g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di SERCOM S.r.l. - 29 marzo 2018 [9004780]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9004780]

Ordinanza ingiunzione nei confronti di SERCOM S.r.l. - 29 marzo 2018

Registro dei provvedimenti
n. 183 del 29 marzo 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell’art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato “Codice”) nr. 10763 del 21 marzo 2017 formulata da questa Autorità, ha svolto presso la ARC Informazioni S.r.l., C.F.: 03704690043, nella sede legale di Alba (CN), in Corso Piave n. 146 C/D, gli accertamenti di cui ai verbali di operazioni compiute datati 14 e 15 giugno 2017. Da tali accertamenti è risultato che la ARC Informazioni S.r.l. ha acquisito il database e tutti i clienti della A.R.C. S.r.l., oggi SERCOM S.r.l., di cui effettua le medesime attività ivi comprese quelle relative al recupero crediti. Con specifico riferimento all’obbligo di notificazione del suddetto trattamento previsto dagli artt. 37 comma 1 lett. f) e 38 del Codice, si è accertato che la A.R.C. S.r.l., oggi SERCOM S.r.l., ha effettuato nel 2004 una notificazione al Garante (individuabile nel relativo registro al n. 20040511064329) per il trattamento dei dati relativi al rischio della solvibilità economica e patrimoniale mediante l’utilizzo dei propri sistemi informatici. Si è altresì accertato che la A.R.C. s.r.l., a seguito della risoluzione del contratto di affitto di ramo d’azienda con la A.R.C. s.a.s. (parte concedente), ha cessato il trattamento dei dati relativi al rischio della solvibilità economica e patrimoniale riferibile al citato contratto di affitto di ramo d’azienda, poi risolto, ed ha cambiato la propria denominazione societaria in SERCOM s.r.l. Ciò si evince dalla delibera di scioglimento anticipato della A.R.C. s.r.l. del 25 marzo 2017, dalla comunicazione del 31 marzo 2017 con cui la A.R.C. s.a.s. ha informato i clienti che “per esigenze di ristrutturazione del nostro gruppo, l'attività aziendale svolta fino a marzo dalla società A.R.C. S.r.l. proseguirà a partire dal mese di aprile con la società ARC INFORMAZIONI SRL”, nonché dalla comunicazione del 3 aprile 2017 con cui la SERCOM s.r.l. ha informato i clienti che “a far data dal 03/04/2017 la società A.R.C. S.r.l. ha variato la denominazione in SERCOM S.r.l. in liquidazione. Restano invariati tutti gli altri riferimenti. Dalla stessa data la società è stata posta in liquidazione. Come già comunicatovi precedentemente l'attività prosegue con la società ARC INFORMAZIONI S.r.l.” (cfr. allegato 1 del verbale di operazioni compiute citato);

VISTO il verbale nr. 56/2017 dell’11 luglio 2017, che qui si intende integralmente richiamato, con cui è stata contestata alla SERCOM S.r.l. (di seguito “Società”) la violazione amministrativa prevista dall’art. 163 del Codice in relazione all’art. 38 comma 4 del Codice in relazione all’omessa nuova notificazione per il mutamento della denominazione della Società e per la cessazione del trattamento dei dati personali, informandola della facoltà di effettuare, per entrambe, il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

VISTO anche il verbale nr. 57/2017 dell’11 luglio 2017, atto d’impulso del distinto procedimento sanzionatorio con cui è stata altresì contestata alla ARC Informazioni S.r.l. la violazione amministrativa prevista dall’art. 163 del Codice in relazione agli artt. 37 e 38 del Codice, per aver omesso di effettuare tempestivamente la notificazione al Garante ai sensi dell'art. 37 comma 1 lettera f) del Codice;

ESAMINATO il rapporto del Nucleo speciale privacy della Guardia di finanza predisposto ai sensi dell’art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo del 18 agosto 2017, presentato ai sensi dell’art. 18 della l. n. 689/1981, dal Consulente Privacy e DPO della ARC Informazioni S.r.l. che ha dichiarato, anche con riferimento alla contestazione nr. 56/2017 nei confronti della Società, che entrambe le Società “stanno provvedendo a regolarizzare la loro posizione, che non deriva da negligenza o inerzia dell’amministratore, bensì da questioni di forza maggiore dovute a ritardi burocratici nell’ottenimento delle varie licenze senza per altro poter fermare le operazioni, che avrebbero potuto compromettere anche i posti di lavoro degli operatori” (pag. 3). Nel successivo scritto presentato dalla ARC Informazioni S.r.l., si è rappresentato che quanto affermato dal Consulente suddetto non corrisponde al vero ed è stato oggetto di contestazione e di revoca dell’incarico al professionista;

VISTO lo scritto difensivo presentato il 21 febbraio 2018, oltre il termine di 30 giorni previsto dall’art. 18 della l. n. 689/1981, in cui la parte ha sostenuto, pur avendo effettuato l’iniziale notificazione nel 2004, di non esser tenuta ad effettuare alcuna notificazione in quanto non ha mai messo in atto alcuna delle ipotesi previste dall’art. 37 del Codice e che tale grossolano errore ne avrebbe comportato successivamente un altro, ovvero quello della mancata comunicazione di un “mutamento di taluno degli elementi da indicare nella notificazione medesima” (pag. 6). Successivamente la parte ha richiamato la giurisprudenza sulla buona fede e sull’errore incolpevole quali cause di esclusione della responsabilità amministrativa ex art. 3 comma 2 della legge n. 689/1981, affermando che nella fattispecie risulta inevitabile “che un qualche soggetto si possa ricordare/sapere che a 13 anni di distanza debba rinnovare una comunicazione (peraltro non dovuta)” e che quindi risulta evidente come “l’autore della sanzione sia caduto, di fatto, in errore che allo stesso non possa addebitarsi per una triplicità di motivi: 1. la decorrenza dei 13 anni trascorsi dalla prima notificazione; 2. la mancanza di conoscenza del disposto dell’art. 37 nella parte in cui prevede la comunicazione in occasione del mutamento di taluno degli elementi da indicare nella notificazione medesima; 3. l’erronea comunicazione avvenuta nel 2004. ” (pag. 10). La parte ha rappresentato, infine, la propria  buona fede desumibile dai comportamenti assunti dalla stessa durante l’ispezione della Guardia di Finanza nel corso della quale, consapevole e certa nella sua integerrima posizione relativa alla normativa privacy, ha rilasciato le dichiarazioni che poi l’hanno vista oggetto di sanzione amministrativa (pag. 10);

RILEVATO che le argomentazioni addotte dalla parte nel corso del procedimento sanzionatorio non risultano idonee ad escludere la responsabilità della Società in relazione a quanto contestato, si rileva quanto segue. Con riferimento all’addotto errore incolpevole della parte sulla necessaria modificazione della precedente notificazione, in primo luogo, si evidenzia che la notificazione avvenuta nel 2004 non può ritenersi “erronea” (motivo n. 3 a pag. 10). L’originaria notificazione al Garante effettuata dalla Società nel maggio 2004 deve ritenersi, invece, corretta e conforme all’art. 37 comma 1 lett. f) del Codice, anche alla luce del provvedimento del Garante del 23 aprile 2004 - www.gpdp.it doc. web n. 993385, secondo cui è richiesta la notificazione al Garante del trattamento di “dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti” (cfr. notificazione di A.R.C. S.r.l. dell’11 maggio 2004 n. 20040511064329, nonché art. 37 comma 1 lett. f) del Codice). Del resto, ciò trova conferma anche nelle dichiarazioni della parte rilasciate nel corso delle operazioni compiute il 15 giugno 2017 (pag. 4), nonché nella descrizione dell’attività svolta risultante dallo scritto difensivo (pag. 7). In secondo luogo, non consentono di escludere la responsabilità della parte neanche gli altri due motivi sollevati nello scritto difensivo (1. la decorrenza dei 13 anni trascorsi dalla prima notificazione; 2. la mancata conoscenza del disposto dell’art. 37 nella parte in cui prevede la comunicazione in occasione del mutamento di taluno degli elementi da indicare nella notificazione medesima). Nella fattispecie, la doverosità della nuova notificazione al Garante ex art. 38 comma 4 del Codice deriva da una corretta interpretazione letterale della norma, né la circostanza che siano trascorsi 13 anni dalla notificazione iniziale può esonerare la parte della propria responsabilità. Del resto, come ricordato dalla stessa parte nel citato scritto difensivo (pag. 9), l'errore incolpevole sul fatto che verta sui presupposti della violazione può rilevare soltanto in presenza di un elemento positivo, estraneo all'autore dell'infrazione, idoneo ad ingenerare nello stesso inesperto autore l’incolpevole opinione di liceità del proprio agire e soltanto se lo stesso agente abbia fatto tutto il possibile per osservare la legge e nessun rimprovero possa essergli mosso, così che l'errore sia incolpevole, non suscettibile cioè di essere impedito dall'interessato con l'ordinaria diligenza (ex multis, Cass. civ. 11 maggio 2017, n. 11584, Cass. civ. 18 ottobre 2016, n. 21052, Cass. civ. 2 ottobre 2015, n. 19759). Pertanto non può ritenersi applicabile l’esimente dell’errore scusabile, non potendo i dubbi interpretativi sull’obbligo di notificazione al Garante dei dati tradursi in buona fede (cfr. Trib. Roma n. 10821 del 26 maggio 2017, Cass. civ. Sez. VI - 2, 01-09-2014, n. 18471, Cass. civ. del 18 luglio 2008, n. 19995);

RILEVATO, pertanto, che la SERCOM S.r.l. in qualità di titolare del trattamento, ai sensi dell’art. 28 del Codice, ha effettuato un trattamento di dati personali omettendo di effettuare una nuova notificazione al Garante in violazione dell’art. 38 comma 4 del Codice;

VISTO l’art. 163 del Codice che punisce la violazione della disposizione di cui agli artt. 37 e 38, con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore. In particolare, deve favorevolmente considerarsi che la violazione non risulta connotata da elementi specifici di gravità, che la società non è stata destinataria di precedenti procedimenti sanzionatori e che nei confronti della stessa è in corso la procedura di fallimento;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura minima di euro 20.000,00 per la violazione di cui all’art. 163 del Codice;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

alla SERCOM S.r.l.,  P.Iva: 02664240047, con sede legale in Alba (CN) in Corso Piave n. 146 C/D, in persona del titolare, di pagare la somma complessiva di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall’art. 163 del Codice come indicato in motivazione;

INGIUNGE

alla medesima Società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell’avvenuto versamento. 

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 29 marzo 2018

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia