Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confronti del Comune diUdine

PROVVEDIMENTO DEL 9 OTTOBRE 2014

Registrodei provvedimenti
 n. 453 del 9 ottobre 2014

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano,componente e del dott. Giuseppe Busia, segretario generale;

RILEVATOche il Comune di Udine C.Fisc.: 00168650307, con sede in Udine, via Lionello n.1, a fronte della richiesta di informazioni n. 7447/75255 del 21 marzo 2012formulata dall'Ufficio del Garante ai sensi dell'art. 157 del d. lgs. 30 giugno2003 n. 196, recante il Codice in materia di protezione dei dati personali (diseguito "Codice") e ritualmente notificata, non ha fornito alcunriscontro, così come accertato nella nota n. 15002/75255 del 7 giugno 2012;

RILEVATO,altresì, che nel prosieguo dell'attività istruttoria resosi necessario a causadel mancato riscontro del Comune di Udine, la Guardia di finanza, Nucleospeciale privacy, in esecuzione della richiesta di informazioni n. 24924/75255dell'8 ottobre 2012, formulata ai sensi dell'art. 157 del Codice, ha svoltoaccertamenti presso il Comune di Udine, come riportato nel verbale di operazionicompiute del 6 novembre 2012, da cui è risultato che il predetto Comune, inqualità di titolare del trattamento, non ha provveduto all'aggiornamento delDocumento programmatico sulla sicurezza (D.P.S.) entro la data del 31 marzodegli anni dal 2005 al 2011, in violazione  degli artt. 33 e 34 delCodice;

VISTO ilverbale n. 17863/75255 del 6 luglio 2012 con cui è stata contestata, alpredetto ente locale quale titolare del trattamento la violazioneamministrativa, prevista dall'art. 164 del Codice, in relazione all'art. 157,informandolo della facoltà di effettuare il pagamento in misura ridotta aisensi dell'art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATOil rapporto predisposto ai sensi dell'art. 17 della legge 24 novembre 1981, n.689, dal quale risulta che non è stato effettuato il pagamento in misuraridotta; 

VISTO ilverbale n. 109/2012 del 12 dicembre 2012 redatto dalla Guardia di finanza, Nucleospeciale privacy, con cui è stata contestata al Comune di Udine, in qualità dititolare del trattamento, la violazione amministrativa prevista dall'art. 162,comma 2-bis, in relazione all'art. 33 del Codice, per la quale non è previstala definizione in via breve ai sensi dell'art. 16 della legge 24 novembre 1981n. 689;

VISTO loscritto difensivo datato 22 gennaio 2013 afferente la contestazione di cuiall'art. 162, comma 2-bis del Codice e la nota n. 01004 del 9 agosto 2012recante, tra l'altro, alcune osservazioni circa la contestazione di cuiall'art. 164 del Codice, redatti ai sensi dell'art. 18 della legge n. 689/1981nei quali il Comune, riguardo l'illecito di cui all'art. 162, comma 2-bis delCodice, ha sottolineato "() che la rilevazione dell'asserita violazione èavvenuta a seguito dell'espletamento dell'attività di controllo () in data 6novembre 2012. A tale data era già in vigore il predetto art. 45 lettera c) delDecreto Legge 5/2012 che ha soppresso la lettera g) dell'art. 34 del D.Lgs196/03, pertanto è pacifico che al momento della sua rilevazione il fattocontestato () non si configurava più un illecito amministrativo e pertanto nonera più sanzionabile", in applicazione di quanto asserito dalla Corte diCassazione Sezione Lavoro nella sentenza n. 7524 del 22 maggio 2002. Haevidenziato, altresì, come "() l'omesso aggiornamento annuale del DPS,non ha comportato incrementi del livello di rischio e/o sicurezza nelleoperazioni di trattamento dei dati da parte degli uffici comunali", attesoche "() il costante mantenimento nel tempo delle prassi operativedescritte nel DPS e nei suoi allegati () ha consentito all'amministrazione diassicurare un livello di sicurezza nei trattamenti dei dati personali aderenteai livelli minimi prescritti dal D.Lgs. 196/03". Riguardo la richiesta diinformazioni ai sensi dell'art. 157 del Codice, il trasgressore ha rilevatocome "Il mancato riscontro alla note di Codesta Autorità di data () 21marzo 2012 è stata determinata da un mero disguido di naturatecnico-burocratica ()";

LETTO ilverbale di audizione, svoltasi il 13 maggio 2013, ai sensi dell'art. 18 dellalegge n. 689/1981, con cui la parte ha sostanzialmente ribadito quanto giàdedotto nelle memorie difensive;

RITENUTOche le argomentazioni addotte non risultano idonee in relazione a quantocontestato. Relativamente alla contestazione di cui all'art. 162, comma 2-bisdel Codice, nell'evidenziare come la natura permanente dell'illecito omissivocontestato determini l'individuazione del suo momento consumativo non nelmomento in cui la condotta omissiva illecita è stata accertata (verbale dioperazioni compiute del 6 novembre 2012), bensì all'atto della cessazione dellamedesima condotta illecita (31 marzo 2011), ovvero, in attuazione del principiodi legalità di cui all'art. 1 della legge n. 689/1981, prima dell'entrata invigore dell'art. 45 lettera c) del Decreto Legge 5/2012 che ha soppresso lalettera g) dell'art. 34 del D.Lgs 196/03, si evidenzia come il Comune equivochisull'effettiva portata della sentenza citata. In effetti la S.C., nel definirelo specifico caso in trattazione, partendo dall'assunto che la norma in essacitata (art. 116, comma 12, della legge n. 388 del 2000) "() ha abolitotutte le sanzioni amministrative ()", ha sancito il principio in base alquale "() poiché la norma fa riferimento non alle condotte ma allamanifestazione della potestas puniendi della pubblica autorità, risultanorimosse le sanzioni amministrative relative ad infrazioni contestate dopol'entrata in vigore della nuova legge ()". Appare evidente come ilprincipio asserito dalla S.C. non sia applicabile al caso che ci occupa, attesoche, l'art. 45 lettera c) del Decreto Legge 5/2012 che ha soppresso la letterag) dell'art. 34 del D.Lgs 196/03, non ha abrogato la sanzione amministrativa,bensì ha abrogato la previsione normativa che individuava la condotta illecita,ciò determinando l'applicabilità, in ossequio del citato principio di legalitàdi cui all'art. 1 della legge n. 689/1981, della norma sanzionatoria (maiabrogata) vigente nel momento della cessazione della condotta omissiva (31marzo 2011). Si rileva, poi, come le argomentazioni relative al fatto che"() l'omesso aggiornamento annuale del DPS, non ha comportato incrementidel livello di rischio e/o sicurezza nelle operazioni di trattamento dei dati ()",non sostanziano alcuna esimente agli obblighi a suo tempo previsti dalla normaviolata, ove, parimenti, non è riscontrabile alcun elemento costitutivo delladisciplina dell'errore scusabile di cui all'art. 3 della legge n. 689/1981.Relativamente a quanto osservato circa la richiesta di informazioni ai sensidell'art. 157 del Codice, quanto rappresentato circa "() un mero disguidodi natura tecnico-burocratica ()", non sostanzia alcuno degli elementicostitutivi della disciplina inerente l'errore scusabile di cui all'art. 3della legge n. 689/1981, ove, peraltro, si evidenzia, in ordine allevalutazioni sulla gravità dello specifico illecito contestato, che il Comune,oltre a non aver dato riscontro alla richiesta di informazioni ai sensidell'art. 157 del Codice, non ha provveduto, a suo tempo, ha fornire leinformazioni richieste per mezzo di apposita nota del Dipartimento giuridicocompetente dell'Ufficio;

RILEVATO,quindi, che il Comune di Udine, in qualità di titolare del trattamento non hafornito al Garante le informazioni e i documenti richiesti ai sensi dell'art.157 del Codice e non ha tenuto un aggiornato Documento programmatico sullasicurezza (previsto all'epoca dei fatti dal disciplinare tecnico allegato B alCodice), omettendo, quindi, di adottare le misure minime di sicurezza di cuiall'art. 33 del Codice;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 33 del Codice con la sanzione amministrativadel pagamento di una somma da diecimila euro a centoventimila euro;

VISTOl'art. 164 del Codice che punisce la violazione delle disposizioni di cuiall'art. 157 del medesimo Codice con la sanzione amministrativa del pagamentodi una somma da diecimila euro fino a sessantamila euro;

RITENUTOche, nel caso di specie, con riferimento alla sola violazione di cui all'art.162, comma 2-bis del Codice, ricorrano le condizioni per applicare l'art.164-bis, comma 1, del Codice che prevede che se taluna delle violazioni di cuiagli articoli 161, 162, 163 e 164 è di minore gravità, avuto altresì riguardoalla natura anche economica o sociale dell'attività svolta, i limiti minimi emassimi stabiliti dai medesimi articoli sono applicati in misura pari a duequinti;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTO,pertanto, di dover determinare, ai sensi dell'art. 11 della legge 24 novembre1981, n. 689, l'ammontare della sanzione pecuniaria nella misura di 4.000,00(quattromila) per la violazione di cui all'art. 162, comma 2-bis del Codice el'ammontare della sanzione pecuniaria nella misura di 10.000,00 (diecimila) perla violazione di cui all'art. 164 del Codice, per un importo complessivo pari aeuro 14.000,00 (quattordicimila);

VISTA ladocumentazione in atti;

VISTA lalegge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE leosservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art.15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

ORDINA

alComune di Udine C.Fisc.: 00168650307, con sede in Udine, via Lionello n. 1, inpersona del legale rappresentante pro-tempore di pagare la somma di euro4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per laviolazione di cui all'art. 162, comma 2-bis, e la somma di euro 10.000,00(diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dicui all'art. 164, per un importo complessivo pari a euro 14.000,00(quattordicimila) come indicato in motivazione;

INGIUNGE

almedesimo Comune di pagare la somma di euro 14.000,00 (quattordicimila), secondole modalità indicate in allegato, entro 30 giorni dalla notificazione delpresente provvedimento, pena l'adozione dei conseguenti atti esecutivi a normadall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro iltermine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, inoriginale o in copia autentica, quietanza dell'avvenuto versamento.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trenta giornidalla data di comunicazione del provvedimento stesso, ovvero di sessanta giornise il ricorrente risiede all'estero.

Roma, 9 ottobre 2014

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia