[doc. web n. 3020042]

Ordinanza di ingiunzione nei confronti di Oreiade s.r.l. - 6 febbraio 2014

Registro dei provvedimenti
n. 59 del 6 febbraio 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che a seguito di una segnalazione pervenuta in data 25 maggio 2010 con cui veniva lamentata l´installazione di un sistema di videosorveglianza presso l´Hotel Blu Inn, sito in Cologno Monzese (MI), viale Brianza n. 50, idoneo a riprendere l´attività dei lavoratori senza l´adozione di idonee garanzie, l´Ufficio formulava una richiesta di informazioni nei confronti di Oreiade s.r.l., società che gestisce il predetto Hotel, datata 30 dicembre 2010, prot. n. 28334/69118, diretta ad ottenere informazioni utili alla valutazione del caso;

CONSIDERATO che, sulla base dei riscontri forniti dalla società con le note del 10 febbraio e dell´11 maggio 2011 (quest´ultima in riscontro alla richiesta formulata dall´Ufficio in data 15 aprile 2011), non è stato possibile valutare la conformità del trattamento effettuato rispetto alla disciplina in materia di protezione dei dati personali, l´Ufficio ha formulato una ulteriore richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito denominato "Codice"), notificata tramite il Nucleo privacy della Guardia di finanza (prot. n. 17707/69118 del 5 settembre 2011);

VISTI gli atti dell´accertamento ispettivo effettuato dal Nucleo privacy della Guardia di finanza, di cui ai verbali di operazioni compiute del 16 e del 17 novembre 2011, da cui è risultato che presso l´Hotel Blu Inn sono presenti due impianti di videosorveglianza: uno composto da quattro telecamere poste all´interno dell´Hotel (che pur non risultando funzionante al momento dell´accertamento, era installato in posizione tale da rendere possibile la ripresa dei lavoratori) e uno composto da quattro telecamere posizionate all´esterno dell´edificio, le cui immagini sono visionabili in tempo reale su un monitor posto nella sala reception dal personale dipendente, non designato incaricato del trattamento. Sebbene questo impianto fosse configurato in modo tale da consentire la conservazione delle immagini per un periodo di tempo pari a 40 giorni, è stato verificato che le immagini più datate risalivano a dodici giorni precedenti (5 novembre 2011), comunque un periodo superiore a quello stabilito dal Garante con il provvedimento sulla videosorveglianza dell´8 aprile 2010 [doc. web 1712680] ed erano consultabili senza la necessità di inserire password o altri criteri di protezione. Rispetto a questo impianto, inoltre, è stata riscontrata la presenza all´esterno dell´Hotel di cartelli recanti l´informativa minima, privi dell´indicazione del titolare e delle finalità del trattamento e con il riferimento alla "rilevazione" anziché alla "registrazione" delle immagini;

VISTO il verbale n. 4/2012 del 20 gennaio 2012 con cui sono state contestate alla Oreiade s.r.l., con sede legale in Milano, Via Benvenuto Cellini n. 1, P.I. 11808420159, in persona del legale rappresentante pro-tempore, le violazioni amministrative previste dall´art. 161 del Codice, in combinato disposto con l´art. 164-bis, comma 1, in relazione all´inidonea informativa resa agli interessati, dall´art. 162, comma 2-ter per l´inosservanza del provvedimento sulla videosorveglianza (punto 3.3, 3.4 e 4.1) e dall´art. 162, comma 2-bis, in relazione agli artt. 33 e 34 del medesimo Codice;

RILEVATO che dal rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 dal predetto Nucleo che non risulta effettuato il pagamento in misura ridotta in relazione alle violazioni per le quali la legge ammette tale facoltà (artt. 161 e 162, comma 2-ter del Codice);

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689 con cui la parte, in relazione alla contestazione per inidonea informativa, ha dichiarato che al caso di specie vanno applicate le disposizioni del Codice che consentono di omettere l´informativa e di non acquisire il consenso degli interessati in quanto trattasi di trattamenti effettuati per far valere o difendere un diritto in sede giudiziaria. In particolare, il sistema di videosorveglianza è stato installato per perseguire interessi legittimi, quali la sicurezza e la tutela della persone e dei beni da possibili aggressioni, che non richiede il consenso degli interessati. Pertanto, pur non ritenendo necessario apporre l´informativa per le suesposte esigenze di sicurezza, ha esposto i cartelli con le indicazioni essenziali. Quanto, invece, alla violazione delle misure di cui agli artt. 33 e 34 del Codice, la parte ha sottolineato che la designazione degli incaricati del trattamento non era un adempimento doveroso in quanto i dipendenti non avevano facoltà di accedere alla registrazione delle immagini, non essendo nemmeno in possesso della password di autenticazione, mentre tale facoltà era solo in capo al titolare del trattamento. Infine, rispetto alla contestazione per inosservanza del provvedimento, la parte ha precisato che, sebbene l´impianto di videosorveglianza consentisse di conservare le immagini registrate fino a 40 giorni, egli stesso provvedeva a "verificare settimanalmente l´eventuale utilità delle immagini [raccolte] prima di cancellarle". D´altra parte, "nessuna previsione normativa presuppone la necessità che vi sia un sistema di cancellazione automatica delle immagini". In ultimo, la parte ha fatto presente che le telecamere interne, che secondo gli agenti accertatori erano idonee a riprendere l´attività dei lavoratori, in realtà non erano attive e che, in ogni caso, non erano orientate sul desk della reception;

RITENUTO che le argomentazioni addotte dalla parte non risultano idonee in relazione a quanto contestato, in quanto il trattamento dei dati personali effettuato per mezzo del sistema di videosorveglianza non risulta lecito sotto diversi punti di vista. In primo luogo, si osserva che le argomentazioni in base alle quali il trattamento in esame è effettuato per far valer o difendere un diritto in sede giudiziaria non sono pertinenti al caso in esame, laddove invece è evidente che il sistema di videosorveglianza è stato installato per esigenze di tutela e di sicurezza. Il perseguimento di tale finalità, diversamente da quanto ritenuto, non esime il titolare del trattamento dall´obbligo di rendere l´informativa che, in base alle disposizioni del provvedimento sulla videosorveglianza già richiamato, deve indicare i riferimenti del titolare e, come detto, delle finalità del trattamento, nonché la precisazione relativa alla rilevazione o alla registrazione delle immagini, elementi che non sono stati riscontrati nei cartelli esposti all´esterno dell´hotel. Pertanto, risulta inconferente il richiamo alle disposizioni di cui agli artt. 13, comma 5, lett. b) e 24, comma 1, lett. f) , del Codice che appunto si riferiscono alla diversa ipotesi in cui il trattamento è effettuato per difendere un diritto in giudizio. Con riferimento alla violazione dell´obbligo di informativa, non rileva neanche il richiamo all´art. 24, comma 1, lett. g), che afferisce ai casi di esclusione del consenso. Sotto un altro aspetto, è stata rilevata l´illiceità del trattamento per la mancata adozione di idonee misure di sicurezza, non avendo la parte provveduto a designare gli incaricati del trattamento e ad assegnare le credenziali di autenticazione per accedere alla visione delle immagini conservate. La parte ha osservato di non aver provveduto alle designazioni degli incaricati perché nessuno dei propri dipendenti aveva facoltà per accedere alle immagini. In realtà, in base al provvedimento sulla videosorveglianza già citato, "il titolare o il responsabile devono designare per iscritto tutte le persone fisiche incaricate del trattamento, autorizzate sia ad accedere ai locali dove sono situate le postazioni di controllo, sia ad utilizzare gli impianti e, nei casi in cui sia indispensabile per gli scopi perseguiti, a visionare le immagini". Pertanto, a prescindere dalla circostanza che la consultazione delle immagini conservate fosse esclusa ai dipendenti, si doveva provvedere in ogni caso alla designazione quali incaricati del trattamento di coloro che avevano possibilità di visionare le immagini e ad attribuire le credenziali di autenticazione a coloro che, sulla base di competenze specificamente previste, potevano accedere alle registrazioni conservate. Sotto questo aspetto, infatti, è risultato dagli accertamenti ispettivi che non era stata predisposta alcuna misura per selezionare l´accesso alle immagini registrate e che, pertanto, esse erano visualizzabili da chiunque potesse materialmente accedere alla postazione. Tra l´altro, si osserva che le credenziali di autenticazione che la parte dichiara di avere in suo esclusivo possesso, in realtà si riferiscono a quelle predisposte per accedere alle modalità di configurazione del DVR digitale che, come risulta dagli stessi verbali di operazioni compiute, non erano mai state modificate, tant´è che non erano state modificate le impostazioni relative ai tempi di conservazione delle immagini. Con riferimento a quest´ultimo aspetto, il provvedimento sulla videosorveglianza precisa che il sistema utilizzato deve essere programmato in modo tale da operare la cancellazione delle immagini entro un termine massimo che si è individuato nelle 24 ore dal momento della rilevazione (punto 3.4 del provvedimento), mentre in tutti i casi in cui si voglia procedere ad un allungamento dei tempi di conservazione (per un periodo superiore a sette giorni) deve essere presentata una istanza di verifica preliminare all´Autorità, in ragione di specifiche e motivate esigenze. Nel caso in esame, gli agenti accertatori hanno verificato che le immagini erano conservate per un periodo di dodici giorni, comunque superiore a quello massimo stabilito dal Garante nel citato provvedimento. Infine, considerato che le telecamere interne non sono risultate funzionanti al momento del sopralluogo ispettivo, con la nota n. 29553 del 20 novembre 2013 dell´Unità lavoro pubblico e privato è stata comunicata la chiusura dell´istruttoria senza l´adozione di specifici provvedimenti per quanto riguarda il controllo dei lavoratori per mezzo delle videocamere interne;

RILEVATO, pertanto, che Oreiade s.r.l. ha effettuato un trattamento di dati personali ai sensi dell´art. 4, comma 1, lett. a) e b) del Codice, omettendo di rendere l´informativa agli interessati ai sensi dell´art. 13 del medesimo Codice, di adottare le misure minime di sicurezza, anche in considerazione di quanto previsto dal provvedimento del Garante sulla videosorveglianza datato 8 aprile 2010;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

VISTO l´art. 162, comma 2-ter, del Codice che punisce l´inosservanza dei provvedimenti di cui all´art. 154, comma 1, lett. c), con la sanzione amministrativa del pagamento di una somma da trentamila euro a centottantamila euro;

RITENUTO che, nel caso di specie, ricorrono le condizioni per applicare l´art. 164-bis, comma 1, del Codice, il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti, limitatamente alle violazioni di cui agli artt. 161 e 162, comma 2-ter, del Codice;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare della sanzione pecuniaria, nella misura di euro 2.400,00 (duemilaquattrocento) con riferimento alla violazione di cui all´art. 161 del Codice, applicata in combinato disposto con l´art. 164-bis, comma 1, nella misura di euro 10.000,00 (diecimila) con riferimento alla violazione di cui all´art. 162, comma 2-bis, e nella misura di euro 12.000,00 (dodicimila) con riferimento alla violazione di cui all´art. 162, comma 2-ter, per un ammontare complessivo pari a euro 24.400,00 (ventiquattromilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Oreiade s.r.l., con sede legale in Milano, Via Benvenuto Cellini n. 1, P.I. 11808420159, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 24.400,00 (ventiquattromilaquattrocento) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161, 162, comma 2-bis e 162, comma 2-ter, del Codice indicate in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 24.400,00 (ventiquattromilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 6 febbraio 2014

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia