verbali della Guardia di Finanza e la presente nota difensiva), ma da una involontaria dimenticanza causata dallo stato di salute del titolare e dalla sua scarsa presenza in azienda, che non gli ha consentito di esercitare al meglio il proprio potere direttivo e di controllo”.

2. L’esito dell’istruttoria.

Con riferimento ai fatti oggetto di segnalazione, non sono stati rinvenuti nel corso dell’istruttoria elementi comprovanti l’asserita violazione.

Risulta tuttavia accertato che l’Impresa ha omesso di fornire riscontro alle richieste di informazioni rivolte dall’Autorità, in particolare all’invito del 10 agosto 2020, alla richiesta formulata ai sensi dell’art. 157 del Codice inviata il 5 gennaio 2021 (contenente l’espresso avviso che “in caso di inottemperanza alla presente richiesta, dovrà essere applicata la sanzione amministrativa pecuniaria prevista dall’art. 166, comma 2 del Codice”) e al successivo sollecito del 29 aprile 2021, nonostante tutte e tre le comunicazioni degli uffici del Garante fossero state regolarmente notificate e, in base a quanto dichiarato dalla stessa Impresa, due di queste sono siano state anche visionate (anche se il titolare del trattamento non ha provveduto a fornire riscontro “per dimenticanza e per problemi di salute”).

In base al richiamato articolo 157 del Codice “Nell'ambito dei poteri di cui all'articolo 58 del Regolamento, e per l'espletamento dei propri compiti, il Garante può richiedere al titolare, […] di fornire informazioni e di esibire documenti”. L’art. 166, comma 2, del Codice stabilisce che la violazione dell’art. 157 del Codice è soggetta alla sanzione amministrativa di cui all’art.83, par. 5, del Regolamento.

L’omesso riscontro da parte dell’Impresa alla richiesta di informazioni del Garante è pertanto avvenuto in violazione dell’art. 157 del Codice in relazione a quanto previsto dall’art. 166, comma 2, del Codice, con conseguente applicazione della sanzione amministrativa di cui all’art.83, par. 5, del Regolamento.

3. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

L’Autorità ritiene che le dichiarazioni e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il mancato riscontro alla richiesta di informazioni, rivolta più volte alla Ditta, integra infatti una condotta illecita per violazione dell’art. 157 (richiesta di informazioni e di esibizione di documenti) in relazione all’art. 166, comma 2, del Codice. La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura, della gravità e della durata della violazione stessa, del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (cons. 148 del Regolamento).

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento si dispone l’applicazione una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento risulta che l’impresa individuale Dello Russo Giulio ha violato l’art. 157 in relazione all’art. 166, comma 2, del Codice.

Per la violazione della predetta disposizione è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a) con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare è stata presa in considerazione la condotta dell’Impresa e il grado di responsabilità della stessa che, pur avendo ricevuto tre richieste di fornire informazioni relative ad una segnalazione ricevuta dall’Autorità, regolarmente ricevute sul proprio account di posta elettronica certificata, e pur avendone appreso in relazione a due di esse il contenuto, chiaramente indicato sin dall’oggetto delle comunicazioni inviate, non ha ritenuto di fornire alcun riscontro all’Autorità;

b) con riferimento al grado di cooperazione con l’Autorità di controllo è stato considerato, a sfavore dell’Impresa, l’omesso riscontro a tre distinte richieste di informazioni, condotta che ha aggravato il procedimento e ostacolato l’espletamento dei compiti dell’Autorità, rendendo necessario delegare l’effettuazione di un’ispezione in loco al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza;

c) a favore dell’Impresa si è tenuto conto dell’assenza di precedenti specifici.

Si ritiene inoltre che assumano rilevanza nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), la circostanza che il titolare del trattamento è un’impresa individuale. Da ultimo si tiene conto dell’entità delle sanzioni irrogate in casi analoghi.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti dell’impresa individuale Dello Russo Giulio, la sanzione amministrativa del pagamento di una somma pari ad euro 1.000 (mille). In tale quadro si ritiene, altresì, in considerazione della tipologia delle violazioni accertate che hanno riguardato l’obbligo di riscontrare le richieste di informazioni e di esibizione di documenti da parte del Garante, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito Internet del Garante. Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato dell’impresa individuale Dello Russo Giulio, in persona del titolare dell’impresa, con sede legale in Via dei Prati, 25, Pianezza (TO), C.F. XX, ai sensi dell’art. 143 del Codice, per la violazione degli artt. l’art. 157 del Codice;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a Dello Russo Giulio di pagare la somma di euro 1.000 (mille) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi alla medesima Impresa di pagare la predetta somma di euro 1.000 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/20129, e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 24 novembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei