[doc. web n. 10014032]

Provvedimento del 21 marzo 2024

Registro dei provvedimenti
n. 181 del 21 marzo 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO la segnalazione trasmessa dal Comando di Polizia locale del Comune di Vieste in data 26/02/2021, con cui è stata comunicata la presenza di un sistema di videosorveglianza presso la struttura ricettiva denominata “B&B Estlevante” sita in Vieste (FG), vico Toscano n. 1, a fronte del quale non risultava presente l’informativa di cui all’art. 13 del Regolamento;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. La segnalazione ricevuta e l’istruttoria preliminare.

Con nota del 26/02/2021, il Comando di Polizia locale del Comune di Vieste segnalava a questa Autorità di aver effettuato un accertamento presso la struttura ricettizia denominata “Estlevante B&B” sita in Vieste (FG), Vico Toscano n. 1, constatando la presenza di due telecamere, posizionate sulla facciata dell’edificio, rispetto alle quali non era stata affissa l’informativa di cui all’art. 13 del Regolamento.

Pertanto, l’Ufficio formulava una richiesta di informazioni, nei confronti della sig.ra XX, titolare della struttura ricettizia, invitandola, ai sensi dell’art. 157 del Codice, a fornire utili elementi di valutazione, volti in particolare a chiarire l’effettivo funzionamento delle telecamere e la loro idoneità a identificare gli interessati, nonché il rispetto dei principi e delle disposizioni in materia di protezione dei dati personali (nota del 13/09/2021).

Con comunicazione dell’08/10/2021, la parte forniva riscontro alla predetta richiesta di informazioni, comunicando che:

- “le telecamere installate sono funzionanti e astrattamente idonee alla identificazione delle persone”;

- “l’impianto di videosorveglianza è stato installato a maggio 2019. È composto da due telecamere. L’angolo visuale delle riprese è limitato ai soli spazi di esclusiva competenza della scrivente, antistanti l’accesso al proprio immobile, escludendo ogni forma di ripresa di aree pubbliche, di pubblico passaggio e zone di pertinenza di soggetti terzi”;

- “il sistema funziona dalle ore 00:00 alle ore 23:59. Il tempo di conservazione delle immagini registrate è stato limitato a 24 ore”;

- “la titolarità del trattamento è affidata alla scrivente, titolare dell’attività ricettiva e comodataria dell’immobile dove è presente l’impianto di videosorveglianza. L’installazione del sistema di sorveglianza si è resa necessaria per scongiurare l’intrusione di estranei e danni alla struttura, nonché per tutelare l’incolumità della clientela del B&B”. 

Con particolare riferimento alla presenza dell’informativa, la parte comunicava che:

- “alla data di installazione dell’impianto di videosorveglianza (maggio 2019), sebbene sia stata effettuata per fini esclusivamente personali e con angolo visuale limitato agli spazi di sua esclusiva pertinenza, ne ha tempestivamente segnalato la presenza con l’informativa, ai sensi dell’articolo 13 del Regolamento” tanto che “la Polizia Municipale, negli anni 2019 e 2020, pur avendo più volte avuto accesso all’immobile, non ha mai contestato nulla a riguardo. (…) Quindi con molta probabilità l’informativa apposta è stata divelta da qualche vandalo o è venuta via a causa di condizioni climatiche avverse”;

- “si ritiene che, nella specie, non trovi applicazione la disciplina del Codice della Privacy che non è invocabile ove l’installazione di sistemi di videosorveglianza venga effettuata da persone fisiche per fini esclusivamente personali”.

2. L’avvio del procedimento.

L’Ufficio, sulla base delle dichiarazioni rese, provvedeva a notificare, con nota del 01/12/2021, l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, del Codice, in relazione alla violazione dell’art. 13 e dell’art. 5, par. 1, lett. a), del Regolamento.

Con gli scritti difensivi, presentati in data 22/12/2021, in conformità all’art. 18 della legge n. 689/1981, la parte, nel ribadire che l’informativa ex art. 13 del Regolamento era stata correttamente affissa al momento dell’installazione delle telecamere (avvenuta a maggio 2019), rappresentava che “La contestata assenza dell’informativa ex art. 13 GDPR (oggetto del presente procedimento) deve quindi al più essere limitata alla sola data dell’ispezione della Polizia Locale (26 febbraio 2021), ricadente in un periodo in cui, a causa dell’emergenza sanitaria da COVID-19, i proprietari (…) e la comodataria dell’Immobile (…) erano impossibilitati a raggiungere Vieste e, in ogni caso, l’attività ricettiva era chiusa al pubblico. Con ogni probabilità, dunque, la riscontrata assenza del cartello originariamente apposto è riconducibile ad un evento accidentale (atto vandalico e/o eventi atmosferici), non imputabile alla Scrivente e comunque a quel tempo non ripristinabile (a causa delle restrizioni alla circolazione previste per l’emergenza sanitaria da COVID-19). 

La parte ribadiva inoltre che la disciplina in materia di protezione dei dati personali non sarebbe applicabile, al caso di specie, in virtù della cd. “esenzione domestica”, di cui all’art. 2, par. 2, lett. c), del Regolamento. Infatti, il trattamento è stato posto in essere “da una persona fisica nell’ambito di un’attività a carattere personale o domestico”.

Con comunicazione del 13/02/2024, la parte rinunciava all’audizione inizialmente richiesta, “non avendo nulla da aggiungere a quanto già rappresentato negli scritti difensivi”.

3. Il quadro giuridico dei trattamenti effettuati mediante videosorveglianza.

Posto che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento, si rileva come tale trattamento debba essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento e, in particolare del principio di trasparenza che presuppone che “gli interessati devono essere sempre informati del fatto che è in funzione un sistema di videosorveglianza. Dovrebbero essere informati in modo dettagliato sui luoghi sorvegliati” (così le Linee Guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, adottate dall’EDPB in data 29/01/2020, par. 7).

A tale scopo, quindi, con particolare riferimento ai trattamenti effettuati mediante impianti di videosorveglianza, occorre che il titolare del trattamento predisponga idonei cartelli informativi secondo le indicazioni contenute al punto 3.1. del provvedimento in materia di videosorveglianza - 8 aprile 2010 [1712680] (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità) affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza”.

Analogamente le citate Linee Guida n. 3/2019 chiariscono che “le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)”.

In particolare, “le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata” , al fine di “consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario” (n. 110 e ss. delle Linee Guida).

E’, inoltre, previsto che “Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”.

4. L’esito del procedimento.

All’esito dell’istruttoria svolta e sulla base delle dichiarazioni rese dalla parte nel corso del procedimento, risulta accertato che l’impianto di videosorveglianza, installato presso la struttura ricettizia “Estlevante B&B”, al momento dell’accertamento svolto dal Comando di Polizia locale del Comune di Vieste, era sprovvisto dell’informativa richiesta dall’art. 13 del Regolamento.

Ciò nonostante le telecamere, presenti sulla facciata esterna dell’edificio, fossero attive e funzionanti, nonché idonee ad identificare gli interessati (dichiarazioni rese dalla parte con la nota dell’08/10/2021).

La condotta così descritta è pertanto contraria alle disposizioni del Regolamento che attribuiscono al titolare del trattamento gli obblighi generali di trasparenza e informazione, attraverso la predisposizione e la messa a disposizione degli interessati di un’informativa chiara e trasparente, che li renda edotti sulle caratteristiche essenziali del trattamento stesso (artt. 5, par. 1, lett. a), 12 e 13 del Regolamento).

In base a un costante orientamento del Garante, infatti, l’informativa, da rendere nel momento in cui i dati sono raccolti, deve comprendere i dati più importanti come, ad esempio le finalità del trattamento e l’identità del titolare.

Diversamente da quanto argomentato dalla parte, peraltro, la fattispecie in esame non può essere valutata come un trattamento effettuato da una “persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico”, rispetto al quale come detto le disposizioni del Regolamento non trovano applicazione.

La disposizione di cui all’art. 2, par. 2, lett. c), del Regolamento, da interpretarsi in senso restrittivo, introduce una deroga limitata alle attività a carattere domestico, intendendosi per tali attività “unicamente” quelle che “rientrano nell’ambito della vita privata o familiare dei singoli” (CGUE, causa C-101-01 del 06/11/2023). Ancora più chiaramente, il considerando 18 del Regolamento precisa che sono attività a carattere esclusivamente personale o domestico quelle effettuate senza che si realizzi una connessione con un’attività commerciale o professionale.

Nel caso di specie, appare infatti evidente come il trattamento fosse effettuato nell’esercizio di un’attività commerciale, quale appunto la gestione di una struttura ricettizia, inizialmente in capo a una impresa individuale. Nel corso del procedimento, l’azienda è stata poi ceduta alla società Estlevante s.r.l.s. che, in virtù dell’art. 2560 e ss. c.c., è subentrata nei rapporti attivi e passivi del cedente.

5. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato per mezzo dell’impianto di videosorveglianza privo dell’informativa, in violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del titolare del trattamento, nonché la responsabilità connessa all’inadempimento dell’obbligo di rendere l’informativa agli interessati;

l’assenza di precedenti specifici relativi a violazioni della disciplina in materia di protezione dei dati personali;

la circostanza che, nel corso del procedimento, la parte ha dichiarato di aver predisposto nuovi cartelli informativi.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000,00 (duemila) per la violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato da Estlevante s.r.l.s., P.I. 08726210720, con sede in Trinitapoli (BT), via Germania n. 16, attraverso l’utilizzo del sistema di videosorveglianza installato presso la “Estlevante B&B” nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento;

ORDINA

a Estlevante s.r.l.s., nella persona del legale rappresentante pro-tempore, di pagare la somma di euro 2.000,00 (duemila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima di pagare la somma di euro 2.000,00 (duemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 21 marzo 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei