[doc. web n. 9986278]

Provvedimento del 24 gennaio 2024

Registro dei provvedimenti
n. 33 del 24 gennaio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con provvedimento del 20 ottobre 2022, n. 341 (doc. web n. 9831369), l’Autorità ha sanzionato il Comune di Salento (di seguito, il “Comune”) per aver, tra le altre cose, negato a un interessato la possibilità di esercitare gratuitamente il diritto di accesso ad alcune immagini riprese da un sistema di videosorveglianza, avendo subordinato l’accesso alle stesse al pagamento di una cospicua somma, nonostante la richiesta dell’interessato non potesse considerarsi eccessiva, in violazione degli artt. 12 e 15 del Regolamento

Con il medesimo provvedimento, l’Autorità, ai sensi degli artt. 12, parr. 1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), del Regolamento, ha, altresì, ingiunto al Comune, ove non vi avesse già provveduto, di fornire gratuitamente all’interessato, entro trenta giorni dalla notifica del predetto provvedimento, copia delle immagini di videosorveglianza richieste, fornendo, altresì, all’Autorità, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato, o, alternativamente, entro il medesimo termine, ai sensi degli artt. 12, parr. 1 e 3, 15, 58, par. 1, lett. a), del Regolamento e 157 del Codice, informando l’Autorità e l’interessato in merito all’eventuale sussistenza di motivi in fatto o in diritto ostativi alla possibilità di accogliere detta richiesta, fornendo un riscontro adeguatamente documentato.

Il Comune, a cui il predetto provvedimento è stato notificato con nota del 7 novembre 2022 (prot. n. 0060823), non ha, tuttavia, fornito riscontro all’Autorità entro il termine impartitogli, ovvero entro il 7 dicembre 2022.

2. L’attività istruttoria.

Con nota del 16 dicembre 2022 (prot. n. 0082383), l’Autorità ha chiesto ragguagli al Comune in merito al mancato riscontro.

Il giorno seguente, il legale difensore dell’interessato, che aveva a suo tempo proposto reclamo nei confronti del Comune, ha segnalato all’Autorità che l’Ente “non ha ottemperato nel termine previsto ad inviare […] copia delle immagini di videosorveglianza”.

Con messaggio di posta elettronica del 16 gennaio 2023, il Comune, in riscontro alla predetta nota dell’Autorità, ha dichiarato di aver “inviato una comunicazione alla ditta che ha in affidamento il servizio, (scaduto il 31/12/2022), per sapere se aveva ancora in essere le immagini in contestazione” e di non aver ricevuto risposta.

Con nota del 18 gennaio 2023 (prot. n. 0007864), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver omesso:

di fornire all’Autorità, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, entro il termine di 30 (trenta) giorni dalla data di notifica del provvedimento n. 341 del data 20 ottobre 2022, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinatogli o all’eventuale sussistenza di motivi in fatto o in diritto ostativi alla possibilità di accogliere la richiesta dell’interessato di ottenere copia dei propri dati personali o alla circostanza che lo stesso avesse già provveduto a fornire riscontro alla richiesta in questione, avendo, pertanto, l’Ente agito in violazione dell’art. 157 del Codice (in connessione all’art. 58, par. 1, lett. a), del Regolamento);

di ottemperare, entro il medesimo termine, alle prescrizioni impartitegli dall’Autorità ai sensi degli artt. 12, parr. 1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), del Regolamento (ovvero “fornire gratuitamente all’interessato, ove non vi abbia già provveduto, previa verifica in ordine alla sussistenza dei presupposti previsti dalla legge, […] copia delle immagini di videosorveglianza richieste”) con il citato provvedimento del 20 ottobre 2022, avendo, pertanto, l’Ente agito in violazione di un ordine impartito dall’Autorità ai sensi dell’art. 58, par. 2, lett. c), del Regolamento.
Con la medesima nota, il Comune è stato, altresì, invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con messaggio di posta elettronica del 3 febbraio 2023, il Comune ha dichiarato di essere in possesso di un “dischetto”, contenente le immagini di videosorveglianza in questione, rappresentando, tuttavia, “l’impossibilità di inviare detto video [all’interessato] senza l’autorizzazione delle altre persone coinvolte”, in quanto riprese assieme allo stesso.

Con successivo messaggio di posta elettronica del 15 febbraio 2023, il Comune ha dichiarato che “in data 14.02.2023 è stato consegnato il filmato richiesto dall'Avv. […] per conto del [reclamante]. La consegna è avvenuta a mezzo della Polizia Locale presso lo studio del predetto avvocato […]”. Il Comune ha, altresì, fatto pervenire copia di un verbale di consegna di tale filmato, redatto dalla Polizia Locale del Comune e sottoscritto “per ricevuta” dal legale difensore dell’interessato, recante la data del 14 febbraio 2023.

3. Esito dell’attività istruttoria.

3.1. L’intempestivo riscontro alla richiesta d’informazioni dell’Autorità.

Ai sensi dell’art. 58, par. 1, lett. a), del Regolamento, l’autorità di controllo ha il potere di “ingiungere al titolare del trattamento […] di fornirle ogni informazione di cui necessiti per l'esecuzione dei suoi compiti”.

Nell’ordinamento nazionale, l’art. 157 del Codice prevede che “nell'ambito dei poteri di cui all'articolo 58 del Regolamento, e per l'espletamento dei propri compiti, il Garante può richiedere al titolare […] di fornire informazioni e di esibire documenti anche con riferimento al contenuto di banche di dati”.

La violazione del predetto articolo è soggetta “alla sanzione amministrativa di cui all'articolo 83, paragrafo 5, del Regolamento” (art. 166, co. 2, del Codice), ovvero “fino a 20 000 000 EUR”.

Nel caso di specie, il Comune ha omesso di fornire all’Autorità, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, entro il termine di 30 (trenta) giorni dalla data di notifica (7 novembre 2022) del provvedimento n. 341 del data 20 ottobre 2022, ovvero entro il 7 dicembre 2022, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinatogli o all’eventuale sussistenza di motivi in fatto o in diritto ostativi alla possibilità di accogliere la richiesta dell’interessato di ottenere copia dei propri dati personali o alla circostanza che lo stesso avesse già provveduto a fornire riscontro alla richiesta in questione.

Come, infatti, sopra illustrato, soltanto a seguito di un’ulteriore richiesta d’informazioni dell’Autorità (v. nota del 16 dicembre 2022, prot. n. 0082383) il Comune ha fornito un primo insufficiente riscontro in data 16 gennaio 2023, per poi informare in maniera compiuta l’Autorità in merito alle azioni intraprese per conformarsi alle prescrizioni in questione in data 15 febbraio 2023, ovvero settanta giorni dopo il termine impartito dall’Autorità, avendo, pertanto, l’Ente agito in violazione dell’art. 157 del Codice (in connessione all’art. 58, par. 1, lett. a), del Regolamento).

3.2. L’intempestiva osservanza delle prescrizioni impartite dall’Autorità.

Ai sensi dell’art. 58, par. 2, lett. c), del Regolamento, il Garante ha il potere di “ingiungere al titolare del trattamento […] di soddisfare le richieste dell'interessato di esercitare i diritti loro derivanti dal […] regolamento”.

Come previsto dall’art. 83, par. 5, lett. e), del Regolamento, “l'inosservanza di un ordine […] dell'autorità di controllo ai sensi dell'articolo 58, paragrafo 2 […]” è soggetta a una sanzione amministrativa pecuniaria “fino a 20 000 000 EUR” (v. anche par. 6 del medesimo articolo).

Premesso che il Comune, alla data del 16 gennaio 2023, si era limitato ad avviare delle interlocuzioni preliminari con un proprio fornitore, al fine di verificare la reperibilità delle immagini ritraenti il reclamante, risulta accertato che, come emerge dal verbale della Polizia locale prodotto in atti, soltanto in data 14 febbraio 2023 lo stesso ha provveduto ad adempiere a quanto prescrittogli dall’Autorità ai sensi degli artt. 12, parr. 1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), del Regolamento (ovvero “fornire gratuitamente all’interessato, ove non vi abbia già provveduto, previa verifica in ordine alla sussistenza dei presupposti previsti dalla legge, […] copia delle immagini di videosorveglianza richieste”), con un ritardo di sessantanove giorni rispetto al termine impartitogli (7 dicembre 2022), avendo, pertanto, l’Ente agito in violazione di un ordine impartito dall’Autorità ai sensi dell’art. 58, par. 2, lett. c), del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver tardivamente fornito riscontro a una richiesta d’informazioni dell’Autorità e adempiuto alle prescrizioni impartitegli, in violazione degli artt. 58, par. 2, lett. c), del Regolamento e 157 del Codice (in connessione all’art. 58, par. 1, lett. a), del Regolamento).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che il Comune ha provveduto ad adempiere a quanto prescrittogli, dandone notizia all’Autorità, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla natura, alla gravità e alla durata della violazione della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare che, omettendo di conformarsi alle prescrizioni dell’Autorità, il Comune ha ulteriormente compresso il diritto di accesso ai dati personali dell’interessato, reiterando la medesima violazione già censurata con il citato provvedimento del 20 ottobre 2022, n. 341, avendo l’Ente soddisfatto il diritto in questione, dandone notizia all’Autorità, con notevole ritardo rispetto al termine impartitogli. Inoltre, la condotta del Comune si connota di particolare disvalore, denotando la stessa un sostanziale disconoscimento da parte dell’Ente del ruolo, dei compiti e dei poteri dell’autorità di controllo nell’ordinamento nazionale (v. artt. 55, 57 e 58 del Regolamento).

Si osserva, inoltre, ai fini dell’art. 83, par. 2, lett. b), del Regolamento, che la violazione ha carattere doloso, avendo il Comune intenzionalmente omesso di conformarsi alle prescrizioni impartitegli.

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ciò premesso, tenuto conto, in senso favorevole al titolare, che quest’ultimo è un Ente di modeste dimensioni (con meno di cinquemila abitanti), si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze attenuanti:

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento);

dopo la contestazione della violazione, il titolare del trattamento si è attivato per porre fine alla stessa (art. 83, par. 2, lett. f), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di 8.000 (ottomila) per la violazione degli artt. 58, par. 2, lett. c), del Regolamento e 157 del Codice (in connessione all’art. 58, par. 1, lett. a), del Regolamento), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che le prescrizioni impartite dall’Autorità al Comune sono state adempiute con notevole ritardo, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dal Comune, descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 58, par. 2, lett. c), del Regolamento e 157 del Codice;

ORDINA

al Comune di Salento, con sede legale in Piazza Municipio, 2 - 84070 Salento (SA), C.F. 84000050652, di pagare la somma di euro 8.000 (ottomila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di 8.000 (ottomila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 24 gennaio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei