[doc. web n. 9022543]

Ordinanza ingiunzione nei confronti di SO.LOG. Srl - 9 maggio 2018

Registro dei provvedimenti
n. 283 del 9 maggio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che i militari della Guardia di Finanza – Tenenza di Tirano, in data 19 gennaio 2017 hanno svolto accertamenti finalizzati al riscontro del corretto assolvimento di obblighi tributari presso SO.LOG. Srl – C.F. e P.I. 00625450143 – con sede in Tirano (SO), Via Vanoni n. 115 (di seguito la “Società”), esercente l’attività di “trasporto merci su strada”, nel corso dei quali è emerso che la società effettua trattamenti di dati personali a seguito dell’installazione di apparecchiature di localizzazione e comunicazione delle posizioni rilevate sugli automezzi aziendali; 

VISTO il verbale n. 8 del 12 aprile 2017 con il quale i sopra citati militari della Guardia di Finanza hanno contestato alla SO.LOG. Srl – C.F. e P.I. 00625450143 – con sede in Tirano (SO), Via Vanoni n. 115 l’ “omessa o incompleta notificazione” di cui all’art. 163 del Codice per la violazione degli artt. 37, comma 1, lett. a), e 38, commi 1 e 2, del Codice medesimo sulla base delle dichiarazioni rese e della documentazione prodotta nel corso degli accertamenti ispettivi per cui è risultato che:

- la Società è stata costituita nell’anno 2000, dall’unione di due società operanti nel ramo autotrasporti;

- la Società effettua servizio di trasporto merci, nazionali e internazionali, per conto terzi  svolgendo anche la logistica e lo stoccaggio di tali merci;

- la Società ha equipaggiato tutti i veicoli della flotta aziendale con un computer di bordo, dotato di apposita antenna GPS che consente, da remoto, la localizzazione di ogni veicolo ed effettua un trattamento di dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; tale sistema, infatti, è in grado, se interrogato, di localizzare su mappa l’ubicazione di ciascun veicolo della flotta al momento dell’interrogazione, al fine di ottenerne le coordinate, e, conseguentemente di permettere di individuare l’autista del veicolo stesso;

- le suddette apparecchiature di localizzazione denominate “TRACKER SMART”,  in uso dal gennaio 2012 e “TOM TOM LINK 510”, in uso dal dicembre 2012, sono state offerte rispettivamente dalle ditte “Transpobank Srl” di Milano e “Tom Tom International BV” di Amsterdam; 

- la titolarità del trattamento dei dati personali dei clienti raccolti per lo svolgimento dell'attività sopra indicata, ai sensi del combinato disposto degli articoli 4, primo comma, lettera f) e 28 del D.Lgs. n. 196 del 2003 recante il “Codice in materia di protezione dei dati personali” (d’ora in avanti denominato il “Codice”) è da individuarsi in capo alla Società;

- con riferimento all’attività di geolocalizzazione sopra indicata non risulta adempiuto, da parte della Società, in qualità di titolare del trattamento, l’obbligo di notificazione al Garante prima dell’inizio del trattamento, ai sensi del combinato disposto degli artt. 37, comma 1, lett. a), e 38, commi 1 e 2, del Codice, 

VISTO lo scritto difensivo datato 11 maggio 2017, formulato ai sensi dell’art. 18 della legge n. 689/1981, con cui la Società ha inteso confutare la contestazione sollevata con il sopra citato verbale n. 8 del 12 aprile 2017. In particolare, il legale della Società, ha evidenziato come l'utilizzo del sistema di rilevamento satellitare sia finalizzato al controllo degli automezzi e non del singolo autista; ciò, quindi, per esigenze di organizzazione aziendale ed espresse previsioni di legge. Con riferimento a queste ultime il legale di parte ha rappresentato che il parco auto, oltre ad essere dotato di rilevatori satellitari di posizione, è anche dotato di un sistema tachigrafico digitale (aspetto, questo, accertato anche dalla Guardia di Finanza nel corso dell'ispezione) per cui i dati registrati devono essere scaricati entro un determinato termine e conservati per un certo periodo di tempo come previsto dal Regolamento CEE 561/2006. Tali dati, secondo quanto sostenuto dal legale, non differiscono da quelli rilevati dagli apparati satellitari: la differenza è che, mentre i primi sono leggibili non immediatamente, i dati rilevabili con gli apparati satellitari sono verificabili al momento in cui si abbia necessità di conoscerli, attraverso l’interrogazione del sistema.

Con ciò, “ (…) i dati raccolti dalle schede cronotachigrafiche e anche dai GPS permettono di valutare, a seconda dei tempi di guida e del rispetto delle norme che regolano il codice della strada, l’organizzazione in sicurezza dei trasporti (…)”. E ancora “ Di tutta evidenza, allora, che nel caso di cui si discute, non sussista l'obbligo effettivo di comunicare l'avvio (…) al Garante per la protezione dei dati personali poiché, di fatto, SOLOG srl non tratta i dati personali dei propri autisti, ma, al contrario, monitora dei beni nella propria disponibilità e proprietà e, di più, tali dati non sono affatto differenti da quelli che vengono raccolti con altre apparecchiature già installate sui mezzi, per le quali non è prevista alcuna notifica ex articolo 37 del Codice ed, anzi, risultano obbligatorie”. 
Anzi, secondo quanto sostenuto dalla parte, tali dati sono disponibili per verificare “(…) il corretto utilizzo delle apparecchiature previste per legge fornendo, anche, una ulteriore opzione di controllo all'operato dell'Azienda nell'utilizzo dei propri mezzi in conformità delle leggi vigenti”. 

Inoltre, il legale di parte prospetta l’inapplicabilita della normativa che con il verbale di contestazione si considera violata in quanto tali dati “(…) afferiscono ineluttabilmente alla posizione geografica dei mezzi di trasporto terrestre [di cui alla delibera del Garante 31 marzo 2004 n. 1] con espressa previsione che essi sono sottratti all'obbligo di notifica di cui all'articolo 37 del Codice Privacy”. 

La società pone anche in luce che la sanzione determinata nell’atto di contestazione paia “(…) oltremodo penalizzante nel rispetto di tutte le normative a cui SOLOG srl ha sempre fatto fronte (…), con ciò riferendosi all’avvenuto adempimento di altri obblighi connessi alla vicenda contestata, quali quello previsto dall’art. 4 della legge n. 300/1970 e quello relativo al rilascio ai propri dipendenti dell’informativa riguardante l’attività di geolocalizzazione, nonché evidenziando l'utilizzo del GPS “(…) al solo fine di efficienza e strategia di azienda anche al fine di tutelare la filiera dei trasporti ex articolo 7 D.lgs. 286/2005”. 

La Società pertanto, chiede di essere ascoltata da Garante, ai sensi dell'articolo 18 della legge n. 689 del 1981, nonché, in via principale, l'archiviazione del procedimento e annullamento del verbale di contestazione n. 8/2017; in subordine, chiede la rimessione in termini per l'adempimento dell'obbligo di notificazione al Garante previsto dall'articolo 37 del Codice e l'archiviazione del procedimento e, infine, in estremo subordine, chiede la rideterminazione della sanzione ai sensi dell'articolo 164-bis nella misura dei due quinti del minimo edittale. 

RILEVATO che dal rapporto amministrativo prot. n. 377925/2017 del 21 giugno 2017  predisposto,  ai sensi dell’art. 17 della legge 24 novembre 1981 n.689, dalla Tenenza di Tirano della Guardia di Finanza e riferito al verbale di contestazione di violazione amministrativa del Garante n. 8 del 12 aprile 2017 non risulta essere stato effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/81;

LETTO il verbale di audizione del 14 novembre 2017 nel corso della quale la Società, nel richiamare integralmente quanto già rappresentato nella memoria difensiva, ha posto ancora l’accento sull’analogia (sotto il profilo dei dati rilevabili, anche se in tempi diversi) del sistema satellitare con quello cronotachigrafico digitale la cui adozione è obbligatoria per legge e non richiede la notificazione al Garante, nonché sulla disponibilità a effettuare la notificazione al Garante, previa rimessione in termini;

RITENUTO che le argomentazioni addotte dalla Società negli scritti difensivi sopra citati e rivolte a dimostrare l’infondatezza di quanto contestato con il verbale n.  8 del 12 aprile 2017 non consentono di escludere la responsabilità della Società e archiviare il presente procedimento sanzionatorio. 

Il fatto che secondo quanto prospettato dal legale di parte per cui non sussisterebbe l’obbligo di comunicare l’avvio dell’attività di geolocalizzazione al Garante in quanto la Società “ (…) non tratta i dati personali dei propri autisti, ma, al contrario, monitora dei beni nella propria disponibilità e proprietà e, di più, tali dati non sono affatto differenti da quelli che vengono raccolti con altre apparecchiature già installate sui mezzi, per le quali non è prevista alcuna notifica ex articolo 37 del Codice ed, anzi, risultano obbligatorie”, non può ritenersi fondato; ciò in quanto, sebbene la Società non utilizzi il sistema satellitare per il controllo dei dipendenti che svolgono attività di autista dei veicoli del proprio parco automezzi dotati di tale sistema, potrebbe, tuttavia, sempre risalire all’identità del conducente e quindi all’ubicazione dello stesso in un determinato momento. Per tali motivi, non a caso, la Società ha provveduto agli adempimenti richiesti dall’art. 4 della legge n. 300 del 1970, trattandosi di strumenti dai quali, anche indirettamente, deriva la possibilità di controllo a distanza dei lavoratori. L’assenza, poi, di una previsione di legge che preveda la notificazione al Garante all’avvio dell’utilizzo delle apparecchiature tachigrafiche, non sottrae, comunque, il trattamento dei dati personali dei conducenti dei veicoli dotati di sistema di geolocalizzazione dall’applicazione degli art. 37 e 38 del Codice.

Inoltre, con riguardo a quanto prospettato per cui i dati trattati dalla Società a mezzo del sistema satellitare di geolocalizzazione “(…) afferiscono ineluttabilmente alla posizione geografica dei mezzi di trasporto terrestre [di cui alla delibera del Garante 31 marzo 2004 n. 1] con espressa previsione che essi sono sottratti all'obbligo di notifica di cui all'articolo 37 del Codice Privacy”,  si fa presente che il disposto di tale provvedimento, per cui sono esonerati dall’obbligo di notifica, fra altri, anche “ (…)  i trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto (…)”, non è applicabile al caso di specie, in quanto non è risultato che la Società persegua, mediante l’installazione dei dispositivi di controllo e di localizzazione in esame, esclusivamente finalità di sicurezza del trasporto.

RILEVATO, quindi, che la Società, in qualità di titolare del trattamento ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, sulla base delle considerazioni sopra richiamate, risulta aver commesso  la violazione di cui all’art. 163 del Codice per il mancato assolvimento dell’obbligo di notificazione di cui al combinato disposto degli artt. 37, comma 1, lettera a) e 38 del Codice in relazione al trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica;

VISTO l’art. 163 del Codice che punisce la violazione degli artt.  37, comma 1, lettera a) e 38, commi 1 e 2, del medesimo Codice con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

RITENUTO che ricorrono le condizioni per applicare l'art. 164-bis, comma 1, del Codice secondo cui “se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti”;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO, nel caso in esame, in ordine alla valutazione del requisito della gravità della violazione, che la vicenda è caratterizzata dalla lieve entità della violazione posta in essere e, con riguardo alla personalità dell’autore, che deve considerarsi la circostanza per la quale la Società non risulta gravata da precedenti procedimenti sanzionatori;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 8.000,00 (ottomila) per la violazione di cui all’art. 163 del Codice applicata in combinato disposto con l’art. 164-bis, comma 1, del medesimo Codice;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a SO.LOG. Srl – C.F. e P.I. 00625450143 – con sede in Tirano (SO), Via Vanoni n. 115 – in persona del legale rappresentante - di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzione amministrativa pecuniaria per la violazioni di cui all’art. 163 del Codice, da applicare in combinato disposto con l’art. 164-bis, primo comma, del medesimo Codice per il mancato assolvimento dell’obbligo di notificazione di cui agli artt. 37, comma 1, lettera a) e 38 del Codice in relazione al trattamento dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica;

INGIUNGE

alla medesima Società di pagare la somma di euro 8.000,00 (ottomila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689. 

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 9 maggio 2018

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia