[doc. web n. 10107146]

Provvedimento del 12 dicembre 2024

Registro dei provvedimenti
n. 772 del 12 dicembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento dal sig. XX nei confronti di Hotel Petrarca s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo nei confronti della Società e l’attività istruttoria.

A seguito della presentazione di un reclamo da parte del Sig. XX nei confronti dell’Hotel Petrarca s.r.l. (di seguito, la Società), l’Autorità ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche lo svolgimento dell’accertamento ispettivo che è stato effettuato in data 4 gennaio 2022 presso la Società con cui è stata accertata la presenza di 3 sistemi di videosorveglianza funzionanti presso la sede della stessa.

In occasione dell’accertamento ispettivo, la Società, attraverso il direttore dell’Hotel e il consulente privacy (v. verbale op. compiute 4/01/2022), ha rappresentato che:

a. “le telecamere oggetto della segnalazione sono state installate per motivi di sicurezza; diversi sono stati i furti subiti nel tempo” (v. verbale op. compiute cit., 4/01/2022, p. 2);

b. “titolare del trattamento dei dati personali mediante l’impianto di videosorveglianza, di cui alla segnalazione […], è l’Hotel Petrarca s.r.l.” (v. verbale op. compiute cit., p. 3);

c. “relativamente al numero di telecamere, al posizionamento delle stesse, all’angolo di visuale e all’eventuale registrazione delle immagini e tempi di conservazione delle stesse, né io né il consulente qui presente siamo in grado di fornire informazioni precise, tantomeno disponiamo di planimetrie e/o altra documentazione che possa darci l’indicazione di tali dati; al riguardo, possiamo asserire che il sistema effettua la registrazione delle immagini e che le stesse sono conservate per 48h; […] la ditta M.P. Security s.n.c. […] si occupa della manutenzione e gestione dell’impianto ed unico soggetto abilitato ad accedere alle immagini registrate” (v. verbale op. compiute cit., p. 3);

d. “in merito all’informativa, relativa all’impianto di videosorveglianza in argomento, sono state apposte diverse tipologie di cartelli informativi in giro per la struttura e in corrispondenza degli accessi ai locali videosorvegliati” (v. verbale op. compiute cit., p. 3);

e. “[si] fornisc[e] l’informativa sul trattamento dei dati personali […], a disposizione dei clienti, nella quale, al punto «modalità del trattamento» sono riportati, tra i vari dati personali trattati, anche quelli afferenti le videocamere di sorveglianza; il trattamento in argomento non è stato ancora ricompreso tra quelli di cui al registro dei trattamenti, ma sarà presto inserito anche sulla base della specifica analisi del rischio che sarà formulata; […] dell’impianto di videosorveglianza si parla tra le misure di sicurezza adottate a tutela di tutti i dati personali trattati dall’Hotel, sia nel registro dei trattamenti che nel documento – privacy by design: analisi dei rischi e misure adottate” (v. verbale op. compiute cit., p. 3);

f. nel verbale viene dato atto che “nel corso dello spostamento verso il backoffice, [è stata] notat[a] la presenza di un televisore, posto di fronte alla reception e visibile anche ai clienti, sul quale sono riportate le immagini riprodotte da nove telecamere” (v. verbale op. compiute cit., p. 4);

g. la M.P. Security s.n.c. ha precisato che “l’impianto di videosorveglianza installato presso l’Hotel è composto, in realtà, da tre sistemi di videosorveglianza diversi, ognuno dotato di un proprio NVR collegato a delle telecamere, e a tutela, rispettivamente, dell’area esterna (accessi e parcheggi), delle piscine (coperte e scoperte) e degli spogliatoi; le immagini vengono registrate e conservate per 48h sui citati NVR, custoditi in un armadio metallico posto nel backoffice; l’accesso ai predetti NVR è consentito esclusivamente al sottoscritto, mediante medesimo account ADMIN (stessi username e password), tramite collegamento intranet dedicato all’impianto; detta rete è diversa da quelle utilizzate per gli altri servizi dell’Hotel; le immagini riprodotte sul televisore sono le uniche visibili in tempo reale e sono disponibili mediante collegamento diretto HDMI all’NVR relativo alle aree esterne” (v. verbale op. compiute cit., p. 4);

h. dagli accessi ai tre NVR “è risultato quanto segue:

- “«area esterna (accessi e parcheggi)» - l’impianto è composto da ventuno telecamere a colori, a focale fissa e con ripresa e registrazione, anche notturne, la cui definizione consente di riconoscere i soggetti nonché di leggere le targhe dei veicoli ripresi; la telecamera posta a sorveglianza di uno degli accessi, oltre a riprendere il cancello di ingresso inquadra il parcheggio pubblico antistante la struttura […]; le registrazioni (funzione playback) avvengono in modalità continua e sono conservate per 48h, come da configurazione di sistema;

- «piscine (coperte e scoperte)» - l’impianto è composto da sette telecamere a colori, a focale fissa e con ripresa e registrazione, anche notturne, la cui definizione consente di riconoscere i soggetti ripresi; le registrazioni (funzione playback) avvengono in modalità continua e sono conservate per 48h, come da configurazione di sistema; tra le registrazioni visualizzate sono risultate presenti anche le immagini relative all’attività svolta dai dipendenti addetti alla piscina;

- «spogliatoi» - l’impianto è composto da sedici telecamere a colori, a focale fissa e con ripresa e registrazione, anche notturne, la cui definizione consente di riconoscere i soggetti ripresi; non risultano immagini relative agli interni degli spogliatoi e dei bagni (dotati di porte), ma solo alle aree dedicate agli armadietti […] e alle zone antistanti e di passaggio degli spogliatoi […]; tra le telecamere ce n’è una […] che inquadra parte dello spogliatoio dei dipendenti; le registrazioni (funzione playback) avvengono in modalità continua e sono conservate per 48h, come da configurazione di sistema” (v. verbale op. compiute cit., p. 4);

i. con riferimento alle immagini relative alle aree dedicate agli armadietti, la Società ha precisato che “le aree dedicate agli armadietti non dovrebbero essere utilizzate come spogliatoi; i clienti, però, riscontrando la presenza di panche, messe a disposizione per appoggiare, temporaneamente gli effetti personali da riporre negli armadietti, a volte si cambiano pur rilevando la presenza delle telecamere e dei relativi cartelli informativi; qualora necessario provvederemo alla rimozione delle panche o a modificare la disposizione dei complementi d’arredo; relativamente alla telecamera [che inquadra parte dello spogliatoio dei dipendenti] la stessa è stata posta a ripresa del lettore di badge per la rilevazione delle presenze e degli orari di lavoro, in quanto, in passato, si sono verificati casi di timbrature «multiple», soprattutto durante le ore lavorative notturne” (v. verbale op. compiute cit., p. 4);

j. “circa la telecamera posta all’interno dello spogliatoio dipendenti, i verbalizzanti hanno rilevato […] che la stessa risulta custodita all’interno di una scatola, a sua volta posizionata all’interno dell’armadietto tecnico, contenente cablaggi e posizionato sopra al lettore di badge” (v. verbale op. compiute cit., p. 5);

k. “è stato accertato, altresì, che nessun cartello informativo risulta essere stato posto né all’ingresso né all’interno del suddetto spogliatoio” (v. verbale op. compiute cit., p. 5);

l. in proposito la Società ha rappresentato che “la telecamera è stata posta all’interno dell’armadietto tecnico per essere meglio custodita e riparata dall’elevata umidità presente nei locali, in quanto dedicati alle cure termali (es.: fanghi, massaggi, ecc.); riguardo al cartello informativo, provvederò immediatamente ad affiggerne uno anche all’ingresso dello spogliatoio” (v. verbale op. compiute cit., p. 5);

m. è stato effettuato l’accesso ai tre NVR tramite la M.P. Security s.n.c. ed è stato mostrato che “non sono presenti account di accesso diversi da quello ADMIN” (v. verbale op. compiute cit., p. 5);

n. “con riferimento alle configurazioni di sistema citate […] i verbalizzanti hanno chiesto al[la M.P. Security s.n.c.] delucidazioni circa la presenza del flag in corrispondenza della funzione «Reg. Audio». Al riguardo [M.P. Security s.n.c.] ha estratto due brevi registrazioni e conseguentemente dimostrato, tramite apposito software di conversione, che i file estratti erano mancanti delle relative tracce audio” (v. verbale op. compiute cit., p. 5);

o. la Società ha dichiarato che “al momento risultano assunti sessantasette dipendenti e risulta in essere un contratto di attività in outsourcing con la NEP s.r.l.”, non sono presenti rappresentanze sindacali, non è stata chiesta l’autorizzazione all’Ispettorato del lavoro, è stata fornita ai dipendenti l’informativa sul trattamento dei dati personali, la rappresentante dell’impresa si occupa dell’assunzione, della gestione e del controllo del personale dipendente (v. verbale op. compiute cit., p. 5).

In data 14 gennaio 2022, la Società ha inviato alla Guardia di finanza documentazione integrativa, tra cui:

- “Relazione tecnica da parte della società MP Security snc dell’avvenuta correzione di posizionamento delle videocamere di sorveglianza, sia esterne, sia interne ai vari reparti dell’Albergo, con allegata pianta di tutta l’area sottoposta a videosorveglianza”;

- “Documento relativo al posizionamento di nuovi cartelli di videosorveglianza, aggiornati in base al GDPR 679/2016 e D. lgs. 101/2018 in cui si evidenzia tutti i punti di accesso sia esterni sia interni con gli appositi cartelli”;

- “Nomina della Società MP Security snc come responsabile esterno del trattamento dati, in applicazione all’articolo 28 e seguenti del Regolamento”;

- “Nomina degli addetti alla segreteria e front-office per la visione delle immagini delle videocamere di sorveglianza, senza alcuna registrazione, all’entrata dei cancelli esterni e passi carrai”;

- “Registro aggiornato «Organigramma aziendale»”;

- “Registro aggiornato dell’analisi dei rischi e misure adottate (Privacy by design e default)”;

- “Registro aggiornato relativo alla DPIA (Analisi del rischio e piano di formazione)”;

- “Registro dei trattamenti aggiornato in applicazione dell’art. 28 del GDPR”;

- “Informativa aggiornata del trattamento dati dei dipendenti”;

- “Informativa aggiornata del trattamento dati di videosorveglianza, a disposizione di ogni singolo utente o cliente della struttura alberghiera”.

In data 17 gennaio 2022, la Società ha inviato documentazione fotografica relativa al “nuovo posizionamento delle videocamere di sorveglianza, con le immagini degli spogliatoi piscine, liberate di tutte le panche e sedie”.

In data 20 gennaio 2022, la Società ha fornito copia dell’istanza di autorizzazione all’installazione di impianti audiovisivi, presentata in data 12 gennaio 2022, ai sensi dell’art. 4 della legge 20 maggio 1970, n. 300, all’Ispettorato territoriale del Lavoro – sede di Padova.

2. L’avvio del procedimento e le deduzioni della Società.

In data 16 maggio 2022, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Società delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. a), c), 6, 13, 30, 88 del Regolamento e 114 del Codice.

In data 7 giugno 2022, la Società ha presentato i propri scritti difensivi e in quell’occasione ha evidenziato che:

- “negli spogliatoi sia maschile sia femminile, esistono gli stanzini adibiti a spogliatoio, per indossare i costumi da bagno atti a procedere nei locali piscine. Come tutti gli accessi a qualunque piscina, il cambio di abiti e l’indossare il costume da bagno, deve essere effettuato nei locali indicati dalla Direzione dell’Hotel Termale; il [reclamante] dichiarando che ha effettuato il cambio vestiti con il costume da bagno negli spogliatoi, antistanti i camerini dove negli stessi locali sono dislocati anche gli armadietti chiusi a chiave per riporre i beni compreso documenti e portafogli, ha violato una procedura di utilizzo e perciò un atto non pertinente dei locali adiacenti le piscine termali interne ed esterne. Come si evince dalla planimetria della dislocazione delle videocamere, sia dalle foto allegate […], gli stanzini sono privi di controllo di videocamere, mentre [in altre] foto […] si evince la registrazione della videosorveglianza” (v. scritti difensivi del 7/06/2022 cit., p. 1);

- “dal [reclamo], si evidenzia in sostanza la dichiarazione del [reclamante] della non presenza dei cartelli indicante la videosorveglianza. I cartelli invece erano presenti, ma […], con la visita ispettiva del 04.01.2022 mancava l’indicazione dei dati identificativi del titolare del trattamento e delle finalità di trattamento. Perciò [il reclamo] non risultava del tutto esatt[o] nella forma espressa, anche se accettiamo la non completezza del cartello di videosorveglianza” (v. scritti difensivi cit., p. 2);

- “durante il controllo effettuato dai funzionari della Guardia di finanza, è stato consegnato […] da parte del titolare del trattamento, assistito in tutto dal responsabile del trattamento dati, e dal DPO nominati dal titolare stesso, sia il registro dei trattamenti aggiornato sia il documento privacy by design e by default; in tale documento sono indicate quali misure di sicurezza adottate e in dettaglio l’esistenza di videocamere di sorveglianza riguardante il perimetro esterno per garantire la sicurezza dei clienti e ospiti dell’hotel e interno inerenti ai locali piscine sia maschili sia femminili e agli spogliatoi adiacenti” (v. scritti difensivi cit., p. 2);  

- “in fase di memoria difensiva inviata alla Guardia di Finanza […] in data 14 gennaio 2022, tale società ha espressamente riposizionato sia le videocamere riguardanti gli spogliatoi maschili e femminili […]. […] i camerini posizionati nei locali di ingresso alle piscine del reparto maschile e femminile non sono ripresi da nessuna videocamera, e perciò è stato applicato il principio di trattamento lecito, pertinente e minimizzato che non lede la dignità della persona. Sono ripresi gli spazi dove sono dislocati gli armadietti in cui riporre gli effetti personali. Tali riprese sono richieste anche dall’Autorità giudiziaria come Carabinieri e Forze di Polizia, intervenute numerose a seguito di furti di ignoti i quali forzando gli armadietti derubano i clienti della struttura, presenti in quel momento. A seguito di alcune interrogazioni video da parte delle stesse forze dell’ordine è stato possibile identificare e porre in arresto il ladro ripreso […] per poter copiare le immagini e avviare gli atti di investigazione” (v. scritti difensivi cit., p. 2);

- “le videocamere inquadrano molti locali adibiti a spogliatoi per le persone in ingresso alle piscine. Non dimentichiamo la struttura ricettiva Hotel Termale Petrarca, nella sua qualità di trattamento di persone anche soggette a disabilità, problemi di deambulazione, e persone richiedenti cure termali, comunque ospiti dell’hotel i quali effettuano trattamenti sanitari come fangoterapia, balneoterapia e inalazioni. Effettuando questi trattamenti terapeutici, a volte si dev[ono] avere in funzione le videocamere di sorveglianza, in quanto il personale deve prontamente intervenire nei locali se dovesse succedere a qualche persona degli svenimenti o peggio far intervenire i sanitari degli ospedali della zona per prestare soccorso, sia per disfunzioni gravi dell’apparato respiratorio/circolatorio, sia dovuto e incidenti dovuti di fatto alla situazione dei locali in quanto umidi e scivolosi. Infatti […] le immagini vengono minimizzate e cancellate entro 48 ore. Di ciò si nota anche sui cartelli apposti all’ingresso di ogni reparto dell’hotel; tali cartelli sono atti per applicare in base all’art. 5, capo a i principi di liceità, correttezza e trasparenza e adeguati e pertinenti come indicati nel capo c” (v. scritti difensivi cit., p. 3);

- “da riconoscere comunque la volontà e applicazione, dopo verifica ispettiva, dove sono stati adottati tutti i provvedimenti richiesti sia dall’autorità ispettiva, sia dall’Ispettorato del lavoro, il quale ha rilasciato idonea certificazione […] per l’applicazione di tutte le videocamere sia esterne che interne dell’Hotel Petrarca” (v. scritti difensivi cit., p. 3);

- “in base all’applicazione dell’art. 30 del Regolamento europeo, il registro dei trattamenti è stato esibito a richiesta dell’Autorità di controllo intervenuta, e tale risultava aggiornato alla data del 06 gennaio 2022” (v. scritti difensivi cit., p. 3);

- “anche l’informativa in applicazione agli artt. 13 e 14 del Regolamento stesso è stata aggiornata e consegnata sia ai dipendenti in forza lavoro; per quanto riguarda i[l] trattamento della persona fisica ospite e/o al cliente occasionale giornalieri, viene consegnata dagli addetti in reception, al momento del check in e/o dell’ingresso giornaliero alle piscine, informativa completa in cui si rileva la registrazione delle videocamere di sorveglianza in tutti i perimetri della nostra società esterni e interni” (v. scritti difensivi cit., p. 3);

- in merito alle “iniziative intraprese dalla società post verifica ispettiva” “1 a. richiesta presso l’Ispettorato del lavoro, sede di Padova, dell’autorizzazione complessiva dell’installazione delle videocamere di sorveglianza. Autorizzazione rilasciata. 1 b. Integrazione del registro dei trattamenti, in conformità all’art. 30 del regolamento europeo, del trattamento dati tramite videocamere di sorveglianza, durata e cancellazione delle riprese. Di conseguenza è stato aggiornato anche il Registro di Organigramma Aziendale, nel quale vengono descritt[i] sia i singoli dipendenti dettagliando a quali dati hanno accesso, e per il singolo dato se hanno diritto di scrittura, modifica, cancellazione e diffusione. 1 c. installazione sia in accesso ai varchi esterni, sia in accesso a tutti i locali della struttura ricettiva, dei cartelli a norma […] indicanti le videoriprese di sorveglianza indicando il responsabile del trattamento designato, e il periodo di ripresa e conservazione. 1 d. Aggiornamento del documento di informativa, con applicazione e espressione dei diritti dell’interessato, in applicazione ex artt. 13 e 14 del Regolamento europeo, riguardante il trattamento dati del personale dipendente e collaboratori, sia della persona fisica cliente in accesso alla struttura alberghiera; in tali informative è stato espressamente inserito il trattamento automatizzato con videocamere di sorveglianza e relativo tempo di memorizzazione e conservazione. 1 e. È stato aggiornato il documento della privacy by design e default (analisi dei rischi e misure adottate) anche i[n] correlazione all’art. 32 Sicurezza del dato, sia soprattutto all’art. 35 per attenuare il danno subito dagli interessati. 1 f. Sono state aggiornate le lettere di nomina di incaricato al trattamento, per tutti i dipendenti e collaboratori, che trattano dati anche in relazione all[e] videocamere di sorveglianza. Soprattutto i dipendenti operanti nell’area Ricettiva e Emissioni dei biglietti di entrata alle strutture come piscine, acquascivoli, palestra interna. Tramite monitor posto di fronte alla Reception, possono visionare i passi carrai esterni dell’Hotel Petrarca, per controllare soprattutto in orari notturno gli ingressi al perimetro della società stessa. Tale monitor non registra nessun filmato” (v. scritti difensivi cit., pp. 3, 4);

- “l’Hotel Petrarca ha come obiettivo e core business di garantire il massimo livello di qualità e nel contempo di ospitalità, servizio, cura, attenzione per il singolo ospite. È impensabile non tenere conto di tale portata di qualità ricettiva; perciò per difendere il nome stesso della nostra azienda si devono mettere in atto misure per prevenire il decadimento di tale servizio offerto. Per questo il titolare del trattamento assieme al responsabile del trattamento, ha messo in atto un sistema di videosorveglianza, atto a prevenire danni ai beni di proprietà presenti e soprattutto per evitare di subire furti indirizzati ai beni dei loro clienti” (v. scritti difensivi cit., p. 4);

- “inviamo denunce presso l’autorità giudiziaria dei Carabinieri effettuati dalle persone coinvolte in tali atti criminali, da gennaio post visita ispettiva della Guardia di Finanza, per certificare furti perpetrati da parte di ignoti di parecchi valori dei clienti ospiti dell’hotel, tra cui denaro contante, orologi, anelli e significativi beni personali come sottrazione di carte di credito e bancomat. Tali furti sono lesivi per la tutela del buon nome aziendale e danno alla reputazione; […] si crea anche un notevole danno economico” (v. scritti difensivi cit., p. 4);

- “confidiamo di aver intrapreso un percorso positivo di adeguamento al Regolamento europeo e al d. lgs. 101/2018” (v. scritti difensivi cit., p. 5).

3. Esito del procedimento.

3.1  Fatti accertati e osservazioni sulla normativa in materia di protezione dei dati personali.

I trattamenti di dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. artt. 6, par. 1, lett. c); 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, e in particolare del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a) del Regolamento).

Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori. Il legislatore nazionale ha approvato, quale disposizione più specifica, l’art. 114 del Codice che tra le condizioni di liceità del trattamento ha stabilito l’osservanza di quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300.

Il trattamento deve essere effettuato inoltre nel rispetto dei principi di correttezza e trasparenza (art. 5, par. 1, lett. a) del Regolamento).

Nell’ambito del rapporto di lavoro l’obbligo di informare il dipendente è, altresì, espressione del principio generale di correttezza (v. art. 5, par. 1, lett. a) del Regolamento).

Il trattamento di dati personali deve quindi essere effettuato nel rispetto del principio di minimizzazione dei dati in quanto i dati personali trattati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. c) del Regolamento).

Con il provvedimento generale in materia di videosorveglianza, adottato da questa Autorità l’8 aprile 2010 (doc. web n. 1712680 su www.garanteprivacy.it), compatibile con il Regolamento e con le Linee guida n. 3/2019 sul trattamento dei dati personali, adottate dall’EDPB il 29 gennaio 2020, sono state fornite dettagliate indicazioni per il corretto trattamento dei dati personali connesso all’installazione di sistemi di videosorveglianza da parte di privati, compagini condominiali, operatori economici e istituzioni pubbliche.

L’art. 30 del Regolamento dispone che il titolare del trattamento deve tenere “un registro delle attività di trattamento svolte sotto la propria responsabilità” contenente le informazioni elencate nello stesso articolo.

3.2 Violazioni accertate.

In base agli elementi acquisiti nel corso dell’attività istruttoria nonché delle successive valutazioni dell’Ufficio, è risultato accertato che la Società ha effettuato un trattamento di dati personali, per mezzo di impianti di videosorveglianza, in violazione della disciplina di protezione dei dati personali: la stessa, infatti, non ha adottato un’idonea informativa, non ha attivato, prima dell’utilizzo dei predetti sistemi, la procedura di garanzia di cui all’art. 4 comma 1 della l. n. 300 del 1970, ha installato numerose telecamere nei locali adibiti a spogliatoio per i clienti e una nello spogliatoio riservato ai lavoratori – telecamera, quest’ultima, che, tra l’altro, installata in modo da non essere percepibile dagli interessati, è stata posizionata così da riprendere direttamente anche il rilevatore utilizzato per l’attestazione della presenza in servizio.

Inoltre la Società non aveva aggiornato (quantomeno fino alla presentazione della copia dello stesso in data 13 gennaio 2022) il registro delle attività di trattamento, con le informazioni relative al trattamento dei dati dei clienti e lavoratori effettuato mediante i sistemi di videosorveglianza installati.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

3.2.1 Violazione degli artt. 5, par. 1, lett. a), e 13 del Regolamento.

È emerso che la Società ha effettuato un trattamento di dati personali, per mezzo di impianti di videosorveglianza, riprendendo aree nelle quali viene svolta l’attività lavorativa dei dipendenti e nelle quali sono presenti i clienti della struttura, senza avere adottato una idonea informativa.

In particolare, per quanto riguarda la telecamera installata presso lo spogliatoio riservato ai dipendenti, è stato accertato che la stessa non era segnalata da alcuna informativa; tale aspetto acquista particolare rilievo tenuto conto del fatto che, come risulta dagli atti, la stessa risultava occultata (v. par. 3.2.4.).

Si specifica, al riguardo, che neanche nell’informativa fornita ai dipendenti ed esibita dalla Società (v. all. 12 al verbale di operazioni compiute del 4/01/2022) si fa alcun riferimento alla videosorveglianza effettuata presso i locali della stessa (a differenza di quanto contenuto nell’informativa generale predisposta per i clienti, nella quale quantomeno vi era l’indicazione, nella sezione dedicata alle “modalità del trattamento”, al fatto che i dati possono essere trattati anche tramite “videocamere di sorveglianza per il controllo di accesso e prevenzione di incidenti e richiesta di soccorso medico in piscine e spogliatoi della struttura ricettiva”, v. all. 1 al verbale di operazioni compiute del 4/01/2024).
Inoltre, durante l’accertamento ispettivo, è stata accertata la presenza di “diverse categorie di cartelli informativi” apposti nelle aree ove accedono clienti e dipendenti; di questi, alcuni erano completi delle informazioni richieste dalla legge, altri, invece, mancanti dell’indicazione dei dati identificativi del titolare del trattamento e delle finalità perseguite.

In proposito, si prende atto della circostanza che, successivamente all’accertamento ispettivo, la Società ha provveduto a modificare i cartelli informativi che non contenevano tutte le informazioni richieste, rendendoli in tal modo conformi alla disciplina di protezione dei dati.

Si prende inoltre atto del fatto che, successivamente all’accertamento ispettivo, la parte ha indicato, nell’informativa estesa ai dipendenti, la descrizione del trattamento dei dati personali effettuato mediante il sistema di videosorveglianza (v. all. 10 alla documentazione integrativa del 14/01/2022). Si rileva però che, nell’ambito della predetta informativa, si fa riferimento al consenso del lavoratore quale base giuridica del trattamento.

In proposito, però, si osserva che, nell’ambito del rapporto di lavoro, di regola, il consenso non può costituire idonea base giuridica a causa dell’asimmetria che caratterizza il rapporto datore di lavoro-lavoratore che fa dunque venir meno una delle caratteristiche essenziali che il consenso deve avere per assurgere a condizione di liceità del trattamento.

Il fatto che, in ambito lavorativo, il consenso non costituisca base giuridica idonea per il trattamento dei dati personali dei dipendenti è stato infatti più volte ribadito dal Garante (v., tra gli altri, provv. 13.12.2018, n. 500, doc. web n. 9068983, punto 3.1.; con specifico riferimento alla videosorveglianza v. provv.ti 4 luglio 2013, n. 336, doc. web n. 2578071 e 18 luglio 2013, n. 361, doc. web n. 2605290).

Sul punto, la giurisprudenza di legittimità ha più volte ritenuto che l’art. 4, l. n. 300 del 1970 cit., “tutela interessi di carattere collettivo e superindividuale”, pertanto anche il consenso, eventualmente prestato dai singoli lavoratori all’installazione di impianti, non è equivalente alla necessaria attivazione della procedura con le rappresentanze dei dipendenti o, in mancanza, sotto il controllo dell’autorità pubblica (v., tra le altre, Cass., sez. III pen., 8 maggio 2017, n. 22148 e 17.12.2019, n. 50919 cit.).

Inoltre, i trattamenti conseguenti all’impiego degli strumenti tecnologici nei luoghi di lavoro, da cui può derivare un controllo indiretto sull’attività lavorativa, trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 della l. n. 300 del 1970. Tale disposizione perimetra, infatti, in modo uniforme a livello nazionale, l’ambito del trattamento consentito in ogni contesto lavorativo (pubblico e privato) e costituisce nell’ordinamento interno una disposizione più specifica e di maggiore garanzia di cui all’art. 88 del Regolamento, la cui osservanza è condizione di liceità del trattamento.

Per i motivi indicati, si ritiene quindi che neppure l’informativa per i dipendenti aggiornata al 13 gennaio 2022 (che fa riferimento al consenso dei dipendenti come condizione di liceità per il trattamento dei dati mediante il sistema di videosorveglianza) possa essere, allo stato, ritenuta conforme alla disciplina di protezione dei dati.

La condotta della Società, ha quindi violato la disciplina di protezione dei dati e in particolare, quanto previsto dall’art. 5, par. 1, lett. a) del Regolamento che enuncia il principio di trasparenza e dall’art. 13 del Regolamento, corollario del medesimo principio, che prevede l’obbligo per il titolare del trattamento di informare gli interessati delle caratteristiche essenziali del trattamento prima che lo stesso venga posto in essere.

Risulta inoltre violato il principio di correttezza in quanto nell’ambito del rapporto di lavoro l’obbligo di informare il dipendente è, altresì, espressione del principio generale di correttezza (v. art. 5, par. 1, lett. a) del Regolamento).

3.2.2 Violazione degli artt. 5, par. 1, lett. a) e 88 del Regolamento e dell’art. 114 del Codice.

Nel corso dell’accertamento, è stato altresì rilevato che la Società, attraverso i sistemi di videosorveglianza installati presso i propri locali, ha ripreso l’attività lavorativa dei propri dipendenti, senza avere espletato le procedure di garanzia richieste dall’art. 4 della l. n. 300 del 1970 richiamato dall’art. 114 del Codice.

In particolare, è stato accertato che la Società ha utilizzato, senza attivare la richiesta procedura di garanzia, impianti di videosorveglianza che riprendono, registrando per 48 ore, aree esterne (accessi alla struttura e parcheggi), piscine sia coperte sia scoperte e gli spogliatoi, sia quelli per i clienti sia quello riservato ai dipendenti (v. verbale operazioni compiute 4/01/2022, p. 4), dove, tra l’altro, transitano e svolgono la propria attività lavorativa i dipendenti della Società.

In proposito il Garante ha costantemente ritenuto che anche le aree nelle quali transitano o sostano - talora continuativamente - i dipendenti (ad es. accessi alla struttura e ai garage, zone di carico/scarico merci, ingressi carrai e pedonali), qualora sottoposte a videosorveglianza, sono soggette alla piena applicazione della disciplina in materia di protezione dei dati personali (v., tra gli altri, provv.ti 16 settembre 2021, n. 331, doc. web n. 9719768; 30 luglio 2015, n. 455, doc. web n. 4261028; 4 luglio 2013, n. 334, doc. web n. 2577203; 18 aprile 2013, n. 199 e 200, doc. web n. 2483269; 9 febbraio 2012, n. 56, doc. web n. 188699; 17 novembre 2011, n. 434, doc. web n. 1859558; 26 febbraio 2009, doc. web n. 1601522).

Ciò conformemente a quanto stabilito dalla giurisprudenza di legittimità (v. Cass. 6 marzo 1986, n. 1490; v. anche, con riferimento a strumento diverso dalla videosorveglianza, Cass. 13 marzo 2007, n. 15892).

Nel caso di specie, il sistema di videoripresa è posizionato in modo da riprendere anche zone ove, per l’appunto, necessariamente transitano i dipendenti per lo svolgimento dell’attività lavorativa (ingressi, parcheggio) o anche per recarsi all’interno o presso aree a loro dedicate (spogliatoio).

I trattamenti di dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. artt. 6, par. 1, lett. c); 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, e in particolare del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a) del Regolamento).

Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori.

Il legislatore nazionale ha approvato, quale disposizione più specifica, l’art. 114 del Codice che tra le condizioni di liceità del trattamento ha stabilito l’osservanza di quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300. La violazione del richiamato art. 88 del Regolamento è soggetta, ricorrendone i requisiti, all’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. d) del Regolamento.

In base al richiamato art. 4, l. n. 300 del 1970 gli apparati di videosorveglianza, qualora dagli stessi derivi “anche la possibilità di controllo a distanza” dell'attività dei dipendenti, “possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro.

L’attivazione e la conclusione di tale procedura di garanzia è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza. La violazione di tale disposizione è penalmente sanzionata (v. art. 171 del Codice).

Solo in data 12 gennaio 2022, la Società ha inviato richiesta di autorizzazione all’Ispettorato del lavoro, integrata il 28 marzo 2022, a seguito di richiesta dell’Ispettorato, che in data 5 aprile 2022 ha rilasciato la predetta autorizzazione.

Nell’integrazione all’istanza di autorizzazione la Società ha dichiarato, tra l’altro, che “le videocamere, post autorizzazione rilasciata da questo istituto, non saranno posizionate nei camerini adibiti al cambio abito per poter indossare il costume da bagno, né negli spogliatoi antecedenti ai camerini stessi, dove si trovano centinaia di armadietti con chiusura a chiave. Essendo un luogo pubblico, e con affluenza numericamente importante di persone (al giorno nei flussi di giorni festivi si registrano anche 400-500 presenze)”.

Nella citata autorizzazione viene, tra l’altro, disposto che “le apparecchiature inquadreranno esclusivamente le parti dei locali più esposte al rischio di cui a una o più d’una delle «motivazioni» sopra citate [tutela del patrimonio aziendale] e dalle quali deriverà in via del tutto accidentale ed occasionale la possibilità di controllo a distanza dei lavoratori. Le telecamere non riprenderanno luoghi riservati esclusivamente al personale dipendente (spogliatoi, servizi, mensa…)”.

Alla luce di quanto sopra rappresentato, la condotta della Società non è stata conforme, fino al rilascio dell’autorizzazione da parte dell’Ispettorato del lavoro, al principio di liceità del trattamento (art. 5, par. 1, lett. a) del Regolamento in relazione all’art. 114 del Codice) e all’art. 88 del Regolamento in quanto l’art. 114 del Codice rientra tra le norme del diritto nazionale “più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro” individuate dall’art. 88 del Regolamento.

Si rammenta che ai sensi dell’art. 2-decies del Codice “i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati”.

Si ricorda inoltre che, a seguito del rilascio dell’autorizzazione ai sensi dell’art. 4 della l. n. 300 del 1970 da parte dell’Ispettorato del lavoro, il titolare del trattamento-datore di lavoro deve effettuare il trattamento dei dati conformemente a quanto previsto nell’autorizzazione stessa. Il discostarsi da quanto contenuto nell’autorizzazione, infatti, determina la violazione dell’art. 4 citato con conseguente illiceità del trattamento dei dati.

3.2.3 Violazione dell’art. 5, par. 1, lett. a) e c) del Regolamento.

È stato inoltre accertato che numerose telecamere degli impianti di videosorveglianza utilizzati dalla Società sono state installate nei locali adibiti a spogliatoio per i clienti e, una di queste, anche nello spogliatoio riservato ai lavoratori, ledendo, quindi, la riservatezza e la dignità delle persone che utilizzano i predetti spogliatoi; questi ultimi, infatti, sono luoghi, per natura, caratterizzati da una particolare aspettativa di riservatezza e di tutela della intimità e dignità della persona, anche alla luce delle disposizioni vigenti dell’ordinamento civile e penale (v. sul punto Provv. n. 357 del 10 luglio 2014, doc. web n. 3325380; la lesività del ricorso a telecamere operanti in modo continuo in spogliatoi è stata sottolineata anche nel Provv. del 4/12:2008, doc. web n. 1576125, nel quale, in particolare, viene precisato che “la collocazione di telecamere operanti in modo continuo negli spogliatoi di un ambulatorio medico determina, nel caso concreto, un’intromissione ingiustificata nella vita privata delle persone che vi si recano e risulta, pertanto, essere lesiva della loro riservatezza e dignità”).

In merito alla istallazione di impianti di videosorveglianza in locali adibiti a spogliatoio, come è già stato messo in luce in passato dal Garante, in base al principio di minimizzazione (art. 5, par. 1, lett. c) del Regolamento, “i dati personali sono […] adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”, principio già previsto dal previgente art. 11, comma 1, lett. d) del Codice), i sistemi di “videosorveglianza possono essere utilizzati lecitamente a tutela del patrimonio riprendendo eventualmente aree destinate a guardaroba, ma adottando in ogni caso idonei accorgimenti tecnici volti ad inibire riprese indebite di persone mentre utilizzano gli spogliatoi” (Provv. 8 marzo 2007, doc. web n. 1391803, punto 2.3.).

Un trattamento di dati personali, nell’ambito di locali quali gli spogliatoi, risulta pertanto eccessivamente invasivo e in violazione della riservatezza e della dignità delle persone che utilizzano il locale stesso.

Con riferimento al caso di specie, si osserva che, come risulta dalle immagini acquisite nel corso degli accertamenti, le telecamere che inquadrano gli armadietti presenti negli spogliatoi dei clienti sono, in relazione all’angolo di visuale e all’ampiezza del campo di ripresa, idonee a riprendere i soggetti che usufruiscono degli stessi, indipendentemente dalla rimozione che la Società dichiara di avere effettuato a seguito dell’accertamento ispettivo delle “panche messe a disposizione per appoggiare, temporaneamente, gli effetti personali da riporre negli armadietti”; in sede di controllo comunque le panche erano risultate presenti nel campo di ripresa delle predette telecamere.

Né, d’altra parte, la Società ha adeguatamente rappresentato l’inefficacia della adozione di altri strumenti per impedire episodi di effrazione degli armadietti presenti negli spogliatoi.

La condotta posta in essere dalla Società si pone pertanto in contrasto con la disciplina di protezione dei dati in quanto in violazione dei principi di liceità e minimizzazione dei dati (art. 5, par. 1, lett. a) e c) del Regolamento).

3.2.4 Violazione della normativa relativamente alla telecamera installata presso lo spogliatoio dei dipendenti.

Risulta altresì accertato che la telecamera installata dalla Società all’interno dello spogliatoio dei dipendenti era posizionata in modo da riprendere direttamente anche il rilevatore utilizzato dai lavoratori per attestare la propria presenza in servizio.

La stessa, tra l’altro, era posta “all’interno di una scatola a sua volta posizionata all’interno di un armadietto tecnico contenente cablaggi” e dunque, considerata la sua collocazione, la sua presenza non era percepibile dagli interessati.

Il trattamento così effettuato è risultato, quindi, non conforme alla disciplina di protezione dei dati personali in quanto le riprese sono state effettuate attraverso una telecamera occultata, in violazione del principio di correttezza (art. 5, par. 1, lett. a) del Regolamento) e in assenza di una valida condizione di liceità del trattamento (art. 6 del Regolamento per i dati c.d. comuni): il trattamento di dati personali mediante sistemi di videosorveglianza in ambito lavorativo, infatti, in termini generali, trova la propria disciplina nel menzionato articolo 4 della l. n. 300/1970, per effetto, come detto, del rinvio che ad essa viene effettuato dal testo dell’art. 114 del Codice e dall’art. 88, par. 2, del Regolamento.

Peraltro, l’installazione di una telecamera, tra l’altro dal carattere occulto, che riprendeva il rilevatore delle presenze non rientra nell’eccezione prevista dal comma 2 dell’art. 4 della l. n. 300 del 1970: per espressa disposizione normativa, infatti, solo gli strumenti preordinati, anche in ragione delle caratteristiche tecniche di configurazione, alla “registrazione degli accessi e delle presenze” (o allo “svolgimento della prestazione”) non soggiacciono ai limiti e alle garanzie di cui al primo comma dell’art. 4 citato.

Tali strumenti sono infatti solo quelli strettamente funzionali a consentire l’assolvimento degli obblighi che discendono direttamente dal contratto di lavoro, vale a dire, la presenza in servizio e l’esecuzione della prestazione lavorativa (accedere/consentire l’accesso ai luoghi di lavoro e prestare l’attività lavorativa).

In particolare, l’installazione di telecamere orientate sui sistemi di rilevazione delle presenze configura invece una forma di controllo diretto e sistematico dell’attività lavorativa, segnatamente dell’osservanza dei doveri di diligenza stabiliti per il rispetto dell’orario di lavoro nell’ambito della corretta esecuzione della prestazione lavorativa.

Per tali ragioni, anche a seguito delle modifiche apportate alla l. 20 maggio 1970, n. 300, dall’art. 23 del d. lgs. n. 151/2015, il controllo diretto e mirato sull’attività lavorativa, non è, allo stato, consentito dall’ordinamento e dal quadro costituzionale, oltre a non poter essere inquadrato nel novero delle tassative finalità (“organizzative e produttive”, “di sicurezza del lavoro” e “di tutela del patrimonio aziendale”) per il perseguimento delle quali tali sistemi possono essere lecitamente impiegati, in base alla richiamata disciplina di settore (considerando 4 e artt. 5 e 88, par. 2, Regolamento; artt. 114 del Codice e 4, legge 20.5.1970, n. 300).

In considerazione di ciò, anche l’eventuale informativa fornita in merito alla presenza di telecamere orientate sul rilevatore delle presenze non farebbe venir meno l’illiceità del trattamento con riferimento a tale condotta per violazione degli artt. 5, par. 1, lett. a), 6, 88 del Regolamento e 114 del Codice.

L’installazione della predetta telecamera è risultata, inoltre, eccedente rispetto alle finalità che si intendono perseguire (rilevazione della presenza in servizio e computo degli orari di lavoro), anche sotto il profilo della gradualità delle misure limitative che possono essere adottate nei confronti dei lavoratori.

Tale condotta, in particolare, non rispetta il principio di proporzionalità e di minimizzazione dei dati in quanto l’utilizzo contestuale del badge e della telecamera per attestare la presenza in servizio appare incompatibile con il canone di proporzionalità di cui all’articolo 52 della Carta dei diritti fondamentali dell'Unione europea e all’articolo 5, paragrafo 1, lettera c), del Regolamento.

In proposito si osserva, tra l’altro, come i sistemi di videosorveglianza non siano strumenti idonei, di per sé, ad assolvere alla specifica finalità di rilevazione e di computo dell’orario di lavoro.

3.2.5 Violazione dell’art. 30 del Regolamento.

La Società, inoltre, come dalla stessa dichiarato, non aveva implementato, almeno fino alla presentazione della copia aggiornata dello stesso in data 13 gennaio 2022 - a scioglimento delle riserve formulate durante l’accertamento ispettivo -, il registro delle attività di trattamento di cui all’art. 30 del Regolamento con le informazioni relative al trattamento dei dati di clienti e lavoratori effettuato mediante il sistema di videosorveglianza installato presso la stessa.

Per tali ragioni la condotta della Società si pone in contrasto, fino all’aggiornamento dello stesso, con l’art. 30 del Regolamento.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dalla Società e segnatamente l’assenza di un’informativa idonea, la mancata attivazione della procedura di garanzia di cui all’art. 4 comma 1 della l. n. 300 del 1970 richiamato dall’art. 114 del Codice, l’istallazione di numerose telecamere nei locali adibiti a spogliatoio per i clienti e una nello spogliatoio riservato ai lavoratori – telecamera, quest’ultima, posizionata in modo da non essere percepibile per gli interessati, e in modo da riprendere direttamente anche il rilevatore utilizzato per l’attestazione della presenza in servizio –, la non idoneità del registro delle attività di trattamento, con riferimento alla videosorveglianza, risulta, infatti, illecito nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a), c), 6, 13, 30, 88 del Regolamento e 114 del Codice.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, tenuto conto della natura e della gravità della violazione stessa che ha riguardato, tra l’altro, i principi generali e le condizioni di liceità del trattamento, nonché del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. Considerando 148 del Regolamento).

L’Autorità ha altresì ritenuto che il livello di gravità della violazione sia elevato, alla luce di tutti i fattori rilevanti nel caso concreto e, in particolare, la natura, la gravità e la durata della violazione, tenendo in considerazione la natura, l’oggetto o la finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno subito.

L’Autorità ha altresì preso in considerazione i criteri relativi al carattere doloso o colposo della violazione e le categorie di dati personali interessate dalla violazione nonché la maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. art. 82, par. 2, e Considerando 148 del Regolamento).

Tenuto pertanto conto di quanto sopra indicato e ferme restando le summenzionate azioni già avviate da Hotel Petrarca s.r.l., si ritiene ad ogni modo necessario, alla luce delle ulteriori criticità rilevate a carico del titolare del trattamento di prescrivere allo stesso, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento di conformare al Regolamento i propri trattamenti, con riferimento alla corretta predisposizione dei documenti contenenti l’informativa nei termini di cui in motivazione.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

La violazione degli artt. 5, par. 1, lett. a), c), 6, 13, 30, 88 del Regolamento e 114 del Codice comporta l’applicazione della sanzione amministrativa prevista dall’art. 83 del Regolamento.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Hotel Petrarca s.r.l., di cui è stata accertata l’illiceità, nei termini sopra esposti.

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate:

la rilevante gravità della violazione, infatti questa ha riguardato fattispecie punite più severamente in ragione dell’interesse protetto dalle norme violate (riguardanti i principi generali e la disciplina dei c.d. controlli a distanza); peraltro l’installazione di una telecamera occulta nello spogliatoio dei lavoratori evidenzia il livello elevato della violazione;

è stato considerato il numero rilevanti di interessati coinvolti, visto il numero di dipendenti della Società e di persone che hanno frequentato i locali sottoposti a videosorveglianza, atteso il carattere ricettivo della struttura;

con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare, sono stati presi in considerazione gli elementi oggettivi della condotta della Società e il grado di responsabilità della stessa che ha violato l’obbligo di diligenza previsto dall’ordinamento e non si è conformata alla disciplina in materia di protezione dei dati, relativamente a una pluralità di disposizioni; in particolare, l’installazione di una telecamera occulta nello spogliatoio dei lavoratori evidenzia il carattere doloso della violazione;

a favore della Società sono state tenute in considerazione le attività poste in essere dalla stessa a seguito dell’accertamento tra cui l’attivazione della procedura di garanzia di cui all’art. 4 della l. n. 300 del 1970 che si è conclusa con il rilascio dell’autorizzazione da parte dell’Ispettorato del lavoro.

Si ritiene inoltre che assumano rilevanza nel caso di specie, in ragione dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla Società con riferimento al bilancio d’esercizio per l’anno 2023 (ultimo disponibile).

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Hotel Petrarca s.r.l. la sanzione amministrativa del pagamento di una somma pari ad euro 40.000 (quarantamila/00).

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione delle caratteristiche concrete della fattispecie presa in considerazione, in particolare valutata la condotta della Società che ha utilizzato sistemi di videosorveglianza senza avere attivato la procedura di garanzia di cui all’art. 4 comma 1 della l. n. 300 del 1970, richiamato dall’art. 114 del Codice, fino al rilascio dell’autorizzazione da parte dell’Ispettorato del lavoro in data 5 aprile 2022 e ha anche installato telecamere in luoghi adibiti a spogliatoi quindi ponendo in essere una condotta particolarmente lesiva della riservatezza e della dignità di clienti e lavoratori.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, rileva l’illiceità del trattamento effettuato da Hotel Petrarca s.r.l. in persona del legale rappresentante, con sede legale in Piazza Roma, 23, Montegrotto Terme (PD) – C.F. 00605790286, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a), c), 6, 13, 30, 88 del Regolamento e 114 del Codice;

ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, prescrive alla summenzionata Società di conformarsi entro 60 giorni dalla data della notifica del presente provvedimento, alla prescrizione formulata al par. 4 della presente decisione, richiedendo al contempo alla stessa di fornire, entro il predetto termine, un riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice; l’eventuale mancato riscontro può comportare l'applicazione della sanzione amministrativa pecuniaria prevista dall'art. 83, par. 5, lett. e) del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento al medesimo Hotel Petrarca s.r.l., di pagare la somma di euro 40.000 (quarantamila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento.

INGIUNGE

quindi a Hotel Petrarca s.r.l. di pagare la predetta somma di euro 40.000 (quarantamila/00), secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità;

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 12 dicembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi