[doc. web n. 10111962]

Provvedimento del 30 gennaio 2025

Registro dei provvedimenti
n. 38 del 30 gennaio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il Prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la nota del 12 giugno 2023 con cui il Comando della Polizia Locale della Città di Rezzato (BS) segnalava la presenza di un impianto di videosorveglianza non conforme alla normativa in materia di protezione dei dati personali;

VISTO il verbale del controllo effettuato in data 9 giugno 2023 dalla polizia locale presso l’esercizio commerciale “Guru Nanak”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. La segnalazione.

Con la nota del 12 giugno 2023, il Comando della Polizia Locale della Città di Rezzato (BS) trasmetteva il verbale del controllo effettuato, presso l’esercizio commerciale al dettaglio di prodotti alimentari e non alimentari denominato “Guru Nanak” sito in Rezzato (BS), via Europa 19 (di proprietà della Guru Nanak s.r.l.s. con sede legale a Brescia, via Canipari 4), ivi accertando la non conforme installazione di un impianto di videosorveglianza, composto da dieci telecamere funzionanti (di cui otto poste internamente all’esercizio commerciale suddetto e due all’esterno).

Secondo quanto riportato nell’allegato verbale relativo all’accertamento effettuato in data 9 giugno 2023, le due telecamere esterne risultavano idonee a riprendere aree pubbliche e inoltre non era stata richiesta l’autorizzazione dell’Ispettorato del Lavoro, a fronte della presenza di un lavoratore dipendente.

2. La notifica delle violazioni e le memorie difensive.

Con la nota del 23 ottobre 2023, l’Ufficio inviava al titolare del trattamento la comunicazione di avvio del procedimento per la violazione dei principi generali in materia di protezione dei dati personali di cui all’art. 5, par. 1, lett. a) e 6 del Regolamento in quanto è stato rilevato che:

le telecamere esterne avevano un angolo di visuale tale da riprendere anche aree pubbliche eccedenti, rispetto a quelle di stretta pertinenza dell’esercizio (rampa garage e strada pubblica);

la Società, pur impiegando dei lavoratori presso l’esercizio, aveva omesso di adempiere le procedure di garanzia richieste dall’art. 4 della Legge n. 300/1970 richiamato dall’art. 114 del Codice, in relazione all’utilizzo del sistema di videosorveglianza all’interno dell’esercizio commerciale.
La parte non faceva prevenire scritti difensivi (art. 18 della legge n. 689/1981).

3. L’esito dell’istruttoria.

Dal verbale di accertamento eseguito dalla Polizia Locale è emerso che, al momento del controllo, l’impianto di videosorveglianza installato presso l’esercizio commerciale era funzionante e idoneo a riprendere anche aree pubbliche.

È stato infatti rilevato che le telecamere esterne avevano un angolo di visuale tale da riprendere anche aree pubbliche eccedenti, rispetto a quelle di stretta pertinenza dell’esercizio (rampa garage e strada pubblica); il trattamento risultava pertanto effettuato, sotto questo profilo, in violazione dell’art. 6 del Regolamento in quanto privo di base giuridica.

È stato altresì rilevato che la Società, pur impiegando dei lavoratori presso l’esercizio, ha omesso di adempiere le menzionate procedure di garanzia richieste dall’art. 4 della Legge n. 300/1970 richiamato dall’art. 114 del Codice.

In linea generale, l’utilizzo di sistemi di videosorveglianza può determinare un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento, che deve essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento.

Con il provvedimento generale in materia di videosorveglianza adottato da questa Autorità l’8 aprile 2010 (reperibile all’indirizzo www.garanteprivacy.it, doc. web n. 1712680), compatibile con il Regolamento UE 679/2016 e con le Linee guida n. 3/2019 sul trattamento dei dati personali, adottato dall’EPDB il 10 luglio 2019 si prescrive al titolare del trattamento che lo stesso sia effettuato con modalità tali da limitare l’angolo visuale delle telecamere “all’area effettivamente da proteggere, evitando, per quanto possibile, la ripresa di luoghi circostanti e di particolari che non risultino rilevanti (vie, edifici, esercizi commerciali, istituzioni)” (par. 6.2.2.1 del provvedimento).

Inoltre, se l’impianto di videosorveglianza è idoneo a riprendere anche lavoratori dipendenti durante l’attività lavorativa, il trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a) del Regolamento).

In merito a ciò, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori.

L’art. 114 del Codice, quale disposizione più specifica, in materia di controllo a distanza dei lavoratori richiama, tra le condizioni di liceità del trattamento, l’osservanza di quanto prescritto dell’art. 4, legge 20 maggio 1970, n. 300.

In base a quest’ultima disposizione normativa, in caso di apparati di videosorveglianza da cui derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti, la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo sindacale con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali oppure, ove non sia stato possibile raggiungere tale accordo, o in caso di assenza delle rappresentanze, solo se preceduta dal rilascio di apposita autorizzazione da parte dell’Ispettorato del lavoro.

L’attivazione e la conclusione di tale procedura di garanzia è perciò condizione indefettibile per l’installazione e il corretto esercizio di sistemi di videosorveglianza.

4. Conclusioni: dichiarazione di illiceità del trattamento.

Alla luce di quanto complessivamente rilevato, il trattamento dei dati personali effettuato dalla parte attraverso i sistemi di videosorveglianza effettuato dalla Società risulta illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) e 6 del Regolamento.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, tenuto conto della natura e della gravità della violazione stessa che ha riguardato, tra l’altro, i principi generali del trattamento e il rispetto di specifiche misure di garanzia per i diritti dei dipendenti della Società.

In considerazione della mancata partecipazione della Società al procedimento, si rileva inoltre la necessità di ingiungere alla stessa la modifica delle aree riprese dalle telecamere esterne, in modo da circoscrivere il trattamento alle sole aree di pertinenza e di procedere, ove non vi abbia già provveduto, all’adempimento di quanto previsto dall’art. 4, comma 1, l. 20/5/1970, n. 300.

5. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato dalla Società per mezzo dell’impianto di videosorveglianza.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione è stata presa in considerazione la negligente condotta del titolare del trattamento;

la circostanza che la parte non ha cooperato con l’Autorità nel corso del procedimento, non inviando propri scritti difensivi;

l’assenza di precedenti specifici a carico della parte relativi a violazioni della disciplina in materia di protezione dei dati personali.

Si ritiene inoltre che assumano rilevanza nell’ipotesi di specie, in ragione dei principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate in base al volume d’affari della Società, di cui al bilancio d’esercizio per l’anno 2023.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti della Società la sanzione amministrativa del pagamento di una somma pari ad euro mille (1.000,00).

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione della tipologia delle violazioni accertate che hanno riguardato i principi generali del trattamento, anche con riguardo alla necessità di osservare le disposizioni di settore applicabili ai trattamenti in ambito lavorativo

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato da Guru Nanak s.r.l.s (PI 04119650986), attraverso l’utilizzo del sistema di videosorveglianza, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) del Regolamento;

ORDINA

a Guru Nanak s.r.l.s di pagare la somma di euro 1.000,00 (mille), a titolo di sanzione amministrativa pecuniaria, per la violazione indicata in motivazione;

INGIUNGE

- alla medesima Società, di conformare i trattamenti effettuati attraverso il sistema di videosorveglianza come indicato al punto 3 della presente decisione, provvedendo a:

a) circoscrivere la ripresa delle telecamere alle sole aree di pertinenza,

b) richiedere il rilascio di apposita autorizzazione da parte dell’Ispettorato del lavoro competente, ove non vi abbia già provveduto spontaneamente.

- alla medesima Società, di pagare la somma di euro 1.000,00 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 30 gennaio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei