[doc. web n. 9815931]

Ordinanza ingiunzione nei confronti di Sofisticated Luxury Flats s.r.l. - 15 settembre 2022

Registro dei provvedimenti
n. 301 del 15 settembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTA la segnalazione presentata in data 17 dicembre 2019 nei confronti di Sofisticated Luxury Flats s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. La segnalazione nei confronti della Società e gli accertamenti ispettivi presso la sede legale della società.

Con segnalazione del 17 dicembre 2019, una dipendente dell’hotel Royal Palace di Roma, gestito da Sofisticated Luxury Flats s.r.l. (di seguito, la Società), ha lamentato presunte violazioni della normativa vigente con riferimento, per quanto di competenza dell’Autorità, all’utilizzo di un dispositivo biometrico per finalità di rilevazione della presenza in servizio.

L’Autorità ha avviato un’istruttoria sul caso il 10 agosto 2020 (prot. 30317/145487), con l’invito alla Società a fornire riscontro sul fatto oggetto di segnalazione. Non essendo pervenuta risposta, nonostante la richiesta risultasse regolarmente consegnata all’indirizzo Pec della società, in data 5 gennaio 2021 l’Ufficio ha rinnovato l’invito, ai sensi dell’art. 157 del Codice, a fornire le informazioni già richieste (prot. 504.05/01/2021).

Non essendo pervenuto alcun riscontro, da parte della Società, anche a questa ulteriore richiesta (risultata regolarmente consegnata), dopo un ulteriore sollecito inviato il 29 aprile 2021 (prot. 23845/145487), l’Autorità ha delegato il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza l’effettuazione di un accertamento ispettivo al fine di acquisire le informazioni già richieste e notificare alla Società l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice per l’omesso riscontro alla richiesta di informazioni dell’Autorità (atto di avvio del procedimento sanzionatorio n. 49240 del 1°/10/2021).

L’ispezione ha avuto luogo in data 27 ottobre 2021 presso la sede legale della Società il cui legale rappresentante ha dichiarato che:

a. “In vostra presenza ho fatto un controllo dell’indirizzo di posta elettronica certificata della società e ho trovato le note dell’Autorità Garante inviate nel corso del tempo. Sinceramente non avevo capito il significato delle note pervenute e pertanto non ho avuto cognizione del fatto che dovessi rispondere al Garante” (verbale ispettivo 20/10/2021, p. 2);

b. il dispositivo oggetto di segnalazione “non è più attivo da gennaio o febbraio 2020. Se non ricordo male, tra luglio e settembre del 2018, per ragioni di praticità […] ho acquistato on-line un apparecchio, denominato «rilevatore presenze dipendenti», attraverso il quale era possibile acquisire gli orari di inizio e fine lavoro dei dipendenti mediante il rilascio della loro impronta digitale” (verbale cit., p. 2-3);

c. “Attraverso quel dispositivo, che peraltro ora non saprei nemmeno dire che fine ha fatto, credo sia stato buttato perché non più funzionante, avevo la possibilità di rilevare presenze e orari di entrata e uscita dei dipendenti, che a fine mese venivano segnalati al mio commercialista per i conteggi dovuti” (verbale cit., p. 3);

d. “non ho evidenza documentale che possa ricondurci al modello di apparecchio utilizzato” (verbale cit., p. 4);

e. “ho provato a cercare l’apparecchio in questione ovvero la relativa documentazione, ma non sono riuscita a trovare niente” (verbale cit., p. 5).

2. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

Con riferimento ai fatti oggetto di segnalazione, dall’istruttoria non sono emersi elementi oggettivi che consentano all’Autorità di potersi esprimere.

Risulta tuttavia accertato che la Società ha omesso di fornire riscontro alle richieste di informazioni rivolte dall’Autorità, in particolare all’invito del 10 agosto 2020, alla richiesta formulata ai sensi dell’art. 157 del Codice inviata il 2 gennaio 2021 (contenente l’espresso avviso che “in caso di inottemperanza alla presente richiesta, dovrà essere applicata la sanzione amministrativa pecuniaria prevista dall’art. 166, comma 2 del Codice”) e al successivo sollecito del 29 aprile 2021, nonostante tutte e tre le comunicazioni degli uffici del Garante fossero state regolarmente notificate e, in base a quanto dichiarato dalla Società, anche visionate (ciononostante il titolare del trattamento non avrebbe compreso che tali comunicazioni − aventi ad oggetto, rispettivamente, un “Invito a fornire riscontro”, la “Richiesta di informazioni ex art. 157 del d.lgs. 196/2003” e il “Sollecito della richiesta di informazioni ex art. 157 del d.lgs. 196/2003” – richiedevano di fornire una risposta).

In base al richiamato articolo 157 del Codice “Nell'ambito dei poteri di cui all'articolo 58 del Regolamento, e per l'espletamento dei propri compiti, il Garante può richiedere al titolare, […] di fornire informazioni e di esibire documenti”. L’art. 166, comma 2, del Codice stabilisce che la violazione dell’art. 157 del Codice è soggetta alla sanzione amministrativa di cui all’art.83, par. 5, del Regolamento.

L’omesso riscontro da parte della Società alla richiesta di informazioni del Garante è pertanto avvenuto in violazione dell’art. 157 del Codice in relazione a quanto previsto dall’art. 166, comma 2, del Codice, con conseguente applicazione della sanzione amministrativa di cui all’art.83, par. 5, del Regolamento.

3. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

L’Autorità ritiene che le dichiarazioni e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il mancato riscontro alla richiesta di informazioni, rivolta più volte alla Società, integra infatti una condotta illecita per violazione dell’art. 157 (richiesta di informazioni e di esibizione di documenti) in relazione all’art. 166, comma 2, del Codice.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura, della gravità e della durata della violazione stessa, del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (cons. 148 del Regolamento).

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento si dispone l’applicazione una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento risulta che Sofisticated Luxury Flats s.r.l. ha violato l’art. 157 in relazione all’art. 166, comma 2, del Codice.

Per la violazione della predetta disposizione è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a) con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare è stata presa in considerazione la condotta della Società e il grado di responsabilità della stessa che, pur avendo ricevuto tre richieste di fornire informazioni relative ad una segnalazione ricevuta dall’Autorità, regolarmente ricevute sul proprio account di posta elettronica certificata, e pur avendone appreso il contenuto, chiaramente indicato sin dall’oggetto delle comunicazioni inviate, non ha ritenuto di fornire alcun riscontro all’Autorità;

b) con riferimento al grado di cooperazione con l’Autorità di controllo è stato considerato, a sfavore della Società, l’omesso riscontro a tre distinte richieste di informazioni, condotta che aggravato il procedimento e ostacolato l’espletamento dei compiti dell’Autorità, rendendo necessario delegare l’effettuazione di un’ispezione in loco al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza;

c) a favore della Società si è tenuto conto dell’assenza di precedenti specifici.

Si ritiene inoltre che assumano rilevanza nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla società con riferimento al bilancio ordinario d’esercizio per l’anno 2015 (ultimo disponibile). Da ultimo si tiene conto dell’entità delle sanzioni irrogate in casi analoghi. Come ulteriore fattore attenuante a favore della Società si è tenuto conto delle particolari condizioni nella quali le imprese del settore in cui opera la società (attività ricettive) si sono trovate ad operare a causa della emergenza sanitaria nel periodo di riferimento.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Sofisticated Luxury Flats s.r.l., la sanzione amministrativa del pagamento di una somma pari ad euro 2.000 (duemila).

In tale quadro si ritiene, altresì, in considerazione della tipologia delle violazioni accertate che hanno riguardato l’obbligo di riscontrare le richieste di informazioni e di esibizione di documenti da parte del Garante, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito Internet del Garante.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Sofisticated Luxury Flats s.r.l., in persona del legale rappresentante, con sede legale in Via delle Carrozze, 34/36, Roma (RM), P.I. 09500051009, ai sensi dell’art. 143 del Codice, per la violazione dell’art. 157 del Codice;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a Sofisticated Luxury Flats s.r.l., di pagare la somma di euro 2.000 (duemila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata nel presente provvedimento;

INGIUNGE

quindi alla medesima Società di pagare la predetta somma di euro 2.000 (duemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/20129, e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 15 settembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroini

IL SEGRETARIO GENERALE
Mattei