[doc. web n. 7706230]

Ordinanza ingiunzione nei confronti di AMI S.p.A. - 21 settembre 2017

Registro dei provvedimenti
n. 381 del 21 settembre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 12745/97157 del 29 aprile 2015, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto gli accertamenti presso AMI Spa (di seguito "la Società"), società a partecipazione pubblica che gestisce il trasporto pubblico locale, con sede in Urbino (PU), Piazzale Elisabetta Gonzaga n. 15, P.I. 01482560412, formalizzati nei verbali di operazioni compiute del 17 e 18 giugno 2015, diretti a verificare la liceità dei trattamenti di dati personali effettuati dalla società e volti a rilevare la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è dato adempimento all´obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

VISTI gli atti dell´accertamento ispettivo da cui è risultato che la Società ha installato sugli autobus adibiti al servizio di trasporto pubblico, regionale e locale, dei dispositivi elettronici di controllo e di localizzazione, denominati AVM (Automatic Vehicle Monitoring). L´installazione dei dispositivi, promossa dalla Regione Marche, è stata effettuata dalla società Swarco Mizar spa, con sede in Torino, nel corso del 2012 ed è stata resa operativa nei primi mesi del 2014. La finalità di tale tipologia di trattamenti è quella di "contribuire al miglioramento della qualità del servizio di trasporto pubblico e di raggiungere obiettivi di mobilità sostenibile e di competitività tra gli operatori del trasporto passeggeri" (pag. 3 del verbale di operazioni compiute del 18 giugno 2015). I dati raccolti mediante tali dispositivi, e archiviati in un server dedicato, posto presso una server farm di proprietà della Swarco Mizar spa, si riferiscono all´identificativo del veicolo, alla corsa effettuata, agli orari di transito alle fermate, al turno macchina e alla matricola del conducente. A fronte di tale trattamento di dati personali, posto in essere mediante il sistema di geolocalizzazione, è risultato che la Società ha omesso di effettuare la notificazione al Garante, ai sensi degli artt. 37 e 38 del Codice;

VISTO il verbale n. 54/2015 del 18 giugno 2015 con cui è stata contestata alla Società, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, per aver effettuato il trattamento di dati personali di cui all´art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di presentare la notificazione al Garante nelle modalità indicate dall´art. 38 del Codice;

RILEVATO che dal rapporto predisposto dal predetto Nucleo ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi datati 10 luglio 2015, inviati ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha precisato di aver "provveduto all´installazione dei dispositivi AVM attenendosi alle indicazioni contenute nel documento inviato alle parti sociali dalla Regione Marche, in cui non si fa menzione dell´obbligo della notificazione (…)". Anche "la società Swarco Mizar di Torino, che ha fornito il sistema all´esito di una procedura ad evidenza pubblica, non ha fornito alcuna indicazione circa l´obbligo di procedere alla notificazione al Garante per la protezione dei dati personali, né vi sono evidenze al riguardo negli atti di gara". In ogni caso, secondo la parte, la notificazione al Garante non sarebbe necessaria, in quanto nessun dato personale viene trattato, dal momento che "il dispositivo AVM installato nei singoli autobus consente di acquisire dati relativi all´identificativo del veicolo, alla corsa effettuata, agli orari di transito alle fermate, al turno macchina e alla matricola dell´autista conducente", senza esserci un legame diretto tra matricola e identità del dipendente addetto alla conduzione dell´autoveicolo. Inoltre, l´obbligo della notificazione sarebbe escluso, nel caso di specie, in forza di quanto stabilito dal Garante nella delibera n. 1 del 31 marzo 2004 (in www.gpdp.it, doc. web n. 852561), nel quale si stabilisce l´esclusione dell´obbligo della notificazione per quei trattamenti di dati che indicano la posizione geografica di mezzi di trasporto terrestre effettuati esclusivamente ai fini di sicurezza del trasporto. Pertanto, AMI spa, "preso atto del documento predisposto dalla Regione Marche e considerata l´esclusione dall´obbligo della notificazione di cui ai provvedimenti dell´Autorità (…) ha inteso che la propria condotta fosse lecita, senza che si dovesse procedere alla notificazione al Garante";

LETTO il verbale di audizione dell´11 gennaio 2016, svoltasi ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato nelle memorie difensive, rilevando la carenza dell´elemento soggettivo e la sussistenza della buona fede, posto che l´installazione dei dispositivi in argomento è stata decisa dalla Regione Marche senza possibilità di opporsi. E´ stata, inoltre, rilevata la carenza di pregiudizio per gli interessati e della lesività della condotta, dal momento che i sistemi AVM sono stati installati per esigenze di efficacia e di efficienza del servizio di trasporto pubblico. Secondo la parte, sarebbe applicabile al caso di specie la disposizione di cui all´art. 37, comma 2, del Codice che esclude dall´obbligo della notificazione quei trattamenti di dati che non sono suscettibili di recare pregiudizio ai diritti degli interessati;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra. Deve essere preliminarmente chiarito che il Garante, in virtù di quanto stabilito dall´art. 37, comma 2, del Codice, ha adottato la delibera n. 1 del 31 marzo 2004, con la quale ha indicato i trattamenti di dati sottratti all´obbligo della notificazione perché non suscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato, e tra questi vi ha compreso quei "trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto". Successivamente, il Garante ha chiarito, con specifico riferimento all´attività di geolocalizzazione, che questa va notificata "quando permette di individuare in maniera continuativa – anche con eventuali intervalli – l´ubicazione sul territorio o in determinate aree geografiche , in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti" (§ 2 del provvedimento del 23 aprile 2004, in www.gpdp.it, doc. web n. 993385)  Nel caso di specie, l´esenzione dall´obbligo della notificazione non può essere riconosciuta in quanto non è risultato che la Società persegua fini di sicurezza del trasporto, mediante l´installazione dei dispositivi di controllo e di localizzazione in esame. Diversamente, da quanto dichiarato dalla società stessa nel corso degli accertamenti ispettivi, risulta che "la finalità di tali tipi di trattamenti è quella di contribuire al miglioramento della qualità del servizio di trasporto pubblico e di raggiungere obiettivi di mobilità sostenibile e di competitività tra gli operatori del trasporto passeggeri". Inoltre, sia nel testo dell´informativa resa dalla Società ai propri dipendenti che nel documento recante le specifiche tecniche dei dispositivi (entrambi acquisiti nel corso dell´accertamento ispettivo), si legge che il sistema AVM è utilizzato allo scopo di "fornire informazioni all´utenza sul corretto e favorevole uso del mezzo pubblico; progettare sistemi di trasporto più efficaci e idonei a garantire il rispetto degli obblighi e delle condizioni dei contratti di servizio" e che "i dati inviati dai mezzi in circolazione saranno utilizzabili sia dalle aziende (per il controllo della qualità del servizio in termini di puntualità e rispetto dell´orario programmato), sia dalla clientela che potrà ricevere informazioni sul servizio (paline intelligenti, siti web, messaggi sms, televisione digitale terrestre), sia dalla Regione per il monitoraggio della qualità del servizio (…)". Pertanto, dalla documentazione agli atti, si evince che l´attività di rilevamento dei mezzi di trasporto, posta in essere dalla Società, non rientra tra i casi sottratti all´obbligo di presentare la notificazione al Garante, individuati con il provvedimento n. 1/2004. Si osserva, inoltre, che i dati di localizzazione dei veicoli, se associati a codici identificativi dei conducenti (quali appunto il numero matricola), costituiscono dati personali, anche se l´associazione con il nominativo del conducente non avviene immediatamente. La Società, infatti, è comunque in grado di risalire in ogni momento al conducente assegnatario di ciascun veicolo. Ai fini dell´esclusione di responsabilità della parte, non è rilevante l´argomentazione addotta in base alla quale la Società non è stata informata, né dalla Regione Marche né dalla società fornitrice del sistema, circa l´obbligo di effettuare la notificazione al Garante. E´, infatti, necessario che l´errore, affinché sia scusabile, si fondi su un elemento positivo, estraneo all´agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento, che deve risultare inevitabile e incolpevole;

RILEVATO, quindi, che AMI S.p.A., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver presentato la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici, avuto anche riguardo alle concrete modalità di utilizzo da parte della società del sistema di geolocalizzazione;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la Società, dall´interrogazione del registro generale dei trattamenti, non risulta aver presentato la notificazione al Garante, diversamente da altre società di trasporto che effettuano attività di geolocalizzazione;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi del bilancio ordinario d´esercizio per l´anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 40.000,00 (quarantamila) per la violazione di cui all´art. 163 del Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

ad AMI S.p.A., con sede in Urbino (PU), Piazzale Elisabetta Gonzaga n. 15, P.I. 01482560412, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 40.000,00 (quarantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 21 settembre 2017

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia