g-docweb-display Portlet

Ordinanza ingiunzione - 3 maggio 2018 [9023941]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9023941]

Ordinanza ingiunzione - 3 maggio 2018

Registro dei provvedimenti
n. 265 del 3 maggio 2018 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

VISTA la nota n. 205/1-1/2017 del 31 agosto 2017 con cui la Legione Carabinieri “Lazio” – Stazione di Settebagni, avendo accertato a seguito di una formale denuncia-querela contro ignoti, sporta in data 3 agosto 2017, che il lamentato pedinamento elettronico subito dalla querelante a mezzo di due dispositivi GPS posizionati sotto la propria autovettura era stato effettuato da parte della sig.ra XX, nata a XX il XX, C.F. XX, titolare della ditta individuale di investigazioni “XX” con sede in XX, via XX,  P.I. XX (d’ora innanzi la “parte”), ha richiesto al Garante informazioni circa l’osservanza, da parte di quest’ultima, delle disposizioni di cui agli artt. 37 e 38 del D.lgs. 196/2003, recante il “Codice per la protezione dei dati personali” (d’ora in avanti il “Codice”), relative all’assolvimento dell’obbligo di notificazione al Garante prima dell’inizio del trattamento di dati che indicano la posizione geografica di persone o oggetti mediante una rete di comunicazione elettronica;

VISTA nota di risposta prot. 29623/120040 del 14 settembre 2017 con cui il Garante ha comunicato alla Legione Carabinieri “Lazio” – Stazione di Settebagni che nel Registro dei trattamenti non risultavano notificazioni aventi per titolare la Sig.ra XX o l’Agenzia investigativa “XX”;

VISTO il verbale n. 205 del 16 settembre 2017 (che qui si intende integralmente richiamato) con cui la Legione Carabinieri “Lazio” – Stazione di Settebagni, a seguito dell’attività di indagine, ha contestato alla sig.ra XX, in qualità di titolare del trattamento dei dati relativi all’utilizzo dei sistemi satellitari di rilevazione della posizione geografica di persone e/o veicoli nell’attività investigativa svolta, la violazione amministrativa prevista dall’art. 163 del Codice, in relazione agli artt. 37 e 38 del medesimo Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

VISTO il rapporto amministrativo della Legione Carabinieri Lazio – Stazione di Settebagni redatto ai sensi dell’art. 17 della legge n. 689/1981 in data 30 gennaio 2018, dal quale risulta che la parte contravventrice non ha provveduto al pagamento in misura ridotta, per la violazione contestata; 

VISTA la memoria difensiva datata 29 settembre 2017 con cui il legale di parte ha inteso dimostrare l’errore scusabile in cui è incorsa la sig.ra XX e la buona fede che, pertanto, ha caratterizzato la condotta della stessa nella vicenda in questione. 

La parte, interpretando i chiarimenti resi dal Garante con provvedimento del  23 aprile 2004 (doc. web n. 993385 in www.garanteprivacy.it ) in ordine all'ambito applicativo dell’art. 37 del Codice per cui “ (…) la localizzazione deve comunque permettere di risalire all'identità degli interessati anche indirettamente attraverso appositi codici”,  ha ritenuto che “ (…) il sistema GPS utilizzato non permette di risalire all'identità degli interessati (…)” in quanto “ (…) viene semplicemente posizionato su veicoli potenzialmente fruibili dalla “persona obiettivo” senza alcuna possibilità di risalire automaticamente al soggetto che in quel momento ne stia facendo uso”. Più specificamente, secondo quanto prospettato nello scritto difensivo, nella vicenda in questione, mancherebbe, rispetto a quanto previsto nel sopra citato provvedimento del Garante, sia il requisito della certezza sull’identità del soggetto che utilizza il veicolo sia l’automaticità nell’identificazione in quanto “(…) l'eventuale identificazione dell’utilizzatore del veicolo avverrebbe, in ogni caso, non già per l'operatività di sistemi automatici, ma attraverso un’ulteriore attività deduttiva e/o presuntiva e senza che tale identificazione sia accompagnata dalla certezza dell'identità del soggetto così identificato”.

Per di più, il legale di parte, evidenzia che  i corsi di aggiornamento sostenuti dalla sig. XX per la conservazione della licenza, non hanno contribuito a chiarire l’errore, tanto da aver anzi “(…) ingenerato la convinzione diffusa che il tipo di strumento utilizzato non imponga l’obbligo di notifica”.

Infine, nella memoria si fa presente che l'importo della sanzione previsto nel verbale è da ritenersi spropositato e “ (…) assolutamente  fuori portata rispetto a quelle che sono le attuali capacità reddituali della signora XX (…)”;

VISTO il verbale di audizione del 20 febbraio 2018 con cui la parte, nel richiamare integralmente la memoria difensiva già presentata, ha richiesto, pertanto, “ (…) l'archiviazione del procedimento o, in estremo subordine, ove l'Autorità non ritenesse di procedere in tal senso, l'applicazione del minimo della sanzione edittale ulteriormente ridotta ai sensi dell'articolo 164-bis, comma 1, del Codice”;

PRESO ATTO che, a seguito della suddetta audizione, la parte ha effettuato in data 22 febbraio 2017 la notificazione ai sensi dell’art. 37 del Codice (iscrizione nel registro dei trattamenti tenuto dal Garante con il n. 2018022200248788);

RITENUTO che le argomentazioni addotte dalla parte nel corso del procedimento sanzionatorio non risultano idonee a ravvisare l’invocato errore scusabile e quindi ad escludere la responsabilità della parte in relazione a quanto contestato.

Anzitutto, per quanto attiene alla supposta insussistenza del requisito della certezza dell’identità del soggetto nella vicenda contestata, deve escludersi l’assunto per cui l’acquisizione di dati di posizionamento di un oggetto non sembra avere alcuna attinenza con la protezione dei dati personali a motivo del fatto che il sistema GPS utilizzato “ (…) viene semplicemente posizionato su veicoli potenzialmente fruibili dalla “persona obiettivo” senza alcuna possibilità di risalire automaticamente al soggetto che in quel momento ne stia facendo uso”. L’indagine ha, infatti, avuto quale unico soggetto d’interesse la querelante, pedinata e monitorata con l’utilizzo di due GPS posizionati sotto la autovettura dalla stessa utilizzata. Anche in ordine all’asserita insussistenza dell’altro requisito riguardante “l’automaticità nell’identificazione”, si fa presente che l’identificazione indiretta dell’interessato, anche attraverso appositi codici, non esclude “ (…) un’ulteriore attività deduttiva e/o presuntiva (…)” che, anzi, di sicuro avviene in circostanze quali quelle del pedinamento per cui l’itinerario e il posizionamento del soggetto pedinato sono generalmente desunte attraverso gli spostamenti effettuati a mezzo della autovettura dallo stesso utilizzata. Gli spostamenti geografici e le frequentazioni di un soggetto sono inequivocabilmente informazioni relative a persona fisica; la sua identificazione o identificabilità ben può avvenire, come prevede l’art. 4, lett. b) del Codice “mediante riferimento a qualsiasi altra informazione”,  come quella derivante dall’osservazione diretta del soggetto che effettua spostamenti e si reca ad appuntamenti con terzi tramite una autovettura. In considerazione di ciò, il trattamento dei dati in questione era senza dubbio riferibile alla segnalante. 

Inoltre, lo stesso Codice di deontologia per il trattamento dei dati personali effettuato per svolgere investigazioni difensive (provv.to del Garante n. 60 del 6 novembre 2008 pubblicato in G.U. n. 275/2008 – doc. web. N. 1565171 in www.gpdp.it) prevede che l’investigatore privato conformi ai principi di liceità e di correttezza del trattamento sanciti dal Codice “il ricorso ad attività lecite di rilevamento, specie a distanza” (art. 9 comma 1), a dimostrazione del fatto che anche tale attività realizza trattamento di dati personali, soggetto alle regole del Codice. Il rispetto delle disposizioni contenute nel codice deontologico è condizione di liceità del trattamento (art. 12 del Codice). 

Con riferimento a quanto asserito dalla parte circa la ricorrenza dell’errore incolpevole, tenuto conto che l’art. 3, comma 2, della legge n. 689/1981, nel sancire che “nel caso in cui la violazione è commessa per errore sul fatto, l’agente non è responsabile quando l’errore non è determinato da sua colpa”, pone una presunzione di colpa in ordine al fatto vietato a carico di colui che lo abbia commesso, riservando poi a quest’ultimo l’onere di provare di aver agito incolpevolmente. L'errore incolpevole sul fatto che verta sui presupposti della violazione può rilevare soltanto in presenza di un elemento positivo, estraneo all'autore dell'infrazione, idoneo ad ingenerare nello stesso “inesperto autore” l’incolpevole opinione di liceità del proprio agire e soltanto se lo stesso agente abbia fatto tutto il possibile per osservare la legge e nessun rimprovero possa essergli mosso, così che l'errore sia incolpevole, non suscettibile cioè di essere impedito dall'interessato con l'ordinaria diligenza (ex multis, Cass. civ. 11 maggio 2017, n. 11584, Cass. civ. 18 ottobre 2016, n. 21052, Cass. civ. 2 ottobre 2015, n. 19759). Del resto, anche il c.d. “errore di diritto”, quale causa di esclusione della responsabilità in riferimento alla violazione di norme amministrative, viene in rilievo “soltanto a fronte dell'inevitabilità dell'ignoranza del precetto violato, da apprezzarsi alla luce della conoscenza e dell'obbligo di conoscenza delle leggi che grava sull'agente in relazione anche alle sue qualità professionali e al suo dovere di informazione sulle norme e sulla relativa interpretazione” (cfr. Trib. XX n. 10821 del 26 maggio 2017 che ha dichiarato dovuto l’importo di cui all’ordinanza ingiunzione del Garante n. 61 dell’8.11.2007).

Alla luce di ciò, non può ritenersi applicabile l’esimente dell’errore scusabile anche per quanto asserito dal legale di parte per cui i corsi di aggiornamento sostenuti dalla sig. XX per la conservazione della licenza, non hanno contribuito a chiarire l’errore, tanto da aver anzi “(…) ingenerato la convinzione diffusa che il tipo di strumento utilizzato non imponga l’obbligo di notifica” :  tenuto conto della qualifica professionale dell’agente, i dubbi interpretativi sull’obbligo di notificazione al Garante non possono tradursi in una buona fede e in una ipotesi di ignorantia legis (Cass. civ. Sez. VI - 2, 01-09-2014, n. 18471, Cass. civ. del 18 luglio 2008, n. 19995). Ciò, anche in relazione al fatto che le ipotesi indicate nel provvedimento del Garante relativo ai casi da sottrarre all'obbligo di notificazione - Delibera n. 1 del 31 marzo 2004 (doc. web. n. 852561 in www.gpdp.it), sono chiaramente elencati e, fra questi, relativamente all’attività di geolocalizzazione, devono intendersi sottratti esclusivamente “ (…) i trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto”;

RILEVATO, pertanto, che la sig.ra XX in qualità di titolare del trattamento, ai sensi dell’art. 28 del Codice, ha effettuato un trattamento di dati personali omettendo di effettuare la preventiva notificazione al Garante, in violazione dell’art. 37 del Codice;

VISTO l’art. 163 del Codice che punisce la violazione della disposizione di cui agli artt. 37 e 38, con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, deve considerarsi positivamente la circostanza che la sig.ra XX ha effettuato, pur se tardivamente, in data 22 febbraio 2017, la prevista notificazione al Garante;

c) circa la personalità dell’autore della violazione, la Società non è stata destinataria di precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell’agente, deve tenersi conto dei dati reddituali per l’anno 2016;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura minima edittale di euro 20.000,00 (ventimila) per la violazione di cui all’art. 163 del Codice;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a XX, nata a XX il XX, C.F. XX, titolare della ditta individuale di investigazioni “XX” con sede in XX, via XX,  P.I. XX di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall’art. 163 del Codice;

INGIUNGE

alla medesima di pagare la somma di euro 20.000,00 (ventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689. 

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 maggio 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia