Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Umbra Acque S.p.a.

PROVVEDIMENTO DEL 18 OTTOBRE 2012

Registro dei provvedimenti
n. 301 del 18 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche il Comando della Guardia di finanza, Compagnia Perugia, in attuazione dellarichiesta di informazioni ex art. 157 del Codice (n. 19996/53969 datata 16settembre 2009) e su specifica delega di questa Autorità, ha svolto, neiconfronti della Umbra Acque S.p.a. (di seguito "società"), con sedein Perugia, Via G. Benucci n. 162, gli accertamenti di cui ai verbali dioperazioni compiute datati 24 febbraio, 3 marzo, 9 aprile e 12 aprile 2010, daiquali à risultato che la società ha effettuato un trattamento di dati personalimediante un sistema di videosorveglianza, situato presso la sede amministrativadella società, e che le immagini rilevate sono state visionate da personale dipendentedella Gran Sasso Sicurezza s.r.l., società a cui era stato affidato il serviziodi vigilanza, in assenza della designazione di incaricati del trattamento,omettendo così di adottare le misure minime di sicurezza ai sensi dell'art. 33del Codice privacy;

VISTOil verbale datato 14 maggio 2010 con cui à stata contestata alla predettasocietà la violazione amministrativa prevista dall'art. 162, comma 2-bis, inrelazione all'art. 33 del Codice, per la quale non à prevista la definizione invia breve ai sensi dell'art. 16 della legge n. 689/1981;

VISTIgli scritti difensivi pervenuti in data 17 giugno 2010 con i quali la società,oltre a chiedere di essere sentita dall'Autorità, ha rilevato che il sistema divideosorveglianza "non permette la possibilità di individuare ericonoscere i tratti somatici di un soggetto, né tanto meno il volto dellostesso, inoltre non ha neppure una risoluzione e/o una qualità ottica tale dapoter individuare e riconoscere il numero di targa di un eventuale veicolodalla stessa inquadrato" e che "attraverso tale apparecchiatura divideosorveglianza non veniva effettuato alcun trattamento di dati". Inragione di tali assunti, la società ha evidenziato che "nessun ulterioreincarico doveva essere conferito, in tal senso, alla società Responsabile inoutsourcing Gran Sasso s.r.l., attesa la sostanziale insussistenza di alcunulteriore e/o differente trattamento posto in essere a mezzo del sistema divideosorveglianza" eccependo di aver ottemperato a tutti gli adempimentiprevisti dalla vigente normativa in materia di privacy, assicurando il livellodi protezione minima. Inoltre, la parte, affermando che nel caso di specie"gli accertatori hanno unicamente rilevato un (presunto e dubbio) vizio diforma", ha rappresentato di aver provveduto alla nomina di Gran Sassos.r.l. quale responsabile in outsourcing posto che "risulta manifestamenteerrata la qualificazione in diritto operata dagli accertatori in quanto lasocietà Gran Sasso s.r.l., in quanto tale, non risulta essere legittimamentequalificabile come incaricato del trattamento ai sensi dell'art. 4 del D. Lgs.196/2003 in quanto à una persona giuridica". Quindi, la società ha chiestoche venga emessa un'ordinanza di archiviazione e, in via subordinata, che lasanzione venga applicata nella misura del minimo previsto e con l'applicazionedella riduzione prevista per i casi di minore gravità;

VISTOil verbale dell'audizione delle parti del 14 luglio 2011, effettuata ai sensidell'art. 18, legge n. 689/1981, nella quale la società ha ribadito quanto giàdedotto negli scritti difensivi;

RITENUTOche le argomentazioni addotte non risultano idonee ad escludere laresponsabilità della società in relazione agli illeciti contestati. Per quantoriguarda i trattamenti di dati personali effettuati dal personale disorveglianza si rileva che, con riferimento al sistema di videosorveglianza,diversamente da quanto sostenuto negli scritti difensivi, risulta, ai sensidell'art. 13 della legge n. 689/1981, adeguatamente accertato in atti dai pubbliciufficiali che hanno proceduto al controllo che il sistema consentival'identificazione degli interessati (vedi questionario allegato al verbale dioperazioni compiute del 24 febbraio 2010). In ogni caso, il personale prepostoalla vigilanza ha effettuato anche ulteriori trattamenti di dati personalimediante l'annotazione delle targhe dei veicoli in entrata e del nome delconducente; tali dati venivano comunicati a Umbra Acque s.p.a. (verbale dioperazioni compiute del 9 aprile 2010). Per quanto, invece, attiene allatitolarità, si rileva che il personale addetto al controllo, seppur dipendentedi altra società, risulta svolgere la propria attività sotto la diretta autoritàdi Umbra Acque s.p.a., presso la sede operativa della società e attenendosialle istruzioni da questa impartite, come risulta da diverse specifichedisposizioni del disciplinare tecnico operativo allegato al contratto (inparticolare artt. 7, 8 e 9). Per quanto sopra, in considerazione del fatto chela società non si era avvalsa, antecedentemente all'accertamento, della facoltàdi designare la Gran Sasso s.r.l. quale responsabile del trattamento,l'omissione della designazione del personale addetto alla vigilanza aincaricato del trattamento (e la conseguente omissione delle misure minime disicurezza previste dall'art. 33 e dall'allegato B del Codice) à imputabile allaUmbra Acque s.p.a. in qualità di titolare del trattamento;

CONSIDERATOche le prescrizioni impartite dall'Ufficio con il provvedimento datato 24novembre 2010 al legale rappresentante della Umbra Acque S.p.a. sono stateadempiute designando la società Servizi Italiani S.r.l. (già Gran Sasso S.r.l.)responsabile del trattamento e che si à altresì provveduto, nei terminiprevisti, al pagamento del quarto del massimo della sanzione prevista per laviolazione amministrativa, in applicazione di quanto disciplinato dall'art.169, comma 2, del Codice;

RILEVATOche la società ha effettuato un trattamento di dati personali (art. 4 comma 1,lett. a) e b) del Codice), omettendo di adottare le misure minime di sicurezzaai sensi dell'art. 33 del Codice;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 33 del Codice con la sanzione amministrativadel pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

CONSIDERATOche, nel caso in esame:

a) lagravità della violazione, gli elementi dell'entità del pregiudizio e delpericolo, delle modalità concrete della condotta e dell'intensità dell'elementopsicologico devono essere considerati in ragione del fatto che il trattamentoin relazione al quale la violazione à stata commessa ha natura accessoriarispetto all'attività della società e incide in misura molto limitata suidiritti degli interessati;

b) aifini della valutazione dell'opera svolta dall'agente, deve essere valutatapositivamente la tempestività della società nell'adempiere alle prescrizioniimpartite dal Garante in ordine all'adozione delle misure minime di sicurezza;

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che la società non risulti avere precedentispecifici in termini di violazioni delle disposizioni del Codice;

d) inmerito alle condizioni economiche dell'agente, la società ha conseguito unutile di esercizio nell'anno 2010 pari a 2.335.070;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della L. n. 689/1981, l'ammontaredella sanzione pecuniaria nella misura di euro 10.000,00 (diecimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

ORDINA

allaUmbra Acque S.p.a., con sede in Perugia, via G. Benucci n. 162, in persona dellegale rappresentante, di pagare la somma di euro 10.000,00 (diecimila) atitolo di sanzione amministrativa pecuniaria;

INGIUNGE

allamedesima società di pagare la somma di euro 10.000,00 (diecimila), secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 18 ottobre 2012

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia