Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Casa di cura privata Montevergine s.p.a.

PROVVEDIMENTO DEL 20 SETTEMBRE 2012

Registro dei provvedimenti
n. 250 del 20 settembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

ESAMINATOil rapporto del Nucleo speciale privacy della Guardia di finanza predisposto aisensi dell'art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale dicontestazione per violazione amministrativa redatto in data 28 gennaio 2010 neiconfronti della Casa di cura privata Montevergine s.p.a., con sede inMercogliano (Av), via Mario Malzoni snc, in persona del legale rappresentantepro-tempore, per violazione degli artt. 17, 154, comma 1, lett. c) e 163 delCodice in materia di protezione dei dati personali (di seguito denominatoCodice);

RILEVATOche il predetto Nucleo speciale, in esecuzione della richiesta di informazioniai sensi dell'art. 157 del Codice (prot. nr. 20001/U del 16 settembre 2009)formulata da questa Autorità, ha svolto gli accertamenti di cui al verbale dioperazioni compiute datato 4 e 5 novembre 2009, dai quali è risultato che lasocietà ha effettuato un trattamento di dati biometrici per la rilevazionedelle presenze dei propri dipendenti senza aver presentato la notificazione alGarante ai sensi dell'art. 37, comma 1, lett. a), del Codice, omettendo altresìdi richiedere, sulla base di quanto previsto nelle "Linee guida in materiadi trattamento di dati personali di lavoratori per finalità di gestione delrapporto di lavoro alle dipendenze di datori di lavoro privati" (adottatedal Garante il 23 novembre 2006 e pubblicate in G.U. n. 285 del 7 dicembre 2006 una verifica preliminare al Garante ai sensidell'art. 17 del Codice, nonché di adottare, in violazione dell'art. 154, comma1, lett. c), del Codice, le misure prescritte nelle predette Linee guida;

VISTOil verbale nr. 5/2010 del 28 gennaio 2010 (che qui si intende integralmenterichiamato) con cui sono state contestate alla predetta società le violazioniamministrative previste dagli artt. 162, comma 2-bis e ter, nonché dall'art.163 del Codice, in relazione, rispettivamente, agli artt. 17, 154, comma 1,lett. c) e 37, informandola della facoltà di effettuare il pagamento in misuraridotta ai sensi dell'art. 16 della legge n. 689/1981;

RILEVATOdal predetto rapporto che non risulta essere stato effettuato il pagamento inmisura ridotta;

VISTOlo scritto difensivo, datato 3 marzo 2010, inviato ai sensi dell'art. 18 dellalegge n. 689/1981 nel quale la società, relativamente alla contestazioneconcernente l'omessa notificazione, sottolineando la propria buona fede, haevidenziato l'applicabilità, al caso di specie, dell'art. 3 della legge n.689/1981, atteso che, sulla scorta delle rassicurazioni fornite dalla Inazs.r.l. nel preventivo di spesa per la fornitura del sistema di rilevazionedelle presenze con l'utilizzo del dato biometrico e dalla Solari s.p.a. nella"Dichiarazione di conformità ai sensi delle disposizioni del DecretoLegislativo del 20.06.2033, n. 196", "() ha sviluppato ilconvincimento che il trattamento operato in tali modalità avessecaratteristiche tali da non essere () soggetto a notificazione ()",rilevando, peraltro, che, avendo già ottemperato all'obbligo di notificazioneper i trattamenti di cui all'art. 37, comma 1, lett. b) del Codice, la società "() non avrebbe avuto alcuna difficoltà nel procedere a notificare anchetale trattamento ()". Peraltro, sulla base delle caratteristiche tecnichedel sistema installato, ha ritenuto che il trattamento in questione non fossetale da richiedere una verifica preliminare ai sensi dell'art. 17. Inoltre, hasottolineato come le violazioni siano state contestate disapplicando ilprincipio di legalità di cui all'art. 1 della legge n. 689/1981, consideratoche i presunti illeciti riguardano un trattamento di dati biometrici che haavuto inizio in data 15 gennaio 2008 ovvero prima dell'entrata in vigore dellalegge 27 febbraio 2009 n.14, di conversione del d.l. 30 dicembre 2009 n. 207,che ha introdotto le sanzioni di cui all'art. 162, comma 2 bis e ter, ed hamodificato l'art. 163. Infine, ha osservato che la richiesta di informazioni dicui all'art. 157 del Codice fa riferimento a trattamenti di dati personalirelativi ai pazienti della clinica, mentre l'accertamento che si è concluso conl'irrogazione delle predette sanzioni amministrative ha interessato trattamentidi dati personali dei dipendenti della stessa;

VISTOil verbale dell'audizione delle parti tenutasi, ai sensi dell'art. 18 dellalegge n. 689/1981, in data 22 giugno 2011, nel quale la società ha ribaditoquanto esposto negli scritti difensivi;

RITENUTOche le argomentazioni addotte non risultano idonee ad escludere laresponsabilità della società in relazione a quanto contestato. Relativamenteall'obbligo di notificazione al Garante di cui all'art. 37, comma 1, lett. a),del Codice, le argomentazioni difensive si sono sostanzialmente basate sullegaranzie di conformità alle disposizioni in materia di protezione dei datipersonali rese dal fornitore del sistema di rilevazione Inaz s.r.l. e dallaSolari s.p.a. nella citata Dichiarazione di conformità. Al riguardo, occorre evidenziarecome le indicazioni riportate nella documentazione prodotta concernono aspettiesclusivamente tecnici circa la conformità del sistema a quanto prescritto dalGarante nelle Linee-guida, ma non attengono, né avrebbero potuto, allacorrettezza degli adempimenti da porre in essere per rendere il trattamentoconforme alla legge. Tali adempimenti, infatti, ricadono nella esclusivacompetenza (e responsabilità) del titolare del trattamento ovvero, nel caso dispecie, della Casa di cura privata Montevergine s.p.a.. La disciplina di cuiall'art. 3 della legge n. 689/81 risulta, quindi, inapplicabile anche a frontedelle asserite garanzie rese dalla Inaz s.r.l. e dalla Solari s.p.a., attesoche non è stato fornito alcun elemento positivo, estraneo all'autoredell'infrazione, idoneo a ingenerare nell'agente la convinzione della liceitàdel suo agire, oltre al fatto che non è stato provato dal trasgressore che siastato fatto tutto il possibile per osservare la legge (Cass. Civ., Sez. I 11febbraio 1999 n. 1151); ciò, in particolare, anche in quanto la buona fedeviene in rilievo soltanto in caso di inevitabilità dell'ignoranza del precettoviolato, il cui apprezzamento va effettuato alla luce dell'obbligo diconoscenza delle leggi che grava sull'agente in relazione anche alla qualitàprofessionale posseduta e al suo dovere di informazione sulle norme (Cass. Civ.Sez. II n. 10621 del 3 maggio 2010). Occorre, inoltre, evidenziare che l'omessanotificazione del trattamento di cui al citato art. 37 del Codice sostanzia unillecito omissivo di natura permanente, per il quale il momento dellaconsumazione coincide con la cessazione della condotta ovvero con il momento incui la violazione viene accertata (4 e 5 novembre 2009). Pertanto, diversamenteda quanto sostenuto dalla società, la condotta contestata è stata posta inessere anche dopo l'entrata in vigore della legge 27 febbraio 2009 n.14, diconversione del d.l. 30 dicembre 2008 n. 207, che, peraltro, ha modificato, ilsolo importo della sanzione di cui all'art. 163 del Codice. Ne consegue che, invirtù di quanto previsto dall'art. 1 della legge n. 689/1981, la normasanzionatoria da applicare è quella vigente alla data della commessa violazioneche, nel caso di specie, è l'art. 163 come modificato dal citato decreto legge.Inoltre, si rileva l'infondatezza di quanto argomentato relativamente allarichiesta di informazioni di cui all'art. 157 del Codice, atteso che talerichiesta prevedeva una specifica domanda concernente le modalità con le qualifosse stato curato l'adempimento delle disposizioni di cui all'art. 37 delCodice, a fronte della quale sono emersi, nell'ambito del complessivotrattamento svolto dalla società, elementi tali da consentire agli ufficiali dipolizia giudiziaria operanti, ai sensi dell'art. 14 della legge n. 689/1981,l'accertamento della violazione contestata;

RILEVATO,quindi, che la società ha effettuato un trattamento di dati biometrici per larilevazione delle presenze dei dipendenti senza presentare la notificazione dicui all'art. 37, comma 1, lett. a) del Codice;

RILEVATO,invece, che la società non ha provveduto, prima di iniziare il trattamento didati biometrici per la rilevazione delle presenze, a presentare l'interpello alGarante ai sensi dell'art. 17, comma 2, del Codice e del punto 4.4. dellepredette Linee guida, atteso che tale trattamento è stato effettuato oltre ilimiti previsti dal punto 4.1 del citato provvedimento. Considerato, tuttavia,che il trattamento è iniziato il 15 gennaio 2008 e che, quindi, l'interpello exart. 17 del Codice avrebbe dovuto essere presentato all'Autoritàantecedentemente a quella data, ne deriva che l'omissione si è concretamenteverificata prima dell'entrata in vigore della legge 27 febbraio 2009 n. 14, diconversione del d.l. 30 dicembre 2008 n. 207 che ha introdotto l'art. 162,comma 2 bis che sanziona l'illecito in questione. Pertanto, tale sanzione, inossequio al principio di legalità di cui all'art. 1 della legge n. 689/1981,non può essere applicata;

RILEVATO,altresì, che, essendosi accertata nel caso di specie la necessità di unaverifica preliminare ex art. 17 del Codice, in quanto il trattamento nonrientra tra quelli disciplinati in linea generale dalle citate Linee guida (v.punti 4.1. e 4.4), non si configura nel caso di specie l'illecito diinosservanza delle prescrizioni contenute nel predetto provvedimento e,pertanto, non si procede all'applicazione della sanzione di cui all'art. 162,comma 2-ter, del Codice;

VISTOl'art. 163 del Codice che punisce la violazione delle disposizioni di cui agliart. 37 e 38 con la sanzione amministrativa del pagamento di una somma daventimila euro a centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, gli elementi dell'entità del pregiudizio odel pericolo, dell'intensità dell'elemento psicologico e della modalitàconcreta della condotta non sono caratterizzati da elementi specifici;

b) aifini della valutazione dell'opera svolta dall'agente, deve esserefavorevolmente valutato il fatto che la società ha provveduto a sospenderecautelativamente il trattamento dei dati in argomento;

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che la società non risulti avere precedentispecifici in termini di violazioni alle disposizioni del Codice;

d) inmerito alle condizioni economiche dell'agente, al fine di commisurare l'importodella sanzione alla reale capacità economica del trasgressore nel rispetto delprincipio di uguaglianza, si rileva che la società, per l'anno 2010, risultaavere conseguito un consistente valore della produzione;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge n. 689/1981,l'ammontare della sanzione pecuniaria per la violazione dell'art. 163 delCodice, nella misura di euro 50.000,00 (cinquantamila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla dott.ssa Augusta Iannini;

DISPONE

l'archiviazionedel procedimento sanzionatorio amministrativo con riferimento allecontestazioni relative alle violazioni di cui all'art. 162, comma 2 bis e terin relazione, rispettivamente, agli artt. 17 e 154, comma 1, lett. c), delCodice;

ORDINA

allaCasa di cura privata Montevergine s.p.a., con sede in Mercogliano (Av), viaMario Malzoni snc, in persona del legale rappresentante pro-tempore, di pagarela somma di euro 50.000,00 (cinquantamila) a titolo di sanzione amministrativapecuniaria per la violazione prevista dall'art. 163 del Codice;

INGIUNGE

allamedesima società di pagare la somma di euro 50.000,00 (cinquantamila), secondole modalità indicate in allegato, entro 30 giorni dalla notificazione delpresente provvedimento, pena l'adozione dei conseguenti atti esecutivi a normadall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro iltermine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, inoriginale o in copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 20 settembre 2012

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia