Garante per la protezione
    dei dati personali


Ordinanza diingiunzione nei confronti della Soprintendenza per i beni architettonici,paesaggistici, storici, artistici e etnoantropologici per Napoli e provincia

PROVVEDIMENTO DEL 1DICEMBRE 2011

Registro dei provvedimenti
n. 459 del 1°dicembre 2011

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele DePaoli, segretario generale;

ESAMINATO il rapporto amministrativo predisposto dal Nucleo privacydella Guardia di finanza ai sensi dell'art. 17 della legge 24 novembre 1981, n.689, relativo al verbale di contestazione per violazione amministrativa redattoin data 18 novembre 2009 nei confronti della Soprintendenza per i beniarchitettonici, paesaggistici, storici, artistici e etnoantropologici perNapoli e provincia (di seguito denominata "Soprintendenza"), con sedein Napoli, Piazza Plebiscito n. 1, in persona del legale rappresentante protempore, per la violazione degli articoli 13, 17 e 37 del Codice in materia diprotezione dei dati personali (di seguito denominato "Codice");

CONSIDERATO che, a seguito della nota dell'Unità strumenti elettronicidi rilevamento del 18 maggio 2009, prot. n. 11024/40568, con cui si rilevava lanecessità di effettuare accertamenti presso la sede della Soprintendenza,l'Autorità formulava una richiesta di informazioni ai sensi dell'art. 157 delCodice (n. 22428/40568 del 14 ottobre 2009) da delegare al Nucleo privacy dellaGuardia di finanza;

VISTO il verbale di operazioni compiute, redatto dal suddetto Nucleoin data 17 novembre 2009, da cui risulta che presso la sede dellaSoprintendenza è installato, sin da ottobre 2004, un sistema di rilevamento didati biometrici, a fronte del quale non è stata fornita idonea informativa agliinteressati, ai sensi dell'art. 13 del Codice, e non sono stati effettuati gliadempimenti relativi alla verifica preliminare, ai sensi dell'art. 17 delCodice, e alla notificazione di cui all'art. 37, comma 1, lett. a) del medesimoCodice;

VISTO il verbale n. 69/2009 del 18 novembre 2009 con cui sono statecontestate al predetto ente le violazioni amministrative previste dagli artt.161, 162, comma 2-bis e 163 del Codice, in relazione agli artt. 13, 17 e 37,informandolo della facoltà di effettuare il pagamento in misura ridotta aisensi dell'art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuatoil pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell'art. 18 della leggen. 689/1981 nel quale la Soprintendenza ha dichiarato di avere più voltecomunicato al Garante, sin dal 22 marzo 2005, le caratteristiche tecniche e lefinalità del sistema di rilevamento dei dati biometrici installato presso lapropria sede, allo scopo di ottenere una pronuncia da parte dell'Autorità sullaconformità del sistema suddetto alla normativa in materia di privacy. Aseguito, poi, dell'adozione del provvedimento recante "Linee guida in materia di trattamento di dati personali di lavoratori per finalità digestione del rapporto di lavoro in ambito pubblico" avvenuta il 14 giugno2007, la parte, con la nota del 12 settembre 2007, "evidenziava la pienacompatibilità della installazione del sistema de quo anche con le previsionidel suddetto provvedimento del Garante", in particolare nella previsionedi cui al punto 7.2. Nel merito delle contestazioni, la parte ha rilevato che:

- l'informativa era stata resa ai dipendenti con comunicazione diservizio n. 6 dell'11 maggio 2004, dunque, prima che il sistema venisseinstallato, come risulta anche dal verbale di operazioni compiute;

- con riferimento alla violazione di cui all'art. 17 del Codice, postoche "la programmazione del sistema risale all'anno 2002, vale a direben cinque anni prima della pubblicazione delle prescrizioni di cui a [tale]provvedimento", ne consegue la "inimputabilità di eventuali (inesistenti)violazioni delle stesse al titolare del trattamento, in forza dell'art. 1 dellalegge 689/1981 (principio di legalità), che impedisce l'irrogazione di sanzioniin forza di una normativa intervenuta successivamente alla commissione dellaviolazione";

- quanto alla violazione per omessa notificazione, questa nonsussisterebbe date le numerose note e comunicazioni inviate all'Autoritàriportanti le caratteristiche dell'impianto;

- infine, "atteso il tenore delle contestate infrazioni, tutteconsistenti in assunte violazioni a carattere istantaneo (Š), in relazione adun sistema di rilevazione, programmato nel 2002 e posto in esercizio il18.10.2004, (Š) deve ritenersi inutilmente spirato il termine quinquennale diprescrizione";

LETTO il verbale di audizione delle parti, redatto in data 16 dicembre2010 ai sensi dell'art. 18 della legge n. 689/1981, con cui la Soprintendenza,oltre a ribadire quanto affermato negli scritti difensivi, ha rilevato di averricevuto la nota dell'Unità strumenti elettronici di rilevamento, con cui sonoindicate le modalità per ottenere l'autorizzazione all'utilizzo del sistema dirilevamento biometrico, solo in data 19 febbraio 2010, laddove talecomunicazione era auspicabile venisse fornita in tempi precedenti;

RITENUTO che le argomentazioni addotte risultano solo parzialmenteidonee ad escludere la responsabilità dell'ente in ordine a quanto contestato.Con riguardo alla contestazione di cui all'art. 161, si evidenzia chel'informativa agli interessati di cui all'art. 13 del Codice, resa per mezzodella comunicazione di servizio n. 6 dell'11 maggio 2004, risulta inidoneapoiché priva di tutti gli elementi previsti dalla norma. Con riguardo, invece,alla violazione dell'art. 37 del Codice, si fa presente che le note inviateall'Autorità non configurano in alcun modo l'adempimento della notificazioneche, invece, deve essere effettuato nelle forme stabilite dall'art. 38 delCodice; si fa altresì presente che la parte avrebbe dovuto adempiere per ilsolo fatto di trattare dati biometrici, come stabilisce l'art. 37, comma 1,lett. a), del Codice. Si evidenzia, inoltre, che l'omessa notificazione deltrattamento sostanzia un illecito omissivo di natura permanente, per il qualeil momento della consumazione coincide con la cessazione della condotta(effettuazione della notificazione) ovvero con il momento in cui la violazioneviene accertata. Tale condotta omissiva, peraltro, non risulta essere cessata,diversamente da quanto ritenuto, poiché, ad oggi non è stata ancora effettuatanessuna notificazione secondo le modalità previste dall'art. 38 del Codice.Pertanto, anche le osservazioni relative alla prescrizione della suddettaviolazione appaiono inconferenti;

RITENUTO, invece, che poiché il provvedimento del Garante del 14giugno 2007, recante "Linee guida  in materia di trattamento didati personali di lavoratori per finalità di gestione del rapporto di lavoro inambito pubblico", non è stato adottato né ai sensi dell'art. 17, comma2, né ai sensi dell'art. 154, comma 1, lett. c), il mancato adempimento delleindicazioni ivi contenute sulla verifica preliminare non integra la violazioneamministrativa prevista dall'art. 162, comma 2- bis;

RILEVATO, quindi, che l'ente ha effettuato un trattamento di datibiometrici, senza rendere un'informativa idonea ai sensi dell'art. 13 delCodice e senza effettuare la notificazione di cui all'art. 37, comma 1, lett.a);

VISTO l'art. 161 del Codice, che punisce la violazione dell'art. 13con la sanzione amministrativa del pagamento di una somma da seimila atrentaseimila euro;

VISTO l'art. 163 del Codice che punisce la violazione delledisposizioni di cui agli art. 37 e 38 con la sanzione amministrativa delpagamento di una somma da ventimila euro a centoventimila euro;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni eintegrazioni;

CONSIDERATO che, ai fini della determinazione dell'ammontare dellasanzione pecuniaria, occorre tenere conto, ai sensi dell'art. 11 della legge 24novembre 1981 n. 689, dell'opera svolta dall'agente per eliminare o attenuarele conseguenze della violazione, della gravità della violazione, dellapersonalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l'infrazione non abbia caratterizzazionispecifiche che possano portare a valutazioni di maggiore o minor rigore, nelladeterminazione della sanzione può ritenersi corretta l'individuazione di unimporto pari al terzo del massimo o, se più favorevole, al doppio del minimo,in linea con quanto previsto dall'art. 16 della L. n. 689/1981, ferma restandola valutazione degli ulteriori elementi previsti dall'art. 11 della medesimalegge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all'aspetto della gravità, le violazioni oggetto delprocedimento sanzionatorio assumono una particolare connotazione se valutate inrelazione agli elementi dell'entità del pregiudizio o del pericolo, dellemodalità concrete della condotta e dell'intensità dell'elemento psicologicodovuta al fatto che il trattamento dei dati biometrici è stato effettuato inassenza degli adempimenti richiesti dalla normativa;

b) ai fini della valutazione dell'opera svolta dall'agente, deveessere valutata negativamente la circostanza che l'ente non ha effettuato nessunodegli adempimenti richiesti dalla normativa;

c) circa la personalità dell'autore della violazione, deve esserepositivamente considerata la circostanza che l'ente non risulti avereprecedenti specifici in termini di violazioni alle disposizioni del Codice;

d) trattandosi di ente pubblico, le condizioni economichedell'agente, al fine di commisurare l'importo della sanzione alla reale capacitàeconomica del trasgressore nel rispetto del principio di uguaglianza, nonsostanziano elementi specifici idonei ad incidere sulla quantificazione dellasanzione;

RITENUTO di dover determinare, ai sensi dell'art. 11 della L. n.689/1981, l'ammontare della sanzione pecuniaria nella misura di euro 12.000,00(dodicimila) per la violazione di cui all'art. 161, nella misura di euro20.000,00 (ventimila) per la violazione dell'art. 163;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000, adottato condeliberazione del 28 giugno 2000;

RELATORE il dott. Mauro Paissan;

DISPONE

l'archiviazione del procedimento amministrativo sanzionatorio conriferimento alla violazione amministrativa prevista dall'art. 162, comma 2-bis,del Codice;

ORDINA

alla Soprintendenza per i beni architettonici, paesaggistici, storici,artistici e etnoantropologici per Napoli e provincia, con sede in Napoli,Piazza Plebiscito n. 1, in persona del legale rappresentante pro tempore, dipagare la somma di euro 32.000,00 (trentaduemila) a titolo di sanzioneamministrativa pecuniaria per le violazioni previste dagli artt. 161 e 163 delCodice,

INGIUNGE

alla medesima amministrazione di pagare la somma di euro 32.000,00(trentaduemila) secondo le modalità indicate in allegato, entro 30 giorni dallanotificazione del presente provvedimento, pena l'adozione dei conseguenti attiesecutivi a norma dall'art. 27 della legge 24 novembre 1981, n. 689,prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, siainviata a questa Autorità, in originale o in copia autentica, quietanzadell'avvenuto versamento.

Avverso il presente provvedimento, ai sensi dell'art. 152 del Codice,può essere proposta opposizione davanti al tribunale ordinario del luogo ove hasede il titolare del trattamento entro il termine di trenta giorni dallanotificazione del presente provvedimento.

Roma, 1° dicembre 2011

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
De Paoli