[doc. web n. 10048943]

Provvedimento del 6 giugno 2024

Registro dei provvedimenti
n. 339 del 6 giugno 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la segnalazione, presentata ai sensi dell’art. 144 del Codice, dal sig. XX nei confronti dei sig.ri XX , XX , XX , con cui è stato contestato il trattamento dei dati personali effettuato per mezzo di un impianto di videosorveglianza, idoneo a riprendere aree non pertinenti della pubblica via, segnalato peraltro mediante cartelli informativi non idonei;

VISTO il verbale della Guardia di finanza in cui risulta accertata, presso l’abitazione dei soggetti segnalati, la presenza di un impianto di videosorveglianza, costituito da 4 telecamere regolarmente funzionanti, collocate sul perimetro esterno dell’abitazione stessa, che riprendono anche l’area pubblica;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1.    La segnalazione e l’attività istruttoria.

In data 31 luglio 2023, l’avv. XX (qui di seguito il “segnalante”) ha trasmesso all’Autorità la diffida inviata ai sig.ri XX, XX, XX  (qui di seguito i “segnalati”, spesso riferiti nelle dichiarazioni in singola persona, avendo nominato uno di loro a rappresentarli), con la quale intimava la rimozione di un impianto di videosorveglianza privato, composto da 4 telecamere, che, a suo avviso, riprendeva aree pubbliche nonché zone private di pertinenza del segnalante, o di passaggio dei suoi familiari, in violazione della normativa sulla protezione dei dati personali. 

Tale segnalazione è stata più volte integrata nel corso dell’attività istruttoria, trasmettendo all’Autorità le denunce inviate all’attenzione del Sindaco, al Comando dei Carabinieri e alla Polizia municipale della città, nonché la dichiarazione testimoniale resa dal sig. XX (qui di seguito “installatore”).

Nella predetta dichiarazione - trasmessa all’Autorità prima in forma riservata e con richiesta di non utilizzo, e solo successivamente (in data 20 ottobre 2023) in forma ufficiale utilizzabile per finalità istruttorie - l’installatore affermava che: “le predette telecamere riprendono, per la maggior parte e quasi per intero, le predette strade pubbliche ed il predetto vicolo aperto al pubblico e solo in minima parte l‘immobile interessato e predetto o le sue strette pertinenze”, che “per tale e predetto motivo, la notte, ripensando alla predetta installazione e montaggio dell'impianto, è stato colto dal dubbio sulla liceità di quanto aveva montato ed installato in quanto le predette telecamere”, che “riprendono e registrano anche luoghi immediatamente adiacenti agli ingressi ed accessi altrui, nonché l’intero Vicolo di […] dove sono soliti giocare i figli dell' …  [Ndr. segnalante] e persino, gli spazi adiacenti agli ingressi anteriori e posteriore, della Sua abitazione, residenza e Studio Professionale”, che “la mattina seguente, si è recato nella stessa casa e, dopo aver parlato con … [Ndr. il segnalato], hanno proceduto, di comune accordo, ad abbassare una delle 4 telecamere e precisamente quella posta su […], ruotandola in basso verso la strada, in modo tale da limitare, notevolmente, la ripresa di luoghi diversi dalle strette pertinenze proprie e non riprendere più quasi per intero tutta la predetta via Pubblica ed i relativi accessi ed, abitazioni altrui”, che “viceversa, la stessa operazione di abbassamento, non si è potuta effettuare per le altre telecamere e soprattutto per quella posta su […], in quanto, quest'ultima, non consentiva la rotazione verso il basso e lo stesso e predetto proprietario, … [Ndr. il segnalato], lo ha intimato di NON abbassarne più alcuna ulteriore telecamera e di fermarsi”, aggiungendo che le immagini potevano essere viste sia dal televisore di casa sia dallo smartphone del “proprietario”. 

Nell’istanza inviata all’Autorità, il segnalante evidenziava anche che i cartelli con l’informativa semplificata apposti vicino alle telecamere non riportavano il nome del titolare del trattamento.

Alla luce di quanto acquisito, l’Autorità delegava la Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche di effettuare accertamenti ispettivi al fine di verificare l’effettivo funzionamento dell’impianto di videosorveglianza, le caratteristiche dello stesso, le basi giuridiche per il trattamento dei dati personali poste in essere, chiedendo di acquisire tutti gli elementi utili a definire il caso.

Dall’esame del verbale del controllo effettuato, in data 30 gennaio 2024, presso l’abitazione dove era installato l’impianto di videosorveglianza, nonché delle dichiarazioni rese nello stesso giorno dai segnalati, in relazione all’impianto di videosorveglianza, risulta:

-  accertata, presso la suddetta abitazione, di proprietà della madre del segnalato, la presenza di un impianto di videosorveglianza costituito da 4 telecamere, regolarmente funzionanti, collocate sul perimetro esterno dell’abitazione stessa, che riprendono anche l’area pubblica, inquadrando la strada e il vicolo perimetrali l’abitazione stessa;

- che a supporto della necessità dell’installazione delle telecamere e della necessità che l’angolo di visuale delle stesse ricomprenda anche aree esterne a quelle di pertinenza, i segnalanti hanno rappresentato di aver subito atti di vandalismo e danneggiamento proprio sulla pubblica via, nei pressi dell’abitazione, e che tali atti erano stati regolarmente denunciati alle forze dell’ordine, oltre ad atti diffamatori e minacce, anch’essi oggetto di denuncia alla competente A.G.;

- che l’installazione dell’impianto di videosorveglianza era successiva alle denunce e che la scelta delle aree riprese era quindi finalizzata alla “tutela del patrimonio” e a quella “dell’incolumità fisica di [NDR. madre del segnalato] che risiede, da sola, nell’abitazione”; e che tale situazione aveva determinato “uno stato d’ansia per il pericolo che avvertivo sulla mia persona e che al contempo temevo riguardasse anche i miei familiari più stretti”.

Quanto sopra dichiarato risulta idoneamente documentato da parte dei segnalati.

Dagli accertamenti effettuati, è inoltre emerso che il sistema conservava immagini per oltre 3 mesi: nel caso di specie, alla data dell’accertamento ispettivo, effettuato il 30 gennaio 2024, era possibile consultare immagini a partire dal 21 ottobre 2023. 

A tal proposito, i segnalati hanno dichiarato di non essere stati consapevoli degli effettivi tempi di conservazione delle immagini, alla cui impostazione aveva provveduto l’installatore e che comunque non erano neppure riusciti a impostare le modalità di accesso dai dispositivi mobili, con la conseguente impossibilità di vedere le immagini da remoto tramite tali dispositivi. 

2.    La notifica delle violazioni e le memorie difensive.

Con comunicazione del 1° marzo 2024, l’Ufficio, sulla base della documentazione in atti e degli elementi acquisiti nel corso dell’istruttoria, ha provveduto a notificare l’avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83, del Regolamento in relazione alla violazione dell’art. 5, par. 1, lett. c) ed e); ciò in conformità a quanto previsto dall’art. 166, comma 5, del Codice.

Dalle memorie difensive pervenute in data 6 marzo 2024, emerge che il sig. XX è di fatto l’unico soggetto che ha effettivamente gestito l’impianto di videosorveglianza e a cui deve essere quindi attribuita la qualifica di titolare del trattamento con le connesse responsabilità.

Sia nel corso dell’attività ispettiva, sia nelle memorie difensive fatte pervenire, il titolare del trattamento ha evidenziato le motivazioni alla base della ripresa dell’area pubblica nei pressi dell’abitazione, di non essere stato consapevole dei tempi di conservazione delle immagini impostate dal tecnico e che, appena emerso il problema, ha provveduto a far ridurre i tempi di conservazione delle immagini a sette giorni, fornendo prova dell’avvenuta modifica.

Ha anche comunicato di aver autonomamente provveduto a integrare i cartelli riportanti l’informativa breve, inserendovi l’indicazione esplicita della titolarità del trattamento.

3.    Il quadro giuridico del trattamento effettuato. 

In via preliminare, si rappresenta che il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento e del Codice. 

Con il provvedimento generale in materia di videosorveglianza adottato da questa Autorità l’8 aprile 2010 (reperibile all’indirizzo www.garanteprivacy.it, doc. web n. 1712680), compatibile con il Regolamento e con le Linee guida n. 3/2019 sul trattamento dei dati personali, adottato dall’EPDB il 10 luglio 2019, sono state fornite dettagliate indicazioni per il corretto trattamento dei dati personali connesso all’installazione di sistemi di videosorveglianza da parte di privati, compagini condominiali, operatori economici e istituzioni pubbliche. 

In via generale, si osserva che il trattamento dei dati personali, anche effettuato mediante impianti di videosorveglianza, deve avvenire nel rispetto dei principi di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a) del Regolamento. 

Nell’ambito dei trattamenti di dati effettuati mediante un impianto di videosorveglianza, ciò si traduce nell’obbligo, per il titolare del trattamento, di informare adeguatamente gli interessati della presenza delle videocamere mediante l’apposizione di idonei cartelli recanti l’informativa, collocati prima del raggio d’azione delle telecamere che devono avere un formato ed un posizionamento tale da essere chiaramente visibili in ogni condizione di illuminazione ambientale (punto 3.1 del provvedimento in materia di videosorveglianza sopra citato).

Occorre aggiungere che, ai sensi dell’art. 5, par. 1, lett. c) ed e), del Regolamento, i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” («minimizzazione dei dati») e “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” («limitazione della conservazione»).

Si ricorda, poi, che in base al principio di responsabilizzazione (artt. 5, par. 2, e 24 del Regolamento), spetta al titolare del trattamento limitare le aree di ripresa delle telecamere alle zone aree di stretta pertinenza, nonché individuare i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche; ciò salvo che specifiche norme di legge non prevedano espressamente determinati tempi di conservazione dei dati (v. FAQ n. 5 del Garante in materia di videosorveglianza, cit.). 

Nella maggior parte dei casi “tenendo conto dei principi di cui all’articolo 5, paragrafo 1, lettere c) ed e), del Regolamento, vale a dire la minimizzazione dei dati e la limitazione della loro conservazione, i dati personali dovrebbero essere […] cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici. 

Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione” (par. 8, punto 121, delle Linee guida del Comitato europeo per la protezione dei dati, cit.; v. anche FAQ n. 5 del Garante, cit.).

In merito, invece, all’applicabilità stessa del Regolamento al caso di specie, che in base all’art. 2, par. 2 del Regolamento, il trattamento effettuato da una “persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico” è fuori dall’ambito di applicazione del Regolamento. Al riguardo, il considerando n. 18 del Regolamento specifica che si considera attività a carattere esclusivamente personale o domestico quella effettuata senza che si realizzi una connessione con un’attività commerciale o professionale.

L’utilizzo di sistemi di videosorveglianza da parte di persone fisiche nelle aree di diretto interesse (quali quelle inerenti al proprio domicilio e le sue pertinenze) sono quindi da ritenersi, in linea di massima, escluse dall’ambito di applicazione materiale delle disposizioni in materia di protezione dati, perché rientranti tra i trattamenti effettuati per l’esercizio di attività a carattere esclusivamente personale e domestico (v. Provv. Garante del 2 marzo 2023 [doc. web n. 9872567]).

Ciò però a condizione che:

- l’ambito di comunicazione dei dati non ecceda la sfera familiare del titolare e le immagini non siano oggetto di comunicazioni a terzi o diffusione;
- il trattamento non si estenda oltre gli ambiti di stretta pertinenza riprendendo immagini in aree comuni (anche di tipo condominiale quali scale, androni, parcheggi), luoghi aperti al pubblico (vie o piazze), o aree di pertinenza di terzi (giardini, terrazzi, porte o finestre di pertinenza di terzi, sul punto v. anche Tribunale di Vicenza, sentenza 18 ottobre 2019).

Al riguardo si evidenzia che la Corte di giustizia dell’Unione europea, con sentenza dell’11 dicembre 2014, si è espressa nel senso che l’utilizzo di un sistema di videocamera installata da una persona fisica nella propria abitazione familiare per proteggere i beni, la salute e la vita degli abitanti ma che riprende parimenti lo spazio pubblico, non rientra in un’attività esclusivamente personale o domestica, essendo il trattamento dei dati che ne deriva diretto verso l’esterno della sfera privata della persona che procede allo stesso.

Ne discende quindi che è possibile installare sistemi di ripresa video, senza dover adempiere agli obblighi previsti dalle norme in materia di protezione dei dati personali, purché l’angolo di visuale delle telecamere sia limitato alle sole zone di propria pertinenza, anche eventualmente attraverso l’attivazione di una funzione di oscuramento delle parti eccedenti, nella prospettiva tuttavia, che un minimo coinvolgimento in prossimità degli accessi può ritenersi ammissibile (in tema di oscuramento v. Provv. Garante n. 429 del 28 settembre 2023 [doc. web n. 9947775]).

In casi eccezionali in presenza di situazioni di rischio effettivo, il titolare del trattamento può, sulla base di un legittimo interesse, estendere la ripresa delle videocamere anche ad aree pubbliche o aperte al pubblico, immediatamente prossime a quelle di pertinenza, a condizione che lo spazio pubblico ripreso sia solo quello immediatamente prospicente gli ingressi e le finestre della propria abitazione e che tale estensione risulti necessaria e proporzionata, in relazione al contesto, per assicurare una protezione efficace (vedi in proposito Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video, punto 27).
In questi casi è tuttavia necessario che l’entità e l’attualità della minaccia siano adeguatamente documentate (ad esempio da denunce di minacce, furti o atti di vandalismo).

Non è comunque mai ammissibile la ripresa di spazi pubblici o comuni che non hanno un immediato collegamento con le aree di pertinenza o la ripresa di aree di pertinenza di terzi. Con riferimento a quest’ultimo caso, occorre anche considerare la possibilità che, a seconda delle circostanze di fatto, l’utilizzo di sistemi di videosorveglianza possa determinare un’interferenza illecita nella vita privata altrui, punita ai sensi dell’art. 615-bis del Codice penale (v. Cassazione, sentenza n. 25666 del 2003).

Nei casi in cui sussistano motivate ragioni per una limitata estensione delle riprese anche ad aree pubbliche o comuni, il titolare del trattamento è tenuto al rispetto delle disposizioni in materia di protezione dati personali, rinvenibili nelle Linee guida n. 3/2019 citate e nel Provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 (reperibile sul sito dell’Autorità www.gpdp.it [doc. web 1712680], in tal senso v. anche la Faq n. 10 in materia di videosorveglianza, pubblicata sul medesimo sito in data 05.12.2020 [doc. web 9497843]).

Tra queste, l’installazione di adeguati cartelli informativi circa la presenza del sistema di videosorveglianza con espressa indicazione del nome del titolare del trattamento e la definizione di un adeguato periodo di conservazione delle immagini.

Ove sia accertato che le telecamere riprendono aree ulteriori rispetto a quelle di pertinenza, in assenza dei sopra citati presupposti o degli adempimenti previsti dalle disposizioni, il trattamento che ne deriva risulterebbe illecito, con conseguente applicazione dei provvedimenti correttivi e sanzionatori da parte dell’Autorità (v. per un caso di applicazione concreta il Provv. Garante del 27 aprile 2023 [doc. web n. 9896468]).

4.    Osservazioni sul trattamento dei dati personali posto in essere. L’esito dell’istruttoria e del procedimento sanzionatorio.

Preliminarmente, sulla base dell’accertamento compiuto dalla GDF e dalle successive valutazioni dell’Autorità, si rileva che la titolarità del trattamento di dati posto in essere attraverso il sistema di videosorveglianza installato è imputabile al sig. XX, il quale aveva provveduto a far installare l’impianto a casa della madre, preoccupandosi poi del suo funzionamento.

Risulta poi accertato che le telecamere erano orientate in modo da inquadrare anche aree pubbliche ulteriori rispetto a quelle di stretta pertinenza, riferibili al vicolo e alla strada pubblica perimetrale all’abitazione della madre. 

Alla luce delle risultanze acquisite - con particolare riferimento alla denuncia per atti di vandalismo e danneggiamento avvenute nei pressi dell’abitazione (denuncia presentata il 3 aprile 2023, prima dell’installazione dell’impianto di videosorveglianza avvenuta il 18 luglio 2023), nonché alle successive denunce agli atti, presentate per atti diffamatori e minacce – si ritiene tuttavia che risulta comprovato l’interesse legittimo a supporto di tale trattamento e che l’impostazione delle aree riprese, rilevata in sede di accertamento, sia proporzionata al caso di specie.

In merito ai cartelli riportanti l’informativa breve predisposti, si osserva che erano ben visibili e, tenuto conto del particolare contesto urbano, il loro posizionamento consentiva agli interessati di identificare indirettamente la titolarità del trattamento dei dati effettuato. Si evidenzia che, in un’ottica di piena conformità alle disposizioni, il titolare ha in ogni caso immediatamente adeguato le informazioni riportare sugli stessi, includendo una chiara indicazione del proprio nome in qualità di titolare del trattamento.

Dagli accertamenti è infine emerso che il sistema conservava immagini per oltre 3 mesi: nel caso di specie, alla data dell’accertamento ispettivo effettuato il 30 gennaio 2024, era possibile consultare immagini a partire dal 21 ottobre 2023. 

Al tal proposito, si rileva che le immagini sono state pertanto conservate per un periodo di tempo non proporzionato rispetto alle finalità del trattamento, in violazione dei principi di minimizzazione dei dati e di limitazione della conservazione, ai sensi dell’art. 5, par. 1, lett. c) ed e), del Regolamento. 

Seppure la decisione in merito ai tempi di conservazione dei dati sia in capo al titolare del trattamento, il tempo di conservazione non può eccedere, in casi come quello oggetto del provvedimento, di massima e salve comprovate esigenze, allo stato non rilevate, alcuni giorni.

Con riferimento a questo specifico aspetto, pertanto, si sono rilevate le predette violazioni in relazione ai tempi di conservazione delle immagini. A tal proposito, si evidenzia comunque che il titolare del trattamento ha immediatamente proceduto a ridurre i tempi di conservazioni delle immagini per un periodo che si ritiene in linea con le finalità perseguite.

5.    Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Il trattamento dei dati personali effettuato dal titolare è risultato pertanto illecito, nei termini su esposti, in relazione all’art. 5, par. 1, lett. c) ed e) (principio di minimizzazione dei dati e di limitazione della conservazione) del Regolamento.

La violazione accertata nei termini di cui in motivazione può essere tuttavia considerata “minore”, tenuto conto in particolare del contesto in cui è maturata e dell’elemento soggettivo (v. cons. 148 del Regolamento).

La parte, come risulta dagli atti, ha peraltro immediatamente provveduto a conformarsi spontaneamente con quanto previsto dal Regolamento.

All’esito dell’istruttoria e accertata l’illiceità delle condotte come sopra descritte, si ritiene di dover adottare nei confronti del titolare la misura dell’ammonimento (artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento) per la violazione dell’articolo dell’art. 5, par. 1, lett. c) ed e).

Si rileva, altresì, che, nel caso di specie, ricorrono i presupposti per l’annotazione del provvedimento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento e dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Si informa, infine, che come da disposizioni normative e regolamentari dell’Ufficio (art. 154-bis, comma 3, del Codice; art. 37 del Regolamento del Garante n. 1/2019), copia del presente provvedimento verrà pubblicata sul sito web della scrivente Autorità.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) del Regolamento, rileva l’illiceità del trattamento effettuato dal sig. XX (C.F. XX) nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1, lett. c) ed e) del Regolamento;

ai sensi del considerando 148 e dell’art. 58, par. 2, lett. b), del Regolamento, ammonisce il sig. XX per aver effettuato un trattamento di dati personali in violazione dell’art. 5, par. 1, lett. c) ed e);

ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 6 giugno 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei