Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confronti di Meridis.r.l.

PROVVEDIMENTO DEL 18 SETTEMBRE 2014

Registrodei provvedimenti
 n. 413 del 18 settembre 2014

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche, nell'ambito di un'attività istruttoria nei confronti di Meridi s.r.l.P.I.: 03132790878, con sede in Belpasso (Ct), Contrada Rubino S.P. 14, laGuardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta diinformazioni n. 9401/71881 del 5 maggio 2011 formulata ai sensi dell'art. 157del Codice ha svolto accertamenti presso il punto vendita denominato Fortè HardDiscount sito in Siracusa, via Monteforte n. 8/a, come riportato nel verbale dioperazioni compiute datato 8 e 9 agosto 2011, da cui, successivamente, èrisultato che la predetta società, a fronte del trattamento di dati effettuatomediante un impianto di videosorveglianza, non ha provveduto a fornireun'idonea informativa ai sensi dell'art. 13 del Codice, nella formasemplificata di cui al provvedimento in materia di videosorveglianza datato 8aprile 2010. Inoltre la società, a fronte del medesimo trattamento effettuatotramite il citato impianto di videosorveglianza, non ha provveduto alladesignazione degli incaricati del trattamento dei dati di cui all'art. 30 delCodice, omettendo di predisporre sia le necessarie procedure di autenticazioneinformatica sia quelle di gestione delle credenziali di autenticazione, con laconseguente violazione delle misure minime di sicurezza previste dagli artt. 33e 34 del Codice la cui applicazione presuppone la preliminare designazionedegli incaricati del trattamento. Risulta, altresì, accertato che la società,conservando le immagini registrate dall'impianto di videosorveglianza per oltreun mese, ha omesso di attuare le misure previste, ai sensi dell'art. 154, comma1 lett. c) del Codice, al paragrafo 3.4 del provvedimento generale in materiadi videosorveglianza dell'8 aprile 2010;

VISTO ilverbale n. 56/2011 del 13 settembre 2011 redatto dalla Guardia di finanza,Nucleo speciale privacy, con cui sono state contestate a Meridi s.r.l., inqualità di titolare del trattamento, la violazione amministrativa previstadall'art. 161, in relazione all'art. 13 del Codice, (per la quale è statoeffettuato il pagamento in misura ridotta ai sensi dell'art. 16 della legge 24novembre 1981 n. 689, con conseguente estinzione del procedimentoamministrativo sanzionatorio), la violazione amministrativa prevista dall'art.162, comma 2-bis, in relazione all'art. 33 del Codice, per la quale non èprevista la definizione in via breve, ai sensi dell'art. 16 della legge n.689/1981, e la violazione amministrativa prevista dall'art. 162, comma 2-ter,in relazione all'art. 154, comma 1 lett. c) del Codice, per la quale non èstato effettuato il pagamento in misura ridotta ai sensi dell'art. 16 dellalegge 24 novembre 1981 n. 689;

VISTO loscritto difensivo del 29 ottobre 2011 inviato ai sensi dell'art. 18 della legge24 novembre 1981, n. 689, nel quale la società ha osservato come, nel caso dispecie, l'Autorità non abbia provveduto a effettuare la comunicazione di avviodel procedimento ai sensi dell'art. 7 della legge n. 241/1990 e abbia altresìdisatteso quanto stabilito dall'art. 3 della medesima legge, omettendo dimotivare il provvedimento sanzionatorio. Nel merito, riguardo la violazione dicui all'art. 162, comma 2-ter del Codice, ha evidenziato come nessunprovvedimento del Garante risulta essere stato violato, "() attesa lainesistenza del provvedimento medesimo specificatamente emesso nei confronti diMeridi S.r.l. ()". Rileva poi come "Alla luce del chiaro dispostodelle norme (con riferimento all'art. 24 del Codice e alla legge n. 300/1970) edella giurisprudenza () appare evidente che i controlli a distanza deilavoratori effettuati per finalità di tutela del patrimonio aziendale dinnanzia fatti illeciti esula dal campo di applicazione del sistema normativo previstodal D. Lvo n. 196/2003, dal provvedimento del garante in data 8 aprile 2010 edagli art. 4 e 38 dello Statuto dei Lavoratori";

LETTO ilverbale di audizione del 2 dicembre 2013, ai sensi dell'art. 18 della legge n.689/1981, con cui la parte ha sostanzialmente ribadito quanto già dedotto nellememorie difensive;

RITENUTOche le argomentazioni addotte non risultano essere idonee ad escludere laresponsabilità in relazione alla contestazione. Relativamente a quantoargomentato circa i richiamati artt. 3 e 7 della legge n. 241/90, si evidenziacome la Corte di Cassazione si sia ripetutamente espressa nel senso che"nelle fattispecie regolate dalle norme di cui alla legge 24 novembre 1981n. 689 in materia di irrogazione di sanzioni amministrative, non trovano applicazionele disposizioni sulla partecipazione degli interessati al procedimentoamministrativo (art. 7 legge 241/1990), le quali configurano una normativagenerale su cui prevale la legge speciale, in quanto idonea – mediante imeccanismi di informazione e di difesa previsti dagli artt. 17 e 18 – adassicurare garanzie di partecipazione non inferiori al minimum prescritto dallaanzidetta normativa" (Cass. Civile Sez. Lavoro, sent. n. 3254 del 5 maggio2003). In questo ambito la comunicazione di avvio del procedimento(sanzionatorio) è da individuarsi nell'atto di contestazione della violazioneamministrativa, regolarmente notificato alla società e la partecipazione almedesimo procedimento risulta essersi pienamente realizzata attraverso l'inviodi scritti difensivi e l'audizione. Inoltre sul punto giova rilevare come lacontestazione, atto di avvio del procedimento amministrativo sanzionatorio, siaampiamente motivata in relazione a tutte le fattispecie contestate. Inoltre, sirileva che il provvedimento del Garante sulla videosorveglianza, datato 8aprile 2010, in quanto provvedimento generale pubblicato sulla GazzettaUfficiale n. 99 del 29 aprile 2010, si applica a tutti i soggetti che trattanodati personali per mezzo di impianti di videosorveglianza; il potere delGarante di adottare tale tipologia di atto è stato anche confermato in ambitogiurisdizionale, con la sentenza n. 12826 del 10 dicembre 2009 del Tribunale diRoma. Del resto, l'esplicito richiamo all'art. 154, comma 1 lett. c) del Codicenella parte del provvedimento sulla videosorveglianza (paragrafo 3.4) chedisciplina i tempi di conservazione delle immagini, conferisce a tali regole lavalenza prescrizionale, la cui inosservanza determina, come nel caso che cioccupa,  il ricorrere dell'illecito sanzionato dall'art. 162, comma 2-terdel Codice. Giova, infine, osservare come quanto rappresentato circal'inapplicabilità, al caso che ci occupa, di quanto "() previsto dal D.Lvo n. 196/2003 ()" risulta palesemente inconferente;

RILEVATO,quindi, che Meridi s.r.l., in qualità di titolare del trattamento, non haprovveduto alla designazione degli incaricati del trattamento dei dati di cuiall'art. 30 del Codice senza predisporre sia le necessarie procedure diautenticazione informatica sia quelle di gestione delle credenziali diautenticazione, omettendo, di conseguenza, di adottare le misure minime disicurezza di cui all'art. 33 del Codice. Inoltre, la società, conservando leimmagini registrate dall'impianto di videosorveglianza per oltre un mese, haomesso di attuare le misure previste, ai sensi dell'art. 154, comma 1 lett. c)del Codice, al paragrafo 3.4 del provvedimento generale in materia divideosorveglianza dell'8 aprile 2010;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 33 del Codice con la sanzione amministrativadel pagamento di una somma da diecimila euro a centoventimila euro;

VISTOl'art. 162, comma 2-ter del Codice, che punisce la violazione dell'art. 154,comma 1 lett. c) del medesimo Codice con la sanzione amministrativa delpagamento di una somma da trentamila euro a centottantamila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTO,pertanto, di dover determinare, ai sensi dell'art. 11 della legge 24 novembre1981, n. 689, l'ammontare della sanzione pecuniaria nella misura di euro10.000,00 (diecimila) per la violazione di cui all'art. 162, comma 2-bis, delCodice e di euro 30.000,00 (trentamila) per la violazione di cui all'art. 162,comma 2-ter, del Codice, per un importo complessivo pari a euro 40.000,00(quarantamila);

VISTA ladocumentazione in atti;

VISTA lalegge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE leosservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art.15 del regolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

ORDINA

allaMeridi s.r.l. P.I.: 03132790878, con sede in Belpasso (Ct), Contrada RubinoS.P. 14, in persona del legale rappresentante pro-tempore di pagare la somma dieuro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniariaper le violazioni di cui agli artt. 162, comma 2-bis e ter come indicato inmotivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 40.000,00 (quarantamila), secondole modalità indicate in allegato, entro 30 giorni dalla notificazione delpresente provvedimento, pena l'adozione dei conseguenti atti esecutivi a normadall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro iltermine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, inoriginale o in copia autentica, quietanza dell'avvenuto versamento.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 18 settembre 2014

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia