Source: http://www.privacy.it/archivio/garantesanz201109222.html
Timestamp: 2018-10-22 17:20:29+00:00
Document Index: 5443663

Matched Legal Cases: ['art. 157', 'art. 157', 'art. 162', 'art. 33', 'art. 18', 'art. 30', 'art. 164', 'art. 30', 'art. 33', 'art. 162', 'art. 164', 'art. 11', 'art. 164', 'art. 162', 'art. 27']

Ordinanza diingiunzione nei confronti di C.T.M. s.p.a.
PROVVEDIMENTO DEL 22SETTEMBRE 2011
Registro dei provvedimenti n. 344 del 22settembre 2011
VISTA la richiesta di informazioni n. 1073/53969 datata 20 gennaio2009, formulata ex art. 157 del d.lgs. n.196/2003, recante Codice in materia diprotezione dei dati personali (di seguito denominato "Codice"),indirizzata, tra le altre, alla C.T.M. s.p.a., con sede legale in Cagliari,viale Trieste n. 159/3;
ESAMINATI il verbale di operazioni compiute redatto, ex art. 157 delCodice, dal Nucleo speciale privacy della Guardia di finanza in data 26febbraio 2009, le ulteriori informazioni fornite dalla società con nota n.5169/AA.GG. del 12 marzo 2009 ed il verbale di contestazione per violazioneamministrativa redatto in data 21 maggio 2009 nei confronti di C.T.M. s.p.a.,in persona del rappresentate legale pro-tempore, ai sensi dell'art. 162, comma2-bis, del Codice, per la violazione delle disposizioni di cui all'art. 33 delmedesimo Codice, che qui si intendono integralmente richiamati;
VISTO lo scritto difensivo inviato ai sensi dell'art. 18 della leggen. 689/1981 nel quale la C.T.M. s.p.a.:
a) circa la designazione per iscritto degli incaricati deltrattamento, ha rappresentato che:
- "è vero che alla data di effettuazione delle operazioniispettive del 26 febbraio 2009 CTM SpA non aveva provveduto alla designazioneformale degli incaricati del trattamento dei dati personali dei clienti,effettuati dalla società e giusta procedura indicata ex art. 30, comma 2, delCodice, ad esclusione del personale tecnico che tratta i dati in riferimento aisistemi di videosorveglianza installati a bordo dei mezzi di trasporto";
- "tuttavia è pur vero che, indipendentemente dallaformalizzazione delle lettere di nomina, fin dal lontano 2000 [Š] il personaletutto era stato reso edotto in merito al corretto trattamento dei datipersonali [Š]";
b) in merito al comportamento complessivo tenuto dalla società,ha evidenziato che "l'azienda si è sempre adoperata concretamente nelporre in essere tutte le procedure atte a garantire il corretto trattamento deidati personali dei clienti [Š] mediante una serie di iniziative quali:diffusione della "Guida privacy", istruzioni impartite oralmente inordine alle modalità da adottare per un lecito e corretto trattamento dei dati,diffusione delle "procedure di accesso alla rete e indicazioni generalisull'utilizzo dei sistemi informativi", [ecc.]"; la società, inoltre,ha comunicato di aver tempestivamente provveduto, successivamente all'attivitàispettiva svolta dalla Guardia di finanza, alla designazione per iscritto degliincaricati del trattamento dei dati;
c) ha chiesto, tra l'altro, l'applicazione dell'art. 164-bis,comma 1, del Codice, relativo ai casi di minore gravità, potendosi"considerare il temporaneo difetto di formalizzazione della nomina dialcuni incaricati come mero disguido e comunque in rapporto a tutte le diversee articolate misure adottate dall'azienda ed in ogni caso non idoneo, nellafattispecie, a sostanziarsi" in una incisiva violazione delle misureminime di sicurezza, ovvero, in via subordinata, l'applicazione della sanzionenella misura minima;
a) risulta accertato in atti, e non contestato dalla società, chela C.T.M. s.p.a. non ha provveduto alla designazione per iscritto, ai sensidell'art. 30 del Codice, di una parte degli incaricati del trattamento, con ciòdeterminando la mancata applicazione di tutte quelle misure minime disicurezza, di cui all'art. 33 e seguenti, che il disciplinare tecnico (allegatoB al Codice) riconduce all'attività degli incaricati del trattamento medesimo(regole nr. 1-10; 12-14; 15 e 17 dell'allegato B) e la conseguente applicazionedella sanzione di cui all'art. 162, comma 2-bis, del Codice;
b) pur considerando le argomentazioni sub c), non sussistano nelcaso in questione le condizioni previste per l'applicazione dell'ipotesidi minore gravità di cui all'art. 164-bis, comma 1, del Codice;
PRESO ATTO di quanto dichiarato da C.T.M. s.p.a. in ordine alcomportamento complessivo tenuto dalla società con riferimento ai restantiadempimenti in tema di protezione dei dati personali nonché della condottatenuta successivamente alla rilevazione della violazione in questione,consistita nella tempestiva designazione per iscritto degli incaricati deltrattamento dei dati;
a) in ordine all'aspetto della gravità, la violazione non risultaconnotata da elementi specifici se valutata in relazione all'entità delpotenziale pregiudizio o del pericolo, alle modalità concrete della condotta eall'intensità dell'elemento psicologico;
d) in merito alle condizioni economiche dell'agente, invece, alfine di commisurare l'importo della sanzione alla reale capacità economica deltrasgressore nel rispetto del principio di uguaglianza, devono essereapprezzati in termini di aumento della sanzione gli elementi desumibili dalbilancio d'esercizio della società per l'anno 2010, individuati nel volumed'affari della società;
RITENUTO di dover determinare, ai sensi dell'art. 11 della L. n.689/1981, l'ammontare della sanzione pecuniaria, considerata di gravitàmedio-bassa in ragione dei suddetti elementi valutati nel loro complesso, nellamisura di euro 20.000,00 (ventimila);
RILEVATO che l'applicazione della predetta sanzione nei confronti diC.T.M. s.p.a. risulterebbe inefficace in ragione del volume d'affari rilevabiledal bilancio dell'anno 2010;
RITENUTO che, nel caso di specie, ricorrano le condizioni perapplicare l'aumento previsto dall'art. 164-bis, comma 4, del Codice nellamisura, ritenuta congrua, pari a euro 40.000,00 (quarantamila);
a C.T.M. s.p.a., con sede in Cagliari, viale Trieste n. 159/3, inpersona del legale rappresentante pro tempore, di pagare la somma di euro40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per laviolazione dell'art. 162, comma 2-bis del Codice, come determinata inmotivazione;
alla medesima società di pagare la somma di euro 40.000,00(quarantamila) secondo le modalità indicate in allegato, entro 30 giorni dallanotificazione del presente provvedimento, pena l'adozione dei conseguenti attiesecutivi a norma dall'art. 27 della legge 24 novembre 1981, n. 689,prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, siainviata a questa Autorità, in originale o in copia autentica, quietanzadell'avvenuto versamento.