Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidel Comune di Marano Principato

PROVVEDIMENTO DEL 8 MARZO 2012

Registro dei provvedimentin. 94dell'8 marzo 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, deldott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e deldott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretariogenerale;

RILEVATOche il Comando Nucleo speciale privacy della Guardia di finanza, in attuazionedella richiesta di informazioni  ex art. 157 del Codice (n. 23496/52894datata 28 ottobre 2009) e su specifica delega di questa Autorità (n. 23497/Udel 28 ottobre 2009), ha svolto, nei confronti del Comune di Marano Principato,con sede in Marano Principato, via Annunziata n. 137, gli accertamenti di cuial verbale di operazioni compiute datato 13 gennaio 2010, dai quali è risultatoche l'ente locale effettua, tra l'altro, trattamenti di dati personali inerentii servizi "anagrafico/demografico", "raccolta dei rifiutiurbani" e "fornitura dei servizi idrici" con l'ausilio distrumenti elettronici, senza avere designato gli incaricati dei trattamenti inquestione ai sensi dell'art. 30 del Codice e, quindi, senza impartire loro lespecifiche istruzioni, omettendo, di conseguenza, di adottare le misure minimedi sicurezza di cui all'art. 33 del Codice;

VISTOil verbale datato 22 gennaio 2010 con cui è stata contestata al predetto entela violazione amministrativa prevista dall'art. 162, comma 2-bis, in relazioneall'art. 33 del Codice che non è definibile in misura ridotta ai sensidell'art. 16 della legge n. 689/1981;

VISTOlo scritto difensivo, datato 3 marzo 2010, inviato ai sensi dell'art. 18 dellalegge n. 689/1981 nel quale l'ente locale, rappresentato e difeso dall'avv.Giovanni Spataro, ha evidenziato come "() sotto la dicitura Rilevazioni(e) sotto la dicitura Rilievo unico anno 2010 ()" del verbale dicontestazione in argomento, siano contenute indicazioni afferenti l'illecitocontestato la cui "() genericità ed omnicomprensività () rende pressochéimpossibile () dispiegare una adeguata difesa avverso il verbale in questione(da) ritenersi viziato da illegittimità". L'ente, rileva, altresì, come lanorma che disciplina la designazione degli incaricati non è prevista dall'art.33, bensì dall'art. 30 del Codice, "() la cui inosservanza non risultapunita da norme sanzionatorie, né tantomeno dall'art. 162, comma 2-bis delCodice".  Inoltre, considerato che "() le operazioni inconseguenza delle quali vi è stata contestazione, risultano effettuate in data13.01.2010, mentre il verbale de quo (contestazione) è datato 22.01.2010 (),il verbale suddetto è illegittimo per omessa contestazione immediata ai sensidell'art. 14 della Legge n. 24.11.1989 n. 689 ()", ove, peraltro, nellacontestazione in argomento non risultano specificate le motivazioni dell'omessacontestazione immediata. Riguardo a tale ultimo profilo, si osserva che, se laviolazione fosse stata contestata immediatamente, "() il Sindaco avrebbepotuto contraddire, facendo valere () elementi di fatto e di diritto (quali) ()quanto disposto dall'art. 30, comma 2 del Codice () in base al quale () ladesignazione ad incaricato del trattamento si desume anche dalla preposizionedella persona fisica alla unità organizzativa".  In tal senso "()non mancano, nel caso de quo dicitur, gli elementi dai quali è desumibilel'atto amministrativo (implicito) di nomina ad incaricato del trattamento. IlComune (), ha anche emanato (il) regolamento – approvato condeliberazione del Commissario straordinario  n. 6 del 16.12.2005 –con il quale () sono state individuate analiticamente, per ogni unitàorganizzativa, le tipologie di trattamento dei dati personali che possonoessere effettuate". Riguardo, poi, alle istruzioni ai dipendentiincaricati del trattamento, "() nel verbale di operazioni compiute del13.01.2010, non risulta né che l'Autorità procedente abbia chiesto alla parteinteressata se fossero state impartite istruzioni ai dipendenti per iltrattamento dei dati, né che il Sindaco o chiunque altro abbia dichiaratol'omissione di siffatta attribuzione", tenuto conto che "() se èvero () che tali procedure di sicurezza vengono concretamente e scrupolosamenteosservate presso la suddetta Amministrazione (Comune di Marano Principato), ciòsi deve evidentemente anche al fatto che tutti i dipendenti incaricati deltrattamento sono stati edotti della necessità di adottare le citate misureminime di sicurezza";

RITENUTOche le argomentazioni addotte non risultano idonee per escludere laresponsabilità in relazione a quanto contestato. La Guardia di finanza,indicando gli specifici trattamenti di dati personali inerenti i servizi"anagrafico/demografico", "raccolta dei rifiuti urbani" e"fornitura dei servizi idrici" effettuati con l'ausilio di strumentielettronici, così come si rileva dalla "premessa" del verbale dicontestazione del 22 gennaio 2010 (che peraltro fa espresso riferimento alverbale di operazioni compiute del 13 gennaio 2010) ha puntualmente accertato,ai sensi dell'art. 13 della legge n. 689/1981, l'illecito contestato senza inalcun modo ledere il diritto alla difesa del trasgressore. Si evidenzia, poi,che la mancata designazione degli incaricati ai sensi dell'art. 30, determinala disapplicazione di tutte le misure minime di sicurezza previste dal"Disciplinare tecnico in materia di misure minime di sicurezza"allegato B al Codice (richiamato espressamente dagli artt. 34 e 35 del Codice)e facente parte integrante quindi delle misure minime di cui all'art. 33, chehanno, come presupposto necessario, la predetta designazione. Tali misure sonoquelle analiticamente indicate dal Garante nel provvedimento del 12 marzo 2010nell'ambito del procedimento prescrizionale avviato in relazione allaviolazione dell'art. 169 del Codice che risultano essere state adottatedall'ente solo nel mese di maggio 2010, così come si evince dalla nota n. 2534dell' 8 giugno 2010. Quanto detto, rileva anche con riferimento alle istruzioniai dipendenti incaricati del trattamento, atteso che le istruzioni in parola(di cui all'art. 30, comma 1 del Codice), sono previste tra le misure minime disicurezza. Ne discende che le citate "procedure di sicurezza"menzionate dall'ente negli scritti difensivi, oltre a non soddisfare irequisiti di legge, sono risultate di fatto inefficaci. Ciò determina,diversamente da quanto ritenuto, una corretta individuazione dell'art. 33 delCodice quale norma violata e una altrettanto puntuale individuazione dellanorma sanzionatoria nell'art. 162, comma 2-bis del Codice. Si rileva, altresì,che la violazione in argomento è stata accertata alla data di redazione delverbale di contestazione (22 gennaio 2010), atteso che è a quella data che devefarsi riferimento per valutare il rispetto dei principi di tempestività di cuiall'art. 14 della legge n. 689/1981 (Cass. Civ., Sez. lav. n. 5467/2008), inquanto solo a quella data, dall'esame del complesso dei documenti e delledichiarazioni acquisite in sede ispettiva, è stato possibile qualificareoggettivamente e soggettivamente, da parte della Guardia di finanza, laviolazione in argomento. Al riguardo si evidenzia che la contestazione risultanotificata il 5 febbraio 2010, ovvero entro il termine di 90 giorni dalla datadell'accertamento. Peraltro, sempre in riferimento alla tempestività dellacontestazione, si osserva come la Guardia di finanza, nel verbale di operazionicompiute del 13 gennaio 2010, abbia richiesto esplicitamente e in manierainequivoca al legale rappresentante dell'ente (il Sindaco) le misure disicurezza predisposte, anche con specifico riferimento all'allegato B  delCodice, tenuto anche conto che il regolamento adottato con la delibera n. 6 del16 dicembre 2005, recante in oggetto "Approvazione regolamento per iltrattamento dei dati sensibili D. Lgs 30/6/2003 n. 196", annovera, tra letipologie dei trattamenti, solo quelle relative al servizioanagrafico/demografico e non anche gli altri trattamenti dei dati che hannogenerato la contestazione in argomento;

CONSIDERATOche, nonostante il procedimento di cui all'art. 169, comma 2 del Codice non sisia perfezionato, le prescrizioni impartite con il provvedimento datato 12marzo 2010 al legale rappresentante pro tempore del Comune di Marano Principatodall'Ufficio del Garante sono state adempiute;

RILEVATOche l'ente ha effettuato un trattamento di dati (art. 4 comma 1, lett. a) e b)del Codice) omettendo di adottare le misure minime di sicurezza ai sensidell'art. 33 del Codice;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 33 del Codice con la sanzione amministrativadel pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, gli elementi dell'entità del pregiudizio odel pericolo, dell'intensità dell'elemento psicologico e della modalità concretadella condotta non sono connotati da elementi specifici;

b) ai fini della valutazione dell'opera svolta dall'agente, deve essere valutatol'adempimento dell'ente alle prescrizioni impartite dal Garante in ordineall'adozione delle misure minime di sicurezza;

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che la società non risulti avere precedentispecifici in termini di violazioni delle disposizioni del Codice;

d)trattandosi di ente pubblico, le condizioni economiche dell'agente, al fine dicommisurare l'importo della sanzione alla reale capacità economica deltrasgressore nel rispetto del principio di uguaglianza, non sostanzianoelementi specifici idonei ad incidere sulla quantificazione della sanzione;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della L. n. 689/1981, l'ammontaredella sanzione pecuniaria nella misura di euro 10.000,00 (diecimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREil dott. Giuseppe Fortunato;

ORDINA

alComune di Marano Principato, con sede in Marano Principato, via Annunziata n.137, in persona del legale rappresentante pro-tempore, di pagare la somma dieuro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria;

INGIUNGE

almedesimo ente di pagare la somma di euro 10.000,00 (diecimila), secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 8 marzo 2012

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale reggente
De Paoli