[doc. web n. 5423319]

Ordinanza di ingiunzione nei confronti di Liceo Scientifico di Stato G. Battaglini - 1 giugno 2016

Registro dei provvedimenti
n. 245 del 1 giugno 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante, con provvedimento n. 384 del 1° agosto 2013, ha definito il procedimento amministrativo relativo a una segnalazione circa i trattamenti posti in essere dal Liceo Scientifico di Stato G. Battaglini Cod. Fis.: 80011710730, con sede in Taranto, Corso Umberto I n. 106, in persona del legale rappresentante pro-tempore, accertando che il trattamento di dati biometrici finalizzato alla rilevazione delle presenze del personale in servizio presso il medesimo istituto, è stato effettuato senza che risultassero chiaramente esplicitate le modalità del trattamento dei dati biometrici e quindi senza che risultasse comprovato l´assolvimento dell´obbligo di rendere preventivamente al personale le necessarie informazioni ai sensi dell´art. 13 del Codice. E´ stato altresì accertato che il Liceo Scientifico di Stato G. Battaglini non ha provveduto alla dovuta notificazione del trattamento dei dati biometrici del personale, in violazione di quanto previsto dall´art. 37, comma 1, lett. a) del Codice, nelle forme e nelle modalità stabilite dall´art. 38;

VISTO il verbale nr. 26620/81616 del 23 ottobre 2013 (che qui si intende integralmente richiamato) con cui è stata contestata al predetto istituto la violazione amministrativa prevista dall´art. 161 del Codice, in relazione all´art. 13 e la violazione amministrativa prevista dall´art. 163 del Codice, in relazione all´art. 37, informandolo della facoltà di effettuare, per entrambe i rilievi, il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

CONSIDERATO che la parte, pur non essendosi avvalsa delle facoltà previste dall´art. 18 della legge n. 689/1981 (non presentando all´Autorità scritti difensivi né chiedendo di essere ascoltata), ha presentato, presso il Tribunale civile di Taranto, ricorso in opposizione ex art. 10 d. lg. N. 150/2011 e art. 152 del Codice ad oggi pendente avverso il verbale di contestazione in argomento, motivandolo, con riferimento alla violazione di cui all´art. 37 del Codice per non aver notificato all´Autorità il trattamento di dati biometrici per la rilevazione delle presenze del personale, in ragione del fatto che "L´orologio marcatempo per la rilevazione automatica della presenza giornaliera (…) prevedeva il rilevamento dell´impronta digitale dei dipendenti al solo scopo di poter registrare gli orari di passaggio e non i loro dati biometrici", ove "Il funzionamento di questo sistema (…) presuppone una fase di enrollment che trasforma l´immagine di una porzione dell´impronta digitale in un codice numerico, associandolo a ciascun dipendente mediante memorizzazione nel sistema informativo aziendale". Relativamente alla violazione dell´art. 13 del Codice per aver effettuato il trattamento dei dati biometrici dei dipendenti senza che risultassero chiaramente esplicitate le modalità del trattamento dei loro dati, ha osservato come "L´installazione del sistema di impronte digitali (…) fu comunque preceduta da un´intensa attività informativa con i diretti interessati anche mediante le rappresentanze sindacali presenti nell´istituto";

TENUTO CONTO della memoria di costituzione e risposta predisposta in nome e per conto dell´Autorità e depositata presso il Tribunale adito in sede di ricorso e ritenuto, così come prospettato nella citata memoria di costituzione e risposta, che le argomentazioni addotte non risultano idonee ad escludere la responsabilità del Liceo in relazione a quanto contestato. Fatte salve le approfondite osservazioni formulate nella citata memoria di costituzione afferenti anche l´improponibilità del ricorso in opposizione avverso il verbale di contestazione presso il Tribunale ordinario, si evidenzia come, relativamente all´obbligo di notificazione al Garante di cui all´art. 37, comma 1, lett. a), del Codice, diversamente da quanto ritenuto, il sistema utilizzato dal Liceo, che rileva parte dell´impronta digitale dell´interessato e la trasforma in un codice alfanumerico tramite il c.d. enrollment, effettua un trattamento di dati personali di cui all´art. 4, comma 1 lett.b) del Codice. Sul punto il Garante si è espresso in numerosi provvedimenti (ex multis Ordinanza ingiunzione n. 381 del 25 giugno 2015, doc. web. n. 4261166 e anche Provvedimento generale prescrittivo in tema di biometria del 12 novembre 2014, doc. web n. 3556992). A prescindere dalla messa in esercizio vera e propria del sistema per la rilevazione delle presenze, il trattamento risulta comunque iniziato, anche se solo per la sperimentazione del sistema, con la fase di acquisizione dei dati biometrici da parte del personale (enrollment), determinandosi così il momento consumativo dell´omissione della notificazione secondo quanto previsto dall´art. 38, comma 1 del Codice. Sussisteva di conseguenza, ai sensi dell´art. 37, comma 1 lett. a) del Codice, l´obbligo di notificazione al Garante. In ogni caso, il fatto che l´impianto di rilevazione delle presenze fosse funzionante, risulta accertato, ai sensi dell´art. 13 della legge n. 689/1981, dal provvedimento dell´Autorità n. 384 del 1° agosto 2013 con il quale sono state accertate le violazioni contestate e che, diversamente dal verbale di contestazione, non è stato opposto in sede giurisdizionale. Sul punto, inoltre, risulta inconferente quanto argomentato circa il fatto che "(…) il rilevamento dell´impronta digitale dei dipendenti -avesse l´esclusiva finalità- di poter registrare gli orari di passaggio e non i loro dati biometrici", atteso che tale circostanza non sostanzia alcuna esimente dall´obbligo di notificazione al Garante di cui all´art. 37, comma 1 , lett. a) del Codice. Riguardo il distinto rilievo per violazione all´art. 13 del Codice, si osserva come il Liceo non abbia prodotto alcun elemento aggiuntivo rispetto a quelli già valutati nel provvedimento dell´Autorità n. 384 del 1° agosto 2013 con il quale è stata accertata la violazione in argomento e senza che, lo si ribadisce, tale provvedimento sia stato impugnato;

RILEVATO, quindi, che il Liceo Scientifico di Stato G. Battaglini ha effettuato un trattamento di dati biometrici per la rilevazione delle presenze del personale omettendo di rendere preventivamente al personale dipendente la prescritta informativa ai sensi dell´art. 13 del Codice  e omettendo di effettuare la notificazione di cui all´art. 37, comma 1, lett. a) del Codice;

VISTO l´art. 161 del Codice, che punisce la violazione delle disposizioni di cui all´art. 13, con una sanzione da seimila a trentaseimila euro;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

RITENUTO che, nel caso di specie ricorrano, per entrambe i rilievi contestati, le condizioni per applicare l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria di cui all´art. 161, in combinato disposto con l´art. 164-bis, comma 1 del Codice, deve essere quantificata nella misura di euro 2.400,00 (duemilaquattrocento) e l´ammontare della sanzione pecuniaria di cui all´art. 163, in combinato disposto con l´art. 164-bis, comma 1 del Codice, deve essere quantificata nella misura di euro 8.000,00 (ottomila), per un importo complessivo, per entrambe le violazioni, pari a euro 10.400,00 (diecimilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

ORDINA

al Liceo Scientifico di Stato G. Battaglini Cod. Fis.: 80011710730, con sede in Taranto, Corso Umberto I n. 106, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 2.400,00 (duemilaquattrocento) a titolo di sanzione amministrativa pecuniaria di cui alla violazione prevista dall´art. 161 del Codice, per non aver reso preventivamente al personale dipendente la prescritta informativa ai sensi dell´art. 13 del Codice e di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzione amministrativa pecuniaria di cui alla violazione prevista dall´art. 163 del Codice, per l´omissione della notificazione al Garante prevista dall´art. 37, comma 1, lett. a) del Codice medesimo;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.400,00 (diecimilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 1° giugno 2016

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia