[doc. web n. 3255983]

Ordinanza di ingiunzione nei confronti di Tarulli Francesca e Comune di Conversano - 27 marzo 2014

Registro dei provvedimenti
n. 157 del 27 marzo 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni n. 5024/61937 del 5 marzo 2010 formulata ai sensi dell´art. 157 del d. lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice") ha svolto accertamenti presso il Comune di Conversano, con sede legale in Conversano (BA), piazza XX Settembre n. 25 e sede distaccata dell´Area Politiche Sociali in Conversano (BA), via Gioberti n. 55, come riportato nel verbale di operazioni compiute del 27 aprile 2010, da cui è risultato che il Direttore Responsabile dell´Area Politiche Sociale, la Sig.ra Tarulli Francesca, nata a Bari il 28.06.1962, residente a Toritto (BA), via Bonacchi M. n. 5, C.F.: TRL FNC 62H68 A662R, in qualità di responsabile del trattamento dell´Area Politiche Sociali del Comune di Conversano, non ha effettuato le designazioni degli incaricati del trattamento previste dall´art. 30 del Codice nei confronti dei dipendenti comunali che hanno accesso ai dati comuni e sensibili forniti dai cittadini nelle istanze presentate presso l´Area Politiche Sociali del comune;

VISTO il verbale n. 34 del 6 maggio 2010 redatto dalla Guardia di finanza, Nucleo speciale privacy, con cui è stata contestata alla suddetta sig.ra Tarulli Francesca, in qualità di responsabile del trattamento dell´Area Politiche Sociali del Comune di Conversano, e al Comune di Conversano, quale obbligato in solido, la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, per la quale non è prevista la definizione in via breve ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

VISTO lo scritto difensivo del 20 luglio 2010 inviato ai sensi dell´art. 18 della legge 24 novembre 1981, n. 689, con il quale la parte ha rilevato che "(…) la presunta, mancata nomina -all´epoca dei fatti- degli incaricati al trattamento dei dati personali ai sensi dell´art. 30 del d.lgs. 196/2003 non ha dato causa ad alcun profilo di responsabilità, né può fondarla, perché comunque erano in essere all´interno dell´amministrazione comunale di Conversano le misure minime di sicurezza ex art. 33 dec. Leg.vo citato (…)" e che l´art. 30 del Codice non prevede una diretta sanzione per la mancata designazione degli incaricati;

LETTO il verbale di audizione, svoltasi il 7 marzo 2011, ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte oltre a ribadire quanto già dedotto nelle memorie difensive, ha precisato che "le singole unità operative erano state individuate in maniera nominativa nel 2004, con regolamento di approvazione della dotazione organica (delibera n. 123 del 30 luglio 2004)" e che "in ogni caso, dopo appena tre giorni dalla data di accertamento ho provveduto a designare quali incaricati del trattamento i dipendenti della mia area (…)";

RITENUTO che le argomentazioni addotte non risultano essere idonee ad escludere la responsabilità in relazione alla contestazione. La mancata designazione degli incaricati ai sensi dell´art. 30, determina la conseguente disapplicazione di tutte le misure minime di sicurezza, previste dal "Disciplinare tecnico in materia di misure minime di sicurezza" allegato B al Codice (richiamato espressamente dagli artt. 34 e 35 del Codice) e facente parte integrante quindi delle misure minime di cui all´art. 33, che hanno, come presupposto necessario, la predetta designazione. Il Disciplinare tecnico contenuto nell´allegato B del Codice prevede al riguardo, ai punti da 1 a 10, una serie di regole concernenti l´autenticazione informatica che possono essere idoneamente adottate soltanto previa designazione degli incaricati del trattamento ai sensi dell´art. 30 del Codice. Lo stesso dicasi per le regole di cui ai punti da 12 a 15 (adozione di un sistema di autorizzazione), 22 e 23 (dati sensibili contenuti in supporti rimovibili), 27 (dati comuni contenuti in supporti cartacei), 28 e 29 (dati sensibili contenuti in supporti cartacei). Tale omissione, pertanto non costituisce un mero inadempimento formale, in quanto la parte più significativa delle misure di sicurezza da adottarsi per il trattamento di dati personali è strettamente correlata all´attività degli incaricati del trattamento (ovvero di coloro che ordinariamente operano sui dati personali) e mira a fornire agli stessi le istruzioni da seguire per il corretto trattamento dei dati, rendendoli al contempo consapevoli delle connesse responsabilità. Ne discende che le misure minime di sicurezza che la parte ritiene esser state applicate, così come riportato negli scritti difensivi, oltre a non soddisfare i requisiti di legge, sono risultate di fatto inefficaci. Ciò determina una corretta individuazione dell´art. 33 del Codice quale norma violata e una altrettanto puntuale individuazione della norma sanzionatoria nell´art. 162, comma 2-bis del Codice. Inoltre, per quanto concerne la delibera n. 123 del 30 luglio 2004 adottata da Comune di Conversano, questa non risulta essere valida come nomina degli incaricati del trattamento in quanto non individua "l´ambito del trattamento consentito agli addetti dell´unità medesima" come invece richiesto dall´art. 30, comma 2, del Codice;

RILEVATO che ai sensi dell´art. 29, comma 2 del Codice il responsabile del trattamento è tenuto al pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza;

RILEVATO, quindi, che la Sig.ra Tarulli Francesca, nata a Bari il 28.06.1962, residente a Toritto (BA), via Bonacchi M. n. 5, in qualità di responsabile del trattamento dell´Area Politiche Sociali del Comune di Conversano non ha provveduto, essendovi tenuta, alla designazione degli incaricati del trattamento, ai sensi dell´art. 30 del Codice, con ciò determinando la mancata applicazione di quella parte di misure minime di sicurezza (art. 33 del cit. Codice) che il Codice stesso riconduce all´attività degli incaricati del trattamento medesimo, con conseguente applicazione della sanzione di cui all´art. 162, comma 2- bis, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l´art. 164-bis, comma 1, del Codice che prevede che se taluna delle violazioni di cui agli articoli 161, 162, 163 e 164 è di minore gravità, avuto altresì riguardo alla natura anche economica o sociale dell´attività svolta, i limiti minimi e massimi stabiliti dai medesimi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, pertanto, di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981, n. 689, l´ammontare della sanzione pecuniaria nella misura di 4.000,00 (quattromila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Tarulli Francesca, nata a Bari il 28.06.1962, residente a Toritto (BA), via Bonacchi M. n. 5, C.F.: TRL FNC 62H68 A662R, in qualità di responsabile del trattamento dell´Area Politiche Sociali del Comune di Conversano, e al Comune di Conversano, con sede in Conversano (BA), Piazza XX settembre n. 25, quale obbligato in solido di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione di cui all´art. 162, comma 2-bis, come indicato in motivazione;

INGIUNGE

ai medesimi soggetti di pagare la somma di euro 4.000,00 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 27 marzo 2014

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia