[doc. web n. 10019506]

Provvedimento del 24 aprile 2024

Registro dei provvedimenti
n. 244 del 24 aprile 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il Prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la segnalazione della Polizia locale della Città di Guidonia Montecelio (Città Metropolitana di Roma Capitale) del 05.04.2023 e gli accertamenti effettuati, in data 05.07.2023, dalla Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche – con cui è stata accertata la presenza di un impianto di videosorveglianza, composto 6 telecamere regolarmente funzionanti, idonee a riprendere sia i clienti, sia il personale dipendente;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. L’esito degli accertamenti.

Con nota pervenuta il 05.04.2023, la Polizia locale della Città di Guidonia Montecelio (Città Metropolitana di Roma Capitale, di seguito “Polizia locale”) ha trasmesso a questa Autorità una comunicazione relativa a trattamenti effettuati presso l’esercizio commerciale “DLY” di Aifei Yang (Dly S.r.l. – P.Iva 14671381003, di seguito “Società”), collocato nel BOX n.4 all’interno del “Centro commerciale Tiburtino”, dai quali si evinceva l’installazione di un impianto di videosorveglianza non conforme alle norme in materia di protezione dei dati personali.

Al fine di reperire informazioni più precise in merito all’effettivo funzionamento dell’impianto di videosorveglianza, l’Autorità si è avvalsa della collaborazione della Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche (di seguito “GDF”).

Con nota pervenuta il 17.10.2023, la GDF ha trasmesso il verbale dell’accertamento effettuato presso l’esercizio in data 05.07.2023, da cui risultava che, presso il suddetto locale, era presente un impianto di videosorveglianza regolarmente funzionante, costituito da 6 telecamere non brandeggiabili, a focale fissa, le cui immagini risultavano accessibili sia tramite DVR collocato sul controsoffitto, sia da remoto, tramite applicativo installato sullo smartphone privato del titolare, nonché su quello del marito della titolare.

Tutte e sei le telecamere riprendono immagini a colori “che consentono la chiara identificazione dei soggetti ripresi”, sono attive 24 ore su 24, dotate di zoom digitale e sono risultate idonee a riprendere anche il personale dipendente che opera all’interno dell’esercizio.

In base agli elementi acquisiti nel corso dell’attività istruttoria, nonché sulla base delle successive valutazioni, è stato accertato che l’installazione e l’utilizzo del sistema di videosorveglianza, presso il punto vendita, è avvenuto in assenza di accordo con le rappresentanze sindacali o di autorizzazione rilasciata dall’Ispettorato del lavoro, secondo quanto previsto dall’art. 4 della L. n. 300 del 1970.

Dagli atti emerge infatti che:

• “l’impianto di videosorveglianza è in funzione ed attivo dall’apertura del punto vendita, avvenuta nel mese di ottobre 2022”;

• “consente la visualizzazione delle immagini (sia in tempo reale che registrate)”;

• la visualizzazione “avviene esclusivamente mediante l’apposita app “iDMSS Plus” installata sul mio smartphone personale e su quello di mio marito”;

• “è possibile visualizzare le immagini in tempo reale nonché quelle registrate fino alle 24 ore precedenti”;

• “le immagini sono conservate per finalità di tutela e sicurezza delle persone e del patrimonio aziendale”.

In merito alla mancata richiesta di autorizzazione all’Ispettorato del lavoro, la titolare della Società ha dichiarato che pensava “che fosse ancora valida e sufficiente quella richiesta ed ottenuta per il punto vendita in via Prenestina n. 427 in Roma, avendo riutilizzato in questo negozio il medesimo impianto; ad ogni buon fine vi fornisco la predetta autorizzazione rilasciata dall’Ispettorato Territoriale del Lavoro di Roma, in data 18 luglio 2019”.

A tal proposito, si evidenzia la non rilevanza della suddetta autorizzazione, in quanto rilasciata per un differente punto vendita, sulla base di una diversa tipologia di locale, contesto, posizionamento e funzionamento delle telecamere.

Si rileva, inoltre, che le indicazioni a suo tempo fornite dall’Ispettorato nella suddetta autorizzazione non sarebbero in ogni caso state rispettate in quanto nelle dichiarazioni tecniche allegate per ottenere l’Autorizzazione stessa, è specificato, ad esempio, che “le immagini non potranno essere visionate tramite iphone, telefonino, smartphone, ipad, tablet, ecc., salvo possibilità di accesso in rete secondo le prescrizioni del Garante privacy”; nell’autorizzazione è inoltre specificamente indicato che ”in occasione di ciascun accesso alle immagini (che di norma dovrebbe avvenire solo nelle ipotesi di verificazione di atti criminosi o eventi dannosi) la società deve garantire la presenza di un rappresentante dei lavoratori dagli stessi designato e dovrà darne tempestiva informazione ai lavoratori occupati: i lavoratori potranno verificare periodicamente il corretto utilizzo dell’impianto”.

2. L’avvio del procedimento.

Sulla base degli accertamenti di cui al predetto verbale, si provvedeva a notificare, con nota del 15.12.2023 (protocollo 0166412/23), l’avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento (UE) 2016/679 (di seguito “Regolamento”), in conformità a quanto previsto dall’art. 166, comma 5, del d.lgs. n. 196 del 30 giugno 2003 (di seguito “Codice”), in relazione la violazione del principio di liceità del trattamento (art. 5, par. 1, lett. a) del Regolamento in relazione all’art. 114 del Codice) e dell’art. 88 del Regolamento quanto alla disciplina applicabile in materia.

A seguito della contestazione, la Società ha inviato all’Autorità copia della richiesta di autorizzazione, inviata in data 15.01.2024, al competente Ispettorato territoriale del lavoro, senza però procedere a dare successiva comunicazione in merito al suo eventuale accoglimento, presumibilmente ancora in fase di esame, senza peraltro comunicare all’Autorità l’avvenuta interruzione dell’illecito trattamento dei dati effettuato tramite l’impianto di videosorveglianza.

Nell’interlocuzione con l’Autorità, la Società ha comprovato di aver aggiornato i cartelli di informativa al modello proposto nelle Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video.

3. Il quadro giuridico del trattamento effettuato.

L’utilizzo di sistemi di videosorveglianza può determinare, in relazione al posizionamento delle telecamere e alla qualità delle immagini riprese, un trattamento di dati personali.

Tale trattamento, avvenuto nel caso di specie, deve essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento. Il titolare del trattamento, deve seguire anche le indicazioni contenute nel provvedimento in materia di videosorveglianza - 8 aprile 2010 [1712680] (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità), e nelle Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video.

Inoltre, se l’impianto di videosorveglianza è idoneo a riprendere anche lavoratori dipendenti durante l’attività lavorativa, il connesso trattamento dei dati personali è lecito solo se è conforme alla disciplina prevista dall’art. 4, legge 20 maggio 1970, n. 300.

Difatti, i trattamenti di dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. artt. 6, par. 1, lett. b) e c); 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, ed in particolare del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a), del Regolamento).

Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori.

Il legislatore nazionale ha approvato, quale disposizione più specifica, l’art. 114 del d.lgs. n. 196 del 30 giugno 2003 (di seguito “Codice”) che tra le condizioni di liceità del trattamento ha stabilito l’osservanza di quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300.

La violazione del richiamato art. 88 del Regolamento è soggetta, ricorrendone i requisiti, all’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. d) del Regolamento.

In base al richiamato art. 4, l. n. 300 del 1970 gli apparati di videosorveglianza, qualora dagli stessi derivi “anche la possibilità di controllo a distanza” dell'attività dei dipendenti, “possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro.

L’attivazione e la conclusione di tale procedura di garanzia è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza. La violazione di tale disposizione è penalmente sanzionata (v. art. 171 del Codice).

4. L’esito dell’istruttoria e del procedimento sanzionatorio.

Sulla base dell’accertamento effettuato dalla Guardia di finanza è emerso che attraverso l’impianto di videosorveglianza installato presso l’esercizio commerciale, composto da sei telecamere idonee a riprendere sia i clienti, sia il personale dipendente, è stato effettuato un trattamento di dati personali in assenza delle misure di garanzia previste ai sensi dell’art. 4 della L. 300/1970, richiamato dall’art. 114 del Codice, in relazione alla presenza, nei locali videosorvegliati di personale dipendente.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Il trattamento dei dati personali effettuato dalla Società risulta pertanto illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) (principio di liceità), 88 del Regolamento e dell’art. 114 del Codice in materia di protezione dei dati personali.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura, della gravità e della durata della violazione, del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. cons. 148 del Regolamento).

La parte ha comunicato che avrebbe provveduto ad adeguarsi a quanto previsto dall’art. 4 della L. 300/1970, senza però dare successiva dimostrazione (o fornire aggiornamento alcuno al Garante), in merito all’avvenuto adempimento e, in attesa del rilascio dell’autorizzazione stessa, dell’avvenuta all’interruzione dell’illecito trattamento dei dati.

All’esito dell’istruttoria e accertata l’illiceità delle condotte come sopra descritte, deve pertanto adottarsi un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, per l’applicazione di una sanzione amministrativa pecuniaria, nonché provvedersi a disporreil divieto del trattamento.

6. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lettere a) e d), del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato dalla società per mezzo dell’impianto di videosorveglianza, di cui è risultata accertata l’illiceità, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) e 88 del Regolamento, e all’art. 114 del Codice.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura e gravità della violazione, rileva che la stessa riguarda i principi applicabili al trattamento di cui all’art. 5 del Regolamento nonché il rispetto della disciplina di settore richiamata dall’art.88 del Regolamento e la responsabilità connessa all’inadempimento dell’obbligo di attuare la procedura di garanzia prevista dall’art. 114 del Codice;

l’assenza di precedenti specifici a carico del titolare del trattamento, relativi a violazioni della disciplina in materia di protezione dei dati personali;

la circostanza che la Società ha parzialmente collaborato, con l’Autorità, nel corso del procedimento, fornendo dimostrazione di aver avviato la pratica presso l’Ispettorato territoriale del lavoro al fine di conformarsi alle procedure di garanzia previste dalla L.300/1970 (c.d. Statuto dei Lavoratori), senza tuttavia fornire ulteriori aggiornamenti in ordine al sul suo esito, nonostante l’apposita richiesta;

con riferimento alla durata della violazione, assume particolare rilievo la circostanza che la Società non ha inviato alcuna comunicazione in merito alla cessazione del trattamento illecito.

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate con riferimento alla dichiarazione dei redditi per l’anno d’imposta 2022.
In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000,00 (cinquemila) per la violazione degli artt. 5, par. 1, lett. a), 88 del Regolamento e 114 del Codice.

In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lettere a) e h) e 83 del Regolamento, l’illiceità del trattamento effettuato Dly S.r.l. di Aifei Yang – P.Iva 14671381003, attraverso l’utilizzo del sistema di videosorveglianza installato presso l’esercizio commerciale “DLY”, collocato nel BOX n.4 all’interno del “Centro commerciale Tiburtino”, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1, lett. a), 88 del Regolamento e dell’art. 114 del Codice;

DISPONE

ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto del trattamento effettuato mediante l’impianto di videosorveglianza, in quanto idoneo al controllo a distanza dei lavoratori, fino a che non abbia provveduto ad adeguarsi alle disposizioni del Regolamento, in particolare all’art. 88 del Regolamento e 114 del Codice, provvedendo all’attivazione delle misure di garanzia previste dall’art.4 L.300/1970;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, alla Dly S.r.l. – P.Iva 14671381003, di pagare la somma di euro di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro di euro 5.000,00 (cinquemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Si dispone, inoltre, che siano comunicate le iniziative intraprese al fine di dare attuazione a quanto disposto con il presente provvedimento e di fornire comunque riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice, entro il termine di 30 giorni dalla data di notifica del presente provvedimento; l’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 24 aprile 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei