[doc. web n. 9917900]

Provvedimento dell'8 giugno 2023

Registro dei provvedimenti
n. 244 dell'8 giugno 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO l’atto di accertamento ispettivo redatto dalla Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche con cui è stata rilevata la presenza di un impianto di videosorveglianza presso la sede legale di Mirva s.r.l. non conforme alle disposizioni di cui agli artt. 5, par. 1, lett. a), 114 e 157 del d.lgs. 196/2003 (Codice in materia di protezione dei dati personali);

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Gli atti di accertamento e l’avvio del procedimento.

Con nota del 15.2.2019, veniva segnalata all’Autorità l’illecita installazione di un impianto di videosorveglianza, da parte della società Mirva s.r.l. (di seguito, la Società), posizionato presso la sede legale della Società, sita in Settimo Milanese (MI), via Keplero 21, in quanto operante in assenza di cartelli informativi e idoneo a riprendere anche zone non di pertinenza della Società.

L’Ufficio ha avviato un’istruttoria preliminare in ordine ai fatti oggetto di segnalazione inviando due richieste informazioni alla Società (nota del 20.5.2019 e nota del 5.9.2019).

Non avendo ricevuto riscontro alle predette richieste di informazioni, è stata chiesta la collaborazione del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza in ordine alla raccolta delle informazioni relative alla vicenda segnalata ed è stato contestualmente avviato un procedimento, ai sensi dell’art. 166, comma 5, del d.lgs. 196/2003 (prot. 39735 del 18.1.2019), in ordine all’omessa risposta alle richieste istruttorie del Garante.

In occasione dell’accertamento ispettivo è stato rilevato che, presso i locali della Società, erano presenti “sei telecamere di cui due all’interno del capannone e quattro poste a sorveglianza delle aeree esterne” in grado di riprendere anche l’attività lavorativa dei dipendenti (in particolar modo le due installate all’interno della struttura).

Il sistema è risultato funzionante ed è stato accertato che, presso la struttura, era presente un solo cartello informativo relativo all’impianto di videosorveglianza, visibile a chi si accinge ad entrare nel capannone (cfr. atti del Nucleo - verbale di operazioni compiute 12 dicembre 2019).

Nel corso delle operazioni ispettive è stato rappresentato:

- che “L’impianto non è di proprietà della Società [ma è stato] dato in comodato dall’Istituto di vigilanza”;

- che l’impianto, istallato per garantire la sicurezza della merce e delle persone, è costituito da 6 telecamere delle quali, due poste a sorveglianza dell’ingresso con un angolo di visuale che riprende “oltre all’area di pertinenza antistante al capannone, un’area condivisa con un’altra società”, nonché “un breve tratto della strada antistante”; due che riprendono solo aree di pertinenza della Società; altre due collocate all’interno della struttura con un’inquadratura rivolta verso alcune parti limitate dell’area di lavoro, ma – come specificato dai verbalizzanti – in grado di “riprendere l’attività lavorativa dei dipendenti”;

- di non essere in possesso di una specifica autorizzazione dell’Ispettorato territoriale del lavoro;

-  che “le immagini, oltre [che dal legale rappresentante], possono essere visualizzate, via internet, anche dall’Istituto di Vigilanza, ma solo in caso di allarme”.

Sulla base delle risultanze del predetto accertamento, l’Ufficio, con nota n. 4348 del 3.2.2020, ha avviato un secondo procedimento per l’adozione di provvedimenti correttivi in relazione alla violazione del principio di liceità del trattamento di cui all’art. 5, par. 1, lett. a), dell’art. 4 della Legge n. 300/1970, richiamato dall’art. 114 del Codice nonché dell’art. 37 del Regolamento.

La notifica delle violazioni relativa a questo procedimento è stata spedita a mezzo raccomandata con avviso di ricevimento indirizzata alla sede legale di Settimio Milanese (MI), via Keplero 21.

Con riferimento a questa comunicazione, si rileva che, nonostante l’accertata corrispondenza dell’indirizzo indicato con quello risultante dalla visura camerale della Società, il relativo plico è stato restituito per “irreperibilità” del destinatario, come risulta dall’annotazione datata 10.2.2020, apposta sullo stesso.

Si è quindi proceduto ad effettuare, il 31.3.2020 e il 7.4.2020, due ulteriori tentativi di notifica a mezzo PEC, al domicilio digitale della Società risultante dalla visura camerale (mirvasrl@pec.ambs.it), entrambi non andati a buon fine, non risultando essere stato consegnato il relativo messaggio per “indirizzo non valido”. 

Solo in data 11.11.2021, la Guardia di finanza – Compagnia Rho, su richiesta dell’Autorità, ha provveduto a notificare alla parte la nota contenente l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5 del d.lgs. 196/2003 (prot. n. 4348 del 3.2.2020).   

Al riguardo, occorre però tenere conto del pacifico orientamento della giurisprudenza di legittimità che ha esteso alla notifica nel procedimento amministrativo sanzionatorio, l’applicazione del principio statuito dalle Sezioni unite per gli atti del processo civile, secondo cui in caso di notifica […] non andata a buon fine per ragioni non imputabili al notificante, questi, appreso dell'esito negativo, per conservare gli effetti collegati alla richiesta originaria deve riattivare il processo notificatorio con immediatezza e svolgere con tempestività gli atti necessari al suo completamento, ossia senza superare il limite di tempo pari alla metà dei termini indicati dall'art. 325 c.p.c., salvo circostanze eccezionali di cui sia data prova rigorosa (Cass. civ. s.u. sent. n. 14594/2016; in precedenza, Cass. civ. s.u. n. 17352/2009), precisando come quest’ultimo riferimento debba intendersi quale richiamo alla metà del termine assegnato dalla legge per ogni attività notificatoria (Cass. civ. ord. n. 36463/2022; Cass. civ. ord. n. 28136/2022; Cass. civ. ord. n. 28388/2017; Cass. civ. ord. n. 28618/2017).

Alla luce di tale principio, si deve rilevare come già il primo tentativo di rinnovazione della notifica, eseguito il 31.3.2021, a distanza di oltre un anno da quando l’Autorità ha appreso l’esito negativo del tentativo di notificazione a mezzo raccomandata, risulti tardivo, in quanto esperito sicuramente oltre il termine di 60 giorni (corrispondente alla metà del termine perentorio di 120 giorni, previsto dalla tabella B), allegata al Regolamento del Garante n. 2/2019, per la notificazione delle presunte violazioni accertate), individuato applicando il criterio elaborato dalla giurisprudenza di legittimità richiamata.

E tale conclusione deve essere confermata anche tenendo conto della sospensione dei termini di 83 giorni, dal 23 febbraio 2020 al 15 maggio 2020, legata all’emergenza epidemiologica da COVID-19 (ex art. 103, commi 1 ed 1-bis, D.L. n. 18/2020 ed art. 37, comma 1, D.L. n. 23/2020).

Tutto ciò considerato, si ritiene dunque di dover disporre l’archiviazione del secondo procedimento, avviato mediante l’atto prot. n. 4348 del 3.2.2020.

2. L’esito dell’istruttoria e del procedimento sanzionatorio.

Sulla base degli atti si rileva che la Società, non avendo fornito riscontro alla richiesta del Garante nei termini previsti, ha violato l’obbligo previsto dall’art. 157 del Codice in materia di protezione dei dati personali.

3. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166, commi 3 e 7 del Codice, il Garante dispone l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) del Regolamento, mediante adozione di un’ordinanza ingiunzione (di cui all’art. 18, della l. 24.11.1981, n. 689), in relazione ai trattamenti dei dati personali effettuati dalla Società, di cui è risultata accertata l’illiceità, nei termini su esposti, dell’art. 157 del Codice.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

in relazione alla natura, gravità e durata della violazione è stata considerata la natura della violazione che ha riguardato il dovere di leale collaborazione con l’Autorità;

con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare si rileva che la violazione ha carattere colposo;

l’assenza di precedenti specifici a carico della Società.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Mirva s.r.l., la sanzione amministrativa del pagamento di una somma pari a euro 5.000 (cinquemila).

Si ritiene, altresì, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Si ricorda che, ricorrendone i presupposti, può essere applicata in sede amministrativa la sanzione di cui all’art. 83, par. 5, lett. e) del Regolamento.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato dalla Mirva s.r.l., nei termini di cui in motivazione, per la violazione dell’art. 157 del d.lgs. 196/2003;

DETERMINA

di archiviare, per le ragioni specificamente sopra riportate, il procedimento avviato nei confronti di Mirva s.r.l., con nota prot. n. 4348 del 3.2.2020;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, a Mirva s.r.l., con sede legale in Settimo Milanese (MI) Via Keplero 21, P.I. 10226240967, di pagare la somma di euro 5.000 (cinquemila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata nel presente provvedimento;

INGIUNGE

quindi a Mirva s.r.l. di pagare la predetta somma di euro 5.000 (cinquemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 8 giugno 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei