[doc. web n. 6526297]

Ordinanza ingiunzione nei confronti di Ente Nazionale per L´Aviazione Civile (ENAC) - 23 marzo 2017

Registro dei provvedimenti
n. 152 del 23 marzo 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante per la protezione dei dati personali (di seguito Garante), con provvedimento n. 280 dell´11 ottobre 2012, ha definito il procedimento amministrativo relativo a una segnalazione, accertando, a fronte della mancata individuazione di profili di autorizzazione idonei a consentire agli incaricati l´accesso ai soli dati necessari per effettuare le operazioni di trattamento alle quali gli stessi sono adibiti, l´omissione, da parte dell´Ente Nazionale per L´Aviazione Civile (ENAC) P.Iva.: 97158180584, con sede in Roma, viale Castro Pretorio n. 118, in persona del legale rappresentante pro-tempore, nell´applicazione delle misure minime di sicurezza previste dalle regole nn.rr. 13, 14 e 15 del disciplinare tecnico di cui all´allegato B) del d.lg. 30 giugno 2003, n. 196 recante Codice in materia di protezione dei dati personali (di seguito denominato Codice), in violazione  degli artt. 33 e 34 del Codice;

VISTO il verbale nr. 32556/69189 del 31 dicembre 2012 (che qui si intende integralmente richiamato), con cui è stata contestata all´ENAC la violazione amministrativa, non definibile in via breve ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689, prevista dall´art. 162, comma 2-bis del Codice, in relazione all´art. 33;

VISTI gli scritti difensivi datati 24 gennaio 2013 inviati ai sensi dell´art. 18 della legge n. 689/1981, con i quali l´ENAC, premesso che "(…) i dipendenti della Direzione Aeroportuale di Malpensa sono autorizzati ad accedere al sistema di protocollo informatico con proprie credenziali riservate (…)", nel caso che ci occupa "(…) concernente il procedimento disciplinare della (segnalante) le informazioni non sono state mai visibili a tutto il personale in quanto non autorizzato all´accesso e l´atto è stato protocollato con il ruolo di segreteria, quindi non visibile agli "impiegati" non in possesso delle relative credenziali. Quanto sopra affermato ha trovato peraltro riscontro nell´accesso effettuato da codesto Garante in data 3 e 4 maggio 2012 presso la Direzione Aereoportuale di Malpensa (…)". Inoltre, ha osservato come "Nei provvedimenti di contestazione all´Ente si utilizza strumentalmente quanto comunicato dalla Direzione sistemi informativi dell´ENAC con nota del 30 maggio 2011, avente carattere generale e illustrativo del sistema di funzionamento del protocollo informatico dell´Ente (…) Si è tuttavia travisato quanto espresso dalla predetta struttura, che non ha espresso alcuna valutazione sulla gestione del protocollo da parte della direzione di Malpensa (…)";

VISTO il verbale dell´audizione delle parti redatto in data 11 novembre 2013, ai sensi dell´art. 18 della legge n. 689/1981, nel quale l´ENAC, ribadendo quanto argomentato nella memoria difensiva, ha evidenziato di aver adempiuto alle prescrizioni impartite dal Garante nell´ambito del procedimento previsto dall´art. 169, comma 2 del Codice, provvedendo altresì al pagamento del quarto del massimo della sanzione edittale;

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità dell´Ente Nazionale per L´Aviazione Civile in relazione alla contestazione in argomento. Quanto esposto, oltre a non fornire alcun elemento di valutazione ulteriore rispetto a quelli già presi in considerazione nell´ambito dell´attività istruttoria effettuata anche in loco a più riprese dall´Ufficio del Garante, non tengono conto sia dei puntuali riscontri volti a verificare le criticità segnalate sia delle evidenze che da tali criticità discendono e che sostanziano la condotta oggetto di contestazione. Ciò con particolare riferimento a quanto rappresentato in maniera inequivoca al punto 5.1 del provvedimento dell´Autorità n. 280 dell´11 ottobre 2012, che peraltro non risulta essere stato impugnato ai sensi dell´art. 152 del Codice, con il quale è stato accertato, ai sensi dell´art. 13 della legge n. 689/1981, l´illecito contestato;

RILEVATO, pertanto, che l´Ente Nazionale per L´Aviazione Civile ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria deve essere quantificato nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

ORDINA

all´Ente Nazionale per L´Aviazione Civile (ENAC) P.Iva.: 97158180584, con sede in Roma, viale Castro Pretorio n. 118, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione di cui all´art. 162, comma 2-bis, come indicato in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 23 marzo 2017

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia