Source: http://www.privacy.it/archivio/garantesanz201109154.html
Timestamp: 2018-02-22 19:04:40+00:00
Document Index: 49695268

Matched Legal Cases: ['art. 18', 'art.162', 'art. 162', 'art. 30', 'art. 33', 'art.30', 'art. 30', 'art. 33', 'art. 162', 'art. 4', 'art. 16', 'art. 11', 'art. 11', 'art. 164', 'art. 162', 'art. 27']

Ordinanza di ingiunzione nei confronti di Endemol Italia s.p.a. - 15 settembre 2011
Ordinanza diingiunzione nei confronti di Endemol Italia s.p.a.
PROVVEDIMENTO DEL 15SETTEMBRE 2011
Registro dei provvedimenti n. 331 del 15settembre 2011
ESAMINATI il verbale di operazioni compiute del 18 marzo 2009 e ilverbale di contestazione per violazione amministrativa redatto in data 15maggio 2009 nei confronti di Endemol Italia s.p.a., con sede in Roma, via MonteZebio n. 32, in persona del legale rappresentante pro tempore, per la violazionedegli articoli 30 e 33 del d. lgs. 30 giugno 2003, n. 196, recante il Codice inmateria di protezione dei dati personali (di seguito denominato "Codice"),che qui si intendono integralmente richiamati;
VISTO lo scritto difensivo inviato ai sensi dell'art. 18 della leggen. 689/1981 nel quale la società ha rappresentato:
a) circa la designazione per iscritto degli incaricati deltrattamento, che:
- "nel marzo del 2005 Endemol aveva regolarmente provvedutoalla nomina per iscritto degli incaricati del trattamento";
- all'atto dell'intervento ispettivo, "Endemol stava daqualche mese valutando l'implicazione dei provvedimenti emanati dal Garante inmateria di semplificazione [Š] In particolare, a seguito di alcuni cambiamentinella struttura della società e del personale [Š], Endemol aveva deciso diprocedere con una nomina degli incaricati per classi omogenee". Per talemotivo "il direttore generale ha richiamato la decisione di Endemol diprocedere con una nomina per classi omogenee, nomina che – anche a seguitodelle suddette norme di semplificazione – Endemol aveva pensato di poterfare solo oralmente, per poi decidere [Š] di farlo invece per iscritto, in unocon l'aggiornamento del DPS";
b) con riferimento all'applicabilità della sanzione di cui all'art.162, comma 2-bis, del Codice alla fattispecie in esame, che "la nomina periscritto dell'incaricato del trattamento non è una misura minima di sicurezzaindividuata nel [Š] Capo II del Titolo V del Codice, né è menzionata nelrelativo Allegato B) del Codice [Š] L'art. 162, comma 2-bis, del Codice non siapplica, dunque, alla violazione dell'art. 30 del Codice (che, peraltro, apparepriva di specifica sanzione)";
c) in merito al comportamento complessivo dalla società, che"Endemol è da anni puntuale nell'applicazione delle norme in materia diprivacy, [Š] ha sempre effettuato attività di formazione in materia di privacy[Š], ha pubblicato policy e procedure per l'uso di Internet e delle email inazienda, ha nominato i responsabili esterni quando necessario, ha provvedutoalla nomina dell'amministratore di sistema, ha implementato e aggiornatotempestivamente il DPS e le misure minime di sicurezza"; la società,inoltre, ha comunicato di aver tempestivamente provveduto, successivamente all'attivitàispettiva svolta dalla Guardia di finanza, alla designazione per iscritto diresponsabili ed incaricati del trattamento dei dati;
RITENUTO che le argomentazioni addotte non risultano idonee adescludere la responsabilità amministrativa in ordine a quanto contestato inquanto:
a) con riferimento alla violazione dell'art. 33 del Codice,risulta accertato in atti che la società non ha provveduto alla designazioneper iscritto di una parte degli incaricati del trattamento ai sensi dell'art.30 del Codice, con ciò determinando la mancata applicazione di quella parte dimisure minime di sicurezza che il Codice riconduce all'attività degliincaricati del trattamento medesimo. Al riguardo è opportuno sottolineare chela mancata designazione degli incaricati del trattamento non costituisce unmero inadempimento formale, ma si configura come atto presuppostoindispensabile per l'applicazione della parte più significativa delle misure disicurezza da adottarsi per il trattamento dei dati personali ed è strettamentecorrelata all'attività degli incaricati del trattamento (ovvero di coloro cheordinariamente operano sui dati personali), mirando a fornire agli stessi leistruzioni da seguire per il corretto trattamento dei dati; per tali ragioni,la mancata designazione per iscritto degli incaricati, ai sensi dell'art. 30,determina la mancata applicazione di tutte quelle misure minime di sicurezza,di cui all'art. 33 e seguenti, che il disciplinare tecnico (allegato B alCodice) riconduce all'attività degli incaricati del trattamento medesimo(regole nr. 1-10; 12-14; 15 e 17 dell'allegato B) e comporta, quindi, l'applicazionedella sanzione di cui all'art. 162, comma 2- bis, del Codice;
b) circa il provvedimento del Garante di semplificazione dellemisure minime di sicurezza datato 27 novembre 2008 [doc. web n. 1571218],Endemol Italia s.p.a. non rientra nell'ambito soggettivo di applicazione dellapredetta semplificazione poiché la società, in ragione del proprio volume d'affari,supera i parametri previsti dal d.m. 18 aprile 2005, recante adeguamento alladisciplina comunitaria dei criteri di individuazione di piccole e medieimprese, per la classificazione all'interno di tale categoria di soggetti;
RILEVATO che l'attività svolta dalla società configura un trattamentodi dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il qualedovevano essere assolti gli obblighi di cui agli artt. 30 e 33 del Codice;
PRESO ATTO di quanto dichiarato da Endemol Italia s.p.a. in ordine alcomportamento complessivo tenuto dalla società con riferimento ai restantiadempimenti in tema di protezione dei dati personali nonché della condottatenuta successivamente alla rilevazione della violazione in questione,consistita nella tempestiva designazione per iscritto di responsabili edincaricati del trattamento dei dati;
RITENUTO che, nel caso in cui l'infrazione non abbia caratterizzazionispecifiche che possano portare a valutazioni di maggiore o minor rigore, nelladeterminazione della sanzione può ritenersi corretta l'individuazione di unimporto pari al terzo del massimo o, se più favorevole, al doppio del minimo,in linea con quanto previsto dall'art. 16 della L. n. 689/1981, ferma restandola valutazione degli ulteriori elementi previsti dall'art. 11 della medesima legge[cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];
a) in ordine all'aspetto della gravità, la violazione non risultaconnotata da elementi specifici se valutata in relazione all'entità del danno odel pericolo, alle modalità concrete della condotta e all'intensità dell'elementopsicologico;
b) ai fini della valutazione dell'opera svolta dall'agente, deveessere favorevolmente apprezzato il comportamento della società che haproceduto prontamente all'effettuazione degli adempimenti in precedenza omessi,rimuovendo le cause della violazione contestata;
d) in merito alle condizioni economiche dell'agente, invece, alfine di commisurare l'importo della sanzione alla reale capacità economica deltrasgressore nel rispetto del principio di uguaglianza, devono essereapprezzati in termini di aumento della sanzione gli elementi desumibili dalbilancio d'esercizio della società per l'anno 2009, individuati nel volume d'affarirealizzato dalla società;
RITENUTO di dover determinare, ai sensi dell'art. 11 della L. n.689/1981, l'ammontare della sanzione pecuniaria, in ragione dei suddettielementi valutati nel loro complesso, nella misura pari a euro 30.000,00(trentamila);
RILEVATO che l'applicazione della predetta sanzione nei confronti diEndemol Italia s.p.a. risulterebbe inefficace, in ragione del volume d'affaririlevabile dal bilancio dell'anno 2009;
RITENUTO che, nel caso di specie, ricorrano le condizioni perapplicare l'aumento previsto dall'art. 164-bis, comma 4, del Codice nellamisura, ritenuta congrua, pari ad euro 90.000,00 (novantamila);
a Endemol Italia s.p.a., con sede in Roma, via Monte Zebio n. 32, inpersona del legale rappresentante pro tempore, di pagare la somma di euro90.000,00 (novantamila) a titolo di sanzione amministrativa pecuniaria per laviolazione dell'art. 162, comma 2-bis del Codice, come determinata inmotivazione;
alla medesima società di pagare la somma di euro 90.000,00(novantamila) secondo le modalità indicate in allegato, entro 30 giorni dallanotificazione del presente provvedimento, pena l'adozione dei conseguenti attiesecutivi a norma dall'art. 27 della legge 24 novembre 1981, n. 689,prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, siainviata a questa Autorità, in originale o in copia autentica, quietanza dell'avvenutoversamento.