Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1875349
Timestamp: 2020-07-04 18:56:51+00:00
Document Index: 27178941

Matched Legal Cases: ['art. 157', 'art. 157', 'art. 162', 'art. 33', 'art. 18', 'art. 30', 'art. 164', 'art. 4', 'art. 30', 'art. 33', 'art. 162', 'art. 164', 'art. 162', 'art. 33', 'art. 11', 'art. 164', 'art. 162', 'art. 27']

Ordinanza di ingiunzione nei confronti di C.T.M. s.p.a. - 22 settembre 2011... - Garante Privacy
Ordinanza di ingiunzione nei confronti di C.T.M. s.p.a. - 22 settembre 2011 [1875349]
[doc. web n. 1875349]
Ordinanza di ingiunzione nei confronti di C.T.M. s.p.a. - 22 settembre 2011
n. 344 del 22 settembre 2011
VISTA la richiesta di informazioni n. 1073/53969 datata 20 gennaio 2009, formulata ex art. 157 del d.lgs. n.196/2003, recante Codice in materia di protezione dei dati personali (di seguito denominato "Codice"), indirizzata, tra le altre, alla C.T.M. s.p.a., con sede legale in Cagliari, viale Trieste n. 159/3;
ESAMINATI il verbale di operazioni compiute redatto, ex art. 157 del Codice, dal Nucleo speciale privacy della Guardia di finanza in data 26 febbraio 2009, le ulteriori informazioni fornite dalla società con nota n. 5169/AA.GG. del 12 marzo 2009 ed il verbale di contestazione per violazione amministrativa redatto in data 21 maggio 2009 nei confronti di C.T.M. s.p.a., in persona del rappresentate legale pro-tempore, ai sensi dell´art. 162, comma 2-bis, del Codice, per la violazione delle disposizioni di cui all´art. 33 del medesimo Codice, che qui si intendono integralmente richiamati;
VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981 nel quale la C.T.M. s.p.a.:
a) circa la designazione per iscritto degli incaricati del trattamento, ha rappresentato che:
- "è vero che alla data di effettuazione delle operazioni ispettive del 26 febbraio 2009 CTM SpA non aveva provveduto alla designazione formale degli incaricati del trattamento dei dati personali dei clienti, effettuati dalla società e giusta procedura indicata ex art. 30, comma 2, del Codice, ad esclusione del personale tecnico che tratta i dati in riferimento ai sistemi di videosorveglianza installati a bordo dei mezzi di trasporto";
- "tuttavia è pur vero che, indipendentemente dalla formalizzazione delle lettere di nomina, fin dal lontano 2000 […] il personale tutto era stato reso edotto in merito al corretto trattamento dei dati personali […]";
b) in merito al comportamento complessivo tenuto dalla società, ha evidenziato che "l´azienda si è sempre adoperata concretamente nel porre in essere tutte le procedure atte a garantire il corretto trattamento dei dati personali dei clienti […] mediante una serie di iniziative quali: diffusione della "Guida privacy", istruzioni impartite oralmente in ordine alle modalità da adottare per un lecito e corretto trattamento dei dati, diffusione delle "procedure di accesso alla rete e indicazioni generali sull´utilizzo dei sistemi informativi", [ecc.]"; la società, inoltre, ha comunicato di aver tempestivamente provveduto, successivamente all´attività ispettiva svolta dalla Guardia di finanza, alla designazione per iscritto degli incaricati del trattamento dei dati;
c) ha chiesto, tra l´altro, l´applicazione dell´art. 164-bis, comma 1, del Codice, relativo ai casi di minore gravità, potendosi "considerare il temporaneo difetto di formalizzazione della nomina di alcuni incaricati come mero disguido e comunque in rapporto a tutte le diverse e articolate misure adottate dall´azienda ed in ogni caso non idoneo, nella fattispecie, a sostanziarsi" in una incisiva violazione delle misure minime di sicurezza, ovvero, in via subordinata, l´applicazione della sanzione nella misura minima;
RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale dovevano essere assolti gli obblighi di cui agli artt. 30 e 33 del Codice;
RITENUTO che, in ordine alla condotta in esame:
a) risulta accertato in atti, e non contestato dalla società, che la C.T.M. s.p.a. non ha provveduto alla designazione per iscritto, ai sensi dell´art. 30 del Codice, di una parte degli incaricati del trattamento, con ciò determinando la mancata applicazione di tutte quelle misure minime di sicurezza, di cui all´art. 33 e seguenti, che il disciplinare tecnico (allegato B al Codice) riconduce all´attività degli incaricati del trattamento medesimo (regole nr. 1-10; 12-14; 15 e 17 dell´allegato B) e la conseguente applicazione della sanzione di cui all´art. 162, comma 2-bis, del Codice;
b) pur considerando le argomentazioni sub c), non sussistano nel caso in questione le condizioni previste per l´applicazione dell´ipotesi di minore gravità di cui all´art. 164-bis, comma 1, del Codice;
VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica apportata con la legge 20 novembre 2009, n. 166, che punisce la violazione delle misure indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;
PRESO ATTO di quanto dichiarato da C.T.M. s.p.a. in ordine al comportamento complessivo tenuto dalla società con riferimento ai restanti adempimenti in tema di protezione dei dati personali nonché della condotta tenuta successivamente alla rilevazione della violazione in questione, consistita nella tempestiva designazione per iscritto degli incaricati del trattamento dei dati;
a) in ordine all´aspetto della gravità, la violazione non risulta connotata da elementi specifici se valutata in relazione all´entità del potenziale pregiudizio o del pericolo, alle modalità concrete della condotta e all´intensità dell´elemento psicologico;
b) ai fini della valutazione dell´opera svolta dall´agente, deve essere favorevolmente apprezzato il comportamento della società che ha proceduto prontamente all´effettuazione degli adempimenti in precedenza omessi, rimuovendo le cause della violazione contestata;
d) in merito alle condizioni economiche dell´agente, invece, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, devono essere apprezzati in termini di aumento della sanzione gli elementi desumibili dal bilancio d´esercizio della società per l´anno 2010, individuati nel volume d´affari della società;
RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, considerata di gravità medio-bassa in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila);
RILEVATO che l´applicazione della predetta sanzione nei confronti di C.T.M. s.p.a. risulterebbe inefficace in ragione del volume d´affari rilevabile dal bilancio dell´anno 2010;
RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l´aumento previsto dall´art. 164-bis, comma 4, del Codice nella misura, ritenuta congrua, pari a euro 40.000,00 (quarantamila);
a C.T.M. s.p.a., con sede in Cagliari, viale Trieste n. 159/3, in persona del legale rappresentante pro tempore, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 162, comma 2-bis del Codice, come determinata in motivazione;
alla medesima società di pagare la somma di euro 40.000,00 (quarantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.