Ordinanza ingiunzione o revoca n. 427 del 15/12/2022

Verizon Connect Italy S.p.A. - trattamento illecito di dati di geolocalizzazione e sanzione pecuniaria

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti di Verizon Connect Italy S.p.A. per il trattamento dei dati di geolocalizzazione dei veicoli utilizzati nell’ambito di un rapporto contrattuale con Giessegi Industria Mobili S.p.A. Il procedimento è stato avviato a seguito del reclamo di un interessato che aveva rinvenuto sul proprio autocarro un dispositivo di localizzazione ritenuto ancora attivo dopo la cessazione del rapporto di lavoro.

Origine del caso e attività istruttoria

Il reclamo, presentato il 16 febbraio 2021, contestava sia la presenza del dispositivo Visirun n. 30006717 sul veicolo dell’interessato, sia il mancato riscontro a una richiesta di accesso ai dati inviata il 14 settembre 2020. Nel corso dell’istruttoria la Società ha spiegato che la richiesta era stata gestita internamente come ticket, trasmessa al cliente Giessegi e poi chiusa dopo un contatto tra le parti. La Società ha inoltre chiarito che il dispositivo era stato spedito nel febbraio 2016, che il servizio di localizzazione era cessato a fine 2020 e che i dati di posizione erano conservati per 12 mesi.

Trattamento esaminato e qualificazione dei ruoli

L’Autorità ha accertato che Verizon Connect Italy S.p.A. aveva fornito a Giessegi un servizio di localizzazione veicoli, sulla base di ordini del 2016, con installazione di 76 dispositivi di geolocalizzazione. Il servizio “Light” consentiva localizzazione GPS, mappatura dei percorsi, calcolo di chilometri, tempi e velocità media, con registrazione dei tragitti consultabili tramite applicativo web.

Il Garante ha qualificato Verizon come responsabile del trattamento, in quanto il cliente determinava finalità e mezzi del trattamento. Tuttavia ha rilevato che il rapporto tra titolare e responsabile non era stato adeguatamente regolato da un contratto o altro atto giuridico conforme all’art. 28 GDPR e che non risultavano impartite istruzioni documentate sulle modalità del trattamento.

Violazioni riscontrate e norme applicate

L’Autorità ha ritenuto che i trattamenti siano stati effettuati in violazione di:

• art. 28, par. 3, GDPR, per assenza di un adeguato atto giuridico e di istruzioni documentate;
• art. 5, par. 1, lett. a), GDPR, per violazione dei principi di liceità e correttezza;
• art. 6 GDPR, per assenza di un idoneo presupposto di liceità.

Il Garante ha osservato che gli obblighi relativi alla formalizzazione del rapporto titolare-responsabile erano già desumibili dal testo del GDPR e, prima ancora, dall’art. 29 del d.lgs. 196/2003 nella versione applicabile ai fatti iniziali. Ha quindi ritenuto infondata la tesi difensiva secondo cui tali obblighi sarebbero stati chiariti solo dalle Linee guida EDPB 07/2020, adottate nel 2021.

Esclusione della natura transfrontaliera

Verizon aveva sostenuto che la competenza spettasse all’autorità irlandese, richiamando lo stabilimento principale del gruppo in Irlanda. Il Garante ha respinto l’argomento, rilevando che il caso riguardava trattamenti effettuati da Verizon Connect Italy S.p.A., soggetto autonomo con sede in Italia, in esecuzione di contratti conclusi con un’altra società italiana.

Perciò non ricorreva un trattamento transfrontaliero ai sensi dell’art. 4, n. 23, GDPR, né trovavano applicazione le procedure di cooperazione ex art. 56 GDPR. È stata quindi confermata la competenza del Garante italiano ex art. 55 GDPR.

Valutazione del Garante sulla illiceità del trattamento

Il provvedimento sottolinea che la mancata designazione e l’assenza di istruzioni hanno comportato un trattamento di dati personali svolto per un periodo significativo, tra febbraio 2016 e dicembre 2020, senza adeguato fondamento giuridico. Il Garante ha evidenziato che la violazione non poteva essere qualificata come minore, anche per la durata pluriennale e per il coinvolgimento non solo del reclamante, ma di altri soggetti che utilizzavano i veicoli geolocalizzati.

Sanzione amministrativa e misure accessorie

Ai sensi dell’art. 83 GDPR, tenuto conto dei criteri di cui al par. 2, il Garante ha considerato:

• la natura e gravità della violazione, riguardante i principi generali del trattamento;
• la durata, superiore a quattro anni;
• il grado di responsabilità della Società;
• la cooperazione prestata durante l’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• le condizioni economiche del contravventore e le sanzioni irrogate in casi analoghi.

Sulla base di tali elementi, è stata irrogata una sanzione amministrativa pecuniaria di euro 30.000. Il Garante ha inoltre disposto la pubblicazione del provvedimento sul sito istituzionale, ritenendo sussistenti i presupposti previsti dalla disciplina applicabile.

Dispositivo finale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato da Verizon Connect Italy S.p.A.;
• ordinato il pagamento della sanzione di euro 30.000 entro 30 giorni dalla notifica;
• richiamato la possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione del provvedimento sul sito web del Garante.