Ordinanza ingiunzione o revoca n. 392 del 24/11/2022

Ordinanza ingiunzione nei confronti di un’impresa individuale per omesso riscontro al Garante

Il provvedimento riguarda l’impresa individuale Dello Russo Giulio e trae origine da una segnalazione dell’Ispettorato territoriale del lavoro di Torino relativa a un sistema di rilevazione biometrica delle presenze del personale. Nel corso dell’istruttoria, tuttavia, il Garante ha accertato soprattutto la mancata collaborazione del titolare con l’Autorità, per non aver risposto a più richieste di informazioni.

Origine della segnalazione e attività istruttoria

Con segnalazione del 1° luglio 2020, l’Ispettorato territoriale del lavoro riferiva che, durante una verifica ispettiva del 22 gennaio 2020 presso i locali dell’impresa, era stato rinvenuto un "impianto-bollatrice con rilevazione biometrica delle impronte digitali" utilizzato per la registrazione delle presenze del personale.

Il Garante ha quindi:

• invitato il titolare del trattamento a fornire riscontro con nota del 10 agosto 2020;
• reiterato la richiesta il 5 gennaio 2021 ai sensi dell’art. 157 del Codice, con espresso avviso della possibile sanzione ex art. 166, comma 2;
• inviato un ulteriore sollecito il 29 aprile 2021.

Poiché non perveniva alcun riscontro, l’Autorità ha delegato il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza per la notifica dell’atto di avvio del procedimento sanzionatorio e per l’acquisizione delle informazioni richieste.

Esito degli accertamenti sui fatti segnalati

Dagli accertamenti svolti non sono emersi elementi comprovanti l’asserita violazione relativa all’impianto biometrico. Il provvedimento si concentra quindi sulla mancata cooperazione dell’impresa con il Garante nel corso dell’istruttoria.

Violazione accertata: mancato riscontro alle richieste del Garante

Il Garante ha accertato che l’impresa non ha risposto:

• all’invito del 10 agosto 2020;
• alla richiesta di informazioni del 5 gennaio 2021 ex art. 157 del Codice;
• al sollecito del 29 aprile 2021.

Le comunicazioni risultavano regolarmente notificate; inoltre, secondo quanto dichiarato dall’impresa nel corso degli accertamenti, due di esse erano state anche visionate. La mancata risposta è stata giustificata dal titolare con una dimenticanza, dovuta a problemi di salute e a una minore presenza in azienda.

L’Autorità ha ritenuto che tale condotta integri la violazione dell’art. 157 del Codice, che attribuisce al Garante il potere di richiedere al titolare informazioni ed esibizione di documenti, in relazione all’art. 166, comma 2, del Codice, che assoggetta tale violazione alla sanzione di cui all’art. 83, par. 5, GDPR.

Valutazioni sulla gravità e sulla cooperazione

Il Garante ha escluso che le dichiarazioni difensive fossero idonee a superare i rilievi dell’atto di avvio del procedimento e a giustificare l’archiviazione.

Ha inoltre evidenziato che:

• il mancato riscontro a tre distinte richieste ha ostacolato l’attività dell’Autorità;
• la condotta ha reso necessario il coinvolgimento della Guardia di finanza per l’ispezione in loco;
• la violazione non può essere considerata minore, alla luce della natura, gravità e durata della condotta, del grado di responsabilità e delle modalità di conoscenza della violazione da parte dell’Autorità.

Sanzione amministrativa e criteri di quantificazione

Per la quantificazione della sanzione, il Garante ha richiamato i criteri dell’art. 83, par. 2, GDPR e il principio di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1.

Sono state considerate, in particolare:

• la condotta dell’impresa, che pur avendo ricevuto tre richieste non ha fornito alcun riscontro;
• il grado di responsabilità del titolare;
• il mancato grado di cooperazione con l’Autorità;
• l’assenza di precedenti specifici;
• la natura di impresa individuale;
• l’entità delle sanzioni irrogate in casi analoghi.

All’esito, è stata irrogata una sanzione amministrativa pecuniaria di euro 1.000.

Ordinanza ingiunzione, pubblicazione e opposizione

Il Garante ha adottato ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166, comma 7, del Codice, ordinando il pagamento della somma di euro 1.000 entro 30 giorni dalla notifica del provvedimento, con avvertenza circa gli atti esecutivi in caso di mancato pagamento.

È stata inoltre disposta la pubblicazione del provvedimento sul sito internet del Garante.

Resta salva la facoltà di definire la controversia mediante pagamento in misura ridotta pari alla metà della sanzione entro il termine previsto per l’opposizione. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.