[doc. web n. 3591023]
Ordinanza di ingiunzione nei confronti di Meridi s.r.l.- 18 settembre 2014
Registro dei provvedimenti
n. 413 del 18 settembre 2014
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;
RILEVATO che, nell’ambito di un’attività istruttoria nei confronti di Meridi s.r.l. P.I.: 03132790878, con sede in Belpasso (Ct), Contrada Rubino S.P. 14, la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni n. 9401/71881 del 5 maggio 2011 formulata ai sensi dell’art. 157 del Codice ha svolto accertamenti presso il punto vendita denominato Fortè Hard Discount sito in Siracusa, via Monteforte n. 8/a, come riportato nel verbale di operazioni compiute datato 8 e 9 agosto 2011, da cui, successivamente, è risultato che la predetta società, a fronte del trattamento di dati effettuato mediante un impianto di videosorveglianza, non ha provveduto a fornire un’idonea informativa ai sensi dell’art. 13 del Codice, nella forma semplificata di cui al provvedimento in materia di videosorveglianza datato 8 aprile 2010. Inoltre la società, a fronte del medesimo trattamento effettuato tramite il citato impianto di videosorveglianza, non ha provveduto alla designazione degli incaricati del trattamento dei dati di cui all’art. 30 del Codice, omettendo di predisporre sia le necessarie procedure di autenticazione informatica sia quelle di gestione delle credenziali di autenticazione, con la conseguente violazione delle misure minime di sicurezza previste dagli artt. 33 e 34 del Codice la cui applicazione presuppone la preliminare designazione degli incaricati del trattamento. Risulta, altresì, accertato che la società, conservando le immagini registrate dall’impianto di videosorveglianza per oltre un mese, ha omesso di attuare le misure previste, ai sensi dell’art. 154, comma 1 lett. c) del Codice, al paragrafo 3.4 del provvedimento generale in materia di videosorveglianza dell’8 aprile 2010;
VISTO il verbale n. 56/2011 del 13 settembre 2011 redatto dalla Guardia di finanza, Nucleo speciale privacy, con cui sono state contestate a Meridi s.r.l., in qualità di titolare del trattamento, la violazione amministrativa prevista dall’art. 161, in relazione all’art. 13 del Codice, (per la quale è stato effettuato il pagamento in misura ridotta ai sensi dell’art. 16 della legge 24 novembre 1981 n. 689, con conseguente estinzione del procedimento amministrativo sanzionatorio), la violazione amministrativa prevista dall’art. 162, comma 2-bis, in relazione all’art. 33 del Codice, per la quale non è prevista la definizione in via breve, ai sensi dell’art. 16 della legge n. 689/1981, e la violazione amministrativa prevista dall’art. 162, comma 2-ter, in relazione all’art. 154, comma 1 lett. c) del Codice, per la quale non è stato effettuato il pagamento in misura ridotta ai sensi dell’art. 16 della legge 24 novembre 1981 n. 689;
VISTO lo scritto difensivo del 29 ottobre 2011 inviato ai sensi dell’art. 18 della legge 24 novembre 1981, n. 689, nel quale la società ha osservato come, nel caso di specie, l’Autorità non abbia provveduto a effettuare la comunicazione di avvio del procedimento ai sensi dell’art. 7 della legge n. 241/1990 e abbia altresì disatteso quanto stabilito dall’art. 3 della medesima legge, omettendo di motivare il provvedimento sanzionatorio. Nel merito, riguardo la violazione di cui all’art. 162, comma 2-ter del Codice, ha evidenziato come nessun provvedimento del Garante risulta essere stato violato, “(…) attesa la inesistenza del provvedimento medesimo specificatamente emesso nei confronti di Meridi S.r.l. (…)”. Rileva poi come “Alla luce del chiaro disposto delle norme (con riferimento all’art. 24 del Codice e alla legge n. 300/1970) e della giurisprudenza (…) appare evidente che i controlli a distanza dei lavoratori effettuati per finalità di tutela del patrimonio aziendale dinnanzi a fatti illeciti esula dal campo di applicazione del sistema normativo previsto dal D. Lvo n. 196/2003, dal provvedimento del garante in data 8 aprile 2010 e dagli art. 4 e 38 dello Statuto dei Lavoratori”;
LETTO il verbale di audizione del 2 dicembre 2013, ai sensi dell’art. 18 della legge n. 689/1981, con cui la parte ha sostanzialmente ribadito quanto già dedotto nelle memorie difensive;
RITENUTO che le argomentazioni addotte non risultano essere idonee ad escludere la responsabilità in relazione alla contestazione. Relativamente a quanto argomentato circa i richiamati artt. 3 e 7 della legge n. 241/90, si evidenzia come la Corte di Cassazione si sia ripetutamente espressa nel senso che “nelle fattispecie regolate dalle norme di cui alla legge 24 novembre 1981 n. 689 in materia di irrogazione di sanzioni amministrative, non trovano applicazione le disposizioni sulla partecipazione degli interessati al procedimento amministrativo (art. 7 legge 241/1990), le quali configurano una normativa generale su cui prevale la legge speciale, in quanto idonea – mediante i meccanismi di informazione e di difesa previsti dagli artt. 17 e 18 – ad assicurare garanzie di partecipazione non inferiori al minimum prescritto dalla anzidetta normativa” (Cass. Civile Sez. Lavoro, sent. n. 3254 del 5 maggio 2003). In questo ambito la comunicazione di avvio del procedimento (sanzionatorio) è da individuarsi nell’atto di contestazione della violazione amministrativa, regolarmente notificato alla società e la partecipazione al medesimo procedimento risulta essersi pienamente realizzata attraverso l’invio di scritti difensivi e l’audizione. Inoltre sul punto giova rilevare come la contestazione, atto di avvio del procedimento amministrativo sanzionatorio, sia ampiamente motivata in relazione a tutte le fattispecie contestate. Inoltre, si rileva che il provvedimento del Garante sulla videosorveglianza, datato 8 aprile 2010, in quanto provvedimento generale pubblicato sulla Gazzetta Ufficiale n. 99 del 29 aprile 2010, si applica a tutti i soggetti che trattano dati personali per mezzo di impianti di videosorveglianza; il potere del Garante di adottare tale tipologia di atto è stato anche confermato in ambito giurisdizionale, con la sentenza n. 12826 del 10 dicembre 2009 del Tribunale di Roma. Del resto, l’esplicito richiamo all’art. 154, comma 1 lett. c) del Codice nella parte del provvedimento sulla videosorveglianza (paragrafo 3.4) che disciplina i tempi di conservazione delle immagini, conferisce a tali regole la valenza prescrizionale, la cui inosservanza determina, come nel caso che ci occupa, il ricorrere dell’illecito sanzionato dall’art. 162, comma 2-ter del Codice. Giova, infine, osservare come quanto rappresentato circa l’inapplicabilità, al caso che ci occupa, di quanto “(…) previsto dal D. Lvo n. 196/2003 (…)” risulta palesemente inconferente;
RILEVATO, quindi, che Meridi s.r.l., in qualità di titolare del trattamento, non ha provveduto alla designazione degli incaricati del trattamento dei dati di cui all’art. 30 del Codice senza predisporre sia le necessarie procedure di autenticazione informatica sia quelle di gestione delle credenziali di autenticazione, omettendo, di conseguenza, di adottare le misure minime di sicurezza di cui all’art. 33 del Codice. Inoltre, la società, conservando le immagini registrate dall’impianto di videosorveglianza per oltre un mese, ha omesso di attuare le misure previste, ai sensi dell’art. 154, comma 1 lett. c) del Codice, al paragrafo 3.4 del provvedimento generale in materia di videosorveglianza dell’8 aprile 2010;
VISTO l’art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell’art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;
VISTO l’art. 162, comma 2-ter del Codice, che punisce la violazione dell’art. 154, comma 1 lett. c) del medesimo Codice con la sanzione amministrativa del pagamento di una somma da trentamila euro a centottantamila euro;
CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;
RITENUTO, pertanto, di dover determinare, ai sensi dell’art. 11 della legge 24 novembre 1981, n. 689, l’ammontare della sanzione pecuniaria nella misura di euro 10.000,00 (diecimila) per la violazione di cui all’art. 162, comma 2-bis, del Codice e di euro 30.000,00 (trentamila) per la violazione di cui all’art. 162, comma 2-ter, del Codice, per un importo complessivo pari a euro 40.000,00 (quarantamila);
VISTA la documentazione in atti;
VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;
VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
RELATORE la prof.ssa Licia Califano;
ORDINA
alla Meridi s.r.l. P.I.: 03132790878, con sede in Belpasso (Ct), Contrada Rubino S.P. 14, in persona del legale rappresentante pro-tempore di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per le violazioni di cui agli artt. 162, comma 2-bis e ter come indicato in motivazione;
INGIUNGE
alla medesima società di pagare la somma di euro 40.000,00 (quarantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell’avvenuto versamento.
Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.
