[doc. web n. 2470942]

Ordinanza di ingiunzione nei confronti di American Express Services Europe Limited - 21 febbraio 2013

Registro dei provvedimenti
n. 79 del 21 febbraio 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che l´Ufficio del Garante per la protezione dei dati personali, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali (di seguito denominato Codice) nr. 24555/71200 dell´8 novembre 2010, ha svolto un´attività di controllo nei confronti di American Express, con sede in Roma, Largo Caduti di El Alamein n. 9 P.Iva: 05090991000, in persona del legale rappresentante pro-tempore, formalizzata nei verbali di operazioni compiute redatti in data 9 e 10 novembre 2010 e in data 1 e 2 dicembre 2010 e integrata con la successiva nota di trasmissione del 12 gennaio 2011, a fronte della quale è stato accertato che American Express, non ha provveduto ad aggiornare il documento programmatico sulla sicurezza (DPS) previsto dalla regola 19 del Disciplinare tecnico in materia di misure minime di sicurezza dal 31 marzo 2007 all´8 novembre 2010 (data in cui risulta adottato l´ultimo DPS);

VISTO il verbale nr. 2735/71200 datato 11 febbraio 2011 (che qui si intende integralmente richiamato) con il quale è stata contestata alla predetta società  la violazione amministrativa prevista dall´art. 162, comma 2-bis in relazione all´art. 33 del Codice, non definibile in via breve ai sensi dell´art. 16 della legge n. 689/1981;

CONSIDERATO che la società, relativamente all´illecito amministrativo contestato, non si è avvalsa della facoltà previste dall´art. 18 della legge n. 689/1981(non avendo inviato all´Autorità scritti difensivi e documenti e non avendo chiesto di essere sentito);

CONSIDERATO che le due prescrizioni impartite, con i provvedimenti entrambe datati 10 febbraio 2011, dall´Ufficio del Garante sono state prontamente adempiute e si è altresì provveduto, nei termini previsti, al pagamento del quarto del massimo della sanzione prevista per la violazione amministrativa, in applicazione di quanto disposto dall´art. 169, comma 2, del Codice;

RILEVATO, che l´Azienda ha effettuato un trattamento di dati personali senza adottare le misure minime di sicurezza di cui all´art. 33;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge  (Cass. civ., sez. I, 4 novembre 1998, n. 11054);

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, gli elementi delle modalità concrete della condotta, dell´intensità dell´elemento psicologico e dell´entità del pregiudizio o del pericolo arrecato, devono essere valutati in relazione al fatto che la società non ha ottemperato all´obbligo di aggiornare il DPS per quattro annualità (2007, 2008, 2009 e 2010), provvedendovi solo successivamente all´avvio dell´attività di controllo dell´Autorità;

b) ai fini della valutazione dell´opera svolta dall´agente, si evidenzia come la società abbia provveduto alla redazione di un DPS aggiornato in data 8 novembre 2010;

c) circa la personalità dell´autore della violazione, si deve evidenziare che la società, a fronte di distinte violazioni alle disposizioni del Codice, è già stata destinataria dell´Ordinanza ingiunzione n. 270 del 4 ottobre 2012;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, deve rilevarsi che la società ha conseguito un consistente utile di esercizio per l´anno 2011;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 20.000,00 (ventimila);

VISTO l´art. 164-bis, comma 4, del Codice che prevede che le sanzioni amministrative di cui al Titolo III, Capo I, del Codice possono essere aumentate fino al quadruplo quando possono risultare inefficaci in ragione delle condizioni economiche del contravventore;

RILEVATO che l´applicazione della sanzione così determinata nei confronti di American Express Services Europe Limited risulterebbe inefficace, in ragione delle condizioni economiche rilevabili dal bilancio dell´anno 2011;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l´aumento previsto dall´art. 164-bis, comma 4, del Codice nella misura, ritenuta congrua, pari a euro 60.000,00 (sessantamila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a American Express Services Europe Limited, con sede in Roma, Largo Caduti di El Alamein n. 9, in persona del legale appresentante pro-tempore, di pagare la somma complessiva di euro 60.000,00 (sessantamila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis, del Codice, come indicato in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 60.000,00 (sessantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 21 febbraio 2013

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia