Il titolare del trattamento dei dati è il soggetto le cui finalità vengono perseguite attraverso il trattamento medesimo

Fatto

Una Società operante nel campo della raccolta, trasporto e smaltimento dei rifiuti era stata raggiunta da una contestazione da parte del nucleo privacy della Guardia di finanza per aver ella commesso delle violazioni in materia di trattamento dei dati personali. Il titolare del trattamento dei dati è il soggetto le cui finalità vengono perseguite attraverso il trattamento medesimo
In particolare, la Guardia di Finanza, in fase di indagini, aveva appurato che la Società: (i) aveva mancato di fornire ai propri dipendenti una idonea informativa al trattamento dei dati personali operato tramite i sistemi di geolocalizzazione e di videosorveglianza, installati, rispettivamente, sugli automezzi aziendali e sui locali esterni dell’azienda, e precisamente sul cortile esterno di accesso agli uffici; (ii) non aveva presentato, in riferimento alla geolocalizzazione, la notificazione al Garante, mancando perfino di designare il soggetto fornitore del sistema di geolocalizzazione quale responsabile del trattamento, in violazione del provvedimento del Garante in materia di sistemi di localizzazione dei veicoli nell’ambito del rapporto di lavoro (provvedimento n. 370 del 4/10/11); aveva mancato di designare, in riferimento al complesso dei trattamenti, e dunque quelli relativi alle mansioni amministrative, alla reception e alla contabilità, gli incaricati del trattamento.
La Società aveva offerto le proprie giustificazioni rigettando gli addebiti a lei ascritti. Per quanto qui di interesse, in riferimento alla mancata informativa ai dipendenti sul trattamento dei dati operato mediante il sistema di videosorveglianza, la Società aveva sostenuto di aver fornito l’informativa oralmente, spiegando ai dipendenti le finalità e modalità del trattamento nonché i diritti riconosciuti agli interessati, e di aver acquisito, con la stessa modalità, il loro consenso. Con riguardo, invece, al trattamento operato attraverso il sistema di geolocalizzazione, la Società in premessa aveva evidenziato di non essere ella il titolare del trattamento, ma la società fornitrice degli impianti di geolocalizzazione, la quale deteneva i dati raccolti dal sistema GPS. La Società aveva, poi, spiegato che a tutti i dipendenti con mansioni di autista era stata data informazione circa le finalità del trattamento operato mediante gli strumenti di localizzazione, sia attraverso l’informativa allegata al contratto di lavoro, che illustrava ai lavoratori le finalità e le modalità del trattamento, oltre ad informarli circa il fatto che la posizione degli automezzi e quella degli autisti era in ogni momento nota alla logistica, sia attraverso i corsi di formazione in materia, finalizzati ad informare i lavoratori circa la natura dei dati trattati e le caratteristiche del sistema di geolocalizzazione.

La decisione del Garante

Il Garante, valutate le argomentazioni addotte dalla Società in difesa delle accuse mosse, ha ritenuto le stesse non idonee ad escludere la responsabilità per i fatti contestati, condannando la Società ad una sanzione pecuniaria per aver violato le norme in materia di privacy, sia con riferimento alla mancata idonea informativa agli interessati, sia con riferimento alla mancata notificazione al Garante per l’utilizzo di sistemi GPS.
In particolare, il Garante soffermandosi in prima battuta sull’aspetto della mancata adozione di una informativa relativa all’utilizzo di sistemi di geolocalizzazione, tenuto conto delle difese presentate dalla Società, ha rigettato le eccezioni avanzate dalla Società circa la titolarità del trattamento in capo alla società fornitrice del sistema di GPS, riconoscendo nella Società di trasporto e smaltimento dei rifiuti l’unico titolare del trattamento dei dati raccolti. A tale conclusione il Garante è giunto tenendo in considerazione le finalità perseguite dall’installazione dei sistemi di GPS, riconoscendo che le finalità del trattamento risultano connesse all’esercizio delle attività imprenditoriali della Società di rifiuti e sono indirizzate alla localizzazione della flotta di automezzi e degli autisti, dipendenti della stessa. Seppur, dunque, la società che materialmente raccoglie i dati rilevati dai sistemi di geolocalizzazione è la società fornitrice del sistema informatico, ella lo fa perseguendo non autonome finalità, ma le finalità della Società di rifiuti.
Il Garante, poi, ha preso posizione sull’informativa che la Società di rifiuti ha rappresentato come idonea ad assolvere l’obbligo derivante dalla normativa sulla privacy, esprimendosi in senso negativo. Secondo il Garante, infatti, il breve e generico riferimento al fatto che la posizione degli automezzi e degli autisti è in ogni momento nota al personale addetto alla logistica, non può ritenersi idonea ad informare compiutamente l’interessato come prescritto invece dal Codice privacy.
In riferimento alla mancata notifica al Garante prevista per i trattamenti che comportano la geolocalizzazione di persone o cose, l’Autorità giudicante ha inizialmente chiarito che la localizzazione deve essere notificata quando permette di individuare in maniera continuativa, anche con eventuali intervalli, l’ubicazione sul territorio o in determinate aree geografiche di persone – la cui identità è risalibile anche attraverso codici – o cose, con apparecchiature e dispositivi elettronici, detenuti dal titolare o dalla persona o collocati sugli oggetti. Ha poi specificato i casi in cui è escluso l’obbligo di notificazione al Garante, chiarendo che ciò è possibile solo per i trattamenti che indicano la posizione geografica dei mezzi di trasporto aereo, navale, terrestre effettuati esclusivamente ai fini di sicurezza del trasporto.
Con riferimento al caso di specie il Garante ha ritenuto che questo non rientri nella fattispecie di esclusione, poiché l’attività di geolocalizzazione svolta dalla Società di rifiuti, risulta essere finalizzata non esclusivamente alla sicurezza del trasporto terrestre ma anche ad altre finalità, come l’esecuzione degli adempimenti di legge connessi all’iscrizione al sistema di controllo della tracciabilità dei rifiuti al fine di procedere al monitoraggio dei rifiuti pericolosi.
In ultimo avendo riguardo all’aspetto della mancata informativa sul trattamento dei dati personali raccolti mediante il sistema di videosorveglianza, e l’asserita idonea informativa data oralmente ai lavoratori, il Garante si è espresso negativamente, affermando l’inidoneità della stessa. Secondo il giudizio del Garante l’unica informativa idonea a garantire un’adeguata conoscenza della presenza di un impianto di videosorveglianza a tutti gli interessati, che possono essere ripresi dalle telecamere, è quella resa in forma semplificata attraverso l’apposizione, nel raggio di azione delle telecamere, dei cartelli recanti quegli elementi minimi stabiliti dal Garante stesso idonei ad informare del trattamento gli interessati.

Volume consigliato