[doc. web n. 7924930]

Ordinanza ingiunzione nei confronti di AMAT PALERMO S.P.A. - 23 novembre 2017

Registro dei provvedimenti
n. 492 del 23 novembre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 125/102969 del 7 gennaio 2016, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto accertamenti presso AMAT PALERMO S.P.A. (di seguito la "Società"), società a partecipazione pubblica che gestisce servizi per la mobilità per il Comune di Palermo, con sede in Palermo, Via Roccazzo 77, C.F. e P.I. 04797180827, formalizzati nei verbali di operazioni compiute del 3, 4 e 5  febbraio 2016, al fine di verificare la liceità dei trattamenti di dati personali effettuati dalla società per mezzo di un sistema di geolocalizzazione volto a rilevare la posizione geografica dei propri veicoli mediante una rete di comunicazione elettronica, con particolare riferimento alle modalità con cui si è adempiuto l´obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

CONSIDERATO che, sulla base delle dichiarazioni rese nel corso degli accertamenti ispettivi e della documentazione inviata dalla società con nota prot. n.36 PRES del 16 febbraio 2016, a scioglimento delle riserve formulate nel corso dell´accertamento ispettivo, è risultato che:

- la Società, fra altri servizi per la mobilità del Comune di Palermo (servizio TPL, controllo della sosta tariffata, istallazione e manutenzione della segnaletica stradale, rimozione coattiva dei veicoli in sosta vietata, bike sharing), gestisce quello di car sharing, inserito nel circuito nazionale di car sharing, operante con il logo "IO GUIDO";

- in riferimento a tale servizio, iniziato nel marzo del 2009, la Società si avvale del supporto tecnologico fornito dall´appaltata TRS S.p.a., affidataria del servizio di geolocalizzazione degli autoveicoli;

- la Società, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice è titolare del trattamento dei dati personali effettuato per l´esecuzione dell´attività relativa al citato servizio;

- il personale della Società, appositamente incaricato del trattamento dei dati personali da parte della suddetta Società, titolare del trattamento, visualizza le anagrafiche dei clienti e i dati relativi ai singoli utilizzi delle autovetture accedendo al portale "IO GUIDO" del sito web www.icsprenoto.it - previa autenticazione con univoche credenziali rilasciate dalla TRS s.p.a. - nonché visualizza la posizione di ciascun autoveicolo in quel preciso momento (senza poter tracciare il percorso o visualizzare lo storico delle posizioni del veicolo stesso), accedendo – per mezzo di credenziali diverse dalle precedenti - al portale "supervisory", costituente una sottosezione dello stesso sito e afferente al servizio di geolocalizzazione;

- a fronte di tale trattamento di dati personali posto in essere mediante il sistema di geolocalizzazione, la Società ha omesso di effettuare la notificazione al Garante, ai sensi degli artt. 37 e 38 del Codice, prima dell´inizio del trattamento avviato nel marzo del 2009; risulta aver adempiuto a tale obbligo solo successivamente, in data 1 aprile 2016;

VISTO il verbale n. 13 del 26 febbraio 2016 con cui è stata contestata alla Società, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, per aver effettuato il trattamento di dati personali di cui all´art. 37, comma 1, lett. a), (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di effettuare la preventiva notificazione al Garante secondo le modalità indicate dall´art. 38 del Codice;

RILEVATO che dal rapporto predisposto dal predetto Nucleo ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 non risulta essere stato effettuato il pagamento in misura ridotta;

VISTA la memoria difensiva datata 12 aprile 2016, inviata ai sensi dell´art. 18 della legge n. 689/1981, con cui la Società ha inteso rappresentare:

- la propria buona fede, evidenziando l´osservanza, sotto tutti i profili, della normativa in materia di protezione dei dati personali ad eccezione della mancata notificazione oggetto di contestazione, trattandosi di un "errore procedurale non intenzionale dovuto alla mai avvenuta comunicazione da parte del Consorzio Gestori Circuito Nazionale Car Sharing circa gli obblighi a cui era soggetta l´AMAT PALERMO S.P.A.", aspetto, questo, ribadito in altri punti dello scritto difensivo: "la Società "in buona fede" non aveva precedentemente ottemperato all´obbligo di notifica in quanto tale obbligo non era stato indicato né dalla società TRS S.p.a., nella qualità di ente gestore del Software Gestionale-applicativo-sito web, né dal Consorzio Gestori Circuito Nazionale Car Sharing";

- l´insussistenza dell´obbligo di notificazione oggetto di contestazione a fronte di quanto scritto dal responsabile del trattamento dei dati della TRS S.p.a. - fornitrice dell´applicativo con il quale si effettua la geolocalizzazione, nonché del portale www.icsprenoto.it - in uno scambio di email tra le due società (email del 10 febbraio 2016 già inviata, fra altra documentazione, al Nucleo Ispettivo della Guardia di Finanza con la sopra citata nota nota prot. n.36 PRES del 16 febbraio 2016 e allegata, come allegato n. 2/A, alla citata memoria difensiva): "la posizione geografica dell´utente e del mezzo utilizzato non è mai tracciato durante la corsa; la posizione di partenza e di arrivo (parcheggio della vettura) sono ovviamente localizzati; pertanto il sistema registra soltanto che l´utente ha prelevato l´auto ad una determinata ora e l´ha rilasciata dopo un intervallo temporale percorrendo un certo numero di chilometri. Quindi rispetto all´art. 37 del D.lgs. 196/2003, in particolare (…) (in riferimento ai) dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica, si può affermare che non esiste tale presupposto e di conseguenza il Titolare non è tenuto a notificare al Garante il trattamento dei dati personali. La TRS non ha mai approntato alcun sistema atto a tracciare interamente il percorso del veicolo per il sistema "IO GUIDO"–ICS. Per contro possiamo confermare che con l´utilizzo della funzione "Supervisory" è possibile effettuare la localizzazione estemporanea dell´auto (…)";

- di aver adempiuto alla notificazione al Garante in data 1 aprile 2016, come risultante dal registro delle notificazioni;

TENUTO CONTO che la Società, per i motivi sopra esposti, ha richiesto, in via principale, l´annullamento del verbale di contestazione e, in via subordinata, l´applicazione della sanzione nella misura dei due quinti del minimo edittale in considerazione dell´adempimento - sebbene tardivo - della notificazione di cui all´art. 37 del Codice;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare  l´annullamento del verbale di contestazione e l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra. Infatti, non è rilevante che la Società non è stata informata, né dal Consorzio Gestori Circuito Nazionale Car Sharing, né dalla TRS S.p.a., fornitrice del sistema, circa l´obbligo di effettuare la notificazione al Garante. La Società, rivestendo a tutti gli effetti la qualifica di titolare del trattamento, era tenuta a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragion del fatto che, in relazione alla sue qualità professionali quale agente, era tenuto a informarsi sulle norme applicabili e sulla relativa interpretazione, tra cui l´obbligo di procedere alla notificazione al Garante secondo le modalità indicate dall´art. 38 del Codice. Secondo consolidata giurisprudenza è necessario che l´errore in cui versa il soggetto tenuto all´adempimento, affinché sia scusabile, si fondi su un elemento positivo, estraneo all´agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento. Tale elemento positivo deve risultare non ovviabile dall´interessato con l´uso dell´ordinaria diligenza: in tal caso, proprio il successivo comportamento diligente della società ha determinato l´adempimento, sebbene tardivo, dell´obbligo previsto dagli artt. 37 e 38 del Codice, in data 1 aprile 2016. Pertanto, non può essere accolta l´argomentazione relativa alla sussistenza della buona fede, a fronte dell´obbligo di osservanza della normativa in materia di protezione dei dati personali da parte del titolare del trattamento.

D´altra parte, per quanto attiene alle sopra esposte asserzioni del responsabile del trattamento della ditta fornitrice del sistema di geolocalizzazione, è irrilevante, come invece evidenziato dalla Società quale elemento a discarico, che il sistema non tracci l´intero percorso effettuato dall´autoveicolo; rileva, invece - ai fini della previsione dell´art. 37 del Codice relativa al "trattamento di  dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica"- ciò che la Guardia di Finanza, in sede di ispezione, attraverso un accesso effettuato con la collaborazione del capo operatore della flotta di car sharing, ha accertato: accedendo al portale "supervisory" afferente al servizio di geolocalizzazione, è visualizzabile la posizione di ciascun autoveicolo in quel preciso momento (fine di pag. 2 e inizio di pag. 3 del verbale di Operazioni compiute del 5 febbraio 2016). Ciò prova che il sistema è in grado di fornire la posizione del mezzo su cui è applicato il localizzatore, continuativamente, permettendo al titolare del trattamento di verificarne la posizione in qualsiasi momento, a sua discrezione, tramite l´accesso al portale "IO GUIDO" del sito web www.icsprenoto.it ad opera di un proprio dipendente munito di apposite credenziali e di risalire all´identità del cliente utilizzatore dell´autoveicolo. La stessa TRS, nell´email a cui la Società fa rinvio, sostiene, infatti, che "Per contro possiamo confermare che con l´utilizzo della funzione "Supervisory" è possibile effettuare la localizzazione estemporanea dell´auto (…)". In ordine a tutto ciò, il provvedimento del Garante del 23 aprile 2004 (in particolare il punto 2), in www.gpdp.it, doc. web n. 993385, ha chiarito, con specifico riferimento all´attività di geolocalizzazione, che questa va notificata "quando permette di individuare in maniera continuativa – anche con eventuali intervalli – l´ubicazione sul territorio o in determinate aree geografiche, in base ad apparecchiature o dispositivi elettronici detenuti dal titolare o dalla persona oppure collocati sugli oggetti";

RILEVATO, quindi, che AMAT PALERMO S.P.A., sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi dell´art. 4, comma 1, lett. f), e 28 del Codice, la violazione di cui agli artt. 37, comma 1, lett. a), e 38 del Codice, per aver effettuato trattamenti di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica senza aver preventivamente presentato la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici, avuto anche riguardo alle concrete modalità di utilizzo da parte della società del sistema di geolocalizzazione;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la Società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato la notificazione al Garante in data 1 aprile 2016 e, quindi, successivamente rispetto all´inizio del trattamento;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi del bilancio ordinario d´esercizio per l´anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20000,00 (ventimila) per la violazione di cui all´art. 163 del Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a AMAT PALERMO S.P.A. con sede in Palermo, Via Roccazzo 77, C.F. e P.I. 04797180827, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 23 novembre 2017

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia