[doc. web n. 4000627]
Ordinanza di ingiunzione nei confront di Comune di Montefranco - 2 aprile 2015
Registro dei provvedimenti
n. 201 del 2 aprile 2015
n. 201 del 2 aprile 2015
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA
riunione odierna, alla presenza del dott. Antonello Soro, presidente,
della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna
Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott.
Giuseppe Busia, segretario generale;
RILEVATO
che, a seguito di un ricorso con cui veniva lamentata la presunta
violazione della disciplina in materia di protezione dei dati personali
da parte della Euten s.r.l., è stata svolta una complessa istruttoria da
parte dell'Ufficio nei confronti del Comune di Montefranco, all'esito
della quale è emerso che il suddetto Comune ha affidato alla Euten
s.r.l. il servizio di elaborazione dei dati personali rilevati dagli
strumenti Autovelox a seguito di violazioni del Codice della strada,
designandola responsabile del trattamento dei dati, e che quest'ultima
si è, a sua volta, avvalsa della Mercurio service s.r.l. per lo
svolgimento di una parte della predetta attività, in particolare di
quella relativa alla stampa, imbustamento e postalizzazione dei verbali
di violazione al Codice della strada, provvedendo essa stessa alla
designazione quale responsabile del trattamento;
CONSIDERATO
che, dalla documentazione acquisita, è risultato che il Comune di
Montefranco era a conoscenza dell'attività svolta dalla Mercurio service
s.r.l. e che non ha provveduto a regolare, sotto il profilo della
protezione dei dati personali, il ruolo assunto da questa;
VISTO
il verbale prot. n. 26502/72908 del 24 ottobre 2012 con cui è stata
contestata al Comune di Montefranco, con sede in Montefranco (TR), via
di Mezzo n. 1, la violazione amministrativa prevista dall'art. 162,
comma 2-bis, del Codice, per aver effettuato una comunicazione di dati
personali in assenza di idonei presupposti normativi, in violazione
dell'art. 19 del medesimo Codice, informandolo della facoltà di
effettuare il pagamento in misura ridotta ai sensi dell'art. 16 della
legge 24 novembre 1981 n. 689;
RILEVATO
che dal rapporto relativo all'atto di contestazione di cui sopra,
predisposto ai sensi dell'art. 17 della legge 24 novembre 1981, n. 689,
non risulta essere stato effettuato il pagamento in misura ridotta;
VISTI
gli scritti difensivi, inviati ai sensi dell'art. 18 della legge 24
novembre 1981 n. 689, con cui il Comune ha dichiarato che la procedura
relativa alla gestione dei procedimenti sanzionatori per violazione al
Codice della strada prevede che vi siano due categorie di dati trattati,
ovvero i numeri di targa, raccolti dal personale del Corpo di polizia
municipale, e i nominativi dei proprietari delle autovetture, associati
dalla Euten s.r.l. ai numeri di targa mediante consultazione dei
pubblici registri. Pertanto, secondo la parte, la titolarità del
trattamento è in capo al Comune e alla Euten s.r.l., in considerazione
della diversità dei dati trattati da ciascuno e delle autonome decisioni
assunte in ordine alla finalità, alle modalità del trattamento e agli
strumenti utilizzati. Di conseguenza, "il Comune di Montefranco ha
nominato la Euten s.r.l. responsabile esterno del trattamento, mentre la
Euten s.r.l., in qualità di autonomo titolare del trattamento dei dati
estratti presso i pubblici registri (e non comunicati dal Comune di
Montefranco), ha nominato quale proprio responsabile esterno la società
Mercurio s.r.l." per l'attività di stampa, imbustamento e spedizione
degli atti. La parte ha, tra l'altro, precisato di non aver mai
comunicato i dati personali alla Mercurio service s.r.l., ma di aver
sempre interagito con la Euten s.r.l. E' stata, poi, eccepita
l'applicabilità al caso di specie dell'art. 167 del Codice, per la
mancanza dell'elemento psicologico e l'intenzione di trarre per sé o per
altri profitto o di recare ad altri un danno. Piuttosto, la parte
sostiene di aver agito in buona fede, certa che il trattamento dei dati
effettuato dalla Mercurio service s.r.l. avvenisse nel rispetto delle
norme, in virtù della designazione a responsabile del trattamento,
effettuata dalla Euten s.r.l.;
LETTO
il verbale di audizione del 21 gennaio 2013, svoltosi ai sensi
dell'art. 18 della legge 24 novembre 1981 n. 689, in cui la parte ha
ribadito quanto già dichiarato nelle memorie difensive, precisando che
il servizio di esternalizzazione affidato alla Euten s.r.l., alla
scadenza del contratto, non è stato rinnovato;
RITENUTO
che le argomentazioni addotte non consentono di escludere la
responsabilità della parte in relazione a quanto contestato. In
particolare, non può essere condivisa la tesi della parte secondo cui
anche la Euten s.r.l. debba considerarsi titolare del trattamento dei
dati personali, di cui direttamente si occupa. Infatti, la circostanza
che i dati siano raccolti, elaborati e utilizzati da un soggetto non è
di per sé sufficiente a qualificarlo titolare del trattamento che,
invece, in base all'art. 4, comma 1, lett. f) del Codice, è "la pubblica
amministrazione (…) cui competono (…) le decisioni in ordine alle
finalità, alle modalità del trattamento dei dati personali e agli
strumenti utilizzati". Pertanto, nel caso di specie, non vi è dubbio che
titolare del trattamento sia esclusivamente il Comune, che ha assunto
tutte le decisioni in merito alla finalità del trattamento (quale
l'accertamento e le sanzioni delle violazioni al Codice della strada) e
alle modalità dello stesso, desumibili dal contratto di appalto
stipulato con la Euten s.r.l. e acquisito agli atti del fascicolo. Posto
ciò, le attività poste in essere dalla Mercurio service s.r.l. hanno
determinato un ulteriore trattamento di dati personali dei soggetti
destinatari della sanzioni amministrative da parte di un soggetto non
legittimato, posto che il titolare non è intervenuto a disciplinarne il
rapporto sotto il profilo privacy. Sarebbe stato corretto, invece, che
il Comune, in qualità di unico titolare del trattamento, procedesse,
anche nei riguardi della Mercurio service s.r.l., alla designazione di
responsabile del trattamento. Invece, in assenza di tale designazione,
le comunicazioni di dati personali tra i due soggetti sono stati
correttamente inquadrati alla luce dell'art. 19, comma 3, del Codice,
ovvero quale comunicazione di dati da un soggetto pubblico a uno
privato, ammissibile, tuttavia, unicamente quanto è prevista da una
norma di legge o di regolamento, che, nel caso in esame, manca. Tra
l'altro, la circostanza che la comunicazione dei dati idonei a
identificare indirettamente l'interessato, quali i numeri di targa degli
autoveicoli (art. 4, comma 1, lett. b, del Codice), non sia stata fatta
direttamente dal titolare nei confronti della Mercurio service s.r.l.,
non vale ad escluderne la responsabilità. In primo luogo perché ciò è
avvenuto tramite il proprio responsabile del trattamento e, circostanza
ancora più rilevante, perché il Comune ne era a conoscenza. Emerge,
infatti, dalla documentazione prodotta, che il Comune stesso abbia
informato Poste Italiane S.p.a. che la stampa dei bollettini di conto
corrente, precompilati, veniva affidata alla Mercurio service s.r.l.
Tale circostanza fa venir meno anche l'esimente della buona fede che, ai
sensi dell'art. 3 della legge n. 689/1981, esclude la responsabilità
quando sussistono elementi positivi, estranei all'autore della
violazione, idonei a ingenerare in lui il convincimento della liceità
del suo agire;
RILEVATO,
pertanto, che il Comune di Montefranco ha effettuato un trattamento di
dati personali ai sensi dell'art. 4, comma 1, lett. a) e b) del Codice,
effettuando una comunicazione di dati personali in assenza di idonei
presupposti normativi, in violazione di quanto disposto dall'art. 19,
comma 3, del Codice;
VISTO
l'art. 162, comma 2-bis, del Codice che punisce la violazione delle
disposizioni indicate nell'art. 167 del medesimo Codice (tra cui l'art.
19) con la sanzione amministrativa del pagamento di una somma da
diecimila euro a centoventimila euro;
RITENUTO
che, nel caso di specie, ricorrano le condizioni per applicare l'art.
164-bis, comma 1, del Codice il quale prevede che se taluna delle
violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i
limiti minimi e massimi stabiliti negli stessi articoli sono applicati
in misura pari a due quinti;
VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;
CONSIDERATO
che, ai fini della determinazione dell'ammontare della sanzione
pecuniaria, occorre tenere conto, ai sensi dell'art. 11 della legge 24
novembre 1981 n. 689, dell'opera svolta dall'agente per eliminare o
attenuare le conseguenze della violazione, della gravità della
violazione, della personalità e delle condizioni economiche del
contravventore e che, pertanto, l'ammontare della sanzione pecuniaria
deve essere quantificato in euro 4.000,00 (quattromila);
VISTA la documentazione in atti;
VISTE
le osservazioni dell'Ufficio, formulate dal segretario generale ai
sensi dell'art. 15 del regolamento del Garante n. 1/2000, adottato con
deliberazione del 28 giugno 2000;
RELATORE la dott.ssa Augusta Iannini;
ORDINA
al
Comune di Montefranco, con sede in Montefranco (TR), via di Mezzo n. 1,
di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione
amministrativa pecuniaria per la violazione prevista dall'art. 162,
comma 2-bis, in combinato disposto con l'art. 164-bis, comma 1, del
Codice, come indicato in motivazione;
INGIUNGE
al
medesimo di pagare la somma di euro 4.000,00 (quattromila) secondo le
modalità indicate in allegato, entro 30 giorni dalla notificazione del
presente provvedimento, pena l'adozione dei conseguenti atti esecutivi a
norma dall'art. 27 della legge 24 novembre 1981, n. 689.
Ai
sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso
il presente provvedimento può essere proposta opposizione all'autorità
giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del
luogo ove ha la residenza il titolare del trattamento dei dati, entro
il termine di trenta giorni dalla data di comunicazione del
provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede
all'estero.
Roma, 2 aprile 2015
IL PRESIDENTE
Soro
Soro
IL RELATORE
Iannini
Iannini
IL SEGRETARIO GENERALE
Busia
Busia