[doc. web n. 6703965]

Ordinanza ingiunzione nei confronti di McDonald´s Development Italy - 4 maggio 2017

Registro dei provvedimenti
n. 218 del 4 maggio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di una segnalazione pervenuta all´Autorità in data 19 dicembre 2013, con cui veniva lamentato che, presso tre locali a insegna McDonald´s siti a Milano, erano presenti degli impianti di videosorveglianza installati in violazione delle disposizioni vigenti in materia di protezione dei dati personali, l´Ufficio delegava il Nucleo privacy della Guardia di finanza a svolgere degli accertamenti in loco al fine di verificare il rispetto della normativa di cui al Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice);

CONSIDERATO che il suddetto Nucleo, in attuazione della richiesta di informazioni n. 88922/90727 del 24 luglio 2014, formulata ai sensi dell´art. 157 del Codice, ha svolto gli accertamenti presso i suddetti locali, rilevando che presso il ristorante McDonald´s, sito in Milano, via Galleria Ciro Fontana n. 3, era presente un impianto di videosorveglianza, composto da 16 telecamere, di cui 6 non attive. Dagli accertamenti eseguiti, come rappresentato nel verbale di operazioni compiute del 30 settembre 2014, è risultato che alcune immagini registrate per mezzo del suddetto impianto risalivano a 9 giorni prima, mentre altre immagini risalivano al 18 marzo 2014, ovvero a un periodo di tempo superiore a quello massimo (7 giorni) previsto dal Garante con il provvedimento sulla videosorveglianza dell´8 aprile 2010 [doc. web n. 1712680];

VISTA la successiva nota inviata dalla McDonald´s Development Italy in data 15 ottobre 2014, con cui la stessa, a integrazione di quanto verificato nel corso dell´accertamento ispettivo,  ha precisato che "in data 20 agosto 2012 è stata nominata responsabile esterno del trattamento la società 2SMc s.r.l. relativamente all´erogazione di servizi di Safety & Security Process Management inclusa la gestione degli impianti di videosorveglianza; in data 3 settembre 2012 è stata nominata responsabile esterno del trattamento la società LKSecurity s.r.l. relativamente all´erogazione di servizi di manutenzione degli impianti di videosorveglianza; in data 6 settembre 2011 è stata nominata responsabile esterno del trattamento la società F.G.S. s.r.l. relativamente all´erogazione della funzione di responsabile tecnico della manutenzione (…)", fornendo tutta la documentazione richiamata;

VISTO il verbale n. 83/2014 del 17 ottobre 2014, che qui si intente integralmente richiamato, con cui è stata contestata a McDonald´s Development Italy, con sede legale negli USA, Wilmington Centerville Road 2711, domiciliata in Assago (MI), via del Bosco Rinnovato n. 6, P.I. 09499510155, in persona del legale rappresentante pro-tempore, in qualità di titolare del trattamento ai sensi dell´art. 28 del Codice, la violazione amministrativa prevista dall´art. 162, comma 2-ter, del Codice, in relazione all´art. 154, comma 1, lett. c), punto 3.4 del Provvedimento generale, per aver conservato le immagini raccolte e registrate con il predetto sistema di videosorveglianza per un tempo superiore a quello stabilito dal Garante, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

VISTO il rapporto del Nucleo speciale privacy  predisposto ai sensi dell´art. 17 della legge n. 689/1981, dal quale risulta che non è stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi del 26 novembre 2014, inviati ai sensi dell´art. 18 della n. 689/1981, con cui la società McDonald´s Development Italy ha chiesto l´archiviazione della violazione amministrativa per carenza dell´elemento soggettivo di cui all´art. 3, comma 1, della legge n. 689/1981. Secondo la parte, infatti, "non vi è stata alcuna consapevolezza né intenzionalità di porre deliberatamente in essere un illecito trattamento di dati personali (…)". Piuttosto, l´illecita conservazione delle immagini registrate con il sistema di videosorveglianza è "frutto di meri errori, relativi rispettivamente al procedimento di cancellazione delle immagini raccolte e alle procedure di impostazione e settaggio del sistema; errori di cui McDonald´s non ha avuto contezza fino alla data del loro accertamento". Inoltre, a riprova della propria estraneità rispetto a quanto contestato, la parte ha precisato di aver affidato la gestione e la manutenzione degli impianti di videosorveglianza a tre società esterne, designate responsabili del trattamento. Pertanto nessun addebito le può essere imputato in termini di culpa in eligendo (avendo affidato l´incarico a società qualificate, in possesso di comprovata esperienza e professionalità nel settore della sicurezza aziendale) e di culpa in vigilando (avendo adottato tutte le misure più idonee a garantire la sicurezza dei dati raccolti con il suddetto sistema di videosorveglianza). Laddove, invece, venisse riconosciuta la responsabilità della società nella violazione de qua, ha chiesto che la sanzione amministrativa venisse applicata nella misura del minimo edittale e con l´attenuante di cui all´art. 164-bis, comma 1, del Codice, tenendo conto dei criteri di cui all´art. 11 della legge n. 689/1981, posto che la valutazione sulle condizioni economiche deve essere fatta sulla base della situazione patrimoniale non dell´intera società ma del singolo ristorante;

LETTO il verbale di audizione del 9 marzo 2015, svoltasi ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato negli scritti difensivi;

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità della società McDonald´s Development Italy in relazione a quanto contestato. Posto che la titolarità del trattamento dei dati personali deve essere imputata alla società che, come risulta dalla documentazione agli atti del fascicolo, ha assunto ogni decisione in merito alle modalità e alle finalità del trattamento effettuato per mezzo dell´impianto di videosorveglianza, predisponendo i modelli di informativa di cui all´art. 13 del Codice (affissi nei ristoranti a insegna McDonald´s) e designando i responsabili e gli incaricati del trattamento, ai sensi degli artt. 29 e 30 del Codice, va esclusa l´applicabilità, al caso in esame, della esimente della buona fede di cui all´art. 3 della legge n. 689/1981. Infatti, dall´esame della documentazione prodotta, ovvero delle designazione dei responsabili del trattamento (in particolare della 2SMc s.r.l., designata per la gestione dell´impianto di videosorveglianza nell´ambito dei servizi di Safety & Security Process Management), si legge che il responsabile deve "procedere al trattamento dei dati personali esclusivamente ai fini dell´esecuzione dei servizi di manutenzione degli impianti di videosorveglianza, attenendosi alle istruzioni impartite dal titolare (…)" e "conservare i dati per un periodo di tempo non superiore a quello necessario agli scopi per i quali sono stati raccolti", senza nessuno specifico riferimento ai limiti dei tempi di conservazione delle immagini registrate stabiliti con il citato provvedimento generale sulla videosorveglianza. Pertanto, la società, pur avendo proceduto regolarmente alla designazione dei responsabili del trattamento, ha omesso di fornire loro precise istruzioni in merito alle operazioni di impostazione dei tempi di conservazione delle immagini registrate con gli impianti di videosorveglianza, con la conseguenza che la responsabilità per tale specifico adempimento deve essere imputata in capo al titolare del trattamento. L´errore sulla liceità del fatto, nel caso in esame, non può ritenersi incolpevole né inevitabile con l´ordinaria diligenza o prudenza, circostanze invece necessarie per la configurabilità della buona fede (Cass. civ. sez. lav., 12 luglio 2010, n. 16320). In ultimo, con riferimento alle condizioni economiche della società, si osserva che il bilancio depositato tiene conto dei ricavi della società, comprensivi di quelli delle unità locali e delle sedi secondarie e, pertanto, non sussistono le condizioni per applicare l´attenuante di cui all´art. 164-bis, comma 1, del Codice;

RILEVATO, quindi, che McDonald´s Development Italy, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice, la violazione prevista dall´art. 162, comma 2-ter, del Codice, per aver conservato immagini registrate dal proprio sistema di videosorveglianza per un tempo superiore a quello stabilito, ai sensi dell´art. 154, comma 1, lett. c), del Codice, dal punto 3.4, del Provvedimento generale;

VISTO l´art. 162, comma 2-ter del Codice, che punisce la violazione dell´art. 154, comma 1, lett. c) del medesimo Codice con la sanzione amministrativa del pagamento di una somma da trentamila euro a centottantamila euro;

RITENUTO che, nel caso di specie, ricorrano le condizioni per l´applicazione dell´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere considerato in termini favorevoli il fatto che la società abbia dichiarato di aver immediatamente adeguato il trattamento a quanto previsto dal Provvedimento generale riguardo ai tempi di conservazione delle immagini registrate;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, è stato preso in considerazione il bilancio della società per l´anno 2014;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981, n. 689, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 15.000,00 (quindicimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a McDonald´s Development Italy, con sede legale negli USA, Wilmington Centerville Road 2711, domiciliata in Assago (MI), via del Bosco Rinnovato n. 6, P.I. 09499510155, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 15.000,00 (quindicimila) per la violazione indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 15.000 (quindicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 4 maggio 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia