Source: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/2272322
Timestamp: 2020-08-07 21:22:28+00:00
Document Index: 164570467

Matched Legal Cases: ['art. 157', 'art. 33', 'art. 162', 'art. 33', 'art. 16', 'art. 4', 'art. 18', 'art. 13', 'art. 33', 'art. 169', 'art. 4', 'art. 33', 'art. 11']

Ordinanza di ingiunzione nei confronti di Umbra Acque S.p.a. - 18 ottobre... - Garante Privacy
[doc. web n. 2272322]
Ordinanza di ingiunzione nei confronti di Umbra Acque S.p.a. - 18 ottobre 2012
n. 301 del 18 ottobre 2012
RILEVATO che il Comando della Guardia di finanza, Compagnia Perugia, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 19996/53969 datata 16 settembre 2009) e su specifica delega di questa Autorità, ha svolto, nei confronti della Umbra Acque S.p.a. (di seguito "società"), con sede in Perugia, Via G. Benucci n. 162, gli accertamenti di cui ai verbali di operazioni compiute datati 24 febbraio, 3 marzo, 9 aprile e 12 aprile 2010, dai quali è risultato che la società ha effettuato un trattamento di dati personali mediante un sistema di videosorveglianza, situato presso la sede amministrativa della società, e che le immagini rilevate sono state visionate da personale dipendente della Gran Sasso Sicurezza s.r.l., società a cui era stato affidato il servizio di vigilanza, in assenza della designazione di incaricati del trattamento, omettendo così di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice privacy;
VISTO il verbale datato 14 maggio 2010 con cui è stata contestata alla predetta società la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, per la quale non è prevista la definizione in via breve ai sensi dell´art. 16 della legge n. 689/1981;
VISTI gli scritti difensivi pervenuti in data 17 giugno 2010 con i quali la società, oltre a chiedere di essere sentita dall´Autorità, ha rilevato che il sistema di videosorveglianza "non permette la possibilità di individuare e riconoscere i tratti somatici di un soggetto, né tanto meno il volto dello stesso, inoltre non ha neppure una risoluzione e/o una qualità ottica tale da poter individuare e riconoscere il numero di targa di un eventuale veicolo dalla stessa inquadrato" e che "attraverso tale apparecchiatura di videosorveglianza non veniva effettuato alcun trattamento di dati". In ragione di tali assunti, la società ha evidenziato che "nessun ulteriore incarico doveva essere conferito, in tal senso, alla società Responsabile in outsourcing Gran Sasso s.r.l., attesa la sostanziale insussistenza di alcun ulteriore e/o differente trattamento posto in essere a mezzo del sistema di videosorveglianza" eccependo di aver ottemperato a tutti gli adempimenti previsti dalla vigente normativa in materia di privacy, assicurando il livello di protezione minima. Inoltre, la parte, affermando che nel caso di specie "gli accertatori hanno unicamente rilevato un (presunto e dubbio) vizio di forma", ha rappresentato di aver provveduto alla nomina di Gran Sasso s.r.l. quale responsabile in outsourcing posto che "risulta manifestamente errata la qualificazione in diritto operata dagli accertatori in quanto la società Gran Sasso s.r.l., in quanto tale, non risulta essere legittimamente qualificabile come incaricato del trattamento ai sensi dell´art. 4 del D. Lgs. 196/2003 in quanto è una persona giuridica". Quindi, la società ha chiesto che venga emessa un´ordinanza di archiviazione e, in via subordinata, che la sanzione venga applicata nella misura del minimo previsto e con l´applicazione della riduzione prevista per i casi di minore gravità;
VISTO il verbale dell´audizione delle parti del 14 luglio 2011, effettuata ai sensi dell´art. 18, legge n. 689/1981, nella quale la società ha ribadito quanto già dedotto negli scritti difensivi;
RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità della società in relazione agli illeciti contestati. Per quanto riguarda i trattamenti di dati personali effettuati dal personale di sorveglianza si rileva che, con riferimento al sistema di videosorveglianza, diversamente da quanto sostenuto negli scritti difensivi, risulta, ai sensi dell´art. 13 della legge n. 689/1981, adeguatamente accertato in atti dai pubblici ufficiali che hanno proceduto al controllo che il sistema consentiva l´identificazione degli interessati (vedi questionario allegato al verbale di operazioni compiute del 24 febbraio 2010). In ogni caso, il personale preposto alla vigilanza ha effettuato anche ulteriori trattamenti di dati personali mediante l´annotazione delle targhe dei veicoli in entrata e del nome del conducente; tali dati venivano comunicati a Umbra Acque s.p.a. (verbale di operazioni compiute del 9 aprile 2010). Per quanto, invece, attiene alla titolarità, si rileva che il personale addetto al controllo, seppur dipendente di altra società, risulta svolgere la propria attività sotto la diretta autorità di Umbra Acque s.p.a., presso la sede operativa della società e attenendosi alle istruzioni da questa impartite, come risulta da diverse specifiche disposizioni del disciplinare tecnico operativo allegato al contratto (in particolare artt. 7, 8 e 9). Per quanto sopra, in considerazione del fatto che la società non si era avvalsa, antecedentemente all´accertamento, della facoltà di designare la Gran Sasso s.r.l. quale responsabile del trattamento, l´omissione della designazione del personale addetto alla vigilanza a incaricato del trattamento (e la conseguente omissione delle misure minime di sicurezza previste dall´art. 33 e dall´allegato B del Codice) è imputabile alla Umbra Acque s.p.a. in qualità di titolare del trattamento;
CONSIDERATO che le prescrizioni impartite dall´Ufficio con il provvedimento datato 24 novembre 2010 al legale rappresentante della Umbra Acque S.p.a. sono state adempiute designando la società Servizi Italiani S.r.l. (già Gran Sasso S.r.l.) responsabile del trattamento e che si è altresì provveduto, nei termini previsti, al pagamento del quarto del massimo della sanzione prevista per la violazione amministrativa, in applicazione di quanto disciplinato dall´art. 169, comma 2, del Codice;
RILEVATO che la società ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice;
a) la gravità della violazione, gli elementi dell´entità del pregiudizio e del pericolo, delle modalità concrete della condotta e dell´intensità dell´elemento psicologico devono essere considerati in ragione del fatto che il trattamento in relazione al quale la violazione è stata commessa ha natura accessoria rispetto all´attività della società e incide in misura molto limitata sui diritti degli interessati;
b) ai fini della valutazione dell´opera svolta dall´agente, deve essere valutata positivamente la tempestività della società nell´adempiere alle prescrizioni impartite dal Garante in ordine all´adozione delle misure minime di sicurezza;
d) in merito alle condizioni economiche dell´agente, la società ha conseguito un utile di esercizio nell´anno 2010 pari a € 2.335.070;
RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 10.000,00 (diecimila);
alla Umbra Acque S.p.a., con sede in Perugia, via G. Benucci n. 162, in persona del legale rappresentante, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria;